Mỗi lần một sản phẩm hứa hẹn an toàn tuyệt đối, tôi nhìn vào chuỗi cung ứng của nó. Coldcard vừa dạy tôi một bài học trị giá 100 triệu USD.
Galaxy Research xác nhận: hơn 100 triệu USD Bitcoin đã bị đánh cắp từ người dùng Coldcard trong ba đợt tấn công riêng biệt. Một đợt thứ tư đang được điều tra, và con số cuối cùng có thể chạm 130 triệu USD. Nhưng điều khiến tôi thấy bất an nhất không phải con số đó. Nó nằm ở tỷ lệ 90% – 90% số Bitcoin bị đánh cắp vẫn chưa hề di chuyển.
Kẻ tấn công đang nắm trong tay khoảng 1.600 BTC, một khối tài sản đủ sức làm rung chuyển bất kỳ sàn giao dịch nào, nhưng chúng không hề vội. Không một địa chỉ nào trong số các ví liên quan gửi tiền đến sàn. Không một giao dịch trộn nào được thực hiện. Tôi đã theo dõi các địa chỉ này kể từ khi Galaxy Research công bố báo cáo, và sự im lặng của chúng là một tín hiệu đáng sợ hơn bất kỳ cuộc tháo chạy nào.
Coldcard, với tôi, không chỉ là một phần cứng. Đó là biểu tượng của trào lưu tự quản lý tài sản – một cộng đồng những người tin rằng khóa riêng phải nằm trong tay họ, không phải trong tay một sàn giao dịch hay một tổ chức tập trung. Sản phẩm của Coinkite được thiết kế tối giản đến mức không có Bluetooth, không camera, không kết nối không dây. Nó chỉ làm đúng một việc: ký các giao dịch Bitcoin một cách an toàn. Chính sự đơn giản đó đã tạo nên niềm tin tuyệt đối.
Và rồi niềm tin đó bị xuyên thủng.
Galaxy Research, bộ phận nghiên cứu của Galaxy Digital, đã thu thập dữ liệu từ nhiều nạn nhân, đối chiếu thời điểm mua thiết bị, kiểm tra các lô hàng và truy vết dòng tiền trên blockchain. Họ phát hiện ra ba đợt tấn công rõ rệt, không phải một sự cố đơn lẻ. Các đợt này cách nhau vài tuần, như thể kẻ tấn công đang thử nghiệm và điều chỉnh phương pháp sau mỗi lần thực hiện. Đây là dấu hiệu của một chiến dịch có tổ chức, không phải một kẻ cơ hội may mắn.
Câu hỏi lớn nhất mà tôi nhận được từ cộng đồng là: làm thế nào một thiết bị ngoại tuyến lại bị tấn công hàng loạt? Để trả lời, tôi phải xem xét mô hình đe dọa của Coldcard. Khóa riêng không bao giờ rời khỏi thiết bị. Mọi giao dịch đều được ký trong chip an toàn. Kẻ tấn công muốn đánh cắp tài sản phải có được khóa riêng, hoặc phải kiểm soát thiết bị ngay từ đầu. Không có con đường thứ ba.
Với một chiến dịch nhiều đợt, khả năng tấn công vật lý vào từng con chip gần như bằng không. Phương pháp đó tốn kém, đòi hỏi thiết bị hiếm, và chỉ phù hợp với mục tiêu giá trị cao. Việc tấn công phần mềm qua mạng cũng khó xảy ra, bởi vì Coldcard không có kết nối mạng. Điều đó để lại hai khả năng còn lại: chuỗi cung ứng bị xâm nhập hoặc chuỗi firmware bị phá vỡ.
Tôi đặt cược vào chuỗi cung ứng. Lý do rất đơn giản: các đợt tấn công xảy ra trong một khoảng thời gian nhất định, trùng với thời điểm các lô hàng Coldcard mới được giao. Nếu kẻ tấn công chặn được một lô hàng, thay thế thiết bị thật bằng thiết bị giả có cài sẵn firmware độc hại, chúng sẽ có quyền kiểm soát hoàn toàn. Người dùng mở hộp, nhìn thấy một chiếc Coldcard y hệt, kết nối với máy tính, nhập seed phrase, ký giao dịch – và không hề biết rằng mọi thứ đều bị quan sát.
Khi kiểm toán hợp đồng TokenMaster vào năm 2017, tôi đã học được một bài học mà đến giờ vẫn còn nguyên giá trị: điểm yếu chết người nhất không nằm ở những dòng mã phức tạp, mà nằm ở giả định nền tảng. Với Coldcard, giả định nền tảng là “chiếc hộp bạn nhận được từ bưu điện là chiếc hộp mà nhà sản xuất gửi đi”. Nếu giả định đó sai, toàn bộ tầng bảo mật phía trên sụp đổ.
Sự im lặng của 90% số Bitcoin bị đánh cắp là một manh mối quan trọng khác. Trong quá trình điều tra vụ rug pull FarmSwap vào năm 2020, tôi từng chứng kiến kẻ tấn công rút tiền khỏi pool thanh khoản rồi chuyển qua 40 địa chỉ chỉ trong vài giờ. Chúng nhanh chóng sử dụng máy trộn, chuyển sang các sàn giao dịch phi tập trung, và cố gắng tách biệt dòng tiền. Đó là hành vi của những kẻ đang hoảng sợ. Vụ Coldcard lại hoàn toàn khác.
Có ba giả thuyết giải thích cho sự bất động này. Thứ nhất, kẻ tấn công không có khả năng rửa tiền. Chúng có thể sở hữu kỹ năng xâm nhập và kiểm soát chuỗi cung ứng, nhưng lại thiếu cơ sở hạ tầng để chuyển Bitcoin thành tiền pháp định. Thứ hai, chúng đang dùng số Bitcoin này làm tài sản thế chấp trong các thỏa thuận ngoài chuỗi – một chiến thuật mà chúng ta từng thấy trong các vụ trộm lớn của giới tài chính. Thứ ba, chúng đang chờ đợi một thời điểm thích hợp để bán ra với giá tốt nhất.
Cả ba giả thuyết đều có điểm yếu, nhưng tất cả đều chỉ ra một đặc điểm chung: kẻ tấn công không hề vội. Và một kẻ tấn công không vội là một kẻ tấn công nguy hiểm. Nếu chúng đang chờ đợi, rất có thể chúng đã tính đến việc các địa chỉ này sẽ bị theo dõi. Chúng có thể lên kế hoạch rửa tiền qua nhiều bước, sử dụng các cầu nối xuyên chuỗi, hoặc thậm chí chuyển sang các tài sản bảo mật cao hơn.
Tôi đã so sánh vụ việc này với các sự kiện lịch sử. Mt. Gox mất 850.000 BTC vào năm 2014, nhưng đó là một sàn giao dịch, nơi khóa riêng của hàng nghìn người dùng được lưu trữ tập trung. Vụ tấn công cơ sở dữ liệu của Ledger vào năm 2020 làm lộ thông tin cá nhân của khách hàng, nhưng không có khóa riêng nào bị đánh cắp trực tiếp. Năm 2021, một nhà nghiên cứu bảo mật đã bẻ khóa Trezor bằng phương pháp vật lý, nhưng đó là một thử nghiệm trong phòng thí nghiệm với thiết bị được kiểm soát. Chưa từng có một vụ tấn công hàng loạt vào phần cứng lạnh ở quy mô 100 triệu USD.
Điều này có nghĩa là chúng ta đang bước vào một vùng đất chưa có bản đồ. Nếu giả thuyết về chuỗi cung ứng của tôi là đúng, toàn bộ ngành công nghiệp hardware wallet sẽ phải xem xét lại quy trình sản xuất, đóng gói và phân phối. Các nhà sản xuất sẽ phải mã hóa từng thiết bị với một chứng thư nguồn gốc có thể xác minh công khai. Người dùng sẽ phải kiểm tra tem niêm phong, xác thực firmware, và chỉ mua thiết bị từ những kênh phân phối được chính hãng xác nhận. Chi phí bảo mật sẽ tăng lên, và cuối cùng, người dùng sẽ phải trả cho điều đó.
Galaxy Research nghi ngờ đợt tấn công thứ tư; nếu được xác nhận, tổng thiệt hại có thể vượt 130 triệu USD. Tôi tin điều đó. Các cuộc tấn công chuỗi cung ứng hiếm khi dừng lại ở một lô hàng. Kẻ tấn công đã xây dựng một quy trình thành công, và chúng sẽ tái sử dụng quy trình đó cho đến khi bị chặn lại. Điều duy nhất có thể ngăn chúng là khi các lô hàng tiếp theo bị thu hồi hoặc khi Coldcard phát hành một bản cập nhật bảo mật khẩn cấp.
Nhưng hãy dừng lại một lát. Trong khi cộng đồng đang hoảng sợ, tôi muốn nhìn vào mặt trái của tình huống. Vụ tấn công này, dù gây tổn thất lớn, không chứng minh rằng hardware wallet kém an toàn. Nó chứng minh rằng quy trình mua và sử dụng hardware wallet cần được nâng cấp. Những người ủng hộ Coldcard vẫn có thể đúng về chất lượng sản phẩm: kẻ tấn công phải can thiệp vào chuỗi cung ứng – tức là phải tiếp cận thế giới vật lý – bởi vì chúng không thể hack thiết bị từ xa. Điều đó, một cách kỳ lạ, lại là lời khẳng định cho kiến trúc bảo mật của Coldcard.
Hơn nữa, 90% số Bitcoin không hề di chuyển cũng có thể được xem là một chiến thắng thầm lặng của cộng đồng điều tra on-chain. Các công ty như Chainalysis và những nhà điều tra độc lập đã dán nhãn các địa chỉ liên quan khiến chúng gần như không thể chuyển qua các sàn giao dịch tuân thủ pháp luật. Kẻ tấn công sở hữu tài sản, nhưng không thể tiêu chúng. Việc rửa 100 triệu USD Bitcoin đã bị đánh dấu còn khó hơn việc đánh cắp nó ngay từ đầu.
Tôi đã chứng kiến quá nhiều vụ rug pull, nơi kẻ tấn công di chuyển tiền qua hàng nghìn địa chỉ chỉ trong vài giờ. Vụ Coldcard không giống vậy. Sự im lặng của kẻ tấn công có thể là một chiến lược, nhưng nó cũng có thể là một dấu hiệu của sự bế tắc. Chúng có kho báu nhưng không thể dùng nó. Và điều đó, với tôi, mang lại một cảm giác công bằng hiếm thấy trong thế giới tội phạm tài sản số.
Mỗi lần một dự án hứa hẹn “bảo mật tối ưu”, tôi nhìn vào ví của đội ngũ. Lần này, tôi nhìn vào ví của kẻ tấn công, và tôi thấy sự bất động đến kỳ lạ. Điều đó khiến tôi đặt câu hỏi: liệu vụ trộm này có phải là một phần của kế hoạch lớn hơn, hay chỉ là một nỗ lực vụng về của một nhóm tội phạm mới nổi?
Với tất cả những gì đã biết, tôi không thể đưa ra một kết luận chắc chắn. Nhưng tôi có thể đưa ra một lời khuyên: đừng bao giờ mua hardware wallet từ bên thứ ba không rõ nguồn gốc. Hãy kiểm tra tem niêm phong, xác thực firmware, và nếu có chút nghi ngờ nào, hãy tạo một seed phrase mới trên một thiết bị khác. Đồng thời, hãy theo dõi các địa chỉ do Galaxy Research công bố, bởi vì câu chuyện này vẫn chưa kết thúc.
Câu hỏi duy nhất không phải là “kẻ trộm có bị bắt không”, mà là “liệu ngành công nghiệp này có thể biến một thảm họa thành một bài học để xây dựng tiêu chuẩn bảo mật mới cho toàn bộ chuỗi cung ứng hay không”. Kẻ tấn công đang nắm giữ vàng, nhưng chúng đang đứng trên một mảnh đất mà mọi bước chân đều để lại dấu vết. Có thể chúng đang cười, nhưng tôi cá rằng chúng cũng đang lo lắng. Và trong trò chơi kéo dài này, người kiên nhẫn hơn sẽ thắng.
