Vụ hack Coldcard 2026: Lỗi firmware 5 năm khiến 89 triệu USD Bitcoin bốc hơi, trong khi cá voi mua đáy

Một kiểm tra trong thư viện hỗ trợ chỉ kiểm tra xem cài đặt đó có tồn tại hay không, chứ không phải nó có được bật hay không, vì vậy lỗi đã không bị phát hiện trong nhiều năm . Kết quả là các seed phrase — chìa khóa chính để truy cập Bitcoin của người dùng — được tạo ra bằng một phần mềm thay thế có thể dự đoán được, được gieo từ dữ liệu chip không bí mật như số sê-ri thiết bị và thanh ghi đồng hồ . Thay vì 128 bit entropy như dự định, các thiết bị bị ảnh hưởng đã tạo ra seed với khoảng 72 bit, một không gian khóa đủ nhỏ để kẻ tấn công có thể brute-force ngoại tuyến .

Các thiết bị bị ảnh hưởng và quy mô thiệt hại

Coinkite xác nhận rằng lỗ hổng ảnh hưởng đến nhiều dòng máy Coldcard chạy các phiên bản firmware cụ thể:

• Mk3 chạy firmware phiên bản 4.0.1 đến 5.0.3
• Mk4 và Mk5 trước firmware 5.6.0
• Coldcard Q trước firmware 1.5.0Q

Bất kỳ seed nào được tạo trên thiết bị bị ảnh hưởng kể từ tháng 3/2021 đều có khả năng bị xâm phạm .

Kẻ tấn công đã tấn công trong ít nhất ba đợt bắt đầu từ khoảng ngày 30 tháng 7 năm 2026, rút tiền từ hơn 4.500 địa chỉ . Một đợt đặc biệt mạnh đã thấy 594 BTC bị đánh cắp chỉ trong 25 phút . Các ước tính ban đầu từ Galaxy Research cho rằng thiệt hại khoảng 70 triệu USD, nhưng khi có thêm nhiều địa chỉ bị xâm phạm được xác định, các báo cáo sau đó đã hội tụ ở mức ~89 triệu USD đến 116 triệu USD tùy thuộc vào giá Bitcoin tại thời điểm báo cáo .

Không cần truy cập vật lý, lừa đảo hay phần mềm độc hại — kẻ tấn công đã tái tạo lại các khóa riêng tư hoàn toàn từ bên ngoài bằng cách dự đoán các seed phrase bị suy yếu .

Phản ứng của thị trường: Cá voi và nhà đầu tư nhỏ khác xa nhau

Vụ hack Coldcard đã gây ra một sự phân tách rõ ràng trong hành vi của nhà đầu tư, có thể thấy qua dữ liệu trên chuỗi từ Santiment.

Cá voi Bitcoin — ví nắm giữ từ 10 đến 10.000 BTC — đã thêm 19.610 BTC vào tổng lượng nắm giữ của họ từ ngày 29 tháng 7 đến đầu tháng 8, mức tăng 0,14% trị giá khoảng 1,25 tỷ USD theo giá hiện tại . Các báo cáo khác đặt con số tích lũy ở mức 19.696 đến 19.700 BTC trong khoảng thời gian 8 ngày kết thúc vào cuối tháng 7 . Điều này báo hiệu niềm tin của 'tiền thông minh' rằng đợt bán tháo là một phản ứng thái quá.

Các nhà đầu tư nhỏ lẻ đã làm ngược lại. Các ví nắm giữ ít hơn 0,01 BTC đã giảm số dư của họ 0,55% trong cùng kỳ . Khối lượng giao dịch giao ngay BTC giảm 75% khi hoạt động mua đáy của nhà đầu tư nhỏ hạ nhiệt . Việc bán tháo hoảng loạn của các nhà đầu tư nhỏ được mô tả là đạt đến mức chưa từng thấy kể từ sự sụp đổ của FTX vào tháng 11/2022 .

Sự giám sát gắt gao hơn đối với hoạt động tự lưu trữ

Vụ hack Coldcard không xảy ra đơn lẻ. Nó diễn ra trong bối cảnh nửa đầu năm 2026 ảm đạm đối với an ninh tiền mã hóa:

• 207 vụ hack tiền mã hóa đã xảy ra trong nửa đầu năm 2026 — một kỷ lục cho bất kỳ giai đoạn sáu tháng nào, nhiều hơn gấp đôi so với 85 vụ trong nửa đầu năm 2025 .
• Tổng thiệt hại đạt ~972 triệu USD, theo các báo cáo của TRM Labs và Immunefi — chưa bằng một nửa con số 2,3 tỷ USD bị mất trong nửa đầu năm 2025, nhưng số lượng vụ việc đã tăng vọt .
• Các nhóm liên quan đến Triều Tiên bị cho là chịu trách nhiệm cho ~66% số tiền bị đánh cắp (~643 triệu USD) .
• Các vụ khai thác hợp đồng thông minh đã thúc đẩy sự gia tăng về số lượng vụ việc, chiếm 125 trong số 207 vụ vi phạm (~60%) .
• Các vụ xâm phạm cơ sở hạ tầng và vận hành chỉ chiếm 15% số vụ việc nhưng chiếm khoảng 76% tổng giá trị bị đánh cắp .

Bởi vì Coldcard được coi rộng rãi như một tiêu chuẩn vàng cho lưu trữ lạnh, việc tiết lộ rằng một lỗi firmware thầm lặng đã xâm phạm quá trình tạo khóa trong hơn 5 năm mà không bị phát hiện đã làm tan vỡ niềm tin vào sự an toàn của ví phần cứng. Các nhà nghiên cứu bảo mật và các sàn giao dịch đã đưa ra cảnh báo khẩn cấp yêu cầu tất cả người dùng Coldcard xoay vòng seed phrase và chuyển tiền sang ví mới . Sự cố đã làm sống lại một cuộc tranh luận quan trọng: liệu ngay cả các ví phần cứng 'air-gapped' có đủ an toàn không khi chuỗi cung ứng và tính toàn vẹn của firmware có thể bị phá vỡ bởi một lỗi mã hóa duy nhất.