Jonathan Goodman giữ 18,25 BTC trên một thiết bị Coldcard chưa từng kết nối với internet, được khóa trong một hộp an toàn. Giữa 21:36 và 21:43 ngày 29 tháng 7, tất cả các ví của anh ấy đều bị trống rỗng — khoảng 1,6 triệu đô la Canada, biến mất trong bảy phút.
“Có lẽ phần khó khăn nhất ở đây là tôi đã làm mọi thứ đúng,” doanh nhân người Canada viết trên X trong một bài đăng đã thu hút 7,6 triệu lượt xem. “Tôi chưa bao giờ chia sẻ cụm từ hạt giống của mình với bất kỳ ai. Thiết bị của tôi chưa từng kết nối với internet. Mọi thứ đều được giữ trong nhiều két an toàn và hộp an toàn. Nhưng tất cả đều vô nghĩa.”
Tài khoản của Goodman là một trong hàng chục tài khoản đang tràn ngập X và subreddit Bitcoin kể từ khi Coldcard exploit được phát hiện vào ngày 30 tháng Bảy, và họ đều chia sẻ một thông điệp chung: các nạn nhân đã tuân theo quy trình tự lưu trữ. Họ đã mua một ví phần cứng từ nhà sản xuất uy tín, tạo cụm từ hạt giống ngoại tuyến, đóng dấu bản sao lưu vào thép, và chưa bao giờ nhập cụm từ hạt giống vào thiết bị kết nối.
Một lỗi phần mềm khiến các seed do Coldcard tạo ra có thể bị đoán được đã làm cho tất cả những điều đó trở nên vô nghĩa — các kẻ tấn công đã thu về khoảng 1.816 BTC, tương đương khoảng 114 triệu USD, từ hơn 5.200 địa chỉ trong bốn đợt thu hồi được phối hợp.
Goodman cho biết anh mới biết về vụ hack vài ngày sau đó, tại ngôi nhà nghỉ của mình, và kiểm tra số dư với kỳ vọng không có gì. “Ngay lập tức tôi thấy hàng loạt giao dịch màu đỏ – các khoản rút tiền – và tôi biết ngay,” anh viết. Anh đang nộp báo cáo cho cảnh sát và Ủy ban Chứng khoán Ontario, nhưng không kỳ vọng sẽ lấy lại được gì.
Một cuộc đua với những tên trộm
Vì lỗ hổng cho phép kẻ tấn công tái tạo khóa riêng, người dùng bị ảnh hưởng không chỉ là nạn nhân của một vụ trộm trong quá khứ — họ đang tham gia một cuộc đua thời gian thực để chuyển coin trước khi kẻ tấn công tiếp cận chúng. Một số người đã thua cuộc đua này đến vài giờ.
Tim Lamb đang trên kỳ nghỉ gia đình khi tin tức về vụ hack được công bố vào thứ Sáu. Coldcard Mk3 và tấm seed của anh ấy được giấu ở nhà. “Chỉ đến tối thứ Bảy tôi mới nghĩ đến việc nhờ hàng xóm có chìa khóa nhà tìm giúp tôi tấm seed,” anh wrote on X. Đến sáng chủ nhật, khi hàng xóm tìm thấy tấm seed và Lamb khôi phục ví, nó hiển thị số dư bằng không. 2 BTC đã bị rút sạch vào chiều thứ Bảy.
"2 bitcoin này vốn định dành cho 2 con tôi để giúp chúng có một khởi đầu tốt đẹp trong cuộc sống. Nghĩ đến đây tôi lại rơi nước mắt," Lamb viết và thêm: "@Coinkite, nếu có chút công bằng nào, các bạn phải hoàn lại tiền cho chúng tôi."
Một Bitcoiner ẩn danh đăng bài với tên Marius Off Chain cho biết một người bạn không thể truy cập thiết bị của mình đã bị rút sạch Mk2 vào sáng Chủ nhật, số tiền được gộp với 890 đầu vào khác thành một địa chỉ duy nhất đang giữ 64 BTC.
Việc hỗn loạn này đã tạo ra lời khuyên đáng buồn từ nhà phát triển Bitcoin Core Luke Dashjr, người đã viết: "Đây là một bi kịch. Nếu bạn không thể truy cập vào Coldcard của mình, hãy tìm ai đó có thể giúp bạn. Ngay cả khi bạn không tin tưởng họ với toàn bộ tài sản tiết kiệm của mình, thì trong trường hợp tệ nhất, ít nhất bạn cũng sẽ biết ai đã lấy nó!"
8 năm tích lũy, bay mất
Các bài viết trên Reddit mang tính chất rất chân thực. "Subreddit về bitcoin hiện đang thực sự đáng buồn. Rất nhiều người đã bị phá sản," viết nhà đầu tư ẩn danh Zynx trong một bài đăng đã được xem 3,6 triệu lần.
Trong một bài đăng trên r/Bitcoin được chia sẻ rộng rãi có tiêu đề "8 năm tích lũy, bay mất. Tôi nghĩ đã đến lúc phải chuyển hướng", một người dùng có tên DuckDuckMoss mô tả việc tích lũy 2 BTC để thoát khỏi đồng tiền của một quốc gia bị trừng phạt đang lạm phát. "Tôi 39 tuổi và từng hy vọng sẽ có một khoản dự trữ tài chính vững chắc trước khi 50. Nhưng hôm nay, 2 BTC của tôi đã bị rút sạch," họ viết. "Tôi nghĩ mình đã an toàn vì Cold Card luôn được đánh giá là một trong những ví tốt nhất và an toàn nhất." Bài đăng kết thúc bằng lời từ bỏ: "Tôi đã chán Bitcoin rồi. Tôi thậm chí không chắc liệu mình còn tin vào nó nữa hay không. Có lẽ tôi nên chuyển tất cả sang một Bitcoin ETF ngay từ khi nó ra mắt."
Một người dùng khác, đăng với tên Schtuff, nói rằng anh ấy đã tiết kiệm từ năm 2015 và đóng dấu seed của mình lên một tấm thép. "Toàn bộ tài sản tiết kiệm của tôi đã bị lấy đi hôm nay. Tôi không biết phải làm gì, tôi đang bối rối."
Trốn theo kịch bản
Đối với những người đã tiết kiệm đồng tiền của họ, tập phim này đang thay đổi cách họ giữ chúng — thường theo những cách đi ngược lại với học thuyết tự lưu trữ. Một người dùng đăng với tên ACEIN, người có Coldcard Mk4 chứa khoản tiết kiệm hưu trí, mô tả việc vắng mặt ở một hội nghị, tải về BlueWallet — một ví nóng di động — nhập chuỗi 12 từ, và chuyển toàn bộ số tiền đến Coinbase sau một giao dịch thử nghiệm. Bước tiếp theo là lựa chọn giữa thiết lập đa chữ ký, Block's Bitkey, hoặc bán bitcoin để mua ETF IBIT của BlackRock. "Tôi vẫn chưa quyết định."
Calle, nhà phát triển ẩn danh của giao thức Cashu ecash, gọi vụ khai thác lỗ hổng là “nghiêm trọng hơn bất kỳ vụ hack sàn bitcoin nào trước đây,” viết rằng nhiều người dùng bị ảnh hưởng sẽ không biết đến sự cố này kịp thời để phản ứng. “Tôi thực sự buồn cho tất cả những người bị ảnh hưởng, đặc biệt là những người có thể vừa mất toàn bộ tiết kiệm cuộc đời mình. Điều tồi tệ nhất là họ đã làm mọi thứ đúng.”
Tôi xin lỗi và tôi rất tuyệt vọng
Coinkite, nhà sản xuất Coldcard, đã phát hành bản firmware sửa lỗi cho mọi mẫu sản phẩm, ngừng các lô hàng và tiêu hủy toàn bộ hàng tồn kho chứa firmware bị ảnh hưởng. “Tôi xin lỗi và cảm thấy vô cùng suy sụp. Đội ngũ chúng tôi rất buồn trước tin tức ngày hôm qua,” CEO Rodolfo Novak, còn được biết đến với tên NVK, viết trong một thư công khai, kêu gọi bất kỳ ai đã tạo seed trên Coldcard hãy chuyển tiền ngay lập tức.
Bức thư không giải đáp câu hỏi còn treo lơ lửng đối với các bài đăng như của Lamb: liệu Coinkite có bồi thường cho những người dùng đã mất coin của họ hay không.