Một lỗi phần mềm được giới thiệu vào tháng 3 năm 2021 bởi nhà sản xuất ví phần cứng Canada Coinkite đã âm thầm làm suy yếu độ ngẫu nhiên được sử dụng để tạo cụm từ hạt giống trên các thiết bị Coldcard bị ảnh hưởng. Thay vì lấy từ nguồn entropy mạnh mẽ, lỗ hổng đã chuyển hướng việc tạo cụm từ hạt giống sang một bộ sinh số giả ngẫu nhiên dựa trên phần mềm. Nói một cách đơn giản: các con số “ngẫu nhiên” này không đủ ngẫu nhiên, khiến kẻ tấn công có thể tái tạo khóa riêng mà không cần chạm vào thiết bị vật lý.
Nó tệ đến mức nào
Đợt tấn công lớn đầu tiên xảy ra vào ngày 30 tháng 7 năm 2026. Trong khoảng 25 phút, khoảng 594 BTC, trị giá khoảng 38 triệu USD, đã biến mất từ khoảng 500 địa chỉ. Đó mới chỉ là màn mở đầu.
Galaxy Research đã xác định ít nhất ba đợt tấn công riêng biệt. Đến đầu tháng 8 năm 2026, tổng thiệt hại đã tăng lên 1.816 BTC, tương đương từ 114 triệu đến 116 triệu USD, trải rộng trên hơn 5.200 địa chỉ bị xâm phạm. Các cuộc tấn công tập trung gần như hoàn toàn vào các ví chữ ký đơn, cấu hình mà hầu hết người dùng thông thường sử dụng, mà không có các lớp bảo mật bổ sung mà các cấu hình đa chữ ký cung cấp.
CEO của Coinkite và đội ngũ kỹ thuật tại Block đều xác nhận sự tồn tại của lỗi. Các bản cập nhật firmware khẩn cấp đã được phát hành, kèm theo hướng dẫn khẩn cấp cho người dùng bị ảnh hưởng để tạo cụm từ hạt giống mới và chuyển khoản ngay lập tức. Đối với nhiều người, lời khuyên đó đến quá muộn.
Lỗ hổng này có từ ngày 1 tháng 3 năm 2021, ảnh hưởng đến Coldcard Mk3 và các mẫu chính khác của thời kỳ đó.
Điều này có nghĩa gì đối với danh tiếng của việc tự lưu trữ
Các ví phần cứng vốn được xem là tiêu chuẩn vàng. Hoạt động ngoại tuyến, cách ly hoàn toàn, miễn nhiễm với các cuộc tấn công từ xa. Sự cố Coldcard trực tiếp phản bác lại quan điểm đó, và thời điểm này rất quan trọng: đây không phải là câu chuyện về một sàn giao dịch đáng ngờ hay một giao thức DeFi tạm bợ. Coinkite là một trong những cái tên được tôn trọng nhất trong văn hóa bảo mật bitcoin.
Điều đó mở ra cánh cửa cho các quỹ ETF bitcoin. Các quỹ ETF bitcoin spot đã loại bỏ gánh nặng vận hành về quản lý khóa cho các nhà đầu tư tổ chức và bán lẻ muốn tiếp cận bitcoin mà không lo lắng về ví. Một vụ hack $114 triệu vào thiết bị phần cứng đáng tin cậy đã đẩy mạnh đáng kể lập luận này.
Các tổ chức lưu ký sẽ hưởng lợi trực tiếp nhất. Các công ty đang hoạt động trong khuôn khổ quy định, có bảo hiểm và vận hành lưu ký tính toán đa bên hoặc đa chữ ký quy mô lớn hiện nay có thêm một dữ liệu mới để làm điểm nhấn trong mọi cuộc trò chuyện bán hàng.
Các ví chữ ký đơn, mục tiêu chính trong các cuộc tấn công này, vẫn là cấu hình phổ biến nhất trong số các chủ sở hữu cá nhân. Bất kỳ sự chuyển dịch đáng kể nào khỏi mô hình này, dù hướng tới ETF, các sắp xếp chữ ký đa chiều, hay các dịch vụ lưu ký được quản lý, đều sẽ đại diện cho một sự thay đổi về cấu trúc trong cách phân phối quyền sở hữu bitcoin.