Coldcard mất 100 triệu USD: Kẻ trộm không vội, và đó mới là điều đáng sợ

Hơn 100 triệu USD Bitcoin đã bị rút khỏi những chiếc Coldcard – dòng ví lạnh được cộng đồng tự lưu trữ tôn làm “két sắt thép”. Galaxy Research xác nhận ba đợt tấn công riêng biệt. Một đợt thứ tư đang lấp ló ở phía chân trời. Và điểm đáng sợ nhất không phải là con số bị trộm: 90% số Bitcoin đó vẫn chưa được di chuyển khỏi ví của kẻ tấn công. Nhiều người sẽ coi đây là tin mừng. Tôi coi đó là dấu hiệu của một ván cờ đang được chơi có chủ đích. Kẻ trộm không vội. Và khi kẻ trộm không vội, người bị trộm nên bắt đầu lo sợ. Bong bóng an toàn lại nổ. Ai còn đứng lại để kiểm tra nền móng? Với những ai chưa biết: Coldcard là ví phần cứng do Coinkite sản xuất, được thiết kế để lưu trữ private key hoàn toàn ngoại tuyến. Đây không phải là Ledger hay Trezor hướng tới người dùng phổ thông. Coldcard là công cụ của những người theo chủ nghĩa tối đa Bitcoin, người coi trọng quyền tự quản lý tài sản hơn mọi tiện ích. Họ chấp nhận giao diện khó dùng, chấp nhận phải tự xác minh chữ ký số, chấp nhận hy sinh trải nghiệm để đổi lấy thứ họ tin là an toàn tuyệt đối. Bối cảnh thị trường hiện tại càng khiến sự việc trở nên nhức nhối. Thị trường giảm, thanh khoản mỏng, và tâm lý chung là “tự giữ lấy tài sản của mình” để tránh sụp đổ của các sàn giao dịch. Nhưng nếu ngay cả công cụ được coi là an toàn nhất cũng bị tấn công ở quy mô hàng trăm triệu đô la, thì câu chuyện “self-custody là cứu cánh” bắt đầu nứt. Galaxy Research – một trong những đơn vị nghiên cứu uy tín nhất – đã công bố dữ liệu này. Họ không nói chi tiết kỹ thuật về cách tấn công. Nhưng chính việc họ xác nhận ba đợt tấn công riêng biệt và nghi ngờ có đợt thứ tư khiến tôi phải đặt câu hỏi lớn hơn: đây không phải một vụ trộm may mắn, đây là một chiến dịch có tổ chức. Bây giờ, nói về con số. 100 triệu USD, với giá Bitcoin hiện tại, xấp xỉ 1.500 BTC. Điều đó có nghĩa là kẻ tấn công đã kiểm soát được private key của hơn một nghìn ví? Hoặc một số ít ví có số dư lớn? Chúng ta chưa biết. Nhưng ba đợt tấn công được xác nhận cho thấy một mô thức: không phải một lỗ hổng cá biệt, mà là một lỗ hổng mang tính hệ thống. Các đợt tấn công diễn ra tuần tự, mỗi đợt nhắm vào một nhóm người dùng, giống như kẻ trộm đang thử nghiệm và mở rộng phạm vi. Câu hỏi kỹ thuật đầu tiên tôi đặt ra: vectơ tấn công là gì? Với một ví lạnh, private key không bao giờ chạm vào thiết bị kết nối Internet. Muốn đánh cắp được, kẻ tấn công phải có quyền truy cập vào một trong các điểm yếu: thiết bị vật lý trước khi đến tay người dùng, chương trình cơ sở (firmware) của thiết bị, hoặc quá trình tạo seed phrase. Ba đợt tấn công diện rộng như vậy khó có thể giải thích bằng việc hacker đột nhập vào nhà từng nạn nhân. Khả năng cao là chuỗi cung ứng đã bị can thiệp – một lô hàng Coldcard bị chặn giữa đường, bị mở niêm phong, gắn thêm linh kiện hoặc thay thế firmware trước khi đến tay người dùng. Đây không phải chuyện mới trong ngành phần cứng, nhưng trước giờ chưa từng được ghi nhận ở quy mô 100 triệu USD. Kinh nghiệm của tôi từ việc kiểm toán hợp đồng thông minh dạy tôi một điều: kẻ tấn công luôn chọn nơi ít được chú ý nhất. Năm 2017, khi tôi tìm thấy lỗi reentrancy trong một hợp đồng ICO, nó không nằm ở đoạn mã phức tạp mà ở chỗ xử lý rút tiền tưởng chừng đơn giản. Với Coldcard, điểm mù lớn nhất chính là giai đoạn từ nhà máy sản xuất đến tay người dùng – nơi không một người dùng nào có thể kiểm soát, và nơi mà ngay cả những người kỹ tính nhất cũng hiếm khi kiểm tra toàn bộ chuỗi tin cậy. Kẻ tấn công tinh vi không phá khóa két sắt. Chúng đánh cắp chiếc két sắt trước khi nó được bàn giao, rồi trả lại một chiếc két sắt khác trông giống hệt, nhưng chìa khóa thì đã thuộc về chúng. Điều quan trọng tiếp theo: vì sao 90% số Bitcoin bị đánh cắp vẫn chưa được chuyển đi? Có hai cách giải thích. Cách thứ nhất: kẻ tấn công chưa thể phá vỡ lớp bảo vệ của ví, hoặc không thể chuyển số tiền lớn qua các sàn giao dịch mà không bị phát hiện. Cách thứ hai – tôi nghiêng về cách này – kẻ tấn công đang cố tình giữ lại. Chúng biết rằng nếu chuyển ngay 1.500 BTC vào một sàn giao dịch, lượng tiền lớn sẽ gây trượt giá, thu hút sự chú ý của các cơ quan thực thi pháp luật và các công ty phân tích chuỗi khối. Thay vào đó, chúng có thể đang chờ thị trường phục hồi, chờ thanh khoản dày lên, hoặc đang chia nhỏ số tiền ra thành hàng nghìn địa chỉ mới để che giấu dấu vết. Sự tĩnh lặng trên chuỗi không phải là dấu hiệu an toàn; đó là dấu hiệu của một cuộc rút lui có chiến lược. Thêm vào đó, nghi ngờ về đợt tấn công thứ tư. Nếu đợt thứ tư được xác nhận, tổng thiệt hại có thể lên tới 130 triệu USD. Nhưng quan trọng hơn con số: nó cho thấy chiến dịch vẫn đang tiếp diễn. Kẻ tấn công không hề dừng lại. Chúng có thể đang khai thác thêm các điểm yếu mới hoặc đã chiếm được quyền kiểm soát một kênh phân phối nào đó mà chúng có thể sử dụng lặp đi lặp lại. Điều đó có nghĩa là những người đang sở hữu Coldcard, đặc biệt là những người mua qua các kênh không chính thức, không nên chủ quan. Hãy so sánh với lịch sử. Năm 2020, vụ rò rỉ cơ sở dữ liệu tiếp thị của Ledger dẫn đến một làn sóng lừa đảo qua email, nhưng không đánh cắp được private key. Năm 2021, Trezor bị chứng minh có thể bị tấn công vật lý nếu kẻ tấn công tiếp cận được thiết bị, nhưng chỉ ở quy mô nhỏ lẻ, nhắm vào mục tiêu cụ thể. Chưa từng có vụ việc nào trong lịch sử ngành phần cứng mà kẻ tấn công đánh cắp được tiền từ nhiều đợt, quy mô lớn như vậy từ một dòng ví lạnh. Nếu cuộc tấn công này thực sự bắt nguồn từ chuỗi cung ứng, nó sẽ trở thành cột mốc đáng xấu hổ cho toàn ngành: loại ví được quảng cáo là “không thể bị hack” lại bị hack ngay trước khi người dùng kịp chạm vào. Tác động về mặt thị trường sẽ như thế nào? Trong ngắn hạn, giá Bitcoin có thể không phản ứng mạnh vì thị trường đã quá tải với các tin tức tiêu cực. Nhưng về lâu dài, câu chuyện “self-custody là an toàn tuyệt đối” đang bị đặt dấu hỏi. Một phần người dùng có thể quay trở lại với các giải pháp lưu ký tập trung – một điều mỉa mai, bởi chính họ rời bỏ các sàn giao dịch vì những vụ sụp đổ như FTX. Một phần khác có thể chuyển sang các giải pháp đa chữ ký hoặc tính toán đa bên (MPC), nơi không có một điểm hỏng duy nhất. Về phần Coldcard, nếu công ty không nhanh chóng công bố chi tiết kỹ thuật, liệt kê các lô hàng bị ảnh hưởng và hướng dẫn người dùng cách kiểm tra, họ sẽ mất đi vị thế là biểu tượng của sự an toàn tuyệt đối. Với cộng đồng tiền mã hóa Việt Nam, nơi mà việc tự lưu trữ được xem như một nghiệp vụ bắt buộc, thông điệp này càng cần được lan tỏa. Điều tôi sắp nói có thể đi ngược lại số đông: đừng vội đổ lỗi cho Coldcard hoặc phần cứng. Nếu cuộc tấn công thực sự xảy ra ở chuỗi cung ứng, thì vấn đề nằm ở niềm tin mù quáng của chính người dùng. Họ tin rằng mua một thiết bị từ một thương hiệu nổi tiếng là đủ an toàn, mà quên mất rằng an toàn là một quá trình, không phải một sản phẩm. Họ không kiểm tra nguồn gốc lô hàng, không xác minh tem chống giả, không kiểm tra chữ ký firmware của thiết bị trước khi sử dụng. Kẻ tấn công không cần phá vỡ mã hóa; chúng chỉ cần lợi dụng sự lơ là của con người. Và nếu bạn cho rằng “tôi mua thẳng từ trang chủ nên không sao”, hãy nghĩ lại: liệu bạn có biết chiếc ví của mình đã đi qua bao nhiêu trạm trung chuyển trước khi tới tay bạn? Ở mỗi trạm, ai có quyền động vào nó? Câu trả lời đáng sợ hơn bạn nghĩ. Vụ trộm 100 triệu USD từ Coldcard là một hồi chuông không phải cho riêng Coldcard, mà cho toàn bộ tư duy tự lưu trữ hiện nay. Bạn có thể vẫn dùng ví lạnh, nhưng hãy coi nó là một lớp bảo mật, không phải là toàn bộ bức tường thành. Hãy kiểm tra thiết bị, xác minh nguồn gốc, và quan trọng hơn, đừng bao giờ tin vào bất kỳ một công cụ nào một cách tuyệt đối. Khi 90% số tiền bị đánh cắp vẫn đang nằm im, kẻ trộm đang đợi bạn ngủ quên. Niềm tin lại vỡ. Ai còn đủ tỉnh táo để tự kiểm tra lại két sắt của mình?