Coldcard kêu gọi người dùng chuyển bitcoin khẩn cấp khi lỗ hổng vẫn đang bị khai thác, thiệt hại tới 114 triệu USD

Nhóm phát triển ví phần cứng Coldcard cảnh báo người dùng cần chuyển bitcoin ngay lập tức, đồng thời xác nhận vào thứ Ba rằng cuộc tấn công đang khai thác lỗ hổng và rút tiền khỏi các ví tự lưu ký vẫn chưa dừng lại. Công ty nhấn mạnh đây không phải khuyến cáo mang tính phòng ngừa, yêu cầu người dùng làm theo hướng dẫn dành cho đúng phiên bản thiết bị, cập nhật máy, tạo seed mới và chuyển tài sản một cách cẩn trọng. Coldcard cũng kêu gọi lan truyền cảnh báo tới những người "ít online" vì nhóm này dễ bỏ lỡ thông tin, trong khi việc khắc phục cần thao tác thủ công. Theo CoinDesk, trong ngày thứ Hai đã xuất hiện dấu hiệu của "làn sóng quét" thứ tư, cuốn đi khoảng 449 BTC từ 709 địa chỉ theo thống kê cập nhật của Galaxy Research, nâng tổng thiệt hại ước tính từ khoảng 89 triệu USD lên mức có thể tới 114 triệu USD. Nguồn gốc vấn đề được cho là nằm ở một đoạn firmware tồn tại từ năm 2021 nhưng trước đó ở trạng thái tiềm ẩn, như CoinDesk đưa tin hôm thứ Sáu. Vì vậy, các ví theo cơ chế một khóa kiểm soát toàn bộ tiền và không cần lớp phê duyệt thứ hai vẫn chịu rủi ro cho tới khi chủ sở hữu chủ động xử lý. Rủi ro chỉ tập trung ở một số dòng máy và phiên bản firmware nhất định. Với Mk3 (mẫu 2019), Coldcard khuyến nghị chuyển tiền ngay nếu ví được thiết lập trên firmware 4.0.1 trở lên. Coinkite cho biết ngoại lệ là các trường hợp dùng tùy chọn "dice": người dùng tự gieo xúc xắc tối thiểu 50 lần, nhập kết quả để thiết bị tạo khóa từ dãy số đó thay vì tự sinh. Những ví này không động tới đoạn mã bị lỗi nên được xem là an toàn. Với người dùng Mk4, Mk5 và Q đang chạy firmware thấp hơn 5.6.0 hoặc 1.5.0Q, khuyến nghị là cập nhật firmware, tạo ví mới rồi chuyển coin sang. Seed là khóa gốc kiểm soát tài sản trong ví. Nếu seed được tạo ra từ nguồn ngẫu nhiên (entropy) kém, kẻ tấn công có thể đoán và tái tạo seed, sau đó rút sạch tiền mà không cần chạm vào thiết bị. Ông Bouzon nói với CoinDesk qua email rằng mọi ví đều phụ thuộc vào "một bí mật gốc được tạo từ entropy chất lượng cao" và việc tạo entropy "phải dựa trên phần cứng an toàn, với kiến trúc không thể âm thầm hạ cấp xuống nguồn phần mềm không đáng tin cậy". Ông cho rằng các lựa chọn khác còn tệ hơn: ví phần mềm trên phần cứng không an toàn rủi ro hơn, còn gửi tiền lên sàn tập trung "không phải sở hữu, mà là một khoản ghi nợ (IOU)". Theo dữ liệu CoinDesk, trong phiên sáng sớm tại Mỹ ngày thứ Ba, bitcoin giao dịch quanh 63.800 USD, hầu như không biến động sau cảnh báo của Coldcard.