Lỗi Firmware Năm 2021 Biến Ví Lạnh Thành 'Mồ Hôi' – Vụ Trộm Bitcoin 116 Triệu USD Từ Ví Coldcard

Vụ khai thác ví cứng Coldcard bắt đầu từ ngày 30/7/2026 được ghi nhận là vụ vi phạm ví cứng lớn nhất từ trước đến nay. Một lỗi firmware được giới thiệu từ tháng 3/2021 đã cắt giảm độ ngẫu nhiên (entropy) của quá trình tạo seed ví từ 128 bit xuống chỉ còn 40 bit, cho phép kẻ tấn công brute-force khóa cá nhân từ xa và rút Bitcoin qua bốn đợt tấn công phối hợp. Tổng số Bitcoin bị đánh cắp được xác nhận là khoảng 1.816 BTC — trị giá khoảng 116 triệu USD tại thời điểm đó — từ hơn 5.200 địa chỉ . Hậu quả lan rộng khắp toàn bộ mạng lưới Bitcoin, gây ra một đợt di cư trị giá 15 tỷ USD từ các ví nắm giữ dài hạn và kỷ lục về số lượng ví mới được tạo ra.

Nguyên Nhân Lỗ Hổng: Một Cờ Biên Dịch (Build Flag) Phá Vỡ Tính Ngẫu Nhiên

Nguyên nhân gốc rễ là một lỗi tích hợp firmware được giới thiệu trong một bản cập nhật Coldcard vào tháng 3 năm 2021. Các phiên bản bị ảnh hưởng — đặc biệt là Coldcard Mk2 và Mk3 chạy firmware 4.0.0 đến 5.0.3 — đã bỏ qua bộ tạo số ngẫu nhiên phần cứng (RNG) chuyên dụng của thiết bị trong quá trình tạo seed ví . Thay vì mức entropy 128 bit như thiết kế, firmware đã định tuyến việc tạo seed thông qua một bộ tạo số giả ngẫu nhiên phần mềm, tạo ra các seed chỉ có entropy lên tới 40 bit, làm giảm không gian seed khả thi xuống còn khoảng 4 tỷ giá trị .

Điều này khiến cho các seed có thể bị dự đoán và brute-force từ xa dựa trên dữ liệu công khai như số sê-ri thiết bị và chỉ số đồng hồ, mà không cần truy cập vật lý vào ví . Những người dùng tự tung xúc xắc (dice) trong quá trình thiết lập (bỏ qua seed do thiết bị tạo ra) sẽ không bị ảnh hưởng .

Dòng Thời Gian Vụ Tấn Công: Bốn Đợt Trong Năm Ngày

• Tháng 3 năm 2021 — Mã firmware bị lỗi được giới thiệu trong một bản cập nhật Coldcard.
• Ngày 30/7/2026, 01:10–01:51 UTC — Đợt quét lớn đầu tiên: 1.082,65 BTC (trị giá ~70 triệu USD vào thời điểm đó) bị rút khỏi 1.196 địa chỉ chỉ trong 41 phút . Cuộc tấn công bắt đầu gần 30 giờ trước khi Coinkite đưa ra cảnh báo công khai .
• Tối ngày 30/7/2026 (giờ ET) — Đợt quét thứ hai kéo dài 25 phút, rút khoảng 594 BTC (~38 triệu USD) từ khoảng 500 ví .
• Cuối tháng 7 đến ngày 3/8/2026 — Ít nhất hai đợt phối hợp nữa đã diễn ra, với Galaxy Research theo dõi ba đợt đã được xác nhận và 14 sự cố nhỏ hơn .
• Ngày 31/7/2026 — Coinkite phát hành các bản vá firmware khẩn cấp cho tất cả các phiên bản và dòng phát hành bị ảnh hưởng .
• Ngày 1–4/8/2026 — Các cảnh báo công khai leo thang khi kẻ tấn công tiếp tục rút Bitcoin. Galaxy Research liên tục điều chỉnh tăng ước tính thiệt hại .
• Ngày 7–12/8/2026 — Dữ liệu hậu quả trên chuỗi xuất hiện, cho thấy sự di cư quy mô lớn của người nắm giữ và kỷ lục tạo ví mới .

Tổng Số Tiền Bị Đánh Cắp

Các ước tính khác nhau trong suốt diễn biến vụ việc, nhưng con số toàn diện nhất đến từ TRM Labs và Galaxy Research: khoảng 1.816 BTC (~116 triệu USD) bị đánh cắp từ hơn 5.200 địa chỉ qua bốn đợt tấn công . Các báo cáo trước đó đưa ra con số thấp hơn (1.367 BTC từ 4.585 địa chỉ, tương đương ~89 triệu USD) khi cuộc điều tra vẫn chưa hoàn tất . Một số nguồn ước tính tổng thiệt hại cuối cùng có thể lên tới 2.055 BTC (~130 triệu USD) nếu đợt thứ tư bị nghi ngờ được xác minh đầy đủ .

Cuộc Di Cư 15 Tỷ USD: 233.000 BTC Rời Khỏi Ví Dài Hạn

Trong những ngày sau vụ vi phạm, các công ty phân tích on-chain ghi nhận một làn sóng tháo chạy tìm nơi an toàn:

• Dữ liệu từ Checkonchain cho thấy 233.000 BTC đã rời khỏi ví của những người nắm giữ dài hạn, trị giá khoảng 15 tỷ USD .
• Glassnode báo cáo khoảng 210.000 BTC (~13,69 tỷ USD) đã rời khỏi các ví không hoạt động trên 155 ngày — mức giảm hàng tuần lớn nhất của Bitcoin được nắm giữ trong thời gian dài kể từ tháng 12/2024 .

Sự di cư này phản ánh cả việc người dùng Coldcard chuyển tiền sang ví mới và một sự hoảng loạn rộng hơn khi những người nắm giữ dài hạn — bao gồm cả người dùng Ledger và Trezor, theo Giám đốc điều hành Casa Nick Neuman — chuyển tiền sang các hình thức lưu ký khác .

Kỷ Lục Tạo Ví Mới: 2,27 Triệu Ví Trong Một Tuần

Trong tuần kết thúc vào khoảng ngày 8/8/2026, Bitcoin đã thiết lập mức cao nhất của năm 2026 cho hoạt động on-chain:

• 2,27 triệu ví mới được tạo ra.
• 751.000 ví hoạt động được ghi nhận.

Sự gia tăng đột biến này được thúc đẩy trực tiếp bởi những người nắm giữ tranh nhau chuyển tiền khỏi các thiết bị Coldcard và tạo ra các ví hoàn toàn mới trên các phần cứng khác nhau .

Cuộc Tranh Luận Về Tự Lưu Ký (Self-Custody)

Vụ khai thác đã gây ra một cuộc tranh luận gay gắt về các giả định bảo mật của ví cứng và việc tự lưu ký:

• Nick Neuman, Giám đốc điều hành Casa, báo cáo rằng một số khách hàng, viện dẫn vụ vi phạm Coldcard, đang xem xét lại hoàn toàn việc tự lưu ký và chuyển sang các nhà lưu ký có đủ điều kiện .
• Các chuyên gia bảo mật lưu ý rằng ngay cả ví 'lạnh' cũng chỉ an toàn khi firmware và việc triển khai RNG của chúng đảm bảo. Cuộc tấn công không yêu cầu truy cập vật lý và không có lỗi người dùng, làm lung lay niềm tin vào lời hứa cốt lõi của ví cứng .

Cảnh Báo Quan Trọng Từ Coinkite: Phải Tạo Seed Mới Hoàn Toàn

Coinkite đã đưa ra một cảnh báo khẩn cấp rằng chỉ vá firmware là không đủ cho người dùng bị ảnh hưởng:

• Các seed được tạo trên firmware dễ bị tấn công là bị xâm phạm vĩnh viễn. Entropy yếu có nghĩa là cụm từ seed nằm trong không gian brute-force của kẻ tấn công.
• Người dùng được hướng dẫn tạo một seed hoàn toàn mới trên phần cứng đã được vá hoặc không bị ảnh hưởng, chuyển tiền sang ví mới và không bao giờ sử dụng lại seed cũ .
• Chỉ cập nhật firmware sẽ không thể củng cố một seed vốn đã yếu .