Block lần ra nguồn gốc vụ đánh cắp 38 triệu USD Bitcoin từ ví phần cứng COLDCARD, liên quan một nhà cung cấp dịch vụ blockchain

Nhóm kỹ sư của Block cho biết đã xác định được thực thể đứng sau vụ khai thác lỗ hổng trên ví phần cứng COLDCARD, lần theo dấu vết kẻ tấn công đến một nhà cung cấp dịch vụ blockchain được sử dụng trong quá trình rút tiền. Sự cố xảy ra ngày 30/7, khi khoảng 594 BTC (tương đương gần 38 triệu USD) bị rút khỏi khoảng 500 ví chỉ trong 25 phút, từ 01:31 đến 01:56 UTC. Nguồn cơn bắt đầu từ một lỗi firmware tồn tại nhiều năm. Theo Block, bản cập nhật firmware tháng 3/2021, phiên bản 4.0.0, đã vô hiệu hóa bộ tạo số ngẫu nhiên phần cứng (hardware RNG) trên các thiết bị COLDCARD bị ảnh hưởng. Thay vào đó, thiết bị chuyển sang cơ chế phần mềm dự phòng có thể dự đoán, sử dụng các giá trị seed không bí mật. Điều này khiến kẻ tấn công, nếu nắm được điểm yếu, có thể tái tạo seed ví từ siêu dữ liệu đặc thù của thiết bị. Các thiết bị bị ảnh hưởng chủ yếu là dòng Mk3 và một số máy Mk2 trong trường hợp seed được tạo trong giai đoạn dùng firmware bị lỗi. Block nhận định kẻ tấn công đã giữ thông tin này trong nhiều năm và nhắm vào các tài khoản "ngủ đông". Khoảng thời gian thực thi 25 phút cho thấy mức độ chuẩn bị cao, nhiều khả năng kẻ tấn công đã tính toán trước các seed dễ tổn thương và dùng script để rút tiền hàng loạt. Block phối hợp với Coinkite, nhà sản xuất COLDCARD, để truy vết hoạt động on-chain và liên hệ tới một nhà cung cấp dịch vụ blockchain. Hai bên cho biết quá trình phối hợp giúp công bố khẩn về lỗ hổng trước khi các chi tiết kỹ thuật đầy đủ được phổ biến rộng rãi. Coinkite đã phát đi khuyến cáo ngay lập tức dành cho người dùng Mk3 và các mẫu đời cũ từng tạo seed dưới các phiên bản firmware bị ảnh hưởng. Đánh giá sơ bộ cho thấy các mẫu mới hơn, gồm Mk4, Q và Mk5, không chịu tác động của lỗi RNG này. Khuyến nghị được đưa ra là tạo seed hoàn toàn mới trên phần cứng không bị ảnh hưởng và chuyển toàn bộ tài sản ngay lập tức. Trong thời điểm xảy ra sự cố, Bitcoin giao dịch trên 64.000 USD và tác động tới thị trường được ghi nhận là không đáng kể. Lỗ hổng bắt nguồn từ bản firmware v4.0.0 phát hành tháng 3/2021; nhiều người dùng khi cài đặt bản cập nhật đã nghĩ rằng đang nâng cấp bảo mật, nhưng thực tế lại tạo seed trong điều kiện RNG bị suy yếu.