Kẻ tấn công không cần quyền truy cập vật lý, email lừa đảo hay phần mềm độc hại. Bằng cách dịch ngược (reverse-engineering) đầu ra entropy bị suy yếu, chúng có thể tái tạo từ xa các cụm từ hạt giống 12 hoặc 24 từ của nạn nhân và rút sạch các ví chưa bao giờ được kết nối internet .

CEO của Coldcard, Rodolfo Novak, đã xác nhận vấn đề vào ngày 30/7/2026 và gợi ý rằng lỗ hổng này có thể đã được phát hiện bằng các công cụ AI có khả năng quét firmware mã nguồn mở để tìm điểm yếu entropy trên quy mô lớn .

Quy mô & Dòng thời gian Vụ trộm

Cuộc tấn công diễn ra theo nhiều đợt phối hợp:

• Ngày 30/7 - Đợt đầu tiên: Trong một đợt quét kéo dài 25 phút bắt đầu vào khoảng 21:56 giờ ET, kẻ tấn công đã rút khoảng 594 BTC (~38 triệu USD) từ khoảng 500 ví, nhắm vào các số dư lớn nhất trước . Chainalysis phát hiện ra rằng 30 triệu USD đã bị đánh cắp chỉ trong 10 phút đầu tiên .
• Ngày 31/7 – 4/8 - Đợt thứ hai và thứ ba: Các đợt quét bổ sung đã đẩy thiệt hại lên 1.596 BTC (~100 triệu USD+) trên khoảng 7.300 địa chỉ .
• Nghi ngờ có đợt thứ tư: Galaxy Research đã gắn cờ một đợt thứ tư có thể xảy ra, nếu được xác nhận, sẽ nâng tổng số lên 2.055 BTC (~130 triệu USD) .

Đến đầu tháng 8, TRM Labs đã phân loại sự cố Coldcard là vụ hack tiền mã hóa lớn thứ ba trong năm 2026 . Galaxy Research đã xác định ít nhất 15 kẻ tấn công riêng biệt hiện đang chạy đua để khai thác bất kỳ ví dễ bị tổn thương nào chưa được di chuyển .

Di chuyển quỹ ngày 7/8: 30,185 BTC (1,94 triệu USD)

Vào ngày 7/8/2026, một ví được liên kết với hacker Coldcard đã chuyển 30,185 BTC (~1,94 triệu USD) đến một địa chỉ mới được tạo, theo công cụ theo dõi trên chuỗi Lookonchain . Đây là lần di chuyển đầu tiên số tiền bị đánh cắp kể từ khi các vụ khai thác ban đầu bắt đầu.

• Giao dịch này chiếm khoảng 1,5% tổng số 2.055 BTC bị cướp .
• Các nhà phân tích giải thích đây là một giao dịch thử nghiệm tiềm năng hoặc bước đầu tiên hướng tới một đợt rút tiền mặt lớn hơn .
• Giá Bitcoin hầu như không phản ứng, giao dịch quanh mức 64.152 USD vào thời điểm đó .

90% Số Tiền Bị Đánh Cắp Vẫn Còn Nguyên

Sau giao dịch chuyển tiền ngày 7/8, khoảng 98,5% trong số ~2.055 BTC bị đánh cắp vẫn còn nguyên trong ví của hacker . Mô hình này phù hợp với những kẻ tấn công tinh vi, những kẻ chờ đợi hàng tháng hoặc hàng năm trước khi cố gắng rửa một số tiền lớn. Các công ty pháp y blockchain và các sàn giao dịch đang theo dõi chặt chẽ các địa chỉ này .

Phản ứng của Coinkite & Bản cập nhật Firmware

Coinkite đã hành động nhanh chóng sau khi phát hiện ra lỗ hổng vào ngày 30/7:

• Ngày 30/7 - Đưa ra cảnh báo bảo mật khẩn cấp, công bố lỗi một cách công khai .
• Ngày 31/7 - Phát hành bản vá firmware khẩn cấp cho mọi model và nhánh phát hành bị ảnh hưởng :

Cảnh báo quan trọng: Việc cài đặt firmware đã vá không sửa chữa được một hạt giống đã bị xâm phạm. Coinkite đã thông báo cho tất cả người dùng bị ảnh hưởng rằng hãy tạo một hạt giống mới trên firmware đã vá và di chuyển tiền của họ ngay lập tức . Công ty cũng đã tiêu hủy lượng hàng tồn kho còn lại được sản xuất bằng firmware dễ bị tấn công và tạm dừng vận chuyển .

Các Phiên bản Firmware Bị Ảnh hưởng

• Rủi ro cao nhất: Firmware Mk3 4.0.1 đến 4.1.9, các hạt giống được tạo mà không có ít nhất 50 lần tung xúc xắc độc lập hoặc cụm mật khẩu BIP-39 mạnh, duy nhất
• Cũng bị ảnh hưởng: Các model Mk4, Mk5 và Q trước các phiên bản firmware đã sửa được liệt kê ở trên
• Không bị ảnh hưởng: Các hạt giống được tạo trước giai đoạn firmware dễ bị tấn công; hạt giống sử dụng 50+ lần tung xúc xắc; hạt giống được bảo vệ bởi cụm mật khẩu BIP-39 duy nhất; thiết bị TAPSIGNER, OPENDIME và SATSCARD (các mã nguồn khác nhau); và các thiết lập multisig có ít nhất một khóa không bị ảnh hưởng

Hàm ý đối với Tự quản lý & Cộng đồng Tiền mã hóa

• Ví cứng không phải là bất khả xâm phạm. Sự cố Coldcard đã phá vỡ giả định rằng ví ngoại tuyến có khả năng miễn nhiễm với hành vi trộm hạt giống từ xa . Lỗ hổng này đã tồn tại không bị phát hiện trong firmware hơn 5 năm.
• Các hạt giống được tạo trên firmware dễ bị tấn công sẽ bị xâm phạm vĩnh viễn. Ngay cả sau khi cài đặt bản sửa lỗi, các hạt giống cũ vẫn có thể bị đoán . Người dùng phải tạo ví hoàn toàn mới và di chuyển tiền.
• Sự sợ hãi trên thị trường rộng lớn hơn. Glassnode báo cáo rằng khoảng 210.000 BTC đã được chuyển từ ví của những người nắm giữ dài hạn (không hoạt động trong 155+ ngày) trong tuần sau vụ hack - sự thay đổi lớn nhất kể từ năm 2024 - cho thấy sự mất niềm tin rộng rãi trong số những người nắm giữ Bitcoin tự quản lý .
• Kiểm toán do AI thúc đẩy đang tăng tốc. Các nhà nghiên cứu bảo mật lưu ý rằng cuộc tấn công có thể được hỗ trợ bởi các công cụ AI có thể quét firmware mã nguồn mở để tìm điểm yếu entropy trên quy mô lớn, một khả năng hiện đang được áp dụng nhanh chóng trong tất cả các dự án ví cứng .
• "Tôi đã làm mọi thứ đúng" không còn đủ nữa. Nhiều nạn nhân đã tuân theo các phương pháp tự quản lý tốt nhất và vẫn mất tất cả, nhấn mạnh rằng tính toàn vẹn của firmware là ranh giới mới của rủi ro ví cứng .

Kẻ tấn công không cần quyền truy cập vật lý, email lừa đảo hay phần mềm độc hại. Bằng cách dịch ngược (reverse-engineering) đầu ra entropy bị suy yếu, chúng có thể tái tạo từ xa các cụm từ hạt giống 12 hoặc 24 từ của nạn nhân và rút sạch các ví chưa bao giờ được kết nối internet .

CEO của Coldcard, Rodolfo Novak, đã xác nhận vấn đề vào ngày 30/7/2026 và gợi ý rằng lỗ hổng này có thể đã được phát hiện bằng các công cụ AI có khả năng quét firmware mã nguồn mở để tìm điểm yếu entropy trên quy mô lớn .

Quy mô & Dòng thời gian Vụ trộm

Cuộc tấn công diễn ra theo nhiều đợt phối hợp:

• Ngày 30/7 - Đợt đầu tiên: Trong một đợt quét kéo dài 25 phút bắt đầu vào khoảng 21:56 giờ ET, kẻ tấn công đã rút khoảng 594 BTC (~38 triệu USD) từ khoảng 500 ví, nhắm vào các số dư lớn nhất trước . Chainalysis phát hiện ra rằng 30 triệu USD đã bị đánh cắp chỉ trong 10 phút đầu tiên .
• Ngày 31/7 – 4/8 - Đợt thứ hai và thứ ba: Các đợt quét bổ sung đã đẩy thiệt hại lên 1.596 BTC (~100 triệu USD+) trên khoảng 7.300 địa chỉ .
• Nghi ngờ có đợt thứ tư: Galaxy Research đã gắn cờ một đợt thứ tư có thể xảy ra, nếu được xác nhận, sẽ nâng tổng số lên 2.055 BTC (~130 triệu USD) .

Đến đầu tháng 8, TRM Labs đã phân loại sự cố Coldcard là vụ hack tiền mã hóa lớn thứ ba trong năm 2026 . Galaxy Research đã xác định ít nhất 15 kẻ tấn công riêng biệt hiện đang chạy đua để khai thác bất kỳ ví dễ bị tổn thương nào chưa được di chuyển .

Di chuyển quỹ ngày 7/8: 30,185 BTC (1,94 triệu USD)

Vào ngày 7/8/2026, một ví được liên kết với hacker Coldcard đã chuyển 30,185 BTC (~1,94 triệu USD) đến một địa chỉ mới được tạo, theo công cụ theo dõi trên chuỗi Lookonchain . Đây là lần di chuyển đầu tiên số tiền bị đánh cắp kể từ khi các vụ khai thác ban đầu bắt đầu.

• Giao dịch này chiếm khoảng 1,5% tổng số 2.055 BTC bị cướp .
• Các nhà phân tích giải thích đây là một giao dịch thử nghiệm tiềm năng hoặc bước đầu tiên hướng tới một đợt rút tiền mặt lớn hơn .
• Giá Bitcoin hầu như không phản ứng, giao dịch quanh mức 64.152 USD vào thời điểm đó .

90% Số Tiền Bị Đánh Cắp Vẫn Còn Nguyên

Sau giao dịch chuyển tiền ngày 7/8, khoảng 98,5% trong số ~2.055 BTC bị đánh cắp vẫn còn nguyên trong ví của hacker . Mô hình này phù hợp với những kẻ tấn công tinh vi, những kẻ chờ đợi hàng tháng hoặc hàng năm trước khi cố gắng rửa một số tiền lớn. Các công ty pháp y blockchain và các sàn giao dịch đang theo dõi chặt chẽ các địa chỉ này .

Phản ứng của Coinkite & Bản cập nhật Firmware

Coinkite đã hành động nhanh chóng sau khi phát hiện ra lỗ hổng vào ngày 30/7:

• Ngày 30/7 - Đưa ra cảnh báo bảo mật khẩn cấp, công bố lỗi một cách công khai .
• Ngày 31/7 - Phát hành bản vá firmware khẩn cấp cho mọi model và nhánh phát hành bị ảnh hưởng :

Cảnh báo quan trọng: Việc cài đặt firmware đã vá không sửa chữa được một hạt giống đã bị xâm phạm. Coinkite đã thông báo cho tất cả người dùng bị ảnh hưởng rằng hãy tạo một hạt giống mới trên firmware đã vá và di chuyển tiền của họ ngay lập tức . Công ty cũng đã tiêu hủy lượng hàng tồn kho còn lại được sản xuất bằng firmware dễ bị tấn công và tạm dừng vận chuyển .

Các Phiên bản Firmware Bị Ảnh hưởng

• Rủi ro cao nhất: Firmware Mk3 4.0.1 đến 4.1.9, các hạt giống được tạo mà không có ít nhất 50 lần tung xúc xắc độc lập hoặc cụm mật khẩu BIP-39 mạnh, duy nhất
• Cũng bị ảnh hưởng: Các model Mk4, Mk5 và Q trước các phiên bản firmware đã sửa được liệt kê ở trên
• Không bị ảnh hưởng: Các hạt giống được tạo trước giai đoạn firmware dễ bị tấn công; hạt giống sử dụng 50+ lần tung xúc xắc; hạt giống được bảo vệ bởi cụm mật khẩu BIP-39 duy nhất; thiết bị TAPSIGNER, OPENDIME và SATSCARD (các mã nguồn khác nhau); và các thiết lập multisig có ít nhất một khóa không bị ảnh hưởng

Hàm ý đối với Tự quản lý & Cộng đồng Tiền mã hóa

• Ví cứng không phải là bất khả xâm phạm. Sự cố Coldcard đã phá vỡ giả định rằng ví ngoại tuyến có khả năng miễn nhiễm với hành vi trộm hạt giống từ xa . Lỗ hổng này đã tồn tại không bị phát hiện trong firmware hơn 5 năm.
• Các hạt giống được tạo trên firmware dễ bị tấn công sẽ bị xâm phạm vĩnh viễn. Ngay cả sau khi cài đặt bản sửa lỗi, các hạt giống cũ vẫn có thể bị đoán . Người dùng phải tạo ví hoàn toàn mới và di chuyển tiền.
• Sự sợ hãi trên thị trường rộng lớn hơn. Glassnode báo cáo rằng khoảng 210.000 BTC đã được chuyển từ ví của những người nắm giữ dài hạn (không hoạt động trong 155+ ngày) trong tuần sau vụ hack - sự thay đổi lớn nhất kể từ năm 2024 - cho thấy sự mất niềm tin rộng rãi trong số những người nắm giữ Bitcoin tự quản lý .
• Kiểm toán do AI thúc đẩy đang tăng tốc. Các nhà nghiên cứu bảo mật lưu ý rằng cuộc tấn công có thể được hỗ trợ bởi các công cụ AI có thể quét firmware mã nguồn mở để tìm điểm yếu entropy trên quy mô lớn, một khả năng hiện đang được áp dụng nhanh chóng trong tất cả các dự án ví cứng .
• "Tôi đã làm mọi thứ đúng" không còn đủ nữa. Nhiều nạn nhân đã tuân theo các phương pháp tự quản lý tốt nhất và vẫn mất tất cả, nhấn mạnh rằng tính toàn vẹn của firmware là ranh giới mới của rủi ro ví cứng .

• Mk3: phiên bản 4.2.0 trở lên
• Mk4/Mk5 tiêu chuẩn: phiên bản 5.6.0 trở lên
• Q tiêu chuẩn: phiên bản 1.5.0Q trở lên
• Mk4/Mk5 Edge: phiên bản 6.6.0X trở lên
• Q Edge: phiên bản 6.6.0QX trở lên

• Mk3: phiên bản 4.2.0 trở lên
• Mk4/Mk5 tiêu chuẩn: phiên bản 5.6.0 trở lên
• Q tiêu chuẩn: phiên bản 1.5.0Q trở lên
• Mk4/Mk5 Edge: phiên bản 6.6.0X trở lên
• Q Edge: phiên bản 6.6.0QX trở lên