Coldcard Phát Hành Firmware Vá Lỗi Sau Vụ Hack Nghi Liên Quan Đến AI

Lỗ hổng nghiêm trọng trong Coldcard

Coinkite, một trong những nhà sản xuất ví cứng Bitcoin uy tín nhất, vừa xác nhận phát hiện lỗ hổng nghiêm trọng trong cách thiết bị tạo private key an toàn. Sự việc bắt đầu được thảo luận rộng rãi trên mạng xã hội vào chiều ngày 30/7, và tính đến nay ước tính hơn 1.000 BTC đã bị đánh cắp, tương đương thiệt hại hơn 70 triệu USD chỉ trong 24 giờ.

Các thiết bị Coldcard MK3 chạy firmware từ phiên bản 4.0.1 (tháng 3/2021) đến 4.1.9 chịu ảnh hưởng nặng nề nhất. Cụ thể, các seed phrase 12 hoặc 24 từ được tạo ra mà không sử dụng tính năng tung xúc xắc (dice roll) để tăng entropy, hoặc không có passphrase mở rộng theo chuẩn BIP 39, đều tiềm ẩn nguy cơ bị xâm phạm. Coinkite khuyến cáo người dùng thuộc diện này nên nhanh chóng chuyển tài sản khỏi ví hiện tại.

Firmware vá lỗi đã được phát hành

Theo thông báo cập nhật lúc 9:33 sáng ngày 31/7 (giờ EDT), Coinkite đã phát hành firmware vá lỗi cho toàn bộ dòng sản phẩm:

• MK4 và MK5: cập nhật lên phiên bản 5.6.0 trở lên
• Coldcard Q: cập nhật lên phiên bản 1.5.0Q trở lên
• MK3: cập nhật lên phiên bản 4.2.0 trở lên

Coinkite nhấn mạnh rằng việc cập nhật firmware không tự động khắc phục các private key và public key đã được tạo ra trước đó bằng firmware lỗi. Những key này vẫn tiềm ẩn rủi ro vì về bản chất được tạo ra với "mật khẩu yếu". Người dùng cần tạo ví mới sau khi cập nhật firmware và chuyển toàn bộ tài sản on-chain sang địa chỉ mới để đảm bảo an toàn.

Rủi ro riêng với ví Multisignature

Peter Todd, contributor của Bitcoin Core kiêm chuyên gia bảo mật, đã chỉ ra một số trường hợp đặc biệt đối với ví multisig sử dụng nhiều Coldcard. Ví dụ, với thiết lập 2-trong-3 gồm 2 Coldcard và 1 thiết bị không bị ảnh hưởng, ngay khi script multisig lần đầu được tiết lộ trên chuỗi, kẻ tấn công có thể dùng 2 key bị xâm phạm để tạo giao dịch cạnh tranh với phí cao hơn nhằm đánh cắp tài sản trước khi giao dịch gốc được xác nhận.

Theo phân tích của Todd, dịch vụ private mempool mang tên Slipstream của mining pool MARA có thể giúp giảm thiểu rủi ro này, do dịch vụ giữ bí mật giao dịch và public key cho đến khi được đưa vào block.

Nghi vấn AI và tác động dài hạn

NVK, đồng sáng lập Coldcard, đã đăng phân tích trên X cho rằng công nghệ AI đang làm thay đổi căn bản cục diện an ninh mạng. Ông viết: "AI-assisted code review hiện có thể phát hiện các lỗi tiềm ẩn với tốc độ vượt qua cả những chuyên gia dày dạn kinh nghiệm nhất trong ngành."

Với khoản "phần thưởng" ước tính hơn 70 triệu USD từ vụ hack, giới chuyên gia nhận định các dự án ví khác, đặc biệt là những dự án mã nguồn mở liên quan đến tạo private key, nhiều khả năng sẽ tiếp tục bị soi xét và kiểm thử trong thời gian tới.

Hướng đi tương lai của ngành self-custody

Sự cố cũng làm dấy lên thảo luận về các giải pháp dài hạn, bao gồm:

• Ví multisig đa nhà cung cấp, đa codebase nhằm phân tán rủi ro
• Entropy do người dùng tự tạo (dice roll) như một nguồn ngẫu nhiên độc lập với phần mềm và phần cứng
• Covenants — đề xuất soft fork đang được thảo luận, có thể mở khóa các tính năng smart contract như giới hạn địa chỉ nhận cho ví

Theo phân tích của giới chuyên gia tham gia buổi thảo luận trên X Spaces, các công ty trong ngành sẽ cần liên tục kiểm thử bảo mật mã nguồn bằng các mô hình AI tiên tiến nhất, xem đây như một yêu cầu sống còn trong bối cảnh an ninh mạng mới.