Khai thác lỗi seed của COLDCARD: 1.159 BTC vẫn nằm yên, 64 BTC đã được đưa vào mixer

Diễn biến vụ khai thác lỗ hổng trên ví cứng COLDCARD tiếp tục được ghi nhận trực tiếp trên blockchain. Cụm địa chỉ lớn nhất được cho là của kẻ tấn công vẫn giữ nguyên 1.159 BTC tại 7 địa chỉ, trong khi một tác nhân khác đã bắt đầu chuyển các khoản nhỏ qua dịch vụ trộn (mixer), tạo thêm dấu vết để giới điều tra theo dõi. Dữ liệu giám sát onchain của Galaxy Research cho thấy vụ rút lớn nhất, tổng cộng 1.159 BTC, đã được gom về 7 địa chỉ trong khoảng 41 phút và đến nay chưa có giao dịch dịch chuyển tiếp theo. Các nhà điều tra cũng chưa quan sát thấy dòng tiền từ các địa chỉ này đi vào sàn giao dịch, mixer hoặc các dịch vụ rút tiền phổ biến. Về mặt kỹ thuật, số BTC này không bị "đóng băng" vì giao thức Bitcoin không thể chặn giao dịch chỉ dựa trên việc một địa chỉ bị gắn cờ. Dù vậy, nếu cố chuyển sang tiền pháp định hoặc đưa vào các dịch vụ chịu giám sát, dòng tiền nhiều khả năng sẽ kích hoạt cơ chế AML/KYC. Hiện lực lượng thực thi pháp luật, các sàn và các công ty phân tích đã gắn cờ khoảng 600 địa chỉ liên quan đến vụ việc, khiến rủi ro bị soi xét khi nạp vào nền tảng tuân thủ tăng lên đáng kể. Ở một nhánh khác, các nhà phân tích lần theo một dòng 64 BTC đi vào một giao dịch có liên quan đến mixer. Khoảng 10 BTC được trộn ngay lập tức; phần còn lại khoảng 54 BTC quay về như tiền thừa (change) rồi được tách thành các đầu ra xấp xỉ 7 BTC để tiếp tục trộn. Mixer có mục tiêu che mờ nguồn gốc bằng cách tái kết hợp và tái cấu trúc giao dịch, nhưng không đảm bảo ẩn danh. Trong trường hợp này, các đầu ra tương đối lớn và đồng đều lại khiến mô hình rửa tiền dễ bị bám theo hơn, cho phép điều tra tiếp tục theo dõi các bước nhảy tiếp theo. Hoạt động qua mixer nói trên có vẻ không liên quan tới cụm 7 địa chỉ đang giữ 1.159 BTC. Các báo cáo trước đó cho rằng có nhiều kẻ tấn công đã khai thác cùng một lỗi tạo seed của COLDCARD, vì vậy không thể mặc định mọi giao dịch đều đến từ cùng một tác nhân. Galaxy Research từng xác nhận khoảng 1.596 BTC đã bị đánh cắp qua 3 đợt tấn công từ khoảng 7.300 địa chỉ và ghi nhận thêm 14 sự cố liên quan quy mô nhỏ. Một đợt thứ tư bị nghi ngờ có thể nâng tổng thiệt hại lên gần 2.055 BTC, dù phần tăng thêm này vẫn chưa được xác minh đầy đủ dựa trên báo cáo từ nạn nhân. Nguyên nhân lỗ hổng xuất phát từ một lỗi firmware làm suy yếu độ ngẫu nhiên khi tạo cụm từ khôi phục (seed phrase). Kẻ tấn công có thể tái tạo các seed tiềm năng ở chế độ offline, suy ra địa chỉ và đối chiếu với các địa chỉ đang hoạt động onchain mà không cần truy cập thiết bị, không cần PIN, cũng không cần bất kỳ hình thức can thiệp nào ở cấp giao thức. Coinkite đã phát hành firmware sửa lỗi, nhưng việc cập nhật thiết bị không thể khắc phục một seed đã được tạo ra từ phiên bản dễ tổn thương. Người dùng bị ảnh hưởng cần tạo seed mới và chuyển tài sản sang các địa chỉ được sinh ra từ seed đó để đảm bảo an toàn. Về khả năng xử lý và thu hồi, Galaxy cho biết đã chia sẻ các địa chỉ của kẻ tấn công và nạn nhân đã được xác nhận cho cơ quan thực thi pháp luật Mỹ, các sàn và các nhóm điều tra an ninh mạng. Danh sách địa chỉ rộng hơn giúp tăng cơ hội phát hiện khi dòng tiền tìm cách đi qua các kênh chịu quản lý. Dù vậy, khả năng thu hồi vẫn không chắc chắn, do kẻ tấn công có thể phân tán qua nhiều địa chỉ, sử dụng mixer, nền tảng phi tập trung hoặc chuyển qua các khu vực pháp lý ngoài phạm vi của Mỹ trước khi tìm cách rút tiền. Tóm lại, kẻ tấn công lớn nhất liên quan đến COLDCARD hiện vẫn "ôm" 1.159 BTC chưa hề dịch chuyển kể từ lần gom ban đầu, khiến số tiền này liên tục nằm dưới sự giám sát công khai. Đồng thời, hoạt động qua mixer của một tác nhân khác đang tạo ra một tuyến theo dõi mà giới điều tra sẽ bám sát trong các diễn biến tiếp theo.