Trộm Bitcoin từ Coldcard bị nghi dùng dịch vụ blockchain lớn để rút tiền

Đợt tấn công đánh cắp hơn 70 triệu USD Bitcoin từ các ví Coldcard trong tuần này được cho là có liên quan đến việc kẻ tấn công đã sử dụng dịch vụ của một nhà cung cấp hạ tầng blockchain hàng đầu, theo một báo cáo mới.

Dấu vết từ mô hình giao dịch bất thường

Clay Garrett, kỹ sư tại công ty thanh toán Block, cho biết trên X hôm thứ Sáu rằng trong quá trình điều tra vụ rút tiền từ các ví Coldcard, nhóm của ông đã phát hiện một mô hình bất thường trong các giao dịch quét (sweep) tài sản.

"Mô hình đó dẫn chúng tôi đến một giả thuyết hiện đã được xác nhận: kẻ vận hành đã sử dụng một tài khoản trả phí tại một nhà cung cấp dịch vụ blockchain nổi tiếng để truy vấn các địa chỉ nguồn và thực hiện các hoạt động liên quan trong quá trình quét tài sản," Garrett viết. Ông không nêu tên nhà cung cấp này theo yêu cầu của chính công ty đó, đồng thời cho biết cơ quan chức năng đã được thông báo về vụ việc.

Bộ phận nghiên cứu của Galaxy Digital cũng xác nhận trên X rằng kẻ tấn công có mô hình di chuyển tài sản bất thường. Công ty này viết: "Mô hình này cho chúng ta biết đây đều là cùng một kẻ tấn công — nó không nắm bắt được bản thân cuộc tấn công, vốn trông giống hệt như khi chủ sở hữu coin tự di chuyển tài sản của họ." Theo phân tích của Galaxy Digital, người dùng Bitcoin nên cân nhắc chuyển tài sản ra khỏi các địa chỉ Coldcard single-signature sang các giải pháp lưu ký an toàn hơn.

Nguồn gốc: lỗi firmware trong Coldcard Mk3

Vụ việc bắt đầu lộ diện từ thứ Năm khi hơn 35 triệu USD Bitcoin bị rút khỏi các ví. Coinkite, công ty sản xuất Coldcard, sau đó xác nhận một lỗi firmware trên các thiết bị Coldcard Mk3 — bắt đầu xuất hiện từ phiên bản 4.0.1 phát hành tháng 3/2021 — đã khiến quá trình tạo seed (seed generation) chuyển sang dùng bộ tạo số giả ngẫu nhiên (Pseudorandom Number Generator) bằng phần mềm, thay vì bộ tạo số ngẫu nhiên thực bằng phần cứng như thiết kế ban đầu.

Lỗi này khiến private key của nhiều ví single-signature — đặc biệt là những ví được tạo mà không sử dụng phương pháp dice roll hoặc cụm mật khẩu BIP-39 đủ mạnh — trở nên đủ dễ đoán để kẻ tấn công có thể brute-force và chiếm quyền kiểm soát tài sản.

Coinkite thừa nhận toàn bộ dòng sản phẩm bị ảnh hưởng

Đến chiều thứ Sáu, sau khi ghi nhận thêm nhiều vụ rút tiền khác, Coinkite đã thừa nhận rằng tất cả các dòng sản phẩm của công ty, chứ không chỉ riêng Mk3, đều có thể tồn tại lỗ hổng tương tự. Tổng giá trị Bitcoin bị đánh cắp tính đến thời điểm hiện tại đã vượt mốc 70 triệu USD, trong khi các kỹ sư bảo mật cảnh báo rằng có thể còn nhiều địa chỉ Bitcoin khác đang ở trong tình trạng rủi ro.

Coinkite là công ty chuyên sản xuất các sản phẩm phần cứng liên quan đến Bitcoin, trong đó có các loại ví lưu trữ lạnh (cold storage hardware wallet) được nhiều người dùng cá nhân và tổ chức sử dụng để bảo quản tài sản.