Tấn công ví lạnh: Chuyện hiếm xảy ra đã thành sự thật
Điểm gây sốc nhất trong vụ việc này là tin tặc không cần xâm nhập máy tính, không phải hack sàn giao dịch, cũng không cần trộm ví vật lý. Thay vào đó, chúng lợi dụng một lỗi trong cách Coldcard tạo “seed phrase” – tập hợp 12 hoặc 24 từ dùng để khôi phục ví – để tái tạo lại khóa riêng tư của người dùng.
Theo phân tích của Galaxy Research và nhiều nhóm kỹ thuật độc lập, lỗi bắt nguồn từ một phiên bản firmware Coldcard phát hành từ tháng 3/2021. Đáng lẽ khi tạo ví, thiết bị phải dùng bộ sinh số ngẫu nhiên phần cứng để tạo một con số cực lớn và hoàn toàn khó đoán. Con số này chính là “seed”, từ đó sinh ra toàn bộ địa chỉ và khóa riêng tư của ví.
Tuy nhiên, một thiết lập nội bộ trong quá trình biên dịch firmware đã khiến Coldcard bỏ qua bộ sinh số ngẫu nhiên phần cứng. Thay vì vậy, hệ thống rơi xuống một bộ sinh số ngẫu nhiên phần mềm đơn giản, chỉ dựa trên số seri của chip và đồng hồ bên trong thiết bị. Hai giá trị này đều có thể đoán được hoặc thu hẹp khoảng đoán trên một thiết bị tương tự.
Về mặt kỹ thuật, điều này khiến tập hợp các “seed” mà ví có thể tạo ra bị thu hẹp từ một không gian gần như vô hạn xuống chỉ khoảng vài tỷ trường hợp có thể tính được – một con số rất nhỏ đối với máy tính hiện đại. Tin tặc chỉ cần tạo ra các “seed” giả lập trên máy riêng, tính ra địa chỉ tương ứng rồi kiểm tra trên blockchain xem địa chỉ đó có đang giữ Bitcoin hay không. Tất cả quá trình này diễn ra trên máy của kẻ tấn công, ví của nạn nhân có thể đang nằm trong két sắt ở phòng khác, thậm chí ở nước khác mà không hay biết.
Theo Galaxy Research, cuộc tấn công diễn ra thành nhiều làn sóng rõ rệt. Làn sóng đầu tiên được ghi nhận ngày 30/7, khi khoảng 1.083 BTC bị rút khỏi 1.196 địa chỉ chỉ trong khoảng 40 phút. Trung bình mỗi ví bị mất gần một Bitcoin, cho thấy kẻ tấn công ưu tiên nhắm vào những ví có số dư lớn trước.
Sau đó, các làn sóng tiếp theo chuyển sang chiến thuật khác. Trong làn sóng thứ ba, khoảng 208 BTC bị rút khỏi 1.912 địa chỉ, mỗi ví chỉ bị mất vài phần của một Bitcoin. Tính chung cả ba làn sóng đầu tiên, tổng cộng 1.367 BTC – gần 89 triệu USD ở mức giá hiện tại – đã bị đánh cắp từ 4.585 địa chỉ. Con số này sau đó tiếp tục tăng khi các đợt quét mới được ghi nhận.
Điểm khác biệt giữa các làn sóng là cách tin tặc gom tiền. Ban đầu, chúng chuyển tiền của nhiều nạn nhân vào một số ít địa chỉ “thu gom”, khiến việc truy vết trên chuỗi khá thuận lợi. Sau khi các địa chỉ này bị cộng đồng nhận diện, làn sóng sau chuyển sang gom mỗi nạn nhân về một địa chỉ riêng, dùng định dạng “pay-to-witness-script-hash” – một kiểu địa chỉ có thể chứa điều kiện đa chữ ký hoặc khóa thời gian – để che dấu hơn quá trình rút tiền.
Bên cạnh đó, các nhà nghiên cứu còn phát hiện tin tặc đã dùng tài khoản trả phí tại một nhà cung cấp dịch vụ dữ liệu blockchain để truy vấn hàng loạt địa chỉ nghi ngờ, qua đó lập danh sách ví nằm trong vùng rủi ro. Nhà cung cấp này sau đó đã bàn giao log truy vấn cho cơ quan chức năng, giúp việc điều tra có thêm manh mối kỹ thuật quan trọng.
Ai bị ảnh hưởng và vì sao đây là cú sốc lớn?
Vụ việc được đánh giá là nghiêm trọng vì nó phá vỡ “lời hứa” cơ bản của ví lạnh – rằng nếu khóa riêng tư được lưu trên thiết bị không kết nối internet, tin tặc sẽ không thể chạm tới. Ở đây, thiết bị vẫn giữ khóa riêng tư an toàn, nhưng seed đã bị tạo ra từ một nguồn “ngẫu nhiên” yếu ngay từ đầu, khiến khóa có thể bị tính ra lại trên máy khác.
Coinkite – nhà sản xuất Coldcard – đã phát cảnh báo khẩn tới người dùng, đặc biệt với những người dùng mẫu Mk3 tạo seed trên firmware từ 4.0.1 đến 5.0.3. Các báo cáo kỹ thuật độc lập cho thấy ít nhất khoảng 500 ví đã bị rút sạch 594 BTC trong đợt tấn công đầu tiên chỉ trong khoảng 25 phút. Các phân tích sau đó mở rộng phạm vi rủi ro ra các dòng Mk2 và một số seed tạo trên các phiên bản firmware cũ của Mk4, Q và Mk5, khiến con số nạn nhân có thể cao hơn nhiều so với ban đầu.
Đáng lo hơn, người dùng gần như không có cách nào tự kiểm tra xem seed của mình có nằm trong vùng dễ bị đoán không. Ví vẫn hoạt động bình thường, tiền vẫn hiển thị trong tài khoản, nhưng nếu seed được tạo trên firmware dính lỗi thì về mặt lý thuyết, kẻ tấn công có thể đã biết khóa riêng và chỉ chưa ra tay.
Vụ Coldcard lập tức thổi bùng lại cuộc tranh luận về “self-custody” – tự lưu ký, tức người dùng tự giữ khóa và tự chịu trách nhiệm với tài sản của mình. Một số ý kiến cực đoan cho rằng “tự lưu ký đã hết thời”, trong khi nhiều người khác phản bác đây chỉ là lỗi của một nhà cung cấp ví chứ không phải lỗi của mô hình tự lưu ký nói chung.
Các công ty bảo mật Bitcoin nhấn mạnh rằng dù thiệt hại lớn, khối lượng tài sản được bảo vệ thành công qua tự lưu ký vẫn lớn hơn nhiều lần so với phần đã bị đánh cắp. Họ cho rằng điểm mấu chốt không phải là bỏ hẳn tự lưu ký, mà là hiểu rõ rủi ro kỹ thuật, chọn nhà cung cấp uy tín và tuân thủ những khuyến nghị mới nhất về firmware, cách tạo seed và cách phân tán rủi ro.
Ở chiều ngược lại, một số chuyên gia tài chính truyền thống cho rằng với nhà đầu tư mới, đặc biệt là những người không rành công nghệ, sản phẩm như quỹ ETF Bitcoin có thể là lựa chọn an toàn và tiện lợi hơn. ETF giúp tiếp cận Bitcoin mà không cần trực tiếp giữ khóa riêng, dựa trên kinh nghiệm vận hành lâu năm của ngành quỹ. Tuy nhiên, những người ủng hộ tự lưu ký phản biện rằng sự cố Coldcard là lỗi kỹ thuật cụ thể, không phải bằng chứng cho thấy mọi mô hình tự lưu ký đều rủi ro như nhau.
Bài học cho nhà đầu tư mới: an toàn không chỉ là “ví lạnh”
Từ góc nhìn một nhà đầu tư mới, vụ Coldcard gửi đi một thông điệp rõ ràng: việc “mua ví lạnh và cất đi” không tự động biến tài sản thành bất khả xâm phạm. Hai yếu tố quan trọng là cách tạo seed và chất lượng phần mềm điều khiển thiết bị. Nếu seed được tạo ra từ một nguồn ngẫu nhiên yếu, ví lạnh chỉ giống như một chiếc két sắt được làm từ kim loại kém – tưởng chắc nhưng lại dễ bị phá.
Điều quan trọng là luôn cập nhật thông tin từ nhà sản xuất thiết bị, đặc biệt khi có cảnh báo firmware hoặc yêu cầu chuyển tài sản sang ví mới. Bên cạnh đó, với những khoản đầu tư lớn, nhà đầu tư có thể cân nhắc thêm các giải pháp đa chữ ký (multisig – cần nhiều khóa cùng xác nhận mới chuyển được tiền), phân tán tài sản ở nhiều ví khác nhau, hoặc kết hợp giữa tự lưu ký và các sản phẩm được quản lý bởi tổ chức uy tín.
Cuối cùng, vụ Coldcard cho thấy một thực tế không thuận tai nhưng cần được chấp nhận: trong thế giới tài sản số, không có giải pháp nào hoàn toàn tuyệt đối. Ví lạnh giảm rủi ro bị hack qua mạng, nhưng vẫn có thể gặp lỗi phần mềm; sàn giao dịch tiện lợi nhưng phụ thuộc vào uy tín bên thứ ba; ETF giảm rủi ro kỹ thuật, nhưng lại chịu rủi ro thị trường và khung pháp lý. Hiểu rõ từng mặt mạnh, mặt yếu của mỗi cách lưu trữ, rồi lựa chọn phù hợp với khả năng và khẩu vị rủi ro của mình, có lẽ là con đường thực tế nhất đối với nhà đầu tư hiện nay.
Có thể thấy, trong thế giới tài sản số luôn tiềm tàng những rủi ro không thể đoán trước, đó cũng chính là lý do tại sao Việt Nam đưa ra những điều kiện rất khắt khe về nhân sự, quy trình và đặc biệt là năng lực tài chính đối với các doanh nghiệp muốn tham gia thị trường.
Theo Nghị quyết 05 của Chính phủ, Nhà cung cấp dịch vụ tài sản mã hóa (VASP) phải là doanh nghiệp Việt Nam, vốn điều lệ tối thiểu 10.000 tỷ đồng với sự tham gia của các định chế tài chính và công nghệ, hệ thống máy chủ đặt tại Việt Nam và đạt chuẩn an toàn thông tin cấp độ 4 - mức rất cao trong hệ thống đánh giá an toàn thông tin hiện hành.
Song song với việc xây dựng thị trường, các cơ quan chức năng cũng đặc biệt lưu ý tới các nguy cơ phát sinh từ tài sản mã hóa. Thực tiễn điều tra cho thấy, bốn nhóm hành vi vi phạm phổ biến gồm lừa đảo đa cấp và dự án giả mạo; thao túng giá thông qua hệ thống giao dịch tự động; tấn công mạng đòi tiền chuộc; và sử dụng tài sản mã hóa cho hoạt động rửa tiền, trốn thuế xuyên biên giới.
Nhiều vụ việc liên quan đến các sàn giao dịch "tiền ảo" giả mạo tổ chức tài chính, chiếm đoạt số tiền lớn hoặc chuyển tiền trái phép ra nước ngoài đã cho thấy yêu cầu cấp thiết về giám sát, kiểm soát và bảo đảm an ninh hệ thống.
