Hàng loạt ví cứng Coldcard bị hack, thiệt hại 70,2 triệu USD Bitcoin

Một sự cố bảo mật nghiêm trọng liên quan đến dòng ví cứng Coldcard đang khiến cộng đồng tiền mã hóa đặc biệt lo ngại khi tổng giá trị Bitcoin bị đánh cắp đã tăng lên khoảng 70 triệu USD. Theo phân tích mới nhất từ Galaxy Research, kẻ tấn công đã rút toàn bộ số dư khỏi gần 1.200 địa chỉ ví, cho thấy đây có thể là một trong những vụ khai thác lỗ hổng ví phần cứng lớn nhất trong thời gian gần đây.

Dữ liệu do Galaxy Research công bố cho thấy có tổng cộng 1.196 địa chỉ Bitcoin đã bị rút sạch hoàn toàn, với tổng số 1.082,65 BTC, tương đương khoảng 70,2 triệu USD theo giá thị trường tại thời điểm xảy ra sự cố. Toàn bộ các giao dịch diễn ra chỉ trong khoảng hơn 40 phút, từ 01:10 đến 01:51 UTC ngày 30/7, cho thấy cuộc tấn công được chuẩn bị kỹ lưỡng và thực hiện theo cách gần như hoàn toàn tự động.

Trước đó, nhà sản xuất ví cứng Coinkite đã phát đi cảnh báo khẩn cấp về một lỗ hổng ảnh hưởng đến các cụm từ khôi phục (seed phrase) được tạo trên thiết bị Coldcard Mk3. Công ty cho biết mọi người dùng đã tạo seed bằng Coldcard Mk3 chạy firmware phiên bản 4.0.1 được phát hành vào tháng 3/2021 hoặc các phiên bản mới hơn đều có khả năng đối mặt với nguy cơ mất tài sản.

Không lâu sau, Coinkite tiếp tục mở rộng phạm vi cảnh báo sang một số phiên bản firmware của các mẫu Coldcard Mk4, Mk5 và Coldcard Q sau khi quá trình điều tra phát hiện những dòng sản phẩm này cũng có thể chịu ảnh hưởng trong một số điều kiện nhất định. Đồng thời, công ty đã phát hành các bản cập nhật firmware khẩn cấp nhằm vá lỗ hổng trên toàn bộ những thiết bị liên quan.

Giám đốc điều hành Coinkite, Rodolfo Novak (NVK), đã chính thức lên tiếng xin lỗi người dùng và thừa nhận công ty hoàn toàn chịu trách nhiệm về lỗi firmware. Ông cho biết quy trình kiểm tra nội bộ đã không phát hiện được lỗ hổng trước khi phần mềm được phát hành, dẫn đến hậu quả nghiêm trọng đối với một bộ phận khách hàng.

Một điểm đáng chú ý là Novak nhận định lỗ hổng này có thể đã được phát hiện nhờ sự hỗ trợ của trí tuệ nhân tạo (AI). Theo ông, sự phát triển nhanh chóng của AI đang tạo ra một thực tế mới trong lĩnh vực an ninh mạng, khi các công cụ phân tích mã nguồn bằng AI có thể phát hiện những lỗi tiềm ẩn nhanh hơn đáng kể so với phương pháp kiểm tra truyền thống của các chuyên gia bảo mật. Điều này đồng nghĩa với việc tin tặc cũng có thể tận dụng AI để tìm kiếm và khai thác các điểm yếu trong những đoạn mã nguồn được công khai.

Trong báo cáo phân tích, Galaxy Research cho biết họ đã lần theo dòng tiền dựa trên mẫu giao dịch được các kỹ sư của Block cùng chuyên gia bảo mật Clay Garrett xác định. Kết quả cho thấy toàn bộ số Bitcoin bị đánh cắp đều có đặc điểm giống nhau, nhiều khả năng được thực hiện bởi cùng một tác nhân tấn công.

Tuy nhiên, Galaxy Research cũng lưu ý rằng mẫu giao dịch này chỉ phản ánh cách dòng tiền được di chuyển sau khi vụ tấn công xảy ra chứ không thể hiện chính xác phương thức khai thác lỗ hổng. Trên blockchain, các giao dịch rút tiền này gần như không khác gì việc chủ sở hữu tự chuyển Bitcoin sang một địa chỉ khác, khiến quá trình phát hiện và điều tra trở nên khó khăn hơn.

Đáng lo ngại hơn, nhóm nghiên cứu cảnh báo bản chất của lỗ hổng cho thấy các cuộc tấn công tương tự vẫn có thể tiếp tục xảy ra đối với những địa chỉ Bitcoin được tạo từ các seed bị ảnh hưởng, kể cả khi chúng không xuất hiện trong đợt rút tiền vừa qua. Điều này đồng nghĩa với việc một số ví chưa bị tấn công hiện tại vẫn có thể đối mặt với rủi ro nếu người dùng chưa thực hiện các biện pháp khắc phục.

Sau khi phát hiện sự cố, Coinkite đã khuyến cáo toàn bộ người dùng thuộc diện ảnh hưởng cần cập nhật firmware mới nhất ngay lập tức, tạo một seed phrase hoàn toàn mới và chuyển toàn bộ tài sản sang ví mới. Công ty cũng khuyến nghị người dùng nên thử nghiệm bằng một giao dịch có giá trị nhỏ trước để xác nhận ví mới hoạt động bình thường, sau đó mới chuyển toàn bộ Bitcoin. Đồng thời, bản sao lưu của ví cũ nên được giữ lại cho đến khi toàn bộ quá trình chuyển tài sản hoàn tất thành công.