Bitcoin Red Team phát hiện gần 5.000 lỗ hổng bảo mật trên diện rộng

Chiến dịch rà soát bảo mật quy mô lớn

Một nhóm phát triển tình nguyện tự gọi là Bitcoin Red Team đã ghi nhận 4.962 phát hiện bảo mật (security findings) trên 390 dự án thuộc hệ sinh thái Bitcoin trong khoảng 30 giờ. Trong số 391 codebase được rà soát, chỉ đúng một dự án không phát hiện lỗi nào.

Theo phân loại của nhóm, 720 phát hiện được xếp ở mức cao hoặc nghiêm trọng, nhưng hiện chỉ có 147 trường hợp được chuyển đến các đội ngũ phát triển (maintainers) để xử lý.

Tỷ lệ lỗi nghiêm trọng chiếm khoảng 14,5%

Cụ thể, có 85 phát hiện được đánh giá nghiêm trọng (critical) và 635 ở mức cao (high), tương đương 14,5% tổng số phát hiện. Số còn lại nằm ở mức trung bình, thấp hoặc chỉ mang tính thông tin, trong khi 246 phát hiện chưa được gắn nhãn mức độ nghiêm trọng.

Về chất lượng dữ liệu, khoảng 21,4% phát hiện đi kèm mã proof-of-concept (PoC) hoạt động được, và khoảng 91% được phát hiện thông qua công cụ quét tự động. Nhóm chỉ loại bỏ 8 trường hợp do xác định là báo động giả (false positive).

Theo bài đăng trên X của nhà phát triển ẩn danh Calle – người sáng lập giao thức ecash Cashu, nhóm hiện có 16 thành viên phân bổ toàn cầu, hoạt động liên tục 24/7.

Một giờ chiếm tới 83% tổng số phát hiện

Dữ liệu cho thấy khung thời gian 30 giờ cần được nhìn nhận cẩn trọng hơn. Riêng một giờ đã đóng góp 4.101 phát hiện — được xác định là dữ liệu backfill (bổ sung từ trước) thay vì quét trực tiếp theo thời gian thực.

Ông Rob Hamilton, CEO của công ty bảo hiểm Bitcoin AnchorWatch, cho biết ông đã tự thực hiện đợt rà soát riêng trước khi chiến dịch chính thức bắt đầu, với chi phí hơn 10.000 USD để quét hơn 100 thư viện mã nguồn liên quan đến Bitcoin.

Sau khi loại phần dữ liệu backfill, tốc độ phát hiện thực tế giảm mạnh, còn khoảng 840 phát hiện trong 29 giờ còn lại — tương đương gần 29 phát hiện/giờ, thấp hơn nhiều so với mức trung bình 166,3/giờ được công bố ban đầu.

Ví cứng không phải nhóm rủi ro cao nhất

Đáng chú ý, nhóm ví cứng và firmware — nơi Coldcard thuộc về — lại có tỷ lệ lỗi nghiêm trọng thấp thứ hai trong các nhóm được khảo sát, ở mức 9,6%.

Các nhóm khác ghi nhận tỷ lệ cao hơn: mining pool 21,7%, hạ tầng và công cụ (infrastructure/tooling) 21,5%, các nền tảng swap và exchange 20,9%. Nhóm công cụ về quyền riêng tư (privacy tools) có tỷ lệ cao nhất, 24%, tuy nhiên chỉ có 3 dự án thuộc nhóm này được rà soát.

Các thư viện mã nguồn (crypto libraries) chiếm khối lượng phát hiện lớn nhất, với 1.385 phát hiện trên 128 dự án — hơn 1/4 tổng số phát hiện. Calle cho biết phần lớn các báo cáo nghiêm trọng đã được chủ dự án xác nhận nhanh chóng.

Nguồn gốc từ sự cố Coldcard

Chiến dịch rà soát được khởi động sau khi Coinkite, đơn vị sản xuất ví cứng Coldcard, công bố hôm 30/7 rằng cơ chế tạo seed trên một số thiết bị bị ảnh hưởng đã chuyển sang dùng thuật toán phần mềm có thể dự đoán được, thay vì dựa vào secure element.

Sự cố khiến chỉ 32 bit ngẫu nhiên được đảm bảo, giới hạn không gian tìm kiếm của kẻ tấn công ở khoảng 4,3 tỷ khả năng. Theo dữ liệu từ Galaxy Research công bố ngày 4/8, đã có 1.596 BTC bị đánh cắp từ khoảng 7.300 địa chỉ qua 3 đợt tấn công được xác nhận. Nếu tính cả các đợt tấn công nghi vấn, tổng thiệt hại có thể lên tới gần 130 triệu USD, tương đương khoảng 2.000 $BTC — dù Galaxy Research nhấn mạnh danh sách địa chỉ này chưa mang tính khẳng định tuyệt đối.

Sự cố cũng khiến số địa chỉ hoạt động trên chuỗi tăng vọt, đạt mức cao nhất trong 20 tháng. Đáng chú ý, người dùng tại Hàn Quốc phần lớn không bị ảnh hưởng do phổ biến sử dụng phương pháp tạo seed bằng xúc xắc (dice-based).

Vấn đề về độ ngẫu nhiên yếu (weak randomness) không phải lần đầu xuất hiện trong hệ sinh thái Bitcoin. Năm 2023, lỗi Milk Sad từng khiến khóa của Libbitcoin Explorer được tạo từ chỉ 32 bit dữ liệu thời gian hệ thống. Tháng 5 vừa qua, lỗ hổng Ill Bloom cũng khiến các ví sử dụng bộ sinh số ngẫu nhiên JavaScript yếu bị rút mất 5,7 triệu USD.

Quỹ tài trợ đi theo các phát hiện lỗ hổng

Tổ chức phi lợi nhuận OpenSats, chuyên tài trợ cho phát triển Bitcoin, đã ra mắt chương trình tài trợ Code RED vào ngày 7/8, nhằm chi trả cho các nhà nghiên cứu công bố lỗ hổng, đồng thời hoàn trả chi phí sử dụng công cụ AI phục vụ quá trình rà soát.

Trong khi đó, giá $BTC giao dịch quanh mốc 64.396 USD, tăng 0,5% trong 24 giờ, cho thấy đợt rà soát bảo mật chưa tạo ra tác động đáng kể đến thị trường.

Cần lưu ý rằng các số liệu trên là những phát hiện (findings), chưa phải các lỗ hổng đã được xác nhận khai thác thực tế, và phần lớn có thể sẽ không bị lợi dụng. Tuy nhiên, dữ liệu hiện tại cho thấy sự cố Coldcard không phải là trường hợp cá biệt, và nhóm rủi ro cao nhất tiếp theo trong hệ sinh thái Bitcoin nhiều khả năng không nằm ở lĩnh vực ví cứng.