Vụ khai thác lỗ hổng Colcard dường như lớn hơn nhiều so với suy nghĩ ban đầu. Điều này là do các nhà điều tra hiện đã xác nhận rằng ít nhất 1.719 bitcoin [BTC], tương đương khoảng 111 triệu USD, đã bị đánh cắp từ các nạn nhân của vụ khai thác lỗ hổng Coldcard.
Thực tế, theo Galaxy Research,
Chúng tôi đang đánh giá nhiều đồng coin khác để xác minh – chúng tôi cho rằng tổng tổn thất có khả năng vượt quá 130 triệu USD.
Vì vậy, nếu các trường hợp đáng ngờ nhưng chưa được xác nhận trong danh sách hiện tại của họ được xác minh, tổng cộng có thể vượt quá 2.300 bitcoin.
Cuộc tấn công này đã diễn ra như thế nào?
Để làm rõ, sự cố liên quan đến một lỗ hổng trong một số ví Coldcard sử dụng phần mềm firmware được phát hành sau ngày 17 tháng 3 năm 2021. Lỗ hổng này có thể đã ảnh hưởng đến bảo mật hoặc quá trình tạo seed của ví.
Vì seed đóng vai trò là khóa chính của ví Bitcoin [BTC], những kẻ tấn công có thể tái tạo nó đã có thể truy cập vào số tiền mà không cần xâm phạm vật lý vào Coldcard.
Ngày phát hành firmware có ý nghĩa vì các nhà điều tra không tìm thấy đồng coin nào bị đánh cắp từ các ví được tạo ra trước thời điểm đó. Họ đã xác định được hơn 25 mẫu tấn công trong ba đợt. Điều này cho thấy nhiều tác nhân đe dọa khác nhau đã khai thác lỗ hổng này.
Việc khai thác lỗ hổng Coldcard lan rộng đến mức nào?
Cho đến nay, hơn 250 nạn nhân đã báo cáo tổn thất. Tuy nhiên, số lượng địa chỉ bị ảnh hưởng có thể cao hơn nhiều. Một nạn nhân duy nhất có thể đã sử dụng nhiều ví.
Galaxy Research cho biết không phải mọi ví Coldcard đều bị ảnh hưởng. Tuy nhiên, các mẫu Mk3, Mk4, Mk5 và Q dường như dễ bị tổn thương. Những mẫu này chạy phần mềm được phát hành sau ngày 17 tháng 3 năm 2021.
Để làm rõ, vụ khai thác Coldcard bắt đầu vào ngày 30 tháng Bảy.
Một kẻ tấn công đã rút khoảng 594 BTC, tương đương 38 triệu USD, từ 500 ví trong vòng 15 đến 25 phút.
Cuộc tấn công đã gây lo ngại trong cộng đồng bitcoin. Dù vậy, mạng lưới lõi của bitcoin vẫn không bị ảnh hưởng.
Tổng kết cuối cùng
- Galaxy Research đã phát hiện hơn 25 mẫu tấn công trong ba đợt.
- Nếu danh sách hiện tại được xác nhận, tổng tổn thất có thể vượt quá 2.300 bitcoin.