Lỗi firmware Coldcard tạo điều kiện cho vụ trộm do AI hỗ trợ — hơn 1.300 BTC (~89 triệu USD) bị đánh cắp

Morning Minute — Tyler Warner (quan điểm cá nhân; không nhất thiết đại diện cho Decrypt). Chào buổi sáng! Tin đáng chú ý hôm nay: Coldcard, ví cứng vốn được nhiều nhà đầu tư Bitcoin nghiêm túc tin dùng, đang trở thành tâm điểm của một trong những vụ trộm tài sản tự lưu ký lớn nhất lịch sử crypto. Diễn biến vụ việc Kẻ tấn công được cho là đã rút Bitcoin từ các thiết bị Coldcard Mk3 theo cách có hệ thống mà không cần chạm vào thiết bị vật lý. Đây không phải lừa đảo phishing, mà là khai thác lỗ hổng firmware. Một bản cập nhật firmware của Coldcard vào tháng 3/2021 đã đưa vào cơ chế "dự phòng" khi tạo seed, cho phép bỏ qua bộ tạo số ngẫu nhiên phần cứng (hardware random-number generator). Việc suy giảm entropy này được cho là làm độ mạnh khóa từ mức dự kiến 128-bit xuống khoảng 40-bit, khiến seed có thể bị đoán ra. Khi khóa riêng có thể được tái tạo từ entropy yếu, số coin lưu offline — kể cả cất trong két an toàn — vẫn có thể bị quét sạch. Một nạn nhân tại Canada mất 18,25 BTC và cho biết điều khó chấp nhận nhất là anh "đã làm đúng mọi thứ". Quy mô và mốc thời gian Các vụ mất cắp bắt đầu từ tuần trước và nhanh chóng tăng tốc. Ước tính ban đầu khoảng 38 triệu USD đã tăng khi các nhà nghiên cứu truy vết thêm hoạt động. Galaxy Research hiện báo cáo khoảng 1.367 BTC bị đánh cắp (xấp xỉ 88,6 triệu USD) trên 4.585 địa chỉ, được nhận diện qua ba đợt quét (sweep). Galaxy cho biết họ phát hiện một đợt mới vào thứ Bảy. Galaxy cảnh báo khai thác dường như vẫn đang diễn ra và dự đoán mọi thiết bị dễ tổn thương cuối cùng sẽ bị rút sạch nếu không có biện pháp can thiệp. Công ty đã chuyển khoảng 600 địa chỉ bị nghi là của kẻ tấn công cho các điều tra viên liên bang. Các nhà nghiên cứu ước tính một đợt thứ tư có thể đẩy thiệt hại lên gần 114 triệu USD. Họ cũng lưu ý một số lần quét mới nhất có thể tránh được bằng cách "front-run" khâu chốt giao dịch trong mempool. Vai trò của AI và hệ lụy rộng hơn Coinkite, nhà sản xuất Coldcard, cho biết họ buộc phải giả định kẻ tấn công đã dùng AI để rà soát firmware mã nguồn mở nhằm tìm lỗi. Đáng chú ý, đợt rà soát mã có hỗ trợ AI của chính Coinkite vài tuần trước đó cũng không phát hiện ra bug này. Alex Thorn, trưởng bộ phận nghiên cứu tại Galaxy, mô tả hành vi quét là mang tính lập trình và "nhiều khả năng được điều phối bằng một mô hình ngôn ngữ lớn". Giới quan sát chỉ ra một xu hướng đáng lo: trong thời gian ngắn, AI đã được liên hệ với việc bẻ gãy các ứng viên mật mã học, thoát sandbox, và nay là các đợt rút ví quy mô lớn. Với cộng đồng crypto, điều này đặt ra câu hỏi khó về việc công cụ AI đang thay đổi tương quan tấn công/phòng thủ ra sao và đe dọa lời hứa cốt lõi của tự lưu ký (self-custody) như thế nào. Người dùng cần biết gì (và nên làm gì) Nếu bạn đang sở hữu Coldcard Mk3 hoặc bất kỳ thiết bị nào có thể bị ảnh hưởng, hãy theo dõi các kênh chính thức của Coinkite để nhận hướng dẫn và cảnh báo firmware trước khi thực hiện bất kỳ thao tác nào. Coi tài sản trên các thiết bị có nguy cơ là đang gặp rủi ro cho đến khi công ty đưa ra bản vá rõ ràng hoặc lộ trình di chuyển. Chỉ cân nhắc chuyển coin sang giải pháp an toàn, đã được xác minh sau khi xác nhận cập nhật và làm đúng theo hướng dẫn của nhà sản xuất. Nếu không chắc chắn, nên tìm hỗ trợ từ chuyên gia. Diễn biến vẫn đang được cập nhật. Tôi sẽ tiếp tục theo dõi khi nhà cung cấp và cơ quan điều tra phản hồi.