Bị khai thác lỗ hổng firmware 5 năm trên ví Coldcard, 1.600 BTC trị giá hơn 100 triệu USD bị đánh cắp

Cory Klippsten đang dự một đám cưới ở Paris thì liên tiếp nhận được tin nhắn cầu cứu. Tổng giám đốc Swan kể lại rằng đó là “một cuối tuần khủng khiếp với rất nhiều người mất bitcoin”, thậm chí ông phải nhắn tin lúc 4 giờ sáng để hỗ trợ một người ở múi giờ Thái Bình Dương kịp đưa coin đến nơi an toàn. Diễn biến bắt đầu từ thứ Năm tuần trước, khi tin tặc đồng loạt rút bitcoin khỏi hàng nghìn ví phần cứng Coldcard bằng cách khai thác một lỗi firmware tồn tại âm thầm suốt 5 năm. Theo mô tả, bản cập nhật firmware tháng 3/2021 của ví do Coinkite sản xuất đã tạo ra tình trạng khóa riêng (private key) của người dùng kém an toàn hơn mức cần thiết. Galaxy Research cho biết sau ba đợt tấn công, gần 1.600 BTC — trị giá hơn 100 triệu USD — đã bị vét sạch từ khoảng 7.300 địa chỉ. Swan, nền tảng tại Mỹ hỗ trợ cá nhân mua, nắm giữ và tự lưu ký bitcoin, đã tạm dừng rút tiền đối với nhóm khách hàng có rủi ro, gửi cảnh báo ngay trong ứng dụng và mở rộng đội hỗ trợ chuyển đổi (migration) cho cả những người không phải khách hàng của Swan. Klippsten nói đội ngũ của ông “gác lại mọi việc để gọi cho khách hàng”, sau đó mở hỗ trợ cho bất kỳ ai cần giúp đỡ, dù chưa từng dùng Swan. Sau một tuần, gần 90% số bitcoin bị đánh cắp vẫn chưa được dịch chuyển trên chuỗi. Danh sách các địa chỉ được xác nhận thuộc về kẻ tấn công đã được chia sẻ với cơ quan thực thi pháp luật liên bang Mỹ. Coinkite (trụ sở tại Toronto) cũng đã phát hành bản vá cho toàn bộ các dòng thiết bị bị ảnh hưởng. Một nhóm tình nguyện được OpenSats tài trợ đã rà soát hơn 150 kho mã nguồn mở và không tìm thấy dấu hiệu cho thấy vấn đề lan sang sản phẩm khác ngoài Coldcard. Sự cố khiến một bộ phận trong ngành đặt câu hỏi về giá trị của tự lưu ký (self-custody), cho rằng nhà đầu tư có thể cân nhắc mua bitcoin thông qua các sản phẩm như quỹ ETF thay vì tự giữ. Klippsten lại nhận định khách hàng không rời bỏ tự lưu ký; họ đang tìm cách khiến bitcoin khó bị truy cập hơn. “Hiện mọi người đang chuyển sang Swan Vault,” ông nói, nhắc đến sản phẩm multisig đồng quản trị của công ty, nơi không một thiết bị đơn lẻ nào có thể đặt tiền của người dùng vào rủi ro. “Thay vì từ bỏ tự lưu ký, nhiều người đang nâng cấp cách tự lưu ký.” Đánh giá về tuần biến động, Klippsten tỏ ra thận trọng nhưng lạc quan. Ông nhấn mạnh việc mất coin là “điều tồi tệ”, nhất là khi nhiều nạn nhân đã làm đúng theo hướng dẫn của những nhân vật nổi tiếng trong ngành. Dù vậy, ông cho rằng Bitcoin có tính “chống mong manh” (antifragile) và các công cụ đang mạnh lên từng giờ, thậm chí sự cố này “có thể rốt cuộc lại là điều tốt nhất từng xảy ra với tự lưu ký”.