Báo cáo hàng tuần của KuCoin Ventures: Phân tích lỗ hổng phần cứng Coldcard, ETF và hạ tầng stablecoin hấp thụ vốn trong bối cảnh vĩ mô nguội dần

2026/08/11 11:17:00

1. Điểm nổi bật thị trường hàng tuần

Lỗ hổng quy mô lớn của Coldcard làm lung lay niềm tin vào tự lưu trữ: An ninh ví phần cứng chuyển từ “cách ly ngoại tuyến” sang kiểm toán tạo khóa

Tuần trước, lỗ hổng bảo mật của ví phần cứng Coldcard tiếp tục được tiết lộ, trở thành một trong những sự cố bảo mật tự lưu trữ cá nhân nghiêm trọng nhất trong năm. Coldcard là một ví phần cứng chỉ hỗ trợ bitcoin, được công ty an ninh bitcoin Canada Coinkite ra mắt năm 2017. Sản phẩm này chủ yếu nhắm đến người dùng nâng cao quan tâm đến bảo mật, với các điểm nổi bật như cách ly vật lý để ký, phần mềm xác minh được và quản lý khóa ngoại tuyến nghiêm ngặt. So với các thương hiệu đại chúng như Ledger và Trezor, Coldcard không nằm trong số các nhà cung cấp ví phần cứng lớn nhất về thị phần, và không có con số nào về doanh số hoặc thị phần được xác minh công khai. Tuy nhiên, nó đã xây dựng danh tiếng lâu dài trong cộng đồng bitcoin thuần túy dựa trên bảo mật và bề mặt tấn công tương đối hạn chế. Do đó, tác động của lỗ hổng này vượt quá tổn thất tài chính trực tiếp: một ví phần cứng chuyên biệt được xây dựng dựa trên nguyên tắc “bảo mật là ưu tiên hàng đầu” lại chứa một lỗ hổng lâu năm không bị phát hiện ở giai đoạn cơ bản nhất của quá trình tạo khóa.

Khác với các vụ đánh cắp trên sàn giao dịch, khai thác hợp đồng thông minh hoặc rò rỉ khóa riêng phía người dùng, sự cố này bắt nguồn từ độ ngẫu nhiên không đủ trong quá trình tạo seed cho ví. Một bản cập nhật firmware được phát hành vào tháng 3 năm 2021 đã gây ra lỗi tích hợp khiến một số thiết bị Coldcard không thể thu được đủ độ ngẫu nhiên từ Bộ sinh số ngẫu nhiên phần cứng (RNG) như mong đợi, thay vào đó rơi vào đường dẫn sinh số ngẫu nhiên phần mềm có thể dự đoán được. Theo Block Engineering, độ ngẫu nhiên hiệu quả của các seed được tạo trên một số thiết bị bị ảnh hưởng có thể đã giảm từ mức kỳ vọng khoảng 128 bit xuống chỉ còn khoảng 40 bit. Điều này cho phép kẻ tấn công liệt kê có tính toán các seed tiềm năng và so sánh chúng với các địa chỉ bitcoin công khai mà không cần truy cập vào thiết bị vật lý, sao lưu hoặc kết nối ví trực tuyến.

Lỗ hổng này tồn tại trong hơn năm năm trước khi bị khai thác quy mô lớn bắt đầu từ ngày 30 tháng Bảy. Các ước tính về tổng thiệt hại vẫn khác nhau giữa các công ty trí tuệ blockchain. Tính đến ngày 5 tháng Tám, TRM Labs đã theo dõi khoảng 1.816 BTC bị đánh cắp từ hơn 5.200 địa chỉ, trị giá khoảng 116 triệu USD tại thời điểm đó. Vào ngày 7 tháng Tám, Galaxy Research đã nâng mức ước tính tổng thiệt hại lên khoảng 130 triệu USD và đánh giá rằng hơn mười kẻ tấn công độc lập đã tham gia vào nhiều đợt chuyển tiền.

Quan trọng hơn, một số người dùng bị ảnh hưởng đã tuân theo mô hình lưu trữ lạnh ngoại tuyến tiêu chuẩn, với các thiết bị không bao giờ kết nối với internet. Những kẻ tấn công không thể vượt qua sự cô lập vật lý của ví; thay vào đó, các seed ví kiểm soát tài sản đã thiếu độ ngẫu nhiên cần thiết ngay từ khi được tạo ra. Các ví phần cứng thường giảm thiểu rủi ro để khóa riêng bị lộ ra môi trường mạng thông qua cô lập vật lý, Secure Elements và ký ngoại tuyến. Nhưng tất cả các biện pháp bảo vệ này đều dựa trên một giả định cơ bản hơn: độ ngẫu nhiên được sử dụng để tạo seed ví phải chính bản thân nó đủ khó đoán. Khi giả định này bị phá vỡ, ngay cả khóa riêng không bao giờ rời khỏi thiết bị cũng không thể được bảo vệ bởi sự cô lập mạng sau đó.

Nguồn dữ liệu: Block Bitcoin Engineering

Sau sự cố, Coinkite – nhà phát triển của Coldcard – đã phát hành thông báo bảo mật và cập nhật firmware. Tuy nhiên, việc nâng cấp firmware chỉ có thể ngăn chặn các seed ví được tạo mới bị ảnh hưởng bởi cùng vấn đề này; nó không thể tăng cường các seed yếu đã được tạo trước đó. Do đó, người dùng bị ảnh hưởng vẫn cần tạo seed ví mới trong môi trường đã được vá và chuyển dịch tài sản của họ. Coinkite cũng lưu ý rằng những người dùng đã thêm đủ độ ngẫu nhiên vật lý từ xúc xắc khi tạo seed, hoặc đã sử dụng passphrase BIP-39 mạnh, có thể đối mặt với rủi ro thấp hơn đáng kể.

Sự cố Coldcard cũng đặt ra một câu hỏi rộng hơn: các nhà sản xuất ví phần cứng lớn hơn có thể tránh được loại lỗi này không? So với Coldcard, các nhà cung cấp hàng đầu như Ledger và Trezor có cơ sở người dùng lớn hơn và nguồn lực phát triển dồi dào hơn, nhưng quy mô đơn thuần không thể loại bỏ hoàn toàn các rủi ro bảo mật cơ bản. Bản thân Coldcard không phải là sản phẩm đơn giản hay tầm thấp. Kiến trúc chỉ hỗ trợ bitcoin, mã nguồn firmware công khai và khả năng hoạt động ở chế độ cách ly vật lý đều nhằm giảm diện tích tấn công của nó. Tuy nhiên, lỗ hổng trong việc tạo số ngẫu nhiên vẫn tồn tại trong mã nguồn công khai trong nhiều năm và chỉ thu hút sự chú ý rộng rãi sau khi tiền thật bị đánh cắp. Điều này cho thấy bảo mật ví phần cứng không thể đánh giá chỉ dựa trên quy mô thương hiệu, sự hiện diện của Secure Element, hay việc thiết bị có hoạt động ngoại tuyến hay không. Nó còn phụ thuộc vào việc mã then chốt có được kiểm toán độc lập liên tục hay không, và liệu các giả định nền tảng về tạo số ngẫu nhiên, sinh và lan truyền entropy, phụ thuộc firmware, cũng như quy trình xây dựng có được xác minh liên tục hay không.

Từ góc độ rộng hơn của ngành, sự cố này không làm mất đi tính hợp lệ của mô hình tự lưu trữ, nhưng nó đã tái định nghĩa ranh giới của “an toàn tự lưu trữ.” Ngành công nghiệp truyền thống thường tập trung vào việc người dùng có kiểm soát khóa riêng của mình hay không. Coldcard đặt ra một câu hỏi cơ bản hơn nhiều: “Khóa riêng đã được tạo ra một cách đáng tin cậy ngay từ đầu hay chưa?” Tự lưu trữ giảm thiểu rủi ro đối tác liên quan đến các sàn giao dịch hoặc bên lưu trữ bên thứ ba, nhưng đồng thời cũng chuyển một phần rủi ro đó sang thiết kế phần cứng, mã firmware, quá trình tạo khóa, sao lưu và phục hồi, cũng như các thực hành bảo mật của chính người dùng.

Đối với cá nhân và tổ chức nắm giữ số tiền lớn trong thời gian dài, việc phụ thuộc vào một thiết bị duy nhất, một nhà sản xuất duy nhất hoặc một nguồn ngẫu nhiên seed duy nhất có thể tự thân tạo ra rủi ro tập trung. Do đó, tầm quan trọng của các thiết lập đa chữ ký, kết hợp các thiết bị từ nhiều nhà sản xuất khác nhau và sử dụng các nguồn ngẫu nhiên độc lập ngày càng tăng. Đặc biệt đối với quản lý tài sản tổ chức, các đánh giá bảo mật cho các giải pháp tự lưu trữ có thể cần mở rộng vượt ra ngoài trọng tâm truyền thống là liệu khóa riêng có còn ngoại tuyến hay không, mà phải bao quát toàn bộ vòng đời khóa, bao gồm tạo seed, ký, sao lưu, khôi phục và nâng cấp firmware.

Trong tương lai, thị trường sẽ cần theo dõi số lượng cuối cùng các địa chỉ Coldcard bị ảnh hưởng, ước tính tổn thất cuối cùng, chuyển động của số tiền bị đánh cắp, và liệu có tồn tại các rủi ro tương tự liên quan đến sinh số ngẫu nhiên hoặc phụ thuộc firmware trong các ví phần cứng khác hay không. Bài học cốt lõi từ sự cố Coldcard không phải là “ví lạnh không an toàn”, mà là các mô hình bảo mật ví phần cứng không thể dừng lại ở mức “thiết bị ngoại tuyến và khóa riêng không bao giờ rời khỏi nó”. Khi số lượng tài sản được lưu giữ dưới hình thức tự lưu trữ cá nhân và tổ chức tiếp tục tăng trưởng, toàn bộ vòng đời khóa — từ sinh seed đến ký giao dịch, sao lưu và khôi phục — cần trở thành một ranh giới bảo mật có thể xác minh được.

2. Tín hiệu thị trường được chọn hàng tuần

Giảm nhẹ kỳ vọng thắt chặt: Quỹ tiền điện tử tập trung vào ETF và cơ sở hạ tầng stablecoin

1) Những thay đổi trên thị trường truyền thống, các sự kiện quan trọng và phân tích tóm tắt

Biến số cốt lõi trên thị trường Mỹ đã chuyển từ lợi nhuận doanh nghiệp trở lại dữ liệu vĩ mô. Số liệu việc làm ngoài nông nghiệp của Mỹ tháng Bảy bất ngờ giảm âm, với dữ liệu hai tháng trước được điều chỉnh giảm, củng cố nhận định rằng thị trường lao động đang nguội dần. Tuy nhiên, tỷ lệ thất nghiệp đồng thời giảm, chủ yếu do tỷ lệ tham gia lực lượng lao động suy giảm. Do đó, thị trường việc làm hiện tại gần với trạng thái “hoạt động tuyển dụng giảm mạnh” hơn là một cuộc suy thoái bị chi phối bởi hàng loạt sa thải quy mô lớn.

Nguồn dữ liệu: TradingView

Từ góc độ thị trường tài chính, giao dịch chính là sự giảm áp lực cho các đợt tăng lãi suất tiếp theo. Sự làm nguội đáng kể của thị trường lao động đã làm suy yếu đà tăng lãi suất ngắn hạn của Cục Dự trữ Liên bang; lợi suất trái phiếu kho bạc Mỹ ngắn hạn giảm và S&P 500 đạt mức cao mới.

Trong khi đó, giá năng lượng vẫn là một yếu tố chưa chắc chắn trên khía cạnh lạm phát: đến cuối tuần, dầu thô Brent đã phục hồi lên khoảng 84 USD/thùng, và các thỏa thuận điều phối hàng hải tại eo biển Hormuz vẫn chưa được giải quyết hoàn toàn. Trung Quốc đang có xu hướng sử dụng các thị trường vốn để cung cấp hỗ trợ tài chính cho các ngành công nghiệp công nghệ và AI.

Báo cáo tóm tắt cuộc họp tháng Bảy của Ngân hàng Nhật Bản cho biết các rủi ro tăng inflation đang gia tăng; các thành viên ủy ban cho biết nếu lạm phát CPI tiềm năng tiếp tục tiến gần mức 2%, tốc độ tăng lãi suất chính sách có thể nhanh hơn kỳ vọng của thị trường.

Nguồn dữ liệu: CME FedWatchTool

Điểm này rõ ràng có thể thấy từ mức giá CME FedWatch mới nhất. Tính đến ngày 10 tháng 8, thị trường kỳ vọng cho cuộc họp ngày 16 tháng 9:

53,9% xác suất duy trì lãi suất ở mức 3,50%–3,75%;
46,1% xác suất tăng 25 điểm cơ bản lên mức 3,75%–4,00%;
Xác suất cắt lãi suất vẫn duy trì gần 0.

Do đó, môi trường vĩ mô trong tuần này khó có thể đơn giản tuân theo logic “việc làm yếu → nới lỏng tiền tệ”. Logic cốt lõi gần với: sự làm nguội của thị trường lao động đã giảm bớt mức độ cấp bách để Fed tiếp tục thắt chặt ngắn hạn, nhưng giá năng lượng và lạm phát cốt lõi vẫn hạn chế không gian để chuyển hướng chính sách.

Việc mua BTC ETF đang cải thiện, nhưng BTC vẫn dao động quanh mức $65.000

Nguồn dữ liệu: SoSoValue

Tính đến thời điểm báo chí, bitcoin đã tiếp cận lại mức 65.000 USD nhưng vẫn chưa tạo ra đột phá xu hướng rõ ràng; ethereum đã phục hồi lên khoảng 1.919 USD. Dữ liệu thị trường mở gần đây cho thấy BTC tiếp tục dao động trong phạm vi 64.000–65.000 USD, trong khi ETH thể hiện hiệu suất mạnh mẽ hơn tương đối.

Vốn tổ chức là một trong những tín hiệu tích cực rõ ràng nhất trên thị trường tiền mã hóa tuần này. Theo dữ liệu hàng tuần tính đến ngày 7 tháng 8, gần đây đã có sự luân chuyển vốn hàng tuần tương đối rõ rệt. Từ cuối tháng 5 đến cuối tháng 6, thị trường trải qua liên tiếp nhiều tuần với dòng vốn ròng ra lớn, có những tuần riêng lẻ với dòng ra vượt quá 1 tỷ USD. Khi bước vào tháng 7, dòng ra giảm đáng kể, và tuần đầu tiên của tháng 8 ghi nhận dòng vào ròng gần 900 triệu USD. Đặc biệt, mặc dù quy mô quỹ ETH ETF nhỏ hơn nhiều so với BTC, nhưng nó đã duy trì dòng vào dương nhẹ trong nhiều tuần liên tiếp, cho thấy xu hướng vốn được cải thiện đáng kể so với tháng 5 và tháng 6.

BTC đã nhận hơn 850 triệu USD dòng tiền ròng trong một tuần nhưng vẫn dao động quanh mức 65.000 USD; ETH cho thấy mô hình tương tự. Điều này cho thấy áp lực mua từ ETF hiện tại chủ yếu hấp thụ áp lực bán hiện có trên thị trường, và sự mất cân bằng cung - cầu rõ rệt chưa hình thành.

Tổng vốn hóa thị trường giảm nhẹ, các hợp đồng USD trên chuỗi chính thống đồng thời tăng trưởng

Nguồn dữ liệu: DeFiLlama

Dữ liệu cho thấy tổng vốn hóa thị trường stablecoin khoảng 300,61 tỷ USD, tăng 644,42 triệu USD trong 7 ngày qua, với tỷ lệ tăng trưởng khoảng 0,21%. USDT vẫn duy trì vị thế thống trị tuyệt đối, chiếm 60,91% thị phần. Thị trường stablecoin chưa có dấu hiệu thu hẹp đáng kể, nhưng cũng chưa xuất hiện sự mở rộng rộng rãi. Nguồn vốn từ TradFi được đại diện bởi các quỹ ETF đã cải thiện đáng kể, trong khi thanh khoản USD thuần túy trong hệ sinh thái Crypto vẫn duy trì mức ổn định; sự khác biệt giữa hai nhóm này vẫn tồn tại.

Các sự kiện tài chính/vĩ mô quan trọng cần theo dõi tuần tới

Các sự kiện trọng tâm tuần tới tập trung tại Hoa Kỳ:

Ngày 12 tháng 8: CPI tháng Bảy của Mỹ. Trong bối cảnh dữ liệu việc làm suy yếu, dữ liệu lạm phát này có thể trở thành một trong những chỉ số cốt lõi xác định hướng đi chính sách của Fed vào tháng Chín.
Ngày 13 tháng 8: PPI tháng 7 của Mỹ.
Ngày 14 tháng 8: Doanh số bán lẻ tháng 7 của Mỹ.
Tiếp tục theo dõi tình hình điều hướng tại Eo biển Hormuz và giá dầu thô Brent.
Tiếp tục theo dõi các đánh giá lại của các quan chức Fed về cân bằng rủi ro chính sách sau dữ liệu việc làm tháng Bảy.

Lý do là FedWatch hiện đang ở trạng thái gần như 50/50 giữa "dừng lại" và "tăng lãi suất". Nếu CPI tiếp tục giảm, việc việc làm tháng Bảy suy yếu và lạm phát cải thiện có thể tạo thành tín hiệu một chiều, có khả năng làm giảm thêm xác suất tăng lãi suất. Ngược lại, nếu CPI phục hồi, sự suy yếu nhẹ của việc làm có thể không đủ để ngăn Fed tiếp tục thắt chặt thanh khoản.

Sự kiện thị trường sơ cấp tiền điện tử：

Nguồn dữ liệu: CryptoRank

Gần đây, vốn hóa thị trường chính tiếp tục tập trung vào hai kịch bản cốt lõi: “Kết nối thế giới thực (RWA/Thanh toán)” và “Cơ sở hạ tầng tuân thủ.” Việc huy động vốn cho các ứng dụng hoặc giao thức thuần túy không có hỗ trợ dòng tiền đã trở nên khó khăn đáng kể. Vốn đang tập trung vào các nhà cung cấp dịch vụ cấp doanh nghiệp có khả năng thực sự phá vỡ rào cản giữa TradFi và DeFi, tiềm năng mở rộng quy mô và thể hiện khả năng tạo doanh thu.

Hai vòng gọi vốn công khai lớn nhất tuần này có mối tương quan cao với các khoản thanh toán/stablecoin: Yellow Card, sàn giao dịch tiền điện tử lớn nhất châu Phi và cổng kết nối tiền pháp định tuân thủ, đã hoàn tất vòng gọi vốn chiến lược 40 triệu USD. Stablecoin tuân thủ Nhật Bản JPYC đã hoàn tất vòng Series B2 trị giá 38 triệu USD.

Đợt huy động vốn quy mô lớn này mang ý nghĩa là dấu hiệu quan trọng của ngành. Các nhà đầu tư bao gồm vốn được ngân hàng truyền thống hỗ trợ như SC Ventures (Standard Chartered), vốn ngành như Sony Innovation Fund, và các quỹ tiền mã hóa như Polychain Capital và Blockchain Capital. Sau đợt huy động này, tổng vốn cổ phần mà Yellow Card huy động được vượt quá 120 triệu USD. Điều đáng chú ý hơn cả số tiền huy động là cấu trúc nhà đầu tư: sự đồng thời tham gia của vốn ngân hàng truyền thống, vốn ngành và các quỹ đầu tư mạo hiểm tiền mã hóa phản ánh rằng cơ sở hạ tầng stablecoin đang dần trở thành điểm giao thoa quan tâm của cả tài chính truyền thống và vốn tiền mã hóa.

Trong những ngày đầu, Yellow Card chủ yếu giải quyết vấn đề cổng kết nối cho người dùng châu Phi khi mua bán bitcoin và tài sản kỹ thuật số, nhưng định vị kinh doanh của công ty đã thay đổi đáng kể trong vài năm qua. Năm 2025, công ty chính thức ngừng hoạt động ứng dụng bán lẻ để tập trung vào cơ sở hạ tầng stablecoin cấp doanh nghiệp và tổ chức. Vòng gọi vốn này cũng sẽ chủ yếu được sử dụng để mở rộng hoạt động tài khoản USD toàn cầu và tiếp tục mở rộng sang các thị trường Latin America và châu Á - Thái Bình Dương.

Thông qua các giải pháp của Yellow Card, các doanh nghiệp có thể nắm giữ USD và stablecoin trong một tài khoản duy nhất, thực hiện quản lý kho stablecoin và gửi/nhận thanh toán qua hơn 50 quốc gia thông qua các mạng thanh toán địa phương. Công ty tiết lộ rằng mạng lưới của họ đã xử lý hơn 10 tỷ USD khối lượng giao dịch và đã thiết lập các đối tác với các tổ chức như Visa, Mastercard, PayPal và Coinbase.

Mô hình kinh doanh “Kênh tuân thủ + Triển khai thanh toán bằng stablecoin” không chỉ có kỳ vọng lợi nhuận rõ ràng mà còn hoàn toàn phù hợp với sở thích đầu tư hiện tại của vốn tổ chức đối với việc áp dụng rộng rãi trong thế giới thực, đại diện cho một trong những hướng phát triển cốt lõi của cơ sở hạ tầng Web3 trong giai đoạn tiếp theo.

Nhìn chung, vốn vẫn sẵn sàng hỗ trợ các dự án có lối vào pháp lý, dòng tiền từ tài sản thực hoặc khách hàng B2B rõ ràng, nhưng tiếp tục duy trì sự thận trọng đối với các giao thức chung và các ứng dụng đồng nhất chưa có xác thực doanh thu.

Về KuCoin Ventures

KuCoin Ventures là đơn vị đầu tư hàng đầu của Sàn giao dịch KuCoin, một nền tảng tiền điện tử toàn cầu hàng đầu được xây dựng trên nền tảng niềm tin, phục vụ hơn 40 triệu người dùng tại hơn 200 quốc gia và vùng lãnh thổ. Với mục tiêu đầu tư vào những dự án tiền điện tử và blockchain đột phá nhất của thời đại Web 3.0, KuCoin Ventures hỗ trợ các nhà xây dựng tiền điện tử và Web 3.0 cả về mặt tài chính lẫn chiến lược thông qua những hiểu biết sâu sắc và nguồn lực toàn cầu. Là nhà đầu tư thân thiện với cộng đồng và dựa trên nghiên cứu, KuCoin Ventures hợp tác chặt chẽ với các dự án trong danh mục đầu tư suốt toàn bộ vòng đời, tập trung vào hạ tầng Web3.0, AI, Ứng dụng người tiêu dùng, DeFi và PayFi.

Thông báo miễn trừ trách nhiệm: Thông tin thị trường chung này, có thể đến từ các nguồn bên thứ ba, thương mại hoặc được tài trợ, không phải là lời khuyên pháp lý, tuân thủ, tài chính hoặc đầu tư, cũng không phải là lời đề nghị, mời gọi hoặc bảo đảm. Chúng tôi không đưa ra bất kỳ lời khẳng định hay đảm bảo nào về độ chính xác, đầy đủ hoặc độ tin cậy của nó, và từ chối mọi trách nhiệm đối với bất kỳ tổn thất nào phát sinh. Đầu tư/giao dịch mang tính rủi ro; hiệu suất trong quá khứ không đảm bảo kết quả trong tương lai. Người dùng nên tự nghiên cứu, đánh giá một cách thận trọng và chịu hoàn toàn trách nhiệm. Vui lòng tham khảo ý kiến chuyên gia pháp lý, thuế hoặc tài chính nếu cần thiết.

Tuyên bố từ chối trách nhiệm: Trang này được dịch bằng công nghệ AI để thuận tiện cho bạn. Để biết thông tin chính xác nhất, hãy tham khảo bản gốc tiếng Anh.