Galaxy Research lần dấu vụ tấn công ví Coldcard trị giá 70 triệu USD, 1.196 địa chỉ bị rút sạch

Galaxy Research cho biết đã xác định 1.196 địa chỉ Bitcoin liên quan Coldcard bị rút tổng cộng 1.082,65 BTC, trị giá khoảng 70,2 triệu USD, trong một đợt tấn công kéo dài 41 phút ngày 30/7. Theo báo cáo, các giao dịch diễn ra từ 01:10:20 đến 01:51:26 UTC, trải qua sáu block Bitcoin, trước khi Coinkite công bố rộng rãi một lỗ hổng firmware ảnh hưởng đến một số ví cứng Coldcard. Galaxy Research nói thêm họ không phát hiện giao dịch nào có đặc điểm trùng khớp trong 30 ngày trước đó. Dấu vết on-chain chỉ ra một tác nhân tự động Galaxy Research nhận thấy mọi giao dịch đều trả cùng mức phí mạng 30,0 sat/vB và không tạo đầu ra tiền thừa (change output). Nhóm nghiên cứu đánh giá mức phí cố định này khác thường so với các hoạt động gộp UTXO thông thường của Bitcoin và gợi ý một nhà vận hành duy nhất, tự động hóa quy trình. Báo cáo cho biết 1.183 địa chỉ SegWit native, bảy địa chỉ BIP49 và sáu địa chỉ BIP44 đã bị rút sạch. Galaxy Research nhận định cấu trúc phân bổ này phù hợp với việc quét tự động trên nhiều đường dẫn dẫn xuất ví (wallet derivation paths). Các giao dịch xuất hiện theo từng đợt, không liên tục. Trong khoảng 41 phút, có ba block xen kẽ không ghi nhận hoạt động quét rút. Galaxy Research cũng cho biết có bốn địa chỉ Bitcoin nhận số tiền bị đánh cắp. Tính đến thời điểm báo cáo, số dư ở các địa chỉ này chưa được di chuyển kể từ lần gom ban đầu. Lỗi firmware khiến Coinkite phản ứng khẩn cấp Coinkite ban đầu cảnh báo người dùng về sự cố ảnh hưởng đến seed được tạo trên Coldcard Mk3 chạy firmware phiên bản 4.0.1 trở lên. Sau đó, hãng mở rộng khuyến cáo sang một số phiên bản firmware của Mk4, Mk5 và Coldcard Q, đồng thời phát hành các bản cập nhật firmware khẩn cấp. CEO Coinkite Rodolfo Novak nhận trách nhiệm về lỗi firmware và gửi lời xin lỗi tới người dùng. Ông cho biết quy trình rà soát của công ty đã không phát hiện vấn đề trước khi phát hành. Novak cũng gợi ý trí tuệ nhân tạo có thể đã góp phần giúp phát hiện lỗ hổng, khi cho rằng rà soát mã nguồn có hỗ trợ AI có thể tìm điểm yếu phần mềm nhanh hơn so với kiểm tra thủ công truyền thống. Galaxy cảnh báo vẫn còn rủi ro tấn công Galaxy Research cho rằng các đợt tấn công tiếp theo vẫn có thể xảy ra nếu người dùng tiếp tục để tiền trong các địa chỉ Coldcard dạng single-signature bị ảnh hưởng. Công ty nhấn mạnh các vụ sau có thể không lặp lại cùng mô hình giao dịch on-chain. Dấu hiệu nhận diện hiện tại chỉ liên kết tới kẻ tấn công ban đầu và không giúp phát hiện các vụ trộm về sau, do các giao dịch khi đó có thể trông không khác gì chuyển tiền hợp lệ. Galaxy Research khuyến nghị người dùng chuyển tài sản sang dịch vụ lưu ký uy tín hoặc thiết lập tự lưu ký multisignature. Coinkite cũng khuyên người dùng cài firmware đã cập nhật, tạo seed mới, thử ví bằng một giao dịch nhỏ, và giữ lại các bản sao lưu cũ cho đến khi hoàn tất quá trình di chuyển.