Lỗ hổng phần mềm Coldcard dẫn đến vụ đánh cắp 88,6 triệu bitcoin từ 4.585 địa chỉ

Một cuộc khai thác bảo mật quy mô lớn nhắm vào các ví phần cứng Coldcard đã dẫn đến việc đánh cắp gần 1.367 bitcoin, tương đương khoảng 88,6 triệu USD, theo các nhà nghiên cứu tại Galaxy Research, người cho biết cuộc tấn công vẫn đang diễn ra và có thể ảnh hưởng đến thêm nhiều người dùng.

Các phát hiện mới nhất cho thấy kẻ tấn công đã rút hết tiền từ 4.585 địa chỉ bitcoin, với làn sóng trộm cắp thứ ba đẩy tổng tổn thất quan sát được gần mức 90 triệu USD.

Các nhà nghiên cứu đang kêu gọi bất kỳ ai sử dụng ví được tạo bởi Coldcard có thể bị ảnh hưởng hãy chuyển tài sản của họ ngay lập tức.

Galaxy Research báo cáo rằng thêm 207,73 BTC đã bị đánh cắp trong đợt tấn công mới nhất, đưa tổng tổn thất ước tính lên khoảng 1.367 BTC.

Theo Alex Thorn, Trưởng bộ phận Nghiên cứu Toàn công ty của Galaxy Digital, các nhà điều tra tiếp tục xác định các địa chỉ nạn nhân và kẻ tấn công khi vụ khai thác đang diễn ra.

“Cuộc tấn công đang tiếp diễn,” Thorn cho biết trong một bài đăng trên X, khuyến nghị người dùng chuyển tiền từ các địa chỉ do Coldcard tạo ra có nguy cơ cao mà không cần trì hoãn.

Galaxy cho biết họ đã chia sẻ hàng trăm địa chỉ ví nghi là của kẻ tấn công với các cơ quan thực thi pháp luật, nhà cung cấp tuân thủ và các nhà điều tra an ninh mạng để hỗ trợ các nỗ lực đang diễn ra trong việc truy tìm tài sản bị đánh cắp.

Lỗ hổng này đã được liên kết với một lỗi được đưa vào bản cập nhật firmware của Coldcard vào tháng 3 năm 2021, theo báo cáo đã làm suy yếu độ ngẫu nhiên được sử dụng trong quá trình tạo cụm từ hạt giống.

Theo các nhà nghiên cứu, vấn đề này ảnh hưởng đến việc tạo khóa riêng cho một số ví chữ ký đơn, khiến chúng dễ bị kẻ tấn công dự đoán hơn nhiều so với thiết kế ban đầu.

Galaxy tin rằng các vụ trộm đã được tự động hóa và phối hợp chặt chẽ, với Thorn cho rằng những kẻ tấn công có thể đã sử dụng các công cụ tự động hóa nâng cao để hệ thống xác định và trống rỗng các ví dễ bị tổn thương.

Anh ấy cũng cảnh báo rằng mọi ví ký đơn bị ảnh hưởng được tạo bằng phần mềm lỗi thời gian có thể bị xâm phạm nếu tiền vẫn còn ở các địa chỉ đó.

Các nhà nghiên cứu lưu ý rằng nhiều bitcoin bị đánh cắp đã không bị động chạm trong nhiều năm trước khi bị rút hết.

Galaxy ước tính số tiền bị xâm phạm đã ở trạng thái không hoạt động trong trung bình 3,18 năm, cho thấy nhiều nạn nhân là những người nắm giữ bitcoin dài hạn và tin rằng tài sản của họ được lưu trữ an toàn ngoại tuyến.

Vào thời điểm công bố, các nhà điều tra cho biết số tiền bị đánh cắp vẫn còn trong các ví do kẻ tấn công kiểm soát và chưa được chuyển đi thêm.

Vụ khai thác lỗ hổng đã gây ra phản ứng bất thường trong cộng đồng Bitcoin, với một số người dùng bị ảnh hưởng tạm thời từ bỏ việc tự quản lý ví để chuyển sang các sàn giao dịch tập trung hoặc ví mới được tạo.

Dữ liệu trên chuỗi do Julio Moreno, Trưởng bộ phận Nghiên cứu của CryptoQuant chia sẻ cho thấy các khoản chuyển bitcoin dưới 1 BTC đã tăng mạnh vào thứ Sáu, với khoảng 39.600 BTC được chuyển trong một ngày.

Con số này đại diện cho khối lượng giao dịch hàng ngày cao nhất dưới một bitcoin kể từ tháng 11 năm 2022, ngay sau khi sàn giao dịch tiền điện tử FTX sụp đổ, cho thấy làn sóng các chủ sở hữu nhỏ đang chuyển tài sản của họ sau khi tin tức về vụ khai thác bị rò rỉ được công bố.

Việc di chuyển đánh dấu một sự đảo ngược hiếm có của triết lý lâu đời của Bitcoin "không phải chìa khóa của bạn, không phải coin của bạn", khi các mối quan ngại về bảo mật tạm thời vượt trội hơn sở thích tự lưu trữ.

Trong số những người bị ảnh hưởng có doanh nhân và huấn luyện viên người Canada Jonathan Goodman, người cho biết 18,25 BTC đã bị đánh cắp từ các ví của anh ấy trong vòng vài phút, dù anh ấy đã lưu trữ cụm từ khôi phục của mình ngoại tuyến trong một hộp an toàn.

Goodman cho biết ông đã tuân thủ các biện pháp bảo mật được khuyến nghị và hiện đang báo cáo sự việc này cho cả cơ quan thực thi pháp luật và các cơ quan quản lý Canada.

Sự cố này đã làm dấy lại cuộc tranh luận về bảo mật ví phần cứng và tầm quan trọng của việc xác minh tính toàn vẹn của firmware, đồng thời làm nổi bật rằng ngay cả các giải pháp lưu trữ ngoại tuyến cũng vẫn dễ bị tổn thương nếu quá trình tạo khóa mã hóa bị xâm phạm.

Với cuộc điều tra đang diễn ra, các chuyên gia bảo mật khuyên tất cả người dùng có thể đã tạo ví một chữ ký Coldcard bằng phần mềm bị ảnh hưởng nên ngay lập tức chuyển bitcoin của họ sang các ví mới được tạo bằng phần mềm đã được xác minh.