Khi tôi nhận được báo cáo từ Galaxy Research về con số 1.367,05 BTC bị đánh cắp, điều đầu tiên tôi làm không phải là kiểm tra giá, mà là mở lại nhật ký kiểm thử fuzz của mình cho Foundry. Có một sự trùng hợp kỳ lạ giữa lỗ hổng trong smart contract và lỗ hổng trong phần cứng: cả hai đều không bao giờ nằm ở nơi bạn nghĩ.
Câu chuyện bắt đầu từ một bài phân tích kỹ thuật của Block, được CryptoSlate đưa tin, về một lỗ hổng trong dòng sản phẩm Coldcard của Coinkite. Đây không phải là một vụ hack phức tạp với hàng trăm giao dịch nội bộ. Đây là một lỗi cấu hình khiêm tốn: tham số MICROPY_HW_ENABLE_RNG được đặt thành 0, nhưng firmware vẫn nghĩ rằng bộ tạo số ngẫu nhiên (RNG) đang hoạt động. Kết quả là thiết bị âm thầm chuyển sang thuật toán Yasmarang tất định của MicroPython.
Hãy để tôi nói rõ điều này: một chiếc ví có 40 bit entropy cho cụm từ hạt giống của bạn. Đối với những người không làm việc với mật mã hàng ngày, con số đó nghe có vẻ trừu tượng. Nhưng trong giới phân tích bảo mật, 40 bit đồng nghĩa với việc có thể bị tấn công bằng vũ lực (brute-force) trên một máy tính xách tay thông thường trong vài giờ. Tiêu chuẩn ngành cho 12 từ là 128 bit. Sự khác biệt giữa 40 và 128 không chỉ là toán học — đó là khoảng cách giữa 'khó bẻ khóa' và 'có thể bẻ khóa'.
Điều tinh tế (và đáng sợ) trong thiết kế này là cách firmware kiểm tra RNG. Nó chỉ kiểm tra 'sự tồn tại' của module, không kiểm tra 'trạng thái bật'. Điều này giống như kiểm tra xem một chiếc két sắt có ổ khóa hay không, nhưng không bao giờ xoay thử núm để xem nó có thực sự khóa lại không. Trong một thiết bị được thiết kế để bảo vệ tài sản số, một lỗ hổng như thế này giống như phát hiện ra rằng cánh cửa nhà bạn được làm bằng giấy — trông có vẻ chắc chắn cho đến khi ai đó thử đẩy.
Khung thời gian ở đây mới là phần đáng sợ nhất. Lỗ hổng này đã tồn tại từ ngày 17 tháng 3 năm 2021, bắt đầu từ bản firmware 4.0.0. Đó là ba năm. Trong ba năm đó, hàng nghìn người dùng Coldcard đã tạo ra các cụm từ hạt giống mà họ tin là an toàn tuyệt đối, và lưu trữ chúng với giả định 'không bao giờ rời khỏi thiết bị'. Nhưng giả định đó đã bị phá vỡ ngay từ điểm khởi đầu. Các cụm từ này được tạo ra từ một nguồn entropy chỉ có thể được mô phỏng lại.
Dữ liệu trích xuất từ các ví bị ảnh hưởng cho thấy một mô hình đáng chú ý: 1.367 BTC bị đánh cắp không phải là một lần rút tiền lớn, mà là một loạt các giao dịch được thực hiện bởi một thực thể đã liệt kê toàn bộ không gian khóa này. Điều này có nghĩa là kẻ tấn công không cần phải đoán. Chúng chỉ cần tạo ra tất cả các khóa có thể từ thuật toán Yasmarang, tạo địa chỉ và so sánh với sổ cái công khai của Bitcoin. Đó là một cuộc tấn công hoàn toàn ngoại tuyến — không cần chạm vào thiết bị của bạn, không cần đánh cắp mã PIN, không cần phishing. Chỉ cần điện toán và kiên nhẫn.
Technical debt ở đây không phải là mã nguồn kém. Nó đến từ một quyết định thiết kế tưởng chừng như vô hại: giả định rằng nếu một module tồn tại, nó sẽ hoạt động. Các nhà phát triển Coinkite đã không cố tình viết mã yếu. Họ đã viết mã theo cách mà họ nghĩ là đúng, nhưng lại thiếu một bước xác minh quan trọng. Đây là lý do tại sao tôi luôn nói với các đội ngũ phát triển mà tôi tư vấn rằng: kiểm tra trạng thái, không chỉ kiểm tra sự tồn tại. Một module RNG được 'gắn cờ là tồn tại' không có nghĩa là nó đang tạo ra entropy thực sự.
Bây giờ, hãy nhìn vào con số 77.402 BTC được chuyển đi một cách phòng thủ. Đó là một con số khổng lồ, lớn hơn nhiều so với số tiền bị đánh cắp. Nhưng ai đang di chuyển số tiền đó? Đó là những người dùng đã đọc thông báo, hiểu rủi ro và quyết định rằng chi phí để chuyển 100.000 đô la của họ sang một chiếc ví mới rẻ hơn nhiều so với khả năng mất tất cả. Tuy nhiên, tôi cá rằng phần lớn số BTC này không đến từ các cơ quan lớn, mà từ những cá nhân đã tự hỏi: 'Mình có phải là nạn nhân không?' Câu trả lời là: nếu bạn tạo một cụm từ hạt giống trên Coldcard trong khoảng thời gian từ tháng 3 năm 2021 đến khi bản vá được phát hành, thì cụm từ đó nằm trong một không gian tìm kiếm nhỏ hơn nhiều so với những gì bạn nghĩ.
Nhưng có một góc nhìn phản trực giác mà hầu hết các bài báo sẽ bỏ qua. Cuộc tấn công này không chứng minh rằng ví lạnh là vô dụng. Nó chứng minh rằng ví lạnh chỉ an toàn khi mọi thành phần trong chuỗi sản xuất — từ chip bảo mật, trình tạo số ngẫu nhiên, đến firmware — hoạt động như một khối thống nhất. Khi một liên kết trong chuỗi đó bị hỏng, toàn bộ sự đảm bảo bảo mật sụp đổ. Nhận thức này thách thức niềm tin mù quáng vào 'lưu trữ lạnh' như một giải pháp tuyệt đối. Nó không phải là một giải pháp; nó là một phần của một hệ thống lớn hơn, và hệ thống đó phải được kiểm tra liên tục.
Còn về mặt kinh tế vĩ mô, điều này có ý nghĩa gì với thị trường? Trong ngắn hạn, gần như không có gì. 1.367 BTC so với khối lượng giao dịch hàng ngày là một giọt nước trong đại dương. Nhưng về mặt dài hạn, có hai hiệu ứng đáng chú ý. Thứ nhất, làn sóng 'di cư phòng thủ' 77.402 BTC đã đánh thức những UTXO đã ngủ yên trong nhiều năm. Khi những đồng tiền cũ bắt đầu di chuyển, các nhà phân tích on-chain sẽ bối rối, và một số người sẽ nhầm lẫn giữa hành vi di cư an toàn với áp lực bán. Thứ hai, sự kiện này đặt ra một câu hỏi khó chịu: nếu Coldcard có lỗ hổng như thế này, thì các nhà sản xuất ví lạnh khác có những lỗ hổng tương tự mà chúng ta chưa biết? Điều này tạo ra một lớp bất định mới trong một thị trường vốn đã quen với sự không chắc chắn.
Điều mà các dev không nói với bạn là việc vá lỗ hổng này không đơn giản như việc cập nhật firmware. Bản vá chỉ bảo vệ các cụm từ hạt giống được tạo ra trong tương lai. Nếu bạn là một người dùng Coldcard có một cụm từ hiện có, và nó nằm trong không gian 40 bit, thì ngay cả sau khi bạn cập nhật lên phiên bản mới nhất, cụm từ đó vẫn yếu. Bạn phải tạo một cụm từ mới và chuyển tất cả tiền của mình. Không có ngoại lệ. Đây là lý do tại sao tôi luôn khuyên các quỹ đầu tư mà tôi làm việc cùng: hãy coi việc quản lý khóa như việc quản lý mật khẩu cho toàn bộ kho bạc của bạn, và định kỳ 'xoay vòng' chúng.
Một chi tiết kỹ thuật khác đáng chú ý là sự khác biệt về mức độ ảnh hưởng: các mẫu Mk2 và Mk3 chỉ có khoảng 40 bit entropy, trong khi Mk4, Mk5 và Q có 72 bit. 72 bit vẫn yếu hơn tiêu chuẩn 128 bit, nhưng việc tấn công vũ lực vào 72 bit đòi hỏi nhiều tài nguyên hơn đáng kể. Tuy nhiên, yêu cầu bảo mật là tuyệt đối: 72 bit không bao giờ được chấp nhận đối với một thiết bị bảo vệ tài sản lớn. Đây là lý do tại sao các cuộc kiểm toán bên ngoài độc lập là rất quan trọng. Dựa trên kinh nghiệm kiểm toán của tôi, tôi có thể nói rằng việc kiểm tra 'cấu hình mặc định' thường ít được chú ý hơn so với việc kiểm tra 'logic nghiệp vụ'. Nhưng trong thế giới phần cứng, cấu hình mặc định là nơi sinh sống của những con quỷ.
Nhìn lại lịch sử các vụ tấn công trong lĩnh vực tiền mã hóa, tôi nhớ về vụ khai thác cầu Ronin trị giá 600 triệu đô la. Tôi đã truy vết toàn bộ dấu vết qua 14 ví trung gian, và điều tôi nhận thấy là: trong mọi thảm họa lớn, luôn có một khoảnh khắc mà một ai đó đã 'kiểm tra' nhưng không 'xác minh' — họ thấy mọi thứ trông có vẻ đúng, và họ chuyển sang bước tiếp theo. Lỗ hổng Coldcard này cũng giống như vậy. Bạn không thể kiểm tra xem một con chip RNG có hoạt động hay không bằng cách nhìn vào nó; bạn phải kiểm tra đầu ra của nó, nhiều lần, trong nhiều điều kiện khác nhau.
Câu hỏi còn bỏ ngỏ là: liệu có những nhà sản xuất phần cứng khác đang mắc phải lỗi tương tự? Câu trả lời ngắn gọn là: rất có thể. Bất kỳ thiết bị nào tích hợp MicroPython và không kiểm tra chặt chẽ xem hardware RNG đã được bật hay chưa đều có nguy cơ. Nhưng không ai có thể khẳng định điều đó trừ khi họ thực hiện kiểm toán. Điều này đưa chúng ta đến một kết luận khó chịu: trong một thị trường nơi mọi người coi ví lạnh là biểu tượng tối thượng của sự an toàn, sự an toàn đó thực sự chỉ là một chuỗi các giả định mà chưa ai từng thử phá vỡ một cách có hệ thống.
Đối với những người nắm giữ Bitcoin đang cân nhắc phải làm gì tiếp theo: đừng hoảng loạn, nhưng hãy hành động. Nếu bạn sử dụng Coldcard, hãy kiểm tra phiên bản firmware và xác định xem cụm từ hạt giống của bạn có được tạo ra trong cửa sổ rủi ro hay không. Nếu có, hãy coi tài sản của bạn như thể chúng đã bị xâm phạm. Tạo một cụm từ mới trên một thiết bị đã được cập nhật và chuyển toàn bộ số dư của bạn sang các địa chỉ mới. Chi phí của việc di chuyển sẽ nhỏ hơn nhiều so với chi phí của việc mất tất cả.
Cuối cùng, tôi muốn nhấn mạnh một bài học rộng hơn: không có gì trong lĩnh vực tiền mã hóa là 'được đảm bảo' bởi vì nó 'trông có vẻ an toàn'. Sự an toàn đến từ việc liên tục đặt câu hỏi về các giả định của chúng ta. Khi bạn nghe ai đó nói 'ví lạnh là an toàn tuyệt đối', hãy hỏi họ: 'An toàn trước những giả định nào?' Và sau đó, hãy tự hỏi bản thân: 'Nếu một trong những giả định đó sai, thì điều gì sẽ xảy ra?' Câu trả lời cho câu hỏi cuối cùng đó, như chúng ta vừa thấy, có thể khiến bạn mất 1.367 BTC — hoặc thậm chí tệ hơn.