Vụ tấn công vào các ví lạnh của Coldcard đang gây sốc trong cộng đồng, trở thành một trong những sự cố tồi tệ nhất lịch sử Bitcoin (BTC).

Ví lạnh (cold wallet) là thiết bị lưu trữ cụm từ khôi phục (seed phrase) của các ví tiền điện tử. Chúng thường được lưu trữ dưới dạng USB, ổ cứng không kết nối với internet nên được ví như bức tường phòng thủ an toàn bậc nhất, tránh được các cuộc tấn công từ xa của tin tặc. 

Vụ hack vào ví lạnh của Coldcard vừa được Galaxy Research phát hiện đã làm rúng động cộng đồng tiền số

Ảnh: Chụp màn hình

Tuy nhiên, vụ hack vào ví lạnh của Coldcard vừa được Galaxy Research phát hiện đã làm rúng động cộng đồng khi tin tặc có thể tấn công các ví lạnh này, rút sạch tiền của người dùng mà không cần chạm đến ví.

Gần 90 triệu USD Bitcoin bị đánh cắp

Lỗ hổng lần đầu được phát hiện bởi Galaxy Research hôm 30.7. Trong đợt tấn công đầu tiên, kẻ gian đã đánh cắp hơn 30 triệu USD chỉ trong 10 phút. Sau khoảng 25 phút, đã có 594 Bitcoin bị chuyển khỏi 500 ví single-signature. 

Những ví bị đánh cắp Bitcoin đều là ví single-signature và có số dư trên 0,15 BTC, trong đó có nhiều địa chỉ ví đã "ngủ" (dormant) trong nhiều năm. 

Ngay sau đợt tấn công đầu tiên, Coinkite đã phát hành firmware và vá lỗi liên quan đến các ví lạnh Coldcard. Tuy nhiên, nâng cấp phần mềm không có tác dụng. Ngày 1.8, tin tặc tiếp tục cuộc tấn công thứ hai, nhắm vào 2.673 địa chỉ ví mới, nâng tổng số Bitcoin bị đánh cắp lên 1.158,66 BTC, trị giá khoảng 75,1 triệu USD. Các chuyên gia cảnh báo người dùng đang lưu cụm khóa khôi phục trên Coldcard nên tạo ví mới và chuyển tài sản ngay lập tức.

Làn sóng tấn công thứ ba diễn ra vào ngày 2.8. Tin tặc tiếp tục vét sạch tiền trong ví lạnh của người dùng mà không cần bất kỳ tác động vật lý nào. Đợt tấn công mới nhất nhắm vào các ví có số dư nhỏ hơn, dùng các mẫu giao dịch phức tạp và khó truy vết.

Theo Galaxy Research, ba đợt tấn công này diễn ra độc lập, chưa có dữ liệu để kết luận kẻ đứng sau có liên quan đến nhau hay không. 

Tính đến ngày 3.8, đã có 1.367 BTC bị đánh cắp, thông qua lỗ hổng của ví lạnh Coldcard, tương đương gần 90 triệu USD. 

Lỗ hổng khiến ví lạnh bị tấn công

Theo CoinDesk, lỗ hổng cho phép tin tặc tấn công ví lạnh Coldcard bắt nguồn từ bản cập nhật firmware tháng 3.2021. Khi đó, việc tạo seed phrase không được thực hiện bằng bộ số ngẫu nhiên dựa trên phần cứng (hardware RNG) mà dùng phần mềm (software RNG). Các dữ liệu đầu vào có thể dự đoán, như số series của chip và đồng hồ hệ thống.

Hậu quả, seed phrase ví lạnh này chỉ có khoảng 40 bit entropy thay vì 128 bit như theo chuẩn BIP39 cần có. Nó cho phép kẻ gian có thể dùng máy tính đủ mạnh để dò các khóa bảo mật, đối chiếu với địa chỉ ví công khai trên blockchain và rút sạch Bitcoin trong ví. Đó là lý do tài sản người dùng để trong ví lạnh nhưng vẫn bị kẻ gian đánh cắp dù chúng không tiếp xúc vật lý với ví. 

Điểm nguy hiểm là bản vá lỗi phần mềm không giải quyết được gốc rễ vấn đề. Nếu muốn an toàn, người dùng phải tạo cụm từ khóa khôi phục mới, chuyển tiền khỏi địa chỉ ví cũ. 

Alex Thorn, người đứng đầu bộ phận nghiên cứu của Galaxy Digital, cảnh báo vụ tấn công vẫn đang lan rộng. Đợt "vơ vét" thứ tư đang diễn ra, ước tính con số thiệt hại đã lên đến trên 114 triệu USD. Tính đến 19 giờ ngày 3.8 (giờ Việt Nam), kẻ gian vẫn chưa tẩu tán số Bitcoin đánh cắp được. Đã có một số bên phát đi thông điệp về việc "rửa" số BTC này với phí 10%.

Nhà đầu tư nhỏ lẻ tháo chạy

Theo Cointelegraph, các nhà đầu tư Bitcoin nhỏ lẻ đang hoang mang, tìm nơi trú ẩn mới sau khi ví Coldcard bị tấn công. Thay vì chuyển tài sản sang các ví lạnh mới, người dùng tìm đến các sàn giao dịch tập trung.

Dữ liệu được Julio Moreno, trưởng bộ phận nghiên cứu của CryptoQuant, chia sẻ hôm 1.8 cho thấy, các giao dịch dưới 1 BTC đã đạt mức cao nhất kể từ năm 2022 với 39.600 BTC được chuyển lên các sàn. Con số này chỉ thấp hơn 300 BTC so với 39.900 BTC được chuyển vào ngày 16.11.2022, vài ngày sau khi sàn giao dịch FTX nộp đơn phá sản.

Theo Khương Nha/Thanh niên
https://thanhnien.vn/vu-hack-vi-lanh-bitcoin-gay-rung-dong-dien-ra-the-nao-18526080318575222.htm