Galaxy Research nâng ước tính thiệt hại vụ ví Coldcard lên 70 triệu USD

Galaxy Research, bộ phận nghiên cứu của Galaxy Digital, cho biết đã mở rộng phạm vi truy vết on-chain liên quan đến sự cố ví Coldcard sau khi xác định 1.196 địa chỉ Bitcoin bị ảnh hưởng. Trong khung thời gian 41 phút, các địa chỉ này mất tổng cộng 1.082,65 BTC, tương đương khoảng 70,2 triệu USD tại thời điểm giao dịch diễn ra. Theo Galaxy Research, dòng tiền bị rút tập trung trong khoảng 1:10–1:51 sáng UTC ngày 30/7, trải trên các block 960.183 đến 960.191. Khoảng thời gian này diễn ra sớm hơn gần 30 giờ so với khi Coldcard công bố khuyến cáo bảo mật đầu tiên, cho thấy tiền có thể đã bị chuyển đi rất sớm sau khi các ví dễ tổn thương tạo seed. Dấu vết giao dịch cho thấy tính tự động hóa cao. Galaxy Research nhận định các giao dịch có cấu trúc lặp lại thay vì rải rác thủ công, phản ánh một đợt "quét" (sweep) được thực hiện theo kịch bản. Tổng 1.082,65 BTC được chuyển ra trong giai đoạn này được định giá khoảng 70,2 triệu USD tại thời điểm đó. Galaxy Research cũng nêu một "chữ ký" on-chain giúp gom cụm giao dịch liên quan: các lệnh quét dùng cùng mức phí 30 satoshi cho mỗi vbyte ảo và không tạo output tiền thừa (no change outputs). Những đặc điểm này hỗ trợ điều tra vì giúp nhận diện cụm hoạt động có liên quan và giảm nguy cơ gán nhầm các chuyển khoản không liên quan. Dù vậy, hãng cảnh báo các đợt quét về sau (nếu có) có thể không còn giữ nguyên dấu vết này, đồng nghĩa việc chỉ dựa vào một mẫu giao dịch dễ nhận biết có thể khiến thống kê thiệt hại bị thiếu nếu các đợt sau thay đổi phí hoặc hành vi output. Trước đó, Rob Hamilton, CEO kiêm đồng sáng lập AnchorWatch, đưa ra ước tính sơ bộ thấp hơn: 594,48 BTC (khoảng 38 triệu USD khi đó) được chuyển qua 500 giao dịch trong một cửa sổ hẹp hơn gồm ba block. Galaxy Research cho rằng việc mở rộng tập địa chỉ và kéo dài khung thời gian truy vết quanh đợt hoạt động ngày 30/7 đã gần như nâng gấp đôi lượng BTC được quy cho hoạt động quét. Nhà sản xuất Coldcard là Coinkite đã thừa nhận lỗi firmware. Trong một bài đăng trên X vào thứ Sáu, đồng sáng lập Rodolfo Novak nói công ty đang xác định đầy đủ phạm vi vấn đề và đã phát hành bản hotfix nhằm loại bỏ một nhánh "fallback" trong phần mềm. Novak nhấn mạnh bản cập nhật không thể bảo vệ các seed đã được tạo ra trên phiên bản firmware bị ảnh hưởng. Vì vậy, người dùng đã tạo seed phrase trong giai đoạn rủi ro được khuyến nghị chuyển tài sản sang một seed mới. Galaxy Research cho biết việc nhận diện mẫu quét on-chain giúp theo dõi sự cố có cấu trúc hơn, nhưng khả năng kẻ tấn công thay đổi dấu vết trong các đợt tiếp theo khiến tình hình vẫn có thể tiếp diễn theo những cách khó nhận biết. Người dùng lo ngại từng tạo seed trên firmware dễ tổn thương nên ưu tiên di chuyển số dư còn lại sang seed mới và tiếp tục theo dõi các chuyển động bất thường liên quan đến những địa chỉ đã bị cuốn vào logic quét.