Lỗ hổng RNG ở Coldcard làm rò rỉ hơn 1.700 BTC: Bức tranh toàn cảnh về một cuộc khủng hoảng niềm tin nơi tự lưu ký

Ngày 31/7, một sự kiện an ninh nghiêm trọng đã làm rung chuyển cộng đồng Bitcoin. Theo dữ liệu từ Glassnode và Galaxy Research, một nhóm tin tặc đã tận dụng lỗ hổng trong bộ tạo số ngẫu nhiên (RNG) của ví cứng Coldcard để rút cạn tiền từ hàng nghìn địa chỉ. Ba đợt tấn công được xác nhận đã lấy đi 1.367 BTC, trị giá khoảng 88,6 triệu USD, từ 4.585 địa chỉ ví. Không dừng lại ở đó, một đợt thứ tư bị nghi ngờ đã quét thêm 380 BTC. Tổng cộng, ước tính khoảng 1.747 BTC đã được chuyển khỏi các ví bị ảnh hưởng. Sự việc này không chỉ là một vụ trộm cắp đơn thuần. Nó phơi bày một lỗ hổng chí tử trong lớp bảo mật mà nhiều người dùng coi là bất khả xâm phạm. Coldcard, thương hiệu ví cứng nổi tiếng với triết lý "an toàn tuyệt đối", đã trở thành điểm thất bại. Lỗ hổng RNG nằm ở tầng thấp nhất của mật mã học. Khi bộ tạo số ngẫu nhiên bị lỗi, khóa riêng tư (private key) không còn là một bí mật không thể đoán trước. Kẻ tấn công có thể tái tạo thuật toán, dự đoán được khóa và từ đó ký giao dịch thay cho chủ sở hữu. Đây là một trong những dạng hỏng hóc nghiêm trọng nhất trong thế giới tiền mã hóa: không phải do người dùng lộ khóa, mà do thiết bị tạo ra khóa yếu ngay từ đầu. Bằng chứng trên chuỗi cho thấy sự tấn công diễn ra theo từng đợt, giống như một quy trình tự động hóa được lên kịch bản. Dữ liệu từ Alex Thorn của Galaxy Research cho thấy có những block chứa tới 13,8 giao dịch "quét sạch" mỗi block, cao gấp 45 lần so với mức trước sự kiện. Nhịp độ này không giống hành vi của một cá nhân thủ công. Nó mang dấu hiệu của một công cụ tự động, được tối ưu để dò tìm khóa yếu và rút tiền nhanh nhất có thể trước khi chủ ví kịp phản ứng. Sự hoảng loạn lan tỏa được phản ánh rõ nét qua số liệu on-chain. Số địa chỉ hoạt động hàng ngày đã nhảy vọt từ khoảng 645.000 lên gần 1 triệu chỉ trong một ngày, mức cao nhất trong vòng 20 tháng. Tuy nhiên, số lượng giao dịch trong ngày đó là 761.796, một con số cao nhưng không phải kỷ lục lịch sử. Sự chênh lệch này nói lên một điều quan trọng: mỗi địa chỉ chủ yếu thực hiện một hoặc hai giao dịch. Đây là hành vi "chuyển tiền khẩn cấp", không phải sự gia tăng hoạt động kinh tế sôi động. Mọi người đang rút tiền ra khỏi ví Coldcard, chuyển đến những nơi họ tin là an toàn hơn. Điểm đáng chú ý là quy mô của dòng vốn nhỏ lẻ. Các giao dịch dưới 1 BTC chiếm tới 39.600 BTC trong ngày hôm đó, một con số tương đương với ngày 16/11/2022 – ngày làn sóng rút tiền khỏi sàn FTX sau khi sàn này sụp đổ. Nhưng bối cảnh thì hoàn toàn trái ngược. Ở thời điểm FTX, người dùng đổ xô rút Bitcoin từ sàn giao dịch về ví tự quản lý để thoát khỏi rủi ro tập trung. Lần này, người dùng lại làm ngược lại: họ rút Bitcoin từ ví tự quản lý (Coldcard) để chuyển về sàn giao dịch hoặc ví mới do sợ hãi. Hai luồng tiền ngược chiều nhau, nhưng đều xuất phát từ cùng một cảm xúc: sợ mất tiền. Điều khiến giới phân tích quan tâm là phản ứng của giá Bitcoin. Trong khi hoạt động trên chuỗi bùng nổ, giá BTC chỉ nhích nhẹ 1,24% trong ngày, đóng cửa quanh mức 60.347 USD. Một sự kiện có vẻ tiêu cực nhưng thị trường lại gần như thờ ơ. Giải thích hợp lý nhất là thị trường chưa kịp định giá. Số Bitcoin bị đánh cắp và được chuyển đi, nhưng chúng chưa được bán trên sàn. Do đó, áp lực bán thực tế chưa xuất hiện. Tuy nhiên, rủi ro tiềm ẩn vẫn còn đó. Nếu một phần trong số 1.747 BTC này chảy vào các sàn giao dịch, nó sẽ tạo ra lực bán khoảng 105 triệu USD ở mức giá hiện tại. So với khối lượng giao dịch hàng ngày của Bitcoin (thường lên tới hàng tỷ USD), con số này không đủ để gây ra biến động lớn, nhưng có thể tạo thêm áp lực tâm lý trong bối cảnh thị trường đang ở vùng giá thấp. Sự khác biệt giữa số địa chỉ gửi và địa chỉ nhận cũng hé lộ một cấu trúc quan trọng: hầu hết các địa chỉ hoạt động mới đều là địa chỉ gửi, trong khi số địa chỉ nhận hầu như không tăng. Điều này cho thấy tiền đang được gom lại, không phải phân tán. Càng củng cố giả thuyết rằng đây là một cuộc di cư phòng thủ: mọi người gộp tài sản của mình vào những nơi họ tin là an toàn hơn, hoặc là ví mới do họ tạo ra sau khi loại bỏ Coldcard, hoặc là tài khoản sàn giao dịch. Bên cạnh những tác động trực tiếp đến người dùng Coldcard, sự kiện này còn có những hệ lụy sâu rộng hơn đến toàn bộ hệ sinh thái. Bằng chứng rõ ràng nhất là việc BIP-110 – một đề xuất nâng cấp giao thức Bitcoin – đã bị trì hoãn kích hoạt. Các nhà phát triển Bitcoin thường không dễ dàng hoãn một bản nâng cấp đã được lên lịch. Việc họ quyết định hoãn BIP-110 cho thấy sự kiện này được coi là một vấn đề nghiêm trọng, đủ sức ảnh hưởng đến các giả định bảo mật của quá trình nâng cấp. Tình huống này giống như việc một lâu đài đang được sửa chữa thì phát hiện ra nền móng bị nứt: phải dừng lại để củng cố nền móng trước. Cuộc tranh luận về tự lưu ký cũng được đốt nóng trở lại. Nhà sáng lập Binance, CZ, đã lên tiếng trong cuộc thảo luận này, cho thấy vấn đề vượt ra khỏi phạm vi kỹ thuật thuần túy. Câu chuyện "100% tự lưu ký là an toàn tuyệt đối" vốn đã bị nghi ngờ từ lâu, giờ đây bị chính một sự kiện thực tế bóp méo. Nhiều người dùng bắt đầu đặt câu hỏi liệu các giải pháp lưu ký đa chữ ký (multisig) hay lưu ký phân lớp (custodial hybrid) có phải là lựa chọn thực dụng hơn so với việc tự quản lý toàn bộ trên một thiết bị phần cứng. Sự kiện Coldcard có thể đẩy nhanh quá trình chuyển từ tư duy "tự lưu ký tối thượng" sang một mô hình quản lý rủi ro linh hoạt hơn. Từ góc độ điều tra, vụ việc cũng đặt ra những thách thức xuyên biên giới. Kẻ tấn công có thể đến từ bất kỳ đâu, trong khi Coldcard do công ty Coinkite tại Canada sản xuất và nạn nhân nằm rải rác khắp toàn cầu. Với bản chất công khai của blockchain, việc theo dõi dòng tiền trở nên dễ dàng hơn so với tiền pháp định, nhưng thủ tục pháp lý giữa các quốc gia vẫn là một rào cản lớn. Nếu thủ phạm sử dụng các dịch vụ trộn như Tornado Cash, câu chuyện có thể lan sang lĩnh vực trừng phạt các giao thức bảo mật, một vấn đề từng gây nhiều tranh cãi tại Hoa Kỳ. Các nhà phân tích cũng cảnh báo rằng vụ việc chưa kết thúc. Tin tặc có thể vẫn đang trong quá trình dò quét các khóa yếu khác. Chiến dịch diễn ra thành bốn đợt cho thấy một quy trình có hệ thống, có khả năng được vận hành thường xuyên. Người dùng sở hữu Coldcard – đặc biệt là những mẫu đời cũ – nên cẩn thận. Ngay cả khi họ đã chuyển tiền đi, việc kiểm tra các địa chỉ cũ và đảm bảo không còn tài sản nào trong những ví được tạo ra trong khoảng thời gian bị ảnh hưởng là vô cùng cần thiết. Sự kiện lần này là một cú sốc đối với niềm tin, nhưng cũng là một lời nhắc nhở thực dụng về bản chất của công nghệ: không có bất kỳ một lớp bảo mật nào là hoàn hảo. Rủi ro nằm ở những chi tiết nhỏ nhất, ngay cả khi chúng được giấu trong một con chip tưởng chừng như hoàn hảo. Cộng đồng Bitcoin sẽ phải học cách thích nghi: chấp nhận rằng tự lưu ký không phải là một trạng thái tĩnh, mà là một quá trình quản lý rủi ro liên tục. Và những kẻ săn mồi luôn rình rập, chờ đợi một sai lầm nơi tín hiệu trở thành tiếng ồn. Bước tiếp theo của thị trường sẽ nằm ở các sàn giao dịch. Hãy theo dõi xem liệu dòng Bitcoin bị di dời có xuất hiện trên sổ lệnh bán hay không. Nếu chúng nằm yên trong các ví mới, sự kiện này sẽ chỉ là một vết sẹo trên biểu đồ. Nhưng nếu chúng ùa vào các sàn, thị trường có thể sẽ chứng kiến một đợt bán tháo thứ cấp. Khi đó, "cuộc di cư vì sợ hãi" sẽ trở thành một cú giáng mới vào một thị trường vốn đã mong manh. Liệu những người nắm giữ dài hạn có tiếp tục tin tưởng vào self-custody? Hay họ sẽ quay lưng lại với chính triết lý đã sinh ra Bitcoin? Có lẽ vụ việc Coldcard sẽ được nhìn nhận như một bước ngoặt trong lịch sử phát triển của ngành công nghiệp tiền mã hóa – nơi mà sự an toàn không còn là một khái niệm tuyệt đối, mà chỉ là một phép cân bằng rủi ro.