Vụ hack Coldcard khiến dòng chuyển Bitcoin từ ví nhỏ tăng vọt, chạm mức thời kỳ FTX sụp đổ

Dữ liệu on-chain ghi nhận làn sóng dịch chuyển mạnh từ nhóm ví nhỏ sau thông tin lỗ hổng firmware của Coldcard, đưa khối lượng chuyển dưới 1 BTC lên mức cao nhất kể từ giai đoạn FTX nộp đơn phá sản. Theo ông Julio Moreno, trưởng bộ phận nghiên cứu của CryptoQuant, tổng lượng chuyển khoản dưới 1 BTC trong ngày thứ Sáu đạt 39.600 BTC, cao nhất kể từ tháng 11/2022. Con số này chỉ thấp hơn 300 BTC so với mức 39.900 BTC ghi nhận ngày 16/11/2022, ngay sau khi FTX nộp đơn Chapter 11 vào ngày 11/11 theo hồ sơ tòa án. CryptoQuant không xác định đích đến của từng giao dịch, song thời điểm trùng với các cảnh báo dành cho người dùng Coldcard, cho thấy xu hướng dịch chuyển ví nhằm phòng vệ. Điểm khác biệt này quan trọng vì tiền nạp lên sàn có thể hàm ý bán ra, còn chuyển ví thường phản ánh hành động bảo mật. Galaxy Research cho biết đã phát hiện ba "làn sóng" tấn công bị nghi nhắm vào các địa chỉ được tạo từ Coldcard. Phân tích của đơn vị này lần theo 1.367 BTC liên quan tới 4.585 địa chỉ bị ảnh hưởng. Ở làn sóng thứ ba, kẻ tấn công rút thêm 207,7 BTC từ 1.912 địa chỉ trong giai đoạn 31/7 đến 1/8. Galaxy ước tính tổng thiệt hại khoảng 88,6 triệu USD theo giá tại thời điểm thống kê, thuộc nhóm các vụ trộm ví Bitcoin được công bố lớn nhất năm 2026. Ông Alex Thorn, lãnh đạo nghiên cứu của Galaxy Digital, cho biết nhóm điều tra vẫn tiếp tục xác định nạn nhân và địa chỉ của kẻ tấn công, đồng thời khuyến nghị người dùng có seed bị lộ nhanh chóng chuyển tài sản sang seed mới. Trong giai đoạn theo dõi ban đầu, số BTC bị đánh cắp vẫn tập trung tại các địa chỉ do kẻ tấn công kiểm soát và chưa ghi nhận dòng nạp lên sàn diện rộng. Coinkite đã phát đi khuyến cáo bảo mật ngày 30/7 sau khi xuất hiện phản ánh mất tiền. Công ty cho biết một số phiên bản firmware đã tạo seed với mức entropy không đủ. Thông báo áp dụng cho Coldcard Mk2 và Mk3 chạy firmware 4.0.1 đến 4.1.9, cùng một số nhánh "fixed-release" trước đó trên Mk4, Mk5 và Q. Coinkite nhấn mạnh cập nhật firmware có thể ngăn việc tạo seed không an toàn trong tương lai, nhưng không thể "sửa" các seed đã được tạo bằng phần mềm bị ảnh hưởng. Nhóm Bitcoin Engineering and Security của Block truy vết nguyên nhân tới lỗi tích hợp bộ sinh số ngẫu nhiên: mã nguồn đã dùng cơ chế dự phòng phần mềm mang tính xác định thay vì entropy phần cứng như thiết kế. Block cũng cho biết các thiết bị mới bổ sung entropy từ secure element nhưng trong quá trình reseeding chỉ giữ lại 32 bit, khiến không gian ứng viên nhỏ hơn kỳ vọng. Coinkite đã phát hành firmware đã sửa cho toàn bộ mẫu máy và các nhánh phát hành liên quan, khuyến nghị người dùng tạo seed mới sau khi cài đặt bản vá. Công ty nhận định passphrase mạnh theo chuẩn Bitcoin Improvement Proposal 39 có thể giảm rủi ro trước mắt, nhưng vẫn khuyến cáo di chuyển tài sản vì passphrase không khắc phục được seed đã suy yếu. Sự cố cũng làm nóng trở lại tranh luận "tự lưu ký" so với ETF. Ông Nick Neuman, CEO Casa, bác bỏ quan điểm cho rằng tự lưu ký đã thất bại, lập luận rằng sở hữu phân tán giúp người dùng có thời gian phản ứng. Ông ước tính tự lưu ký đang bảo vệ lượng Bitcoin lớn gấp khoảng 10 lần số bị đánh cắp, dù nhấn mạnh đây chỉ là ước lượng do tổng số dư bị lộ vẫn chưa rõ. Ở chiều ngược lại, ông Eric Balchunas, chuyên gia phân tích ETF của Bloomberg, cho rằng các quỹ Bitcoin mang lại lớp bảo vệ quen thuộc và cách tiếp cận đơn giản hơn với nhiều nhà đầu tư. Theo ông, cổ đông quỹ nắm chứng khoán được quản lý, còn người tự lưu ký trực tiếp kiểm soát private key và quyền thực hiện giao dịch. Diễn biến lần này cho thấy vấn đề nằm ở quy trình tạo seed của một nhà cung cấp, không phải ở mạng lưới thanh toán của Bitcoin. Dù vậy, thiệt hại nhấn mạnh rằng an toàn ví phần cứng phụ thuộc chặt vào firmware, chất lượng entropy và quy trình di chuyển tài sản. Trong khi dòng chuyển ví tăng mạnh, giá Bitcoin gần như không biến động đáng kể; Bitcoin giao dịch quanh 63.124 USD vào Chủ nhật khi người dùng đánh giá lại rủi ro tự lưu ký. Coinkite cho biết cuộc điều tra vẫn đang tiếp diễn và sẽ công bố báo cáo kỹ thuật chính thức. Các cập nhật tiếp theo từ báo cáo này và việc theo dõi của Galaxy sẽ là những diễn biến có thể kiểm chứng trong thời gian tới.