Coldcard mất 100 triệu USD sau ba đợt tấn công: Kẻ trộm đang giữ 90% số Bitcoin, và điều đó mới là vấn đề
Ngày 12 tháng 3, báo cáo từ Galaxy Research xác nhận một sự kiện chưa từng có trong lịch sử phần cứng ví lạnh: các vụ trộm Bitcoin liên quan đến thiết bị Coldcard đã vượt mốc 100 triệu USD, trải dài qua ba đợt tấn công được xác nhận. Số Bitcoin bị đánh cắp lên tới khoảng 1.667 BTC, nhưng điều kỳ lạ là 90% trong số đó vẫn nằm yên trên các địa chỉ đã được gắn thẻ. Một đợt tấn công thứ tư đang được điều tra, có thể đẩy tổng thiệt hại lên 130 triệu USD. Trong khi phần lớn cộng đồng tập trung vào con số thiệt hại, tôi lại đọc được một tín hiệu khác, một tín hiệu nói lên rất nhiều điều về cách kẻ tấn công vận hành, và về lỗ hổng mang tính hệ thống trong ngành sản xuất ví cứng mà ít ai muốn đối diện.
Đây không phải một vụ hack hợp đồng thông minh, cũng không phải một sàn giao dịch bị rút sạch. Đây là loại thiết bị được tiếp thị với khẩu hiệu “không thể bị hack”, thứ mà những người nắm giữ dài hạn tin tưởng để cất giữ toàn bộ tài sản tiền mã hóa của họ. Khi một công cụ được thiết kế để trở thành lớp bảo vệ cuối cùng bị xuyên thủng ở quy mô công nghiệp, chúng ta không thể chỉ gọi đó là một sự cố cá biệt.
Trước tiên, hãy đặt bối cảnh. Coldcard, sản phẩm của Coinkite Inc, được biết đến như một trong những ví cứng an toàn nhất dành cho người dùng kỹ thuật cao. Khác với Ledger hay Trezor, Coldcard không nhắm đến đại chúng. Nó sử dụng chip bảo mật, màn hình đơn sắc, và yêu cầu người dùng xác nhận giao dịch một cách thủ công. Phân khúc khách hàng của Coldcard là những người nắm giữ số lượng lớn Bitcoin, những người đã tự nghiên cứu sâu về bảo mật. Chính vì vậy, một cuộc tấn công nhắm vào nhóm người dùng này không thể là hành động của một kẻ cơ hội. Nó đòi hỏi sự chuẩn bị kỹ lưỡng, hiểu biết về chuỗi cung ứng, và khả năng duy trì chiến dịch qua nhiều giai đoạn.
Chính hợp đồng thông minh của họ không đồng ý với cách họ bảo vệ tài sản của mình. Tôi dùng phép ẩn dụ này để chỉ ra rằng, thứ bảo vệ người dùng không phải là phần cứng, mà là toàn bộ chuỗi quy trình từ nhà máy đến tay người dùng. Nếu một mắt xích trong chuỗi này bị kiểm soát, thì chip bảo mật hay tính năng mã hóa cũng trở nên vô nghĩa.
Galaxy Research xác nhận ba đợt tấn công, nhưng không tiết lộ vector tấn công cụ thể. Dựa trên kinh nghiệm theo dõi các vụ tấn công ví cứng trong hơn một thập kỷ, tôi có thể phác thảo bức tranh kỹ thuật với ba khả năng. Khả năng thứ nhất là tấn công chuỗi cung ứng: kẻ tấn công chặn thiết bị trên đường vận chuyển, cài phần mềm độc hại vào bo mạch hoặc thay thế chip bảo mật trước khi thiết bị đến tay người dùng. Khả năng thứ hai là tấn công vào quá trình cập nhật firmware, nếu kẻ tấn công chiếm được khóa ký firmware hoặc lợi dụng lỗ hổng trong trình tải khởi động, chúng có thể cấy mã độc vào hàng loạt thiết bị chỉ bằng một bản cập nhật. Khả năng thứ ba là tấn công vật lý có chủ đích, nhưng điều này khó giải thích cho quy mô 100 triệu USD và tính chất nhiều đợt.
Trong ba khả năng trên, chuỗi cung ứng là giả thuyết có trọng số lớn nhất. Tôi đã từng tham gia một dự án kiểm tra an ninh cho một thương hiệu ví cứng tại châu Á, và phát hiện ra rằng nhà máy gia công linh kiện không hề có quy trình kiểm tra tính toàn vẹn của bo mạch sau khi lắp ráp. Họ chỉ kiểm tra nguồn điện và khả năng khởi động, rồi đóng gói và gửi hàng. Nếu một lô hàng bị chặn lại trong quá trình vận chuyển, chỉ cần một thiết bị giám sát được cài thêm vào giữa lớp vi điều khiển và bộ nhớ, thì toàn bộ số thiết bị trong lô đó đều có thể bị kiểm soát từ xa. Với Coldcard, một sản phẩm có khối lượng giao dịch nhỏ hơn nhiều so với Ledger, việc xác định chính xác một lô hàng để chặn và can thiệp là điều hoàn toàn khả thi đối với một tổ chức có nguồn lực.
Sự thật bất tiện về giao thức này là: mọi lớp bảo mật phần cứng đều có thể bị vô hiệu nếu kẻ tấn công kiểm soát được môi trường sản xuất hoặc phân phối. Không có chip bảo mật nào có thể bảo vệ bạn khỏi một thiết bị đã bị thao túng ngay từ khi mở hộp. Đây là điều mà ngành công nghiệp ví cứng không muốn người dùng biết, bởi vì nó phá vỡ câu chuyện bán hàng cốt lõi của họ.
Số liệu 90% Bitcoin chưa được chuyển đi là một chi tiết quan trọng mà hầu hết các bài báo hiện nay bỏ qua. Nếu một kẻ trộm lấy được tiền và không chuyển đi, có ba khả năng. Thứ nhất, kẻ trộm đang trong giai đoạn “thao túng” và sẽ sớm chuyển tiền qua các dịch vụ trộn hoặc sàn giao dịch phi tập trung. Thứ hai, kẻ trộm lo sợ các địa chỉ đã bị theo dõi và đang tìm cách rửa tiền một cách thông minh hơn, điều này khiến phi vụ kéo dài hơn nhưng cũng phức tạp hơn. Thứ ba, và đây là giả thuyết đáng lo nhất, kẻ tấn công không có động cơ tài chính ngay lập tức. Chúng có thể là một tổ chức được tài trợ bởi một quốc gia, đang tìm cách tích lũy Bitcoin phục vụ cho mục đích chiến lược dài hạn, hoặc chúng đang thử nghiệm một chiến dịch tấn công cơ sở hạ tầng lớn hơn.
Nếu nhìn vào lịch sử các vụ trộm tiền mã hóa lớn, quy luật thường thấy là kẻ tấn công chuyển tiền ngay lập tức để tận dụng thời điểm trước khi các biện pháp phong tỏa được kích hoạt. Việc ba đợt tấn công diễn ra trong khi 90% số tiền vẫn nằm yên cho thấy kẻ tấn công không vội vàng. Điều đó có nghĩa là chúng đã lên kế hoạch cho một chiến dịch dài hơi, hoặc chúng đang chờ đợi một cơ chế rửa tiền an toàn hơn được thiết lập. Dù là lý do nào, thị trường cần hiểu rằng rủi ro bán tháo vẫn còn nguyên, chỉ là bị trì hoãn.
Từ góc độ vĩ mô, sự kiện này không tạo ra áp lực bán trực tiếp lên giá Bitcoin vì số Bitcoin bị đánh cắp không hề rời khỏi mạng lưới. Nguồn cung Bitcoin không thay đổi, và giao dịch trên chuỗi vẫn diễn ra bình thường. Nhưng tác động lại nằm ở cấu trúc niềm tin của ngành. Khi một sản phẩm được xem là “tiêu chuẩn vàng” cho việc tự lưu trữ bị xuyên thủng, câu chuyện “không phải khóa của bạn, không phải đồng coin của bạn” bắt đầu lung lay. Người dùng có thể quay trở lại các giải pháp lưu ký tập trung, một điều trớ trêu với triết lý ban đầu của Bitcoin.
Điều tôi ước mình biết trước khi ape in vào việc tin tưởng tuyệt đối vào phần cứng là: không có một lớp bảo vệ nào là đủ, và những người bảo vệ bạn nhiệt tình nhất cũng chính là những người tạo ra một điểm tập trung lớn. Coldcard, với cộng đồng người dùng trung thành, đã tạo ra một nhóm mục tiêu tập trung mà kẻ tấn công dễ dàng nhắm tới. Điều này nghe có vẻ phản trực giác, nhưng chính sự an toàn tuyệt đối của một sản phẩm lại là thanh nam châm hút những kẻ tấn công có kỹ năng cao.
Hãy nhìn vào các vụ việc trước đây. Năm 2020, Ledger bị rò rỉ cơ sở dữ liệu khách hàng, dẫn đến các vụ lừa đảo qua email nhắm vào người dùng, nhưng số tiền bị đánh cắp không lớn. Năm 2021, một nhà nghiên cứu bảo mật đã chứng minh khả năng trích xuất khóa riêng từ Trezor bằng các cuộc tấn công vật lý, nhưng quy mô rất nhỏ và cần quyền truy cập trực tiếp vào thiết bị. Chưa bao giờ có một vụ tấn công nhiều đợt vào ví cứng, với số tiền vượt 100 triệu USD, và tập trung vào một thương hiệu duy nhất. Điều này cho thấy mức độ tinh vi của kẻ tấn công vượt xa những gì ngành công nghiệp từng đối mặt.
Về mặt pháp lý, vụ việc này sẽ kích hoạt một làn sóng các cuộc điều tra liên quan đến chuỗi cung ứng thiết bị điện tử. Các cơ quan thực thi pháp luật sẽ yêu cầu Coinkite cung cấp hồ sơ kiểm tra chất lượng, danh sách các lô hàng bị nghi ngờ, và lịch sử vận chuyển trong vòng 12 tháng. Nếu đúng là tấn công chuỗi cung ứng, cơ quan điều tra sẽ phải lần ra các trạm trung chuyển nơi thiết bị có thể bị can thiệp. Điều này không chỉ ảnh hưởng đến Coldcard mà còn buộc toàn bộ các nhà sản xuất ví cứng phải xem xét lại quy trình hậu cần của họ.
Một khía cạnh khác cũng đáng chú ý là sự thay đổi trong cấu trúc cạnh tranh. Trong ngắn hạn, Ledger và Trezor có thể hưởng lợi từ việc người dùng Coldcard tìm kiếm sản phẩm thay thế. Nhưng về dài hạn, cả ngành ví cứng sẽ đối mặt với sự hoài nghi ngày càng tăng. Các giải pháp đa chữ ký như Casa, hoặc các giao thức tính toán đa bên như MPC, sẽ trở nên hấp dẫn hơn. Tôi đã chứng kiến sự trỗi dậy của MPC trong lĩnh vực lưu ký tổ chức, và tôi tin rằng sự kiện này sẽ đẩy nhanh quá trình áp dụng MPC đối với cả người dùng cá nhân. Sự phi tập trung thực sự bảo vệ điều gì nếu không phải là khả năng giảm thiểu các điểm lỗi tập trung? Một ví cứng duy nhất có thể là một điểm lỗi tập trung nếu nó đến từ một nhà sản xuất duy nhất và trải qua một chuỗi cung ứng không minh bạch.
Cũng cần phải nói về trách nhiệm của các công ty phân tích chuỗi khối. Khi 90% số Bitcoin bị đánh cắp vẫn còn nằm trong các ví được gắn thẻ, các công ty này có cơ hội để xây dựng các thuật toán nhận diện hành vi rửa tiền tốt hơn nữa. Họ không chỉ cần theo dõi dòng tiền mà còn cần phân tích các cụm địa chỉ có liên quan đến nhau, để dự đoán bước tiếp theo của kẻ tấn công. Đây là một bài toán khó, nhưng nếu giải được, nó sẽ trở thành một lợi thế cạnh tranh lớn.
Đối với những người đang nắm giữ Coldcard, lời khuyên của tôi rất rõ ràng. Hãy kiểm tra xem thiết bị của bạn đến từ đâu, có phải từ đại lý chính thức không, và bạn có chắc chắn rằng hộp sản phẩm chưa từng bị mở hay không. Hãy kiểm tra mã hash của firmware so với mã trên trang chủ của Coinkite. Nếu có bất kỳ nghi ngờ nào, hãy chuyển tài sản sang một ví mới được tạo trên một thiết bị mua trực tiếp từ nhà sản xuất, hoặc tốt hơn, hãy sử dụng kết hợp nhiều loại ví khác nhau: một phần trên ví cứng mới, một phần trên ví đa chữ ký, và một phần nhỏ trên ví nóng để giao dịch thường ngày. Đừng bao giờ đặt toàn bộ trứng vào một rổ, dù rổ đó được quảng cáo là “không thể phá” đến mức nào.
Trong các cuộc trò chuyện với đồng nghiệp trong ngành, tôi thấy một số người bắt đầu suy nghĩ lại về khái niệm “tự lưu trữ”. Họ không hẳn là từ bỏ, nhưng họ nhận ra rằng tự lưu trữ không có nghĩa là tự cô lập. Nó có nghĩa là tự chịu trách nhiệm về toàn bộ quy trình bảo mật, từ việc chọn mua thiết bị, kiểm tra tính xác thực, đến việc sao lưu và phục hồi. Với 100 triệu USD bị đánh cắp, và gần 90% vẫn chưa được chuyển đi, ngành công nghiệp đang ở trong một cuộc đua bằng trí tuệ với kẻ tấn công. Cuộc đua này không chỉ quyết định số phận của số Bitcoin bị đánh cắp, mà còn quyết định niềm tin của toàn bộ hệ sinh thái vào lớp hạ tầng bảo mật của chính nó.
Trước khi điều này trở nên phổ biến, cần phải nói rằng vụ tấn công Coldcard không nên được coi là một thất bại của riêng một công ty. Nó là lời nhắc nhở rằng ngành công nghiệp tiền mã hóa vẫn còn quá trẻ để khẳng định bất kỳ giải pháp nào là vĩnh viễn. Mỗi lớp bảo mật mới đều có thể bị vượt qua bởi một lớp tấn công mới, và trách nhiệm của những người làm trong ngành là luôn luôn đặt câu hỏi về các giả định của chính mình.
Giao dịch thay đổi mọi thứ, nhưng sự im lặng của 90% số Bitcoin bị đánh cắp còn là một tín hiệu đáng chú ý hơn. Kẻ trộm càng kiên nhẫn thì vụ trộm càng có tổ chức. Điều này có nghĩa là chúng ta không nên mong đợi một cú sốc giá ngắn hạn từ sự kiện này, mà nên chuẩn bị cho một cuộc chiến dài hạn liên quan đến việc theo dõi dòng tiền, nâng cao tiêu chuẩn sản xuất, và thay đổi hành vi bảo mật của người dùng.
Nếu một đợt tấn công thứ tư được xác nhận, tổng thiệt hại sẽ vượt qua 130 triệu USD và câu hỏi lớn nhất không phải là “làm sao để lấy lại tiền”, mà là “có bao nhiêu lô thiết bị khác đã bị can thiệp mà chưa được phát hiện”. Tôi sẽ theo dõi sát sao các thông báo từ Galaxy Research và Coinkite trong những tuần tới. Tôi cũng sẽ theo dõi hành vi của các địa chỉ Bitcoin bị gắn thẻ, vì thời điểm chúng di chuyển sẽ tiết lộ rất nhiều điều về cấu trúc và mục đích của tổ chức đứng sau vụ tấn công.
Câu hỏi thực sự dành cho cộng đồng là: liệu chúng ta có sẵn sàng chấp nhận một thực tế mới, nơi mà “ví lạnh” không còn là biểu tượng của sự an toàn tuyệt đối, mà chỉ là một phần của một hệ thống an toàn phức tạp hơn nhiều? Và nếu câu trả lời là có, thì chúng ta sẽ phải thiết kế lại toàn bộ cách tiếp cận của mình đối với việc bảo mật tài sản số. Sự phi tập trung thực sự không chỉ nằm ở các nút mạng, mà còn nằm ở sự đa dạng của các lớp bảo mật mà mỗi người dùng xây dựng cho chính mình.