Ngày 8/8, một con số được Galaxy Research công bố khiến cộng đồng Bitcoin tự quản lý chết lặng: hơn 250 nạn nhân báo cáo mất Bitcoin từ ví lạnh của họ. Điều đáng sợ không phải là số tiền — trung vị 1,022 BTC mỗi báo cáo — mà là 88% số coin bị đánh cắp đã ngủ yên hơn một năm, với tuổi đời trung vị 3,5 năm. Một tài sản 'lạnh' nhất, không bao giờ chạm vào internet, lại bốc hơi hàng loạt. Câu hỏi đặt ra: Kẻ tấn công đã làm điều đó bằng cách nào, và quan trọng hơn, liệu chiếc ví cứng bạn đang cất trong két sắt có còn đáng tin?
Nói về Coldcard, đó là một trong những thương hiệu ví cứng Bitcoin được giới 'maximalist' tôn sùng nhất. Sản phẩm của Coinkite nổi tiếng vì thiết kế tối giản, không có kết nối không dây, và tập trung tuyệt đối vào bảo mật vật lý. Nó được xem là lựa chọn hàng đầu cho những ai muốn tự quản lý tài sản mà không tin tưởng bất kỳ bên thứ ba nào. Trong bối cảnh thị trường giảm như hiện nay, nỗi sợ mất tài sản vì sàn giao dịch sụp đổ hay bị hack càng khiến người dùng đổ xô vào các giải pháp tự lưu trữ. Và rồi một sự kiện như thế này xuất hiện, phá vỡ niềm tin cốt lõi: rằng ví lạnh là bất khả xâm phạm.
Tôi sẽ chia nhỏ dữ liệu từ báo cáo của Galaxy. Đầu tiên, con số thiệt hại. Nếu tính theo địa chỉ, mức mất trung bình là 0,212 BTC, nhưng nếu tính theo báo cáo, con số này tăng vọt lên 4,04 BTC. Sự chênh lệch này cho thấy có thể nhiều nạn nhân sở hữu nhiều địa chỉ, hoặc một số địa chỉ chỉ là 'bụi' (dust) dùng để thử nghiệm. Khoản lỗ lớn nhất lên tới 58,97 BTC, và khoản nhỏ nhất chỉ là 624 satoshi — gần như bằng không.
Điều khiến tôi chú ý nhất là tuổi thọ của số coin bị đánh cắp. 88% có tuổi đời hơn 1 năm, trung vị 3,5 năm. Điều này có nghĩa là những đồng coin này không nằm trong hot wallet hay dùng cho giao dịch hàng ngày. Chúng nằm im trong các địa chỉ dành riêng cho lưu trữ dài hạn — chính xác là loại tài sản mà người ta thường cất trong ví lạnh. Con số thống kê có thể khiến bạn ngủ ngon, nhưng nó cũng có thể che giấu một vụ thảm sát.
Vậy kẻ tấn công đã làm cách nào? Chúng ta có ba giả thuyết chính. Một là lỗ hổng trong chuỗi cung ứng. Có thể một lô Coldcard bị chặn trên đường vận chuyển, bị can thiệp phần cứng trước khi đến tay người dùng. Kịch bản này từng xảy ra với các thiết bị khác và rất khó bị phát hiện nếu không kiểm tra kỹ. Hai là lỗ hổng firmware. Nếu Coinkite có một lỗi trong mã nguồn cho phép rò rỉ seed phrase hoặc khóa riêng, thì tất cả người dùng đều có thể bị ảnh hưởng. Nhưng nếu vậy, con số nạn nhân có thể còn lớn hơn nhiều so với 250.
Ba là quy trình người dùng. Có thể người dùng đã nhập seed phrase vào một phần mềm quản lý danh mục đầu tư, một ứng dụng ghi chú điện tử, hoặc một 'dịch vụ lưu trữ khóa' trực tuyến nào đó — vô tình làm lộ khóa riêng của họ. Khi đó, kẻ tấn công chỉ cần quét blockchain để tìm những địa chỉ có số dư lớn và lâu không hoạt động, rồi rút sạch. Dựa trên kinh nghiệm audit hợp đồng thông minh của tôi từ năm 2017, tôi biết rằng hầu hết các vụ mất tiền nghiêm trọng đều bắt nguồn từ chính người dùng lộ khóa hơn là từ lỗ hổng phần cứng. Nhưng tôi không loại trừ khả năng một cuộc tấn công có hệ thống vào chuỗi cung ứng. Với số lượng 250 báo cáo và thiệt hại lớn, nếu là lỗi người dùng cá biệt thì khó có thể đồng loạt như vậy.
Bây giờ là phần tôi muốn nói ngược với số đông. Nhiều người sẽ ngay lập tức kết luận Coldcard đã bị hack và bán tháo ví của họ. Nhưng tôi cho rằng, dữ liệu hiện tại chưa đủ để buộc tội Coldcard. Hãy nhìn vào các con số: nếu tính theo địa chỉ, trung bình chỉ mất 0,212 BTC. Nếu tính theo báo cáo, con số lại là 4,04 BTC. Sự khác biệt này làm tôi nghi ngờ về độ chính xác của báo cáo. Có thể có nhiều báo cáo trùng lặp, hoặc một số người tự khai báo mà không có bằng chứng xác thực. Hơn nữa, các khoản lỗ nhỏ như 624 satoshi — dưới một phần nghìn đô la — không giống một vụ tấn công có chủ đích. Nó giống như việc quét hàng loạt các địa chỉ có số dư dương và chuyển đi bất cứ thứ gì có thể. Điều đó có nghĩa là kẻ tấn công đã nắm giữ một danh sách lớn các khóa riêng, có thể có được từ một nguồn duy nhất nào đó, không liên quan đến Coldcard.
Hãy nhìn vào mối tương quan: các địa chỉ này có xu hướng ngủ yên 3,5 năm. Điều đó có nghĩa là chúng được tạo ra từ khoảng năm 2021 hoặc sớm hơn. Trong giai đoạn đó, rất nhiều người dùng Bitcoin đã sử dụng các ví phần mềm như Electrum, hoặc các dịch vụ lưu trữ seed phrase trên đám mây. Nếu một trong những dịch vụ đó bị rò rỉ dữ liệu, hậu quả sẽ giống hệt như những gì chúng ta đang thấy. Vậy nên, trước khi đổ lỗi cho Coldcard, hãy tự hỏi: seed phrase của bạn đã từng được nhập vào bất kỳ thiết bị nào khác ngoài Coldcard chưa? Đã từng được chụp ảnh, lưu trong Google Drive, hoặc gửi qua email chưa? Vì nếu có, thì vấn đề không nằm ở chiếc ví lạnh, mà nằm ở quy trình bảo mật của bạn. Kẻ tấn công không cần phá vỡ két sắt nếu bạn tự dán mã số lên cửa.
Bài học lớn nhất từ vụ việc này không phải là 'đừng dùng Coldcard'. Mà là: không có công cụ nào an toàn tuyệt đối nếu bạn vi phạm các nguyên tắc cơ bản của việc tự quản lý tài sản. Một chiếc ví lạnh chỉ an toàn khi nó thực sự 'lạnh' — nghĩa là seed phrase chưa bao giờ tiếp xúc với bất kỳ thiết bị kết nối internet nào, dù chỉ một lần. Trong tự quản lý tài sản, quy trình yếu kém còn nguy hiểm hơn công cụ kém.
Hãy nhìn vào số liệu: 88% số coin bị đánh cắp có tuổi đời hơn 1 năm. Kẻ tấn công đã chờ đợi rất lâu, chứng tỏ chúng biết rõ bạn sẽ không động vào số coin đó. Trên thị trường giảm hiện tại, khi mọi người đều sợ hãi, những kẻ săn mồi càng dễ dàng tấn công những con mồi bất động. Câu hỏi cuối cùng để bạn tự kiểm tra: Nếu ngay bây giờ bạn mở két sắt, cầm chiếc Coldcard lên và kết nối với máy tính, bạn có chắc chắn 100% rằng seed phrase của mình chưa từng rời khỏi thiết bị đó? Nếu không chắc chắn, thì vấn đề của bạn không phải là Coldcard. Bạn không thể bảo vệ một bí mật mà chính bạn đã vô tình tiết lộ.
