Bitcoin Red Team phát hiện 4.962 lỗ hổng sau vụ hack Coldcard

Phản ứng sau vụ khai thác Coldcard

Một nhóm bảo mật tự nguyện mang tên Bitcoin Red Team vừa công bố kết quả một chiến dịch rà soát mã nguồn khẩn cấp, phát hiện tổng cộng 4.962 lỗ hổng trên 390 dự án mã nguồn mở liên quan đến Bitcoin. Trong số này, 85 lỗ hổng được xếp vào mức độ nghiêm trọng. Toàn bộ quá trình rà soát diễn ra trong khoảng 27 giờ liên tục.

Chiến dịch được khởi động ngay sau khi ví cứng Coldcard bị khai thác, khiến bitcoin (BTC) của nhiều người nắm giữ dài hạn bị rút mất. Nguyên nhân được xác định là một lỗi firmware tồn tại từ tháng 3/2021, nghĩa là lỗ hổng này đã âm thầm hiện diện trong nhiều năm trước khi bị lợi dụng.

Quy mô thiệt hại từ vụ Coldcard

Vụ việc liên quan đến Coldcard đã gây ra tổn thất đáng kể cho những người dùng lưu trữ BTC lâu dài trên thiết bị này. Ví cứng thường được xem là giải pháp lưu trữ an toàn hơn so với ví nóng kết nối internet, nhưng lỗ hổng firmware kéo dài nhiều năm cho thấy ngay cả các giải pháp phần cứng chuyên dụng cũng không tránh khỏi rủi ro nếu quy trình kiểm tra mã nguồn không được thực hiện thường xuyên và kỹ lưỡng.

Vai trò của các nhóm bảo mật tự nguyện

Sự xuất hiện và hoạt động nhanh chóng của Bitcoin Red Team phản ánh một đặc điểm quan trọng trong hệ sinh thái Bitcoin: tính mã nguồn mở cho phép cộng đồng độc lập tham gia kiểm tra và phát hiện lỗi trên diện rộng. Việc quét được gần 5.000 lỗ hổng trên hàng trăm dự án chỉ trong hơn một ngày cho thấy mức độ phức tạp và số lượng lớn các thành phần phần mềm đang vận hành trong hạ tầng Bitcoin, từ ví, node, cho đến các công cụ hỗ trợ khác.

Theo ghi nhận từ kết quả rà soát, việc có tới 85 lỗ hổng nghiêm trọng nằm rải rác trên nhiều dự án khác nhau cho thấy rủi ro bảo mật trong không gian Bitcoin không chỉ tập trung ở một sản phẩm hay công ty đơn lẻ, mà là vấn đề mang tính hệ thống của toàn ngành.

Bài học về bảo mật ví cứng

Vụ Coldcard cùng kết quả rà soát của Bitcoin Red Team đặt ra câu hỏi về quy trình kiểm định (audit) firmware của các nhà sản xuất ví cứng trước khi phát hành sản phẩm ra thị trường. Một lỗi tồn tại suốt nhiều năm mà không được phát hiện cho thấy khoảng trống trong quy trình rà soát định kỳ, đặc biệt với các thiết bị lưu trữ giá trị lớn.

Các chuyên gia bảo mật khuyến cáo người dùng nên thường xuyên theo dõi thông báo cập nhật firmware từ nhà sản xuất và không nên xem việc sở hữu ví cứng là giải pháp bảo mật "đặt rồi quên". Việc cộng đồng tự nguyện tham gia kiểm tra mã nguồn, như trường hợp của Bitcoin Red Team, được xem là một lớp bảo vệ bổ sung quan trọng bên cạnh các quy trình kiểm định nội bộ của từng dự án.