Tấn công ví Coldcard có thể bước sang làn sóng thứ tư, 449 BTC đứng trước nguy cơ bị cuốn sạch

Một làn sóng tấn công thứ tư nhắm vào các ví Bitcoin được tạo bởi Coldcard có thể đang diễn ra. Ngày 3/8, nhà nghiên cứu blockchain Alex Thorn cảnh báo gần 449 BTC đã bị "sweep" khỏi hàng trăm địa chỉ chỉ trong khoảng hai tiếng rưỡi. Thorn cho biết phân tích mới nhất ghi nhận 218 giao dịch tác động đến 462 địa chỉ được cho là nạn nhân, xuất hiện trong khoảng các khối Bitcoin 960778 đến 969792. Tổng cộng 388,93 BTC (xấp xỉ 24,4 triệu USD theo giá hiện tại) đã được chuyển tới 216 địa chỉ đích, gần như tất cả đều vừa được tạo và không có lịch sử giao dịch. "Nhiều khả năng đây là nạn nhân của Coldcard — chúng khớp với đặc điểm UTXO của Coldcard bị ảnh hưởng và mô hình giao dịch tăng đột biến khiến tôi rất tin rằng đây là một làn sóng tấn công mới", Thorn viết. Ông nhấn mạnh chưa có xác nhận trực tiếp từ nạn nhân nên chủ ý dùng cụm từ "nhiều khả năng" để thận trọng. Sau đó, Thorn cập nhật danh sách địa chỉ đích, loại bỏ 6 địa chỉ vì theo ông chúng đã nhận và chi tiêu BTC từ lâu trước khi sự cố Coldcard bắt đầu ngày 30/7. Sáu địa chỉ này chiếm hơn 5 BTC trong con số ước tính trước đó. Ông cũng loại thêm 89 địa chỉ multisig do chúng không xuất hiện trong ba làn sóng đầu, đưa danh sách lõi còn lại lên 709 địa chỉ với tổng 448,73 BTC (khoảng 28,1 triệu USD) tính cả các giao dịch đã xác nhận và còn đang chờ. Thorn kêu gọi người dùng lập tức chuyển tiền khỏi các thiết bị Coldcard bị ảnh hưởng và chấp nhận mức phí giao dịch cao hơn. Ông cũng lưu ý một số giao dịch đang chờ đã bật Replace-by-Fee (RBF), đồng nghĩa nạn nhân có thể còn một khoảng thời gian rất ngắn để tăng phí, "outbid" kẻ tấn công và giành lại tiền trước khi giao dịch được xác nhận. Trước đó, Galaxy Research ước tính ba làn sóng đã được xác nhận đã rút 1.367 BTC (khoảng 85,7 triệu USD) từ 4.585 địa chỉ Bitcoin. Theo đơn vị này, số tiền chưa bị tiêu và vẫn nằm trong các ví do kẻ tấn công kiểm soát, cho thấy đây là chiến dịch phối hợp thay vì trộm cắp cơ hội. Dù vậy, không phải toàn bộ BTC bị đánh cắp đều "án binh". Một nạn nhân nắm gần 30 BTC bị chuyển 17 BTC qua ThorChain tới sòng bài trực tuyến Duel; sòng này được cho là yêu cầu nạn nhân nộp đơn trình báo công an trước khi cân nhắc phong tỏa. Nguồn cơn vụ việc là lỗ hổng liên quan đến seed được tạo trên một số phiên bản firmware Coldcard phát hành sau tháng 3/2021. Coinkite, nhà sản xuất ví Coldcard, xác nhận seed tạo trên các thiết bị Mk3, Mk4, Mk5 và Q thuộc diện bị ảnh hưởng có nguy cơ lộ. Firmware đã được vá giúp ngăn sự cố với seed tạo mới, nhưng không thể bảo vệ các seed cũ. Coinkite cũng cho biết đã tiêu hủy toàn bộ tồn kho còn lại thuộc diện dễ bị tấn công, dừng giao hàng và đang phối hợp với khách hàng cùng cơ quan thực thi pháp luật để truy tìm thủ phạm. Công ty khuyến nghị người dùng lập tức chuyển sang seed mới trên thiết bị không bị ảnh hưởng. Thorn cảnh báo mọi địa chỉ Coldcard dạng single-signature được tạo trong điều kiện có lỗ hổng cuối cùng sẽ bị rút sạch. Bài viết gốc có tiêu đề "Coldcard Wallet Attacks Enter Fourth Wave, Putting 449 BTC at Risk" được đăng đầu tiên trên CryptoPotato.