⚠️ Người dùng Coldcard mất hàng triệu đô la do lỗ hổng phần mềm năm 2021 Một trong những sự cố bảo mật quan trọng nhất liên quan đến bitcoin trong lĩnh vực tự lưu trữ đã làm nổi bật một bài học then chốt: ví phần cứng phụ thuộc vào tính bảo mật của quá trình tạo seed là quan trọng nhất. Một lỗ hổng trên Coldcard liên quan đến các phiên bản firmware được phát hành năm 2021 cho phép kẻ tấn công trích xuất hàng trăm ví mà không cần truy cập vật lý, lừa đảo hoặc phần mềm độc hại. Các báo cáo ước tính rằng từ 594 BTC đến hơn 1.082 bitcoin đã bị đánh cắp, tương đương với tổn thất tiềm tàng từ khoảng 38 triệu đến 70 triệu đô la. Cuộc tấn công diễn ra trong khoảng thời gian ngắn từ 25 đến 40 phút, nhắm vào các ví có seed được tạo trong giai đoạn firmware bị ảnh hưởng. Nhiều địa chỉ bị ảnh hưởng đã không hoạt động trong nhiều năm, với số tiền được lưu trữ kể từ thời điểm seed bị xâm phạm được tạo ra. Theo phân tích trên chuỗi, kẻ tấn công dường như ưu tiên các ví có giá trị cao trước, bao gồm một ví chứa khoảng 1,8 triệu đô la. Sau đó, hoạt động mở rộng thành việc quét tự động các địa chỉ dễ bị tổn thương khác, cho thấy khả năng đã xác định trước các ví bị ảnh hưởng. Nguyên nhân gốc rễ liên quan đến entropy không đủ trong quá trình tạo seed trên một số mẫu Coldcard, đặc biệt là các thiết bị Mk3 sử dụng các phiên bản firmware bị ảnh hưởng. Thay vì dựa đúng vào độ ngẫu nhiên phần cứng, quá trình này có thể tạo ra các seed có thể dự đoán được, cho phép khôi phục khóa riêng từ xa. Coinkite khuyến nghị người dùng có thể bị ảnh hưởng chuyển tiền sang các ví mới được tạo bằng firmware đã được cập nhật. Sự cố này củng cố một nguyên tắc bảo mật cơ bản: nếu quá trình tạo seed thất bại, ngay cả các biện pháp bảo vệ mạnh mẽ như thiết kế cách ly mạng và phần cứng an toàn cũng không thể bảo vệ đầy đủ tài sản của người dùng.