Vụ hack ví cứng Coldcard năm 2026: Phân tích chi tiết vụ khai thác lỗi firmware trị giá 130 triệu đô la

Vào ngày 30 tháng 7 năm 2026, một sự cố bảo mật đã bắt đầu diễn ra và nhanh chóng trở thành vụ trộm lớn nhất từ trước đến nay nhắm vào các ví cứng Bitcoin. Trong tuần tiếp theo, tin tặc đã rút sạch từ 1.596 đến 2.055 BTC (khoảng 100 triệu đến 130 triệu USD) từ các thiết bị Coldcard — những chiếc ví vốn được tiếp thị như tiêu chuẩn vàng cho bảo mật lưu trữ lạnh . Nguyên nhân gốc rễ là một lỗi macro tiền xử lý duy nhất được đưa vào firmware vào tháng 3 năm 2021, âm thầm làm sụp đổ tính ngẫu nhiên mã hóa của quá trình tạo seed từ mức an toàn 128 bit xuống chỉ còn khoảng 40 bit . Bài viết này cung cấp một tường thuật toàn diện về vụ vi phạm, dựa trên các báo cáo từ Galaxy Research, TRM Labs, Forbes, Fortune, TechCrunch, The Block, Cointelegraph và nhiều nguồn khác.

Quy mô của vụ vi phạm: Thiệt hại tính bằng BTC và USD

Cuộc tấn công diễn ra theo ít nhất bốn đợt leo thang. Con số được xác nhận trong ba đợt đầu tiên là 1.596 BTC bị đánh cắp từ khoảng 7.300 địa chỉ, cùng với một đợt thứ tư bị nghi ngờ có thể đẩy tổng số lên khoảng 2.000–2.055 BTC . Các công ty phân tích blockchain khác nhau báo cáo các con số hơi khác nhau do thời điểm thống kê khác nhau và việc có bao gồm hoạt động đợt thứ tư chưa được xác nhận hay không :

Nguồn	BTC bị đánh cắp	Tương đương USD
Galaxy Research (đã xác nhận)	~1.596 BTC	~100 triệu USD+
Galaxy Research (bao gồm đợt 4)	~2.000 BTC	~130 triệu USD
TRM Labs	~1.816 BTC	~116 triệu USD
K33	—	~114 triệu USD
CryptoQuant / các nguồn khác	1.432–1.367 BTC	~89 triệu–100 triệu USD

Galaxy Research đã xác định ít nhất 15 kẻ tấn công riêng biệt khai thác lỗ hổng cùng lúc . Đáng chú ý, 90% số BTC bị đánh cắp vẫn chưa được di chuyển tính đến đầu tháng 8, với Galaxy cung cấp địa chỉ của kẻ tấn công cho cơ quan thực thi pháp luật liên bang Hoa Kỳ .

Nguyên nhân gốc rễ: Lỗi firmware từ tháng 3 năm 2021

Lỗ hổng này là một lỗi macro tiền xử lý được đưa vào firmware Coldcard v4.0.1, phát hành vào tháng 3 năm 2021 . Một bộ bảo vệ tiền xử lý C đã kiểm tra xem một macro có được định nghĩa hay không thay vì kiểm tra giá trị của nó. Điều này khiến trình liên kết giải quyết việc tạo seed dựa trên bộ sinh số giả ngẫu nhiên (PRNG) phần mềm tất định thay vì bộ sinh số ngẫu nhiên phần cứng (TRNG) STM32 . Lỗi này đã nằm im không bị phát hiện trong mã nguồn mở hơn năm năm .

Sự sụp đổ entropy: Trên các thiết bị Mk2 và Mk3 (chạy firmware v4.0.1 đến v4.1.9), entropy hiệu dụng giảm từ mức dự kiến 128 bit xuống còn khoảng ~40 bit . Trên các mẫu Mk4, Mk5 và Q, đường dẫn dự phòng tạo ra khoảng 72 bit — cũng dưới mức quy định . Các seed được tạo với entropy ~40 bit có thể bị brute-force mà không cần truy cập vật lý vào thiết bị .

Dòng thời gian khai thác

Cuộc tấn công tiến triển với tốc độ đáng báo động:

• Ngày 30 tháng 7 năm 2026, khoảng 01:10–01:56 UTC: Kẻ tấn công đầu tiên đã quét sạch khoảng 594 BTC (~38 triệu USD) từ ~500 ví đơn chữ ký trong một khung ba block (khoảng 25 phút) . Kẻ tấn công đã brute-force các seed yếu trong 41 phút .
• Đến ngày 1 tháng 8: Thiệt hại lên tới ~1.082 BTC. Một đợt tấn công thứ hai đã rút ~284 BTC .
• Ngày 2–4 tháng 8: Một đợt thứ ba tấn công, và Galaxy Research xác định một đợt thứ tư bị nghi ngờ .
• Tổng số địa chỉ bị ảnh hưởng: Hơn 5.200 (Forbes/TRM) đến hơn 7.300 (Galaxy Research) .

Tất cả các ví bị ảnh hưởng đều là cấu hình đơn chữ ký. Các ví đa chữ ký không bị ảnh hưởng .

Bản vá firmware của Coinkite — và giới hạn quan trọng của nó

Coinkite đã phát hành một bản vá firmware khôi phục đường dẫn RNG phần cứng chính xác cho việc tạo seed trong tương lai . Tuy nhiên, bản vá không thể sửa hồi tố các seed đã được tạo bởi firmware bị xâm phạm. Người dùng có ví được tạo từ tháng 3 năm 2021 đến khi bản vá được phát hành được khuyên ngay lập tức chuyển tiền sang ví mới với seed mới được tạo . Công ty đã gửi email cho khách hàng từ năm 2019 để cảnh báo họ về lỗi này và tiêu hủy lượng hàng tồn kho dễ bị tổn thương còn lại .

Sự đảo ngược chính sách xóa dữ liệu của Coinkite

Trước vụ vi phạm, Coinkite có chính sách bảo mật nghiêm ngặt là tự động xóa dữ liệu khách hàng (email, hồ sơ mua hàng) sau 90–120 ngày . Sau vụ hack, công ty đã đảo ngược chính sách này, tuyên bố sẽ giữ lại hồ sơ khách hàng để chuẩn bị cho các thủ tục pháp lý dự kiến . Điều này đã vấp phải sự phản đối đáng kể từ những người dùng coi trọng quyền riêng tư, những người đã chọn Coldcard một phần vì lập trường giảm thiểu dữ liệu của nó . Coinkite tuyên bố dữ liệu sẽ được lưu trữ với quyền truy cập hạn chế và khách hàng vẫn có thể yêu cầu xóa theo tiêu chuẩn . Thomas Braziel của 117 Partners được cho là đang điều tra các khiếu nại về trách nhiệm sản phẩm và một vụ kiện tập thể tiềm năng chống lại Coinkite .

Phản ứng của ngành: Dòng tiền đổ vào các quỹ ETF Bitcoin tăng vọt

Vụ vi phạm đã thúc đẩy hoạt động onchain tăng vọt lên mức cao nhất năm 2026 khi các nạn nhân di chuyển số tiền còn lại và thị trường rộng lớn hơn đánh giá lại rủi ro tự quản lý . Dòng vốn ròng hàng tuần vào các quỹ ETF Bitcoin giao ngay của Hoa Kỳ đã tăng vọt lên khoảng 853 triệu đô la trong tuần sau vụ hack, khi các nhà đầu tư tổ chức chuyển hướng sang các giải pháp lưu ký được quản lý để ứng phó với sự cố Coldcard .

Tác động rộng hơn đối với bảo mật và tự quản lý

Vụ hack Coldcard đã kết tinh một số sự thật khó chịu cho cộng đồng tự quản lý Bitcoin:

• Rủi ro ví đơn chữ ký được khuếch đại: Sự cố này chứng minh rằng các thiết lập đơn chữ ký khiến người dùng đối mặt với một điểm lỗi duy nhất trong việc tạo khóa. Các sơ đồ đa chữ ký hoặc ngưỡng sẽ không bị ảnh hưởng ngay cả với RNG yếu .
• Minh bạch mã nguồn mở là con dao hai lưỡi: Lỗi này đã tồn tại trong mã nguồn công khai hơn năm năm mà không bị phát hiện — nhấn mạnh khoảng cách giữa "mã có thể kiểm toán" và "mã thực sự được kiểm toán" .
• RNG phần cứng so với dự phòng phần mềm: Trường hợp này cho thấy rằng một lỗi cấu hình xây dựng âm thầm vô hiệu hóa entropy phần cứng có thể biến ví "lạnh" thành một lỗ hổng ví nóng .
• Sự dịch chuyển sang lưu ký được quản lý: Dòng vốn ETF hàng tuần trị giá 853 triệu đô la cho thấy một sự dịch chuyển có thể đo lường được từ ví cứng tự quản lý sang các giải pháp lưu ký cấp tổ chức giữa các chủ sở hữu lớn .
• Trách nhiệm pháp lý đối với các nhà sản xuất ví cứng: Việc Coinkite đảo ngược chính sách lưu giữ dữ liệu và kỳ vọng về các vụ kiện từ người dùng đã báo hiệu rằng các nhà sản xuất ví cứng có thể phải đối mặt với trách nhiệm pháp lý đối với các lỗi firmware, có khả năng định hình lại các điều khoản bảo hành và bảo hiểm trong lĩnh vực này .