Bóng tối 3,5 năm: 250 nạn nhân Coldcard, 58,97 BTC và lỗ hổng không ai dám nói
Huỳnh Tuấn
Khi đàn ong tưởng rằng mình đang bay giữa khu rừng mật ngọt, kẻ săn mồi đã đứng sẵn ngay bên trong tổ. Ngày 8/8, Galaxy Research công bố con số khiến cả cộng đồng tự giữ Bitcoin chết lặng: hơn 250 nạn nhân báo cáo mất tài sản, thiệt hại trải từ 624 satoshi đến 58,97 BTC. Nhưng con số đáng sợ nhất không nằm ở đỉnh. Nó nằm ở sự im lặng. 88% số Bitcoin bị lấy đi đã ngủ yên hơn một năm. Thời gian trung vị của sự im lặng đó: 3,5 năm.
Tôi đã theo dõi những vụ tấn công trong 11 năm qua. Tôi chưa từng thấy một vụ trộm nào có độ chín đến vậy. Và tôi cũng chưa từng thấy một vụ trộm nào khiến cộng đồng tự giữ phải tự vấn sâu đến thế. Bởi vì vụ trộm này không nổ ra ở một sàn giao dịch tập trung, không phải một hợp đồng thông minh bị rút ruột. Nó xảy ra ngay trong hầm lạnh mà những người kỹ tính nhất ngành đầu tư tiền mã hóa tin cậy.
Coldcard không phải một chiếc ví lạnh bình thường. Với dân tự giữ Bitcoin, đây là két sắt quân sự, một thiết bị air-gapped do Coinkite sản xuất, nổi tiếng vì khả năng chống chịu cả những cuộc tấn công vật lý. Firmware mã nguồn mở. Không có kết nối máy tính trong quá trình ký bằng thẻ PSBT. Câu chuyện vận hành của nó rất đơn giản: kể cả khi máy tính của bạn nhiễm virus, kể cả khi bạn bị giám sát, private key vẫn nằm an toàn trong thiết bị.
Nhưng câu chuyện an toàn tuyệt đối đó đang bị thử thách.
Từ các diễn đàn Bitcoin, những nạn nhân đầu tiên bắt đầu lên tiếng. Không phải một. Không phải hai. Hơn 250 báo cáo. Khi Galaxy Research - đơn vị có năng lực truy vết on-chain - bắt tay vào phân tích, bức tranh trở nên rõ ràng: đây không phải một vụ lừa đảo nhỏ lẻ. Đây là một đợt tấn công có hệ thống vào chính nhóm người tự giữ tài sản, nhóm người mà ngành công nghiệp này vẫn xem là cứng đầu nhất, an toàn nhất.
Giờ hãy nhìn vào những con số. Tôi sẽ mổ xẻ dữ liệu theo cách tôi vẫn làm với mỗi vụ việc: tách từng lớp thống kê, tìm điểm lệch, và đặt câu hỏi với từng con số.
Theo địa chỉ: trung vị mất 0,014 BTC, trung bình 0,212 BTC.
Theo báo cáo: trung vị 1,022 BTC, trung bình 4,04 BTC.
Chênh lệch giữa trung vị theo địa chỉ và trung vị theo báo cáo là 73 lần. Tôi nhắc lại: 73 lần. Trung bình theo địa chỉ cũng thấp hơn trung bình theo báo cáo tới 19 lần.
Khi một phép đo lệch xa một phép đo khác đến vậy, dữ liệu đang kể một câu chuyện. Kẻ tấn công không chỉ nhắm vào một loại ví. Chúng đã quét toàn bộ các private key mà chúng sở hữu - từ những địa chỉ chỉ có vỏn vẹn 624 satoshi cho đến những con cá lớn 58,97 BTC. Không bỏ sót một đồng nào. Ngay cả bụi trên sàn cũng bị cuốn đi.
Điều này hé lộ ba sự thật kỹ thuật.
Thứ nhất, đây không phải một cuộc tấn công có chọn lọc. Nếu kẻ trộm chỉ nhắm vào từng nạn nhân giá trị cao, chúng sẽ không thèm đụng đến 624 satoshi - một mảnh vụn trị giá chưa đến một đô la. Việc quét và rút cả những địa chỉ bụi cho thấy chúng đang chạy một quy trình tự động, quét khối lượng lớn private key đã thu thập được.
Thứ hai, sự khác biệt giữa thống kê theo địa chỉ và theo báo cáo tiết lộ cấu trúc của nạn nhân. Một nạn nhân trung bình nắm giữ nhiều địa chỉ, nhưng giá trị phân bố không đều. Điều này khớp với hành vi của những người tự giữ lâu năm: họ tạo nhiều địa chỉ nhận, nhiều ví khác nhau, mỗi nơi một ít. Đến khi bị mất, họ mới gom tất cả lại để báo cáo.
Thứ ba, 88% tài sản bị lấy có thời gian nằm im hơn một năm với trung vị 3,5 năm. Tôi không tin đây là sự trùng hợp. Đây chính là khoảng thời gian an toàn giả tạo mà những người nắm giữ dài hạn tạo ra cho chính mình: mua Bitcoin, cất vào ví lạnh, rồi quên. 3,5 năm. Đủ để một cục pin hết điện. Đủ để một tờ giấy ghi seed phrase ố vàng. Đủ để một người quên mất mật khẩu. Và cũng đủ để kẻ trộm hoàn tất khâu bóc tách từng mảnh ghép mà không bị phát hiện.
Cuộc săn mật ong không còn giới hạn ở cánh đồng yield farming - nó đã len lỏi vào bóng tối của self-custody.
Điều này đưa tôi đến một câu hỏi then chốt: phương thức tấn công thực sự là gì?
Đến nay, Coldcard chưa xác nhận bất kỳ lỗ hổng firmware nào. Chưa có báo cáo kỹ thuật nào về việc thiết bị bị trích xuất khóa từ xa. Nhưng hơn 250 nạn nhân, tài sản ngủ yên trung bình 3,5 năm, và một đợt quét sạch các địa chỉ từ vài cent cho đến gần 59 BTC - tất cả những mảnh ghép này chỉ ra một kịch bản: kẻ tấn công đã nắm trong tay một tập hợp lớn private key hoặc seed phrase, và chúng đã chạy một chiến dịch quét tự động tinh vi. Câu hỏi còn bỏ ngỏ là nguồn rò rỉ nằm ở đâu: trong quy trình backup của từng nạn nhân, trong một phần mềm quản lý PSBT, hay trong một mắt xích trung gian nào đó chưa được công bố.
Tôi từng chứng kiến vô số vụ mất trộm ví lạnh trong sự nghiệp của mình. Và tôi biết một điều: không có thiết bị nào bảo vệ bạn khỏi chính sự bất cẩn của bạn. Bạn có thể mua chiếc két sắt tốt nhất thế giới, nhưng nếu bạn ghi mật khẩu vào mảnh giấy dán dưới bàn phím, chiếc két đó chỉ là một hộp trang trí đắt tiền.
Và giờ đến phần phản trực giác, thứ mà không ai muốn nghe.
Vở kịch trên blockchain này không hề có tiếng súng, không có cảnh đập cửa. 250 nạn nhân đang hướng ánh mắt vào Coldcard, ngầm đổ lỗi cho một lỗ hổng sản phẩm. Nhưng nhìn lại dữ liệu: 88% tài sản ngủ yên hơn 3 năm rưỡi. Trong suốt thời gian đó, Coldcard vốn dĩ là một thiết bị air-gapped, mã nguồn mở, chưa từng có bằng chứng bị tấn công từ xa. Điều khiến tôi dừng lại: liệu private key của nạn nhân đã bị lộ trước khi được nạp vào thiết bị, hay rò rỉ sau đó qua chính quy trình backup của người dùng?
Hãy nhìn vào mảnh bụi 624 satoshi một lần nữa. Kẻ trộm không chỉ bỏ qua những đồng bụi - chúng quét sạch mọi thứ. Hành vi này không giống một kẻ đã xâm nhập vào thiết bị của một nhóm người dùng cụ thể. Nó giống một bên nắm giữ cơ sở dữ liệu khóa riêng khổng lồ, chạy quét toàn diện và bê đi bất cứ thứ gì có thể bê, kể cả đồng xu vô giá trị.
Nếu giả định đó đúng, câu chuyện Coldcard - dưới góc nhìn khách quan - có thể là câu chuyện về một vụ lộ seed phrase hàng loạt từ một nguồn chưa được xác định: một bản backup, một dịch vụ lưu trữ đám mây bị xâm nhập, một ứng dụng quản lý mật khẩu bị rò rỉ, hoặc một dịch vụ trung gian trong chuỗi vận hành của người dùng. Chúng ta đang nhìn vào ngọn lửa, nhưng chưa ai chỉ ra được nơi bắt đầu của đám cháy.
Và nếu không tìm ra điểm xuất phát, thì bất kỳ phần cứng nào cũng sẽ là nạn nhân tiếp theo.
58,97 BTC của nạn nhân lớn nhất không biến mất. Chúng vẫn nằm trên blockchain, có thể được theo dõi. Kẻ trộm chắc chắn sẽ phải di chuyển số tài sản này - và đó chính là điểm rò rỉ duy nhất còn lại. Tuần tới sẽ là giai đoạn quan trọng nhất để quan sát dòng tiền này trên explorer, để theo dõi xem chúng được gộp, tách, hay chuyển qua những dịch vụ trộn nào.
Còn về phía người tự giữ? Hãy gác lại câu chuyện đổ lỗi cho thiết bị này hay thiết bị khác. Hãy tự hỏi một câu duy nhất: quy trình bảo mật của bạn có đủ mạnh để chống chịu ba năm yên tĩnh, khi không ai chạm vào ví, không ai kiểm tra, không ai nghĩ đến rủi ro?
Vì kẻ trộm không cần phá cửa. Chúng chỉ cần nhặt chiếc chìa khóa mà bạn để quên - và chúng đã chờ rất, rất lâu.