Hai lỗ hổng bảo mật nghiêm trọng trong cơ sở hạ tầng Bitcoin bị phanh phui, gây thiệt hại hơn 116 triệu USD và buộc hệ sinh thái phải khẩn trương vá lỗi

Khai thác lỗi firmware Coldcard Mk3

Nguyên nhân gốc rễ: Một lỗi nghiêm trọng trong phiên bản firmware 4.0.0 của Coldcard, được phát hành vào tháng 3 năm 2021, khiến thiết bị bỏ qua chip tạo số ngẫu nhiên phần cứng chuyên dụng trong quá trình tạo seed. Thay vì độ bảo mật dự kiến 128+ bit, các seed chỉ có khoảng 40 bit bảo mật hiệu quả trên thiết bị Mk3 — khiến chúng có thể bị đoán một cách dễ dàng bởi những kẻ tấn công hiểu được điểm yếu này . Lỗi này ảnh hưởng đến các thiết bị Mk2 và Mk3 chạy phiên bản firmware 4.0.1 đến 4.1.9, cũng như các mẫu Mk4, Mk5 và Q trước các bản cập nhật firmware cụ thể .

Quy mô thiệt hại: Hơn 116 triệu USD Bitcoin đã bị đánh cắp từ hơn 5.200 địa chỉ trong bốn đợt tấn công . Chỉ riêng ngày 30 tháng 7, tin tặc đã rút 1.082,65 BTC (trị giá khoảng 70,2 triệu USD) từ 1.196 ví trong khoảng 41 phút — chỉ 30 giờ trước khi Coinkite, công ty đứng sau Coldcard, công khai tiết lộ lỗ hổng . Một đợt tấn công thứ hai đã rút khoảng 594 BTC từ khoảng 500 ví, và các đợt tiếp theo đã nâng tổng thiệt hại lên 1.816 BTC theo xác nhận của Galaxy Research .

Phản ứng: Coinkite đã phát hành firmware sửa lỗi, nhưng người dùng phải tạo seed mới hoàn toàn và di chuyển quỹ của họ, vì các seed cũ vẫn bị xâm phạm . Cựu CEO Binance, Changpeng Zhao, cảnh báo rằng ngay cả lưu trữ lạnh cũng không phải là an toàn tuyệt đối, nhấn mạnh rằng sự cố này cho thấy không có biện pháp bảo mật nào là tuyệt đối .

Khai thác thông tin đăng nhập Lightning trên BTCPay Server

Nguyên nhân gốc rễ: Một lỗi logic trong lớp xác thực API của BTCPay Server cho phép kẻ tấn công từ xa không cần xác thực truy cập vào các tệp thông tin đăng nhập .macaroon bảo vệ các Lightning node LND . Các thông tin đăng nhập này được sử dụng để xác thực API và khi có được, chúng cấp toàn quyền kiểm soát node Lightning liên quan .

Những gì đã bị đánh cắp: Tin tặc đã rút sạch các kênh Lightning Network trên các phiên bản BTCPay Server, nhắm vào các nạn nhân đã được xác nhận bao gồm nhà sản xuất ví phần cứng Foundation và tạp chí Bitcoin Citadel21 . Các ví on-chain tiêu chuẩn của BTCPay không bị ảnh hưởng .

Phản ứng: BTCPay Server đã phát hành phiên bản khẩn cấp 2.4.2 vào ngày 7 tháng 8, yêu cầu tất cả người vận hành cập nhật ngay lập tức hoặc đưa máy chủ của họ ngoại tuyến . Quan trọng là, bản vá ngăn chặn truy cập mới nhưng không vô hiệu hóa các thông tin đăng nhập đã bị đánh cắp — người vận hành cũng phải tự động thu hồi và xoay vòng các macaroon LND và di chuyển quỹ khỏi bất kỳ ví nóng on-chain nào do BTCPay tạo . BTCPay xác nhận tiền đã bị đánh cắp và các cuộc tấn công mà họ xem xét chỉ nhắm vào các tệp có phần mở rộng .macaroon .

Phản ứng của hệ sinh thái: Kiểm toán bảo mật do AI điều khiển

Bitcoin Red Team: Một nhóm tình nguyện do nhà phát triển Calle và CEO của AnchorWatch, Rob Hamilton, dẫn đầu, được tài trợ bởi OpenSats, đã khởi động một 'cuộc kiểm tra hệ sinh thái quy mô lớn' sử dụng nhiều mô hình AI bao gồm Kimi K3, GPT Sol, Fable, Opus và GLM5.2 .

Kết quả: Trong khoảng 30 giờ, nhóm đã quét 390 kho mã nguồn mở Bitcoin và nộp 4.962 báo cáo bảo mật, bao gồm 85 lỗ hổng mức nghiêm trọng và 635 lỗ hổng mức độ cao . Cuộc kiểm toán đã tiêu tốn hơn 40.000 USD cho việc tính toán AI . Nhóm đang tiết lộ các lỗ hổng một cách có trách nhiệm và có kế hoạch mở nguồn công cụ của họ để củng cố khả năng tự lưu ký Bitcoin và cơ sở hạ tầng tiền điện tử rộng lớn hơn .

Tác động: Lỗi của Coinkite đã thúc đẩy các nhà phát triển ví mã nguồn mở hướng tới kiểm toán mã bằng AI như một thông lệ tiêu chuẩn . Chính Coinkite cũng lưu ý rằng có khả năng 'ai đó đã sử dụng AI để xem xét các phiên bản firmware trước đây của chúng tôi' trong báo cáo sau sự cố của họ .

Cảnh báo di chuyển quỹ và hoạt động trên chuỗi

Bitcoin ghi nhận 2,27 triệu ví mới và 751.000 ví hoạt động trong tuần này — hoạt động trên chuỗi mạnh nhất trong nhiều tháng — khi những người nắm giữ chạy đua để chuyển quỹ khỏi các thiết bị Coldcard . Công ty nghiên cứu K33 báo cáo khoảng 890.000 BTC đã được chuyển trong bảy ngày trước đó, mức cung hoạt động hàng tuần cao nhất được ghi nhận trong năm 2026 . Cả Coinkite và BTCPay Server đều đưa ra cảnh báo công khai khẩn cấp rằng quỹ đang gặp rủi ro ngay lập tức và 'các cuộc tấn công đang diễn ra' .

Tác động đến giá Bitcoin

Bitcoin ban đầu giảm gần 3% xuống dưới 62.000 USD khi tin tức về vụ hack Coldcard được công bố vào ngày 31 tháng 7 . Tuy nhiên, giá đã phục hồi nhanh chóng. Đến thứ Hai, ngày 3 tháng 8, BTC đã vượt lên trên 64.000 USD — tăng 2,9% — khi các nhà phân tích ghi nhận tác động thị trường hạn chế của vụ hack và sự hiện diện của những người mua háo hức . Tính đến ngày 8 tháng 8, Bitcoin vẫn ở gần mức 64.000 USD, nhưng các nhà giao dịch vẫn lo lắng, với Forbes đưa tin rằng BTC đang 'sẵn sàng cho nhiều vụ khai thác nghiêm trọng hơn' giữa tin tức về BTCPay . Giá nhìn chung vẫn giữ vững bất chấp các cú sốc cơ sở hạ tầng liên tiếp, phản ánh sức chịu đựng của thị trường.

Bài học chính cho bảo mật tự lưu ký

Các sự kiện trong tuần này nhấn mạnh một số bài học quan trọng cho những người nắm giữ Bitcoin và nhà vận hành cơ sở hạ tầng:

• Firmware quan trọng: Ngay cả ví phần cứng cũng có thể có lỗi firmware nghiêm trọng. Thường xuyên xác minh phiên bản firmware của bạn và cập nhật thông tin về các cảnh báo bảo mật.
• Tạo seed là tối quan trọng: Khai thác Coldcard hoạt động vì các seed được tạo với độ ngẫu nhiên có thể dự đoán được. Nếu seed của bạn được tạo trên firmware dễ bị tấn công, nó đã bị xâm phạm bất kể firmware bạn đang sử dụng bây giờ là gì .
• AI là con dao hai lưỡi: Phát hiện lỗ hổng hỗ trợ AI có thể được sử dụng bởi cả kẻ tấn công và người phòng thủ. Cuộc kiểm toán của Bitcoin Red Team chứng minh tiềm năng của AI trong việc cải thiện bảo mật ở quy mô lớn .
• Hành động ngay lập tức là cần thiết: Cả người dùng Coldcard và BTCPay Server có thể bị ảnh hưởng phải di chuyển quỹ và xoay vòng thông tin đăng nhập ngay lập tức, vì việc khai thác vẫn đang diễn ra .