Người dùng Coldcard Mk3 được cảnh báo rủi ro sau vụ quét 594 BTC từ 500 địa chỉ

Coinkite, công ty Canada đứng sau ví cứng Coldcard, cảnh báo người dùng rằng Bitcoin có thể gặp rủi ro nếu cụm từ khôi phục (seed) được tạo trên một số phiên bản firmware bị ảnh hưởng. Theo hãng, sự cố tác động đến toàn bộ các bản firmware của Mk3 kể từ phiên bản 4.0.1 phát hành tháng 3/2021, liên quan đến nguồn entropy do thiết bị tạo ra khi sinh seed. Coinkite cho biết seed bị ảnh hưởng chỉ có khoảng 72 bit entropy thay vì mức 128 bit như kỳ vọng. Seed tạo trên Mk4 và Mk5 trước firmware 5.6.0, cũng như trên Q trước phiên bản 1.5.0Q, cũng nằm trong diện ảnh hưởng; mức độ được đánh giá là nhẹ hơn so với Mk3 nhưng vẫn nghiêm trọng. Hãng nhấn mạnh TAPSIGNER, OPENDIME và SATSCARD không bị tác động do sử dụng codebase khác. Khuyến nghị từ Coinkite là người dùng thuộc diện rủi ro nên chuyển toàn bộ tài sản sang một seed mới được tạo trên thiết bị không bị ảnh hưởng. Với Mk4 và Mk5, cần nâng cấp lên firmware 5.6.0 trở lên trước khi tạo seed thay thế; với Q, cần cài 1.5.0Q trở lên. Người dùng cũng được khuyên sao lưu và xác minh seed mới, kiểm tra địa chỉ nhận mới hiển thị trực tiếp trên thiết bị, thực hiện một giao dịch thử với số tiền nhỏ trước khi chuyển phần còn lại. Trong trường hợp chỉ có thể dùng Mk3, Coinkite đề xuất tạm thời đặt một BIP39 passphrase mạnh, duy nhất; đồng thời kiểm tra kỹ fingerprint của ví và địa chỉ nhận. Cảnh báo được đưa ra sau khi ngày 30/7 xuất hiện nhiều báo cáo về việc Bitcoin bị rút sạch khỏi các ví Coldcard. Atlas21 cho biết một chiến dịch tự động đã quét 500 địa chỉ single-signature trong bốn block liên tiếp, từ 960188 đến 960191. Các giao dịch đã di chuyển 1.324 UTXO với tổng cộng 594,5 BTC, tương đương khoảng 38 triệu USD theo giá hiện tại. Dấu hiệu cho thấy nguyên nhân đến từ private key yếu được tạo khi khởi tạo ví. Không ghi nhận nạn nhân thuộc nhóm ví multisig hoặc Taproot. Theo Atlas21, mức thiệt hại trung vị là 0,41 BTC; có 110 nạn nhân mất hơn 1 BTC. Trường hợp lớn nhất mất 29,9 BTC, trong khi tổng phí giao dịch của chiến dịch khoảng 0,044 BTC. Cảnh báo công khai đầu tiên được cho là xuất phát từ một nạn nhân trên Reddit, cho biết Coldcard của họ tạo seed 24 từ vào năm 2021 và seed chưa từng được nhập trên máy tính. Dù vụ rút tiền diễn ra trên diện rộng, giá Bitcoin hầu như không biến động, vẫn giao dịch quanh mốc 64.000 USD.