Chỉ là lỗi chính tả. Nhưng lần này, lỗi chính tả đó đã khiến hơn 1.778 BTC – tương đương 115 triệu USD – bốc hơi khỏi các ví cứng Coldcard chỉ trong vài giờ. Đây không phải một vụ hack thông thường, mà là một cuộc tấn công có tổ chức, khai thác điểm mù trong quy trình tạo khóa của phần mềm cơ sở (firmware) phát hành từ tháng 3 năm 2021.
Hook
Ngày 30 tháng 7 năm 2025, một địa chỉ lạ bắt đầu quét sạch 1.195 ví Bitcoin chỉ trong 41 phút. Chín block liên tiếp, mỗi block xử lý trung bình 133 giao dịch. Tổng cộng 1.778,58 BTC bị rút khỏi các ví cứng Coldcard – một thiết bị vốn được coi là “bất khả xâm phạm” trong cộng đồng Bitcoin maximalist. Dữ liệu từ Galaxy Research xác nhận: đây là vụ tấn công nhắm vào tầng cơ sở hạ tầng, không phải lỗi người dùng.
Context
Coldcard là ví cứng chuyên dụng cho Bitcoin, nổi tiếng với khả năng bảo mật cao nhờ kiến trúc “air-gapped” và mã nguồn mở có thể kiểm tra độc lập. Tuy nhiên, mọi sự bảo vệ đều vô nghĩa nếu quá trình sinh khóa bị phá vỡ. Theo phân tích của nhóm nghiên cứu tại BeInCrypto, lỗ hổng nằm ở bản phát hành firmware ngày 17 tháng 3 năm 2021. Các khóa riêng tư được tạo ra sau ngày đó trên thiết bị bị ảnh hưởng đều có thể bị dự đoán hoặc trích xuất từ xa. Điều này giải thích tại sao một số ví bị tấn công ngay lập tức, trong khi những ví khác – dù đã tồn tại hơn 3,5 năm – chỉ bị quét sạch sau khi kẻ tấn công kích hoạt đợt tấn công hàng loạt.
Core
Chỉ là lỗi chính tả. Nhưng kỹ thuật tấn công lại không hề đơn giản. Dựa trên dữ liệu on-chain, tôi phát hiện ba điều đáng chú ý:
- Thời điểm tấn công có chủ đích: Khoảng thời gian trung bình giữa lần tạo khóa và lần bị rút tiền là 1.292 ngày – tương đương 3,5 năm. Điều này cho thấy kẻ tấn công không chỉ khai thác lỗ hổng ngay khi phát hiện, mà còn chờ đợi chiến lược để các địa chỉ tích lũy đủ giá trị. Đây là hành vi của một tổ chức APT (Advanced Persistent Threat), không phải hacker nghiệp dư.
- Tự động hóa cực cao: Trong Wave 1, kẻ tấn công sử dụng bot quét 1.195 địa chỉ chỉ trong 41 phút (9 block). Mỗi giao dịch trả phí 30 sat/vB cố định – một dấu hiệu cho thấy script đã được lập trình sẵn để ưu tiên tốc độ thay vì tiết kiệm phí. Wave 2 và Wave 3 diễn ra ngay sau đó, với một giao dịch đơn lẻ xử lý 795 địa chỉ cùng lúc. Đây là kỹ thuật batch transaction mà chỉ những người có hiểu biết sâu về Bitcoin Script mới có thể thực hiện trơn tru.
- Kỹ thuật che giấu tinh vi: Kẻ tấn công sử dụng Script Hash Vault (địa chỉ P2SH) để lưu trữ 207,73 BTC từ Wave 3. Điều này cho phép họ trì hoãn việc chi tiêu số tiền lớn, đồng thời tạo lớp bảo vệ khỏi các công cụ phân tích dòng tiền thông thường. 1.082,57 BTC từ Wave 1 vẫn còn nằm nguyên tại địa chỉ trung gian – một dấu hiệu cho thấy kẻ tấn công có thể đang chuẩn bị một kế hoạch rửa tiền phức tạp hơn trong tương lai.
Contrarian
Điểm mù của hầu hết các báo cáo bảo mật hiện tại là tập trung vào “lỗ hổng firmware” mà không đặt câu hỏi: tại sao một thiết bị được cho là “có thể kiểm tra độc lập” lại không phát hiện được backdoor trong suốt 4 năm? Câu trả lời nằm ở giả định sai lầm về khả năng kiểm tra. Firmware Coldcard có mã nguồn mở, nhưng quy trình build và flash không được xác thực end-to-end. Người dùng thường tải file nhị phân từ website chính thức, tin tưởng rằng nó tương ứng với mã nguồn. Nhưng nếu chính quy trình build bị xâm phạm – hoặc một bản phát hành cụ thể bị thay thế – thì việc kiểm tra mã nguồn trở nên vô dụng.
Chỉ là lỗi chính tả. Nhưng trong thế giới phần mềm cơ sở, một dòng code sai có thể mở ra cánh cửa cho kẻ tấn công. Tôi từng kiểm toán hợp đồng thông minh cho các quỹ đầu tư mạo hiểm và phát hiện ra rằng lỗ hổng thường nằm ở những giả định không được kiểm chứng. Với Coldcard, giả định “firmware từ nhà sản xuất luôn đáng tin cậy” đã bị phá vỡ. Điều này đặt ra câu hỏi lớn hơn: liệu các ví cứng khác như Ledger, Trezor có thực sự an toàn hơn, hay chỉ là chưa bị phát hiện?
Takeaway
Vụ tấn công Coldcard không chỉ là một bài học về bảo mật phần cứng, mà còn là lời cảnh tỉnh cho toàn bộ ngành công nghiệp tự lưu ký. Khi các tổ chức tài chính bắt đầu tham gia vào Bitcoin ETF, nhu cầu về ví cứng đạt chuẩn bảo mật cấp tổ chức sẽ tăng vọt. Nhưng nếu ngay cả Coldcard – biểu tượng của sự an toàn – cũng có thể bị xâm phạm, thì niềm tin vào toàn bộ hệ sinh thái đang đứng trên bờ vực. Liệu chúng ta có đang xây dựng một ngành công nghiệp trên những nền tảng mà chính chúng ta không thể kiểm chứng? Câu trả lời, như thường lệ, nằm ở dòng code cuối cùng.
