Các quỹ bị đánh cắp liên quan đến lỗ hổng ví phần cứng Coldcard đang cho thấy những dấu hiệu ban đầu của việc rửa tiền, nhưng các nhà nghiên cứu bảo mật blockchain cho biết hầu hết các bản sao tiềm năng chưa di chuyển số lượng lớn tiền điện tử của nạn nhân. Theo CertiK, khoảng 64 Bitcoin (tương đương khoảng 4,17 triệu USD) và 200 Ether (tương đương khoảng 380.000 USD) liên quan đến cuộc tấn công đã được chuyển vào các dịch vụ trộn nổi tiếng—Wasabi cho BTC và Tornado Cash cho ETH.
Sự cố Coldcard nhanh chóng trở thành một trong những vụ hack tiền điện tử lớn nhất năm nay. Galaxy Digital trước đây đã xác định tổn thất được xác minh ít nhất là 100 triệu đô la Mỹ trong Bitcoin qua ba đợt, đồng thời cũng cảnh báo về khả năng có đợt thứ tư có thể làm tổng tổn thất tăng lên khoảng 130 triệu đô la Mỹ.
Những điểm chính
- CertiK cho biết khoảng 64 BTC liên quan đến lỗ hổng Coldcard đã được gửi đến Wasabi, và 200 ETH đã được chuyển đến Tornado Cash.
- Các dịch vụ trộn thường gom tiền và làm mờ các mối liên kết trên chuỗi, giảm khả năng khôi phục cho nạn nhân.
- Việc truy vết của TRM Labs cho thấy phần lớn số dư của nạn nhân vẫn tập trung trong một nhóm nhỏ các địa chỉ do kẻ tấn công kiểm soát với hoạt động trộn hạn chế.
- Phân tích các mẫu giao dịch qua các đợt tấn công cho thấy lỗ hổng có thể liên quan đến nhiều hơn một tác nhân.
Các dịch vụ trộn nhập cuộc vào bức tranh rửa tiền của Coldcard
Hoạt động giám sát blockchain của CertiK đã liên kết các giao dịch chuyển cụ thể với vụ khai thác Coldcard và xác định một phần luồng giao dịch vào các công cụ bảo mật và làm mờ. Trong báo cáo của mình, CertiK cho biết giao dịch bitcoin—xuất phát từ địa chỉ bc1q0—đã được gửi đến giao thức trộn Wasabi vào thứ Ba, sử dụng dữ liệu địa chỉ do CertiK chia sẻ với Cointelegraph.
Ở phía Ethereum, CertiK cho biết 200 ETH đã được gửi đến Tornado Cash vào thứ Tư, dựa trên một X post từ tài khoản của họ làm cơ sở cho quan sát này.
Các công cụ trộn tiền mã hóa như Tornado Cash hoạt động bằng cách gom các khoản nạp từ nhiều người dùng, sau đó giải phóng tiền theo cách làm đứt gãy việc theo dõi trực tiếp trên chuỗi từ người gửi ban đầu đến người nhận cuối cùng. Tính năng này chính là lý do khiến việc truy vết trở nên khó khăn hơn và khả năng khôi phục tài sản thấp hơn—đặc biệt khi kẻ tấn công di chuyển nhanh và phân tán tài sản qua nhiều địa chỉ và dịch vụ khác nhau.
Tại sao điều này quan trọng: rửa tiền dựa trên đà tăng trưởng so với hành vi bắt chước
Người phát ngôn của CertiK cho biết Cointelegraph rằng hoạt động này có thể liên quan đến một kẻ khai thác nhỏ hơn, đồng thời bổ sung rằng “có khả năng có một vài kẻ bắt chước sau vụ khai thác ban đầu.” Hàm ý rất rõ ràng: nếu các bên khác sử dụng cùng điểm yếu đó, chuyển động trên chuỗi của họ có thể hỗ trợ hoặc cản trở các nhà điều tra, tùy thuộc vào việc họ có tiến hành rửa tiền quy mô lớn hay không.
Đó là nơi những phát hiện của TRM Labs trở nên quan trọng. Trong báo cáo ngày thứ Năm có tựa đề “Vụ khai thác ví phần cứng lớn nhất năm 2026: bên trong vụ đánh cắp $116 triệu từ Coldcard”, TRM Labs cho biết việc truy vết trên chuỗi của họ cho thấy phần lớn số tiền của nạn nhân vẫn đang được gom lại trong một số ít địa chỉ do kẻ tấn công kiểm soát và các nỗ lực trộn tiền dường như bị hạn chế.
TRM Labs cũng nhấn mạnh rằng “sự khác biệt trong cách xây dựng giao dịch” giữa mỗi đợt cho thấy có nhiều kẻ tấn công. Nói cách khác, ngay cả khi lỗ hổng cơ bản là giống nhau, kế hoạch hoạt động có thể không hoàn toàn giống nhau—một sự bất đối xứng có thể hữu ích cho các nhà điều tra khi cố gắng phân biệt danh tính người tham gia, nguồn vốn và các con đường rửa tiền.
Mức độ tấn công Coldcard và mô hình “sóng”
Galaxy Digital trước đây đã mô tả vụ khai thác Coldcard là vụ hack tiền điện tử lớn thứ ba năm 2026 cho đến nay, dựa trên các hoạt động đã được xác minh. Trong đánh giá của mình, Galaxy ước tính tổn thất do bị rút tiền ít nhất 100 triệu USD dưới dạng bitcoin qua ba đợt tấn công được xác minh, liên quan đến 7.300 ví nạn nhân. Galaxy cũng chỉ ra một đợt tấn công thứ tư nghi ngờ có thể làm tổng tổn thất tăng lên khoảng 130 triệu USD dưới dạng BTC, theo các bài viết trước đó từ Cointelegraph.
Những phát hiện dựa trên sóng này có ý nghĩa đối với cách các chuyên gia phân tích diễn giải hành vi rửa tiền. Nếu các kẻ tấn công không phân phối tiền một cách tích cực—hoặc nếu chỉ một phần tài sản bị đánh cắp đã được chuyển vào các trộn tiền—thì yếu tố thời gian trở nên cực kỳ quan trọng: các nhà điều tra có thể vẫn đang chờ đợi các hành động tiếp theo rộng hơn khi các thực thể bổ sung hoặc các lô tài sản bị đánh cắp bổ sung bắt đầu di chuyển.
Phân tích trước đây của Galaxy, cũng được Cointelegraph trích dẫn, cho thấy ít nhất 15 kẻ tấn công khác nhau đã khai thác lỗ hổng này. Điều này phù hợp với quan điểm của TRM Labs về sự khác biệt trong cách xây dựng giao dịch giữa các đợt, củng cố ý tưởng rằng những gì có vẻ như là một sự cố đơn lẻ thực tế có thể là một hoạt động được phối hợp (hoặc ít nhất là song song) với các bên tham gia khác nhau.
Điểm yếu kỹ thuật đằng sau vụ khai thác
Báo cáo của TRM Labs cho rằng một phần lỗ hổng này là do lỗi phần mềm từ tháng 3 năm 2021, làm suy yếu độ ngẫu nhiên của seed trên một số ví Coldcard. Theo TRM Labs, lỗi này đã làm giảm sức mạnh khóa từ 128 bit xuống còn 40 bit, khiến nó có thể “bị bẻ khóa bằng phương pháp brute-force mà không cần truy cập vật lý.”
Các bình luận khác xung quanh giải pháp này đã nhấn mạnh chi phí thấp của việc duy trì an ninh tốt hơn. Đối tác quản lý của Dragonfly, Haseeb Qureshi đã viết rằng khoảng “$2 để củng cố AI” có thể đã ngăn chặn được vụ khai thác Coldcard, trích dẫn các báo cáo trên mạng xã hội cho rằng một số mô hình AI đã nhanh chóng phát hiện lại lỗ hổng này—mặc dù những tuyên bố đó được trình bày dưới dạng bình luận hơn là phát hiện kỹ thuật chính thức.
Đối với các nhà đầu tư và nhà phát triển, điểm chính là không nên tập trung vào một mức giá cụ thể, mà là tốc độ mà các điểm yếu có thể bị lợi dụng khi thông tin công khai lan rộng. Khi một lỗ hổng có thể bị khai thác từ xa và quy mô lớn, phản ứng sự cố cần xem xét cả những kẻ tấn công ngay lập tức và những người bắt chước kéo dài.
Trong tương lai, người đọc nên theo dõi xem liệu các địa chỉ do kẻ tấn công kiểm soát có bắt đầu chuyển một phần lớn số dư bị đánh cắp vào các dịch vụ trộn hay không, và liệu làn sóng thứ tư “được nghi ngờ” do Galaxy xác nhận có tiếp tục phát triển hay không. Khi càng nhiều quỹ được chuyển—hoặc không được chuyển—trên chuỗi, các nhà điều tra sẽ có tín hiệu rõ ràng hơn về số lượng tác nhân tham gia và mức độ thành công của họ trong việc phá vỡ khả năng truy vết.
Bài viết này ban đầu được xuất bản dưới tiêu đề Coldcard Hackers Gửi 64 BTC và 200 ETH đến Các Trình Trộn Tiền Mã Hóa trên Crypto Breaking News – nguồn tin tức mã hóa đáng tin cậy của bạn về tin tức tiền mã hóa, tin tức bitcoin và cập nhật blockchain.