Ví Coldcard dính lỗ hổng seed, hàng triệu USD Bitcoin bị đánh cắp

Ngày 30/7, một kẻ tấn công đã lợi dụng điểm yếu trong quá trình tạo seed (cụm từ khôi phục) của một số ví phần cứng Coldcard để rút Bitcoin trị giá khoảng vài chục triệu USD từ hàng trăm địa chỉ. Theo phân tích chuyên sâu của Galaxy Research, đợt rút tiền chính diễn ra dồn dập trong khoảng 25 phút. Mở rộng truy vết sau đó liên hệ khoảng 1.196 địa chỉ và tối đa 1.083 BTC, tương đương gần 70 triệu USD, trong một chuỗi hoạt động kéo dài khoảng 41 phút. Các con số cuối cùng vẫn có thể thay đổi khi điều tra tiếp tục lần theo giao dịch trên blockchain Bitcoin công khai. Phần lớn nạn nhân được cho là người nắm giữ dài hạn, đã tạo seed bằng thiết bị Coldcard chạy firmware có lỗi được phát hành từ tháng 3/2021 trở đi. Coldcard là ví phần cứng "air-gapped" do hãng Coinkite (Canada) sản xuất, được thiết kế để cô lập khóa BTC khỏi các thiết bị kết nối internet. Nhiều địa chỉ bị rút sạch đã "ngủ yên" nhiều năm. Dấu hiệu on-chain cho thấy thao tác được tự động hóa: kẻ tấn công di chuyển rất nhanh, chấp nhận mức phí giao dịch cố định cao và không để lại "change output", tức rút sạch từng địa chỉ. Mẫu hình này phù hợp với việc sử dụng một danh sách khóa riêng đã chuẩn bị sẵn, thay vì người dùng tự chuyển tiền. Sự cố không xuất phát từ phishing, malware trên máy tính người dùng, mất cắp thiết bị hay một cuộc xâm nhập từ xa kiểu truyền thống. Nguồn gốc nằm ở lỗi firmware làm suy yếu tính ngẫu nhiên khi một số thiết bị Coldcard tạo seed. Seed nhìn vẫn hợp lệ, nhưng thực tế được tạo ra từ không gian kết hợp nhỏ hơn nhiều so với mức bảo mật người dùng kỳ vọng. Seed ví Bitcoin thường hiển thị dưới dạng 12 hoặc 24 từ; với seed 12 từ được tạo đúng chuẩn, mức entropy phải là 128 bit, tức số khả năng kết hợp khổng lồ khiến việc đoán seed gần như bất khả thi. Coldcard dự kiến lấy độ ngẫu nhiên từ bộ tạo số ngẫu nhiên phần cứng trong vi điều khiển, vốn dựa trên nhiễu điện vật lý khó dự đoán. Coinkite cho biết trong quá trình chuyển đổi thư viện phần mềm năm 2021, hai hàm tạo số ngẫu nhiên có giao diện tương tự đã bị "đánh tráo". Một hàm truy cập đúng RNG phần cứng; hàm còn lại là cơ chế dự phòng yếu hơn, dùng cho bo mạch không có phần cứng phù hợp. Một thiết lập cấu hình đã tắt đường dẫn phần cứng mặc định của MicroPython do Coinkite dùng lớp "wrapper" riêng, nhưng đoạn kiểm tra phần mềm chỉ xác nhận thiết lập đó "tồn tại" chứ không kiểm tra nó có được bật hay không. Vì thiết lập có mặt nhưng giá trị bằng 0, bản build vẫn hoàn tất và việc tạo seed âm thầm chuyển sang bộ sinh ngẫu nhiên phần mềm yếu. Cơ chế dự phòng này phụ thuộc mạnh vào dữ liệu có thể đoán như thông tin thiết bị (ví dụ mã nhận dạng chip tương tự số serial) và giá trị đồng hồ nội bộ gắn với thời điểm khởi động. Nếu kẻ tấn công thu hẹp được các đầu vào này, không gian tìm kiếm sẽ nhỏ hơn rất nhiều so với 128 bit. Coinkite ước tính không gian tìm kiếm hiệu dụng đối với seed dễ bị ảnh hưởng trên Mk3 chỉ khoảng 40 bit theo các giả định hiện tại: vẫn lớn, nhưng có thể bị dò bằng phần cứng tính toán chuyên dụng, đặc biệt khi có thể đối chiếu seed ứng viên với địa chỉ Bitcoin hiển thị trên blockchain. Với các mẫu Coldcard đời sau như Mk4, Q và Mk5, Coinkite bổ sung thêm một phần ngẫu nhiên từ secure element. Dù vậy, chỉ một phần nhỏ đi vào bộ sinh bị ảnh hưởng, khiến entropy hiệu dụng ước tính khoảng 72 bit đối với seed tạo trước khi cài firmware đã sửa. Mức này tốt hơn đường dẫn Mk3 nhưng vẫn dưới chuẩn 128 bit. Có thể hình dung như thay một mã khóa thực sự ngẫu nhiên bằng mã được suy ra từ số serial của ổ khóa và thời điểm bật lần đầu: nhìn có vẻ ngẫu nhiên, nhưng người biết công thức và ước lượng dữ liệu ban đầu có thể tái tạo. Coinkite đã phát hành khuyến cáo an ninh và firmware khắc phục sau khi phát hiện mối đe dọa đang hoạt động. Công ty yêu cầu người dùng từng tạo seed trên firmware bị ảnh hưởng phải tạo seed hoàn toàn mới bằng phiên bản đã sửa và chuyển BTC sang các địa chỉ thuộc seed mới. Chỉ cập nhật firmware là không đủ, vì seed cũ đã tạo dưới cơ chế lỗi sẽ yếu vĩnh viễn; bản cập nhật không thể "bổ sung" ngẫu nhiên cho các từ seed đã tồn tại. Quy trình Coinkite khuyến nghị gồm: cập nhật thiết bị, tạo seed mới, xác minh bản sao lưu và "wallet fingerprint", kiểm tra địa chỉ nhận, gửi một giao dịch thử nhỏ rồi mới chuyển toàn bộ số dư còn lại. Người dùng nên giữ bản sao lưu cũ cho tới khi chuyển xong, nhưng không nên tiếp tục coi seed cũ là an toàn. Các phiên bản đã sửa được nêu gồm: Mk3 phiên bản 4.2.0 trở lên; Mk4 và Mk5 phiên bản 5.6.0 trở lên; Q phiên bản 1.5.0Q trở lên, kèm các bản Edge tương ứng. Coinkite cho biết Tapsigner, Opendime và Satscard dùng mã khác nên được báo cáo là không bị ảnh hưởng. Một số người dùng được bảo vệ tốt hơn nếu đã thêm đủ số lần tung xúc xắc độc lập khi tạo seed, vì nguồn ngẫu nhiên của họ có thể lấn át đầu vào phần mềm lỗi. Coinkite cho biết tối thiểu 50 lần tung xúc xắc công bằng là đủ để phòng vấn đề này, và thêm lượt sẽ tăng biên an toàn. Passphrase BIP39 mạnh cũng tạo ra một ví riêng, không thể khôi phục chỉ từ các từ seed. Ví multisignature, yêu cầu nhiều khóa từ nhiều thiết bị/vị trí trước khi BTC có thể di chuyển, nhìn chung được bảo vệ phần lớn hoặc hoàn toàn nếu seed Coldcard bị ảnh hưởng chỉ là một phần trong cấu hình ký. CEO Coinkite Rodolfo Novak (thường được biết đến với tên NVK) đã công khai xin lỗi ngày 31/7 và nói công ty nhận toàn bộ trách nhiệm về lỗi firmware. Ông thừa nhận bản hotfix chỉ bảo vệ seed tạo mới, không thể sửa seed đã sinh ra dưới phần mềm có lỗ hổng. Novak cho biết Coinkite sẽ công bố tường trình kỹ thuật đầy đủ sau khi xác minh chi tiết, đồng thời hỗ trợ người dùng bị ảnh hưởng trong việc lập hồ sơ công an, yêu cầu bảo hiểm hoặc điều tra độc lập. Coinkite cũng cảnh báo các công cụ trí tuệ nhân tạo (AI) có thể rà soát mã nguồn công khai cũ để tìm điểm yếu nhanh hơn các quy trình review truyền thống. Công ty nói phải giả định kẻ tấn công dùng AI để kiểm tra firmware mã nguồn mở của họ, dù chưa có bằng chứng xác định lỗ hổng được phát hiện bằng cách nào. Coinkite thừa nhận một đợt rà soát gần đây với một mô hình AI hàng đầu cũng không phát hiện ra vấn đề. Sau sự cố, một số nhà sản xuất ví phần cứng đối thủ lên tiếng trấn an. Ledger cho biết không bị ảnh hưởng và nhấn mạnh thiết bị của họ dùng TRNG được chứng nhận tích hợp trong secure element, tạo đủ 256 bit entropy cho mỗi cụm từ khôi phục 24 từ. Trezor cũng tuyên bố tiền của người dùng an toàn, cho rằng vấn đề nằm ở firmware tùy chỉnh của Coldcard và cách một số thiết bị của họ tạo ngẫu nhiên; Trezor không dùng chung mã đó, đồng thời cho biết họ luôn trộn nhiều nguồn ngẫu nhiên độc lập (phần cứng thiết bị + máy chủ + secure element ở các mẫu mới). Danh tính kẻ tấn công vẫn chưa rõ, và số BTC bị đánh cắp có thể rời các địa chỉ gom bất cứ lúc nào. Điều tra đang tập trung xác định có bao nhiêu seed yếu đã được tạo, còn bao nhiêu BTC đang phơi nhiễm, và liệu kẻ tấn công đã khoanh vùng thêm các ví giá trị lớn hay chưa. Một trở ngại là Coinkite có thể không còn nhiều dữ liệu về khách hàng cũ. Đồng sáng lập Casa, Jameson Lopp, viết trên X rằng Coinkite xóa toàn bộ hồ sơ khách hàng sau 120 ngày để giảm rủi ro lộ dữ liệu, đồng nghĩa họ khó liên hệ những người đã mua Coldcard dễ bị ảnh hưởng trong 5 năm qua để cảnh báo. Nhà phát triển Bitcoin mã nguồn mở ẩn danh calle cũng chia sẻ trên X rằng ông buồn cho những người bị ảnh hưởng, đặc biệt những người có thể vừa mất toàn bộ khoản tiết kiệm cả đời, trong khi họ đã làm đúng các khuyến nghị phổ biến: mua ví phần cứng uy tín, tạo seed offline, bảo vệ bản sao lưu và không nhập seed vào thiết bị kết nối internet. Sự việc sẽ thử thách khả năng Coinkite khôi phục niềm tin với Coldcard và đặt ra áp lực để các nhà sản xuất ví phần cứng tăng cường review độc lập đối với quy trình tạo seed. Với người dùng, ưu tiên trước mắt rõ ràng hơn: bất kỳ ai đã tạo seed trên firmware bị ảnh hưởng mà không có đủ entropy từ xúc xắc, không dùng passphrase, hoặc không có bảo vệ multisignature, nên coi seed đó đã bị lộ và chuyển tiền cẩn trọng sang một ví mới vừa tạo. Trong cộng đồng, nhiều người đang kêu gọi lan truyền thông tin để giảm nguy cơ thêm các ví dễ tổn thương bị rút sạch.