Coldcard漏洞致8900万美元被盗，引爆FTX后最大链上迁移潮

Nguyên tác: Oluwapelumi Adejumo

Biên dịch: Saoirse, Foresight News

Cuộc khủng hoảng ví Coldcard đã làm tổn hại nghiêm trọng đến tâm lý thị trường Bitcoin, làm nhiễu loạn các chỉ số tham chiếu trên chuỗi, đồng thời phơi bày những lỗ hổng tồn tại lâu dài trong hệ thống phòng thủ mạng hỗ trợ AI.

Vào ngày 30 tháng 7, nhà sản xuất phần cứng Coinkite đã phát cảnh báo rủi ro tới người dùng: ví được tạo bởi một số phiên bản firmware Coldcard cụ thể có nguy cơ bị đánh cắp tài sản, nguyên nhân là do lỗi phần mềm khiến tính ngẫu nhiên của cụm từ khóa ghi nhớ được tạo ra thấp hơn nhiều so với tiêu chuẩn thiết kế.

Galaxy Research cho biết, sự cố bảo mật này đã tạo ra tổng cộng ba đợt tấn công, với 4.585 địa chỉ bị xâm nhập có chủ đích, số Bitcoin bị đánh cắp là 1.367,05 BTC, tương đương khoảng 89 triệu USD.

Sự kiện hacker tấn công ví Bitcoin Coldcard (Nguồn: Galaxy Research)

Alex Thorn, Trưởng bộ phận Nghiên cứu Toàn cầu của Galaxy, cho biết số Bitcoin bị đánh cắp trong ba đợt tấn công vẫn nằm trong các địa chỉ do hacker kiểm soát. Tuy nhiên, ông nói thêm rằng một số khoản tiền bị đánh cắp nhỏ lẻ đã được rửa thông qua các chuỗi rút tiền (peel chains), dịch vụ xuyên chuỗi (cross-chain services) và các sòng bạc ở nước ngoài.

Việc di chuyển ví Coldcard làm nhiễu loạn tín hiệu giảm giá Bitcoin

Rủi ro bảo mật tiếp tục lan rộng, những người dùng có nguy cơ lộ lọt đã tranh thủ chuyển Bitcoin của mình trước để tránh tài sản bị hacker đánh cắp. Mặc dù Coinkite đã phát hành firmware sửa lỗi cho các dòng máy bị ảnh hưởng, nhưng các cụm từ khóa ghi nhớ rủi ro cao đã được tạo trước đó không thể được khắc phục bằng bản cập nhật hệ thống, người dùng chỉ có thể tạo ví mới và chuyển tài sản đến các địa chỉ an toàn.

Cuộc di cư ví quy mô lớn này đã khiến hoạt động trên chuỗi của những người nắm giữ nhỏ lẻ và cả những Bitcoin ngủ yên lâu năm tăng vọt bất thường. Julio Moreno, Trưởng bộ phận Nghiên cứu của CryptoQuant, cho biết vào ngày 31 tháng 7, tổng quy mô giao dịch có sản lượng đầu ra dưới 1 Bitcoin mỗi giao dịch đạt 39.600 BTC. Đây là mức cao nhất trong ngày của loại giao dịch này kể từ tháng 11 năm 2022, thời điểm FTX sụp đổ; ngay sau khi FTX sụp đổ năm đó, khối lượng luân chuyển của loại giao dịch tương tự là 39.900 BTC.

Số lượng địa chỉ hoạt động hàng ngày của Bitcoin cũng tăng vọt từ khoảng 645.000 vào ngày 30 tháng 7 lên gần 1 triệu vào ngày hôm sau, đạt mức cao nhất kể từ ngày 10 tháng 12 năm 2024. Moreno cho biết, sự gia tăng số lượng địa chỉ tập trung chủ yếu ở các địa chỉ gửi đi, trong khi mức tăng ở các địa chỉ nhận là rất hạn chế, đủ để cho thấy người dùng đang chuyển tiền từ ví cũ của họ ra ngoài do nhu cầu trú ẩn an toàn.

Số lượng địa chỉ hoạt động hàng ngày của Bitcoin (Nguồn dữ liệu: CryptoQuant)

Lượng nạp vào sàn giao dịch của các giao dịch chuyển dưới 10 Bitcoin đã tăng lên 7.300 BTC, đạt mức cao mới kể từ ngày 6 tháng 2 cùng năm. Một số người dùng đã tạm thời gửi tài sản vào sàn giao dịch trong giai đoạn chuyển tiếp tạo ví an toàn mới, tất nhiên, trong dòng tiền này cũng có cả phần vốn của các nhà đầu tư chuẩn bị bán ra để chốt lời.

Lượng tiền gửi vào sàn giao dịch Bitcoin tăng vọt sau sự kiện Coldcard (Nguồn: CryptoQuant)

Nhà phân tích JA Maartunn của CryptoQuant cho biết thêm, sau khi lỗ hổng bị phơi bày, đã có 77.402 BTC không hoạt động trong thời gian dài được chuyển đi. Tuy nhiên, Maartunn nhắc nhở rằng không nên coi dòng tiền di chuyển quy mô lớn này là bằng chứng cho việc nhiều nhà đầu tư hoảng loạn cắt lỗ, kết hợp với bối cảnh của sự kiện, bản chất của sự thay đổi dòng tiền là do người dùng tăng cường bảo mật cho ví của họ.

Ông nói: "Sự cố cụm từ khóa ghi nhớ Coldcard khiến người dùng chuyển Bitcoin nắm giữ lâu dài để đảm bảo an toàn tài sản. Điều này sẽ làm nhiễu loạn độ chính xác của nhiều loại biểu đồ dữ liệu như thay đổi nguồn cung của người nắm giữ dài hạn, coin days destroyed (hủy diệt ngày đồng xu), phân bố chu kỳ đầu ra đã chi tiêu (spent output age bands)."

Cùng với sự gia tăng mạnh mẽ của hoạt động giao dịch trên chuỗi, tâm lý thị trường tổng thể suy yếu nhanh chóng. Công ty phân tích blockchain Santiment chỉ ra rằng, tỷ lệ giữa các bình luận lạc quan và bi quan về Bitcoin trên toàn mạng đã giảm xuống mức thấp nhất kể từ khi nền tảng bắt đầu theo dõi dữ liệu truyền thông xã hội hiện đại. Trên các nền tảng như X, Reddit, Telegram, cứ mỗi 1 bình luận bi quan thì chỉ có 0,58 bình luận lạc quan.

Tâm lý thị trường Bitcoin chuyển sang bi quan (Nguồn: Santiment)

Santiment cho rằng, phản ứng của thị trường dữ dội như vậy là do lỗ hổng lần này nhắm vào ví lưu trữ lạnh (cold storage wallets). Hầu hết những người nắm giữ coi ví lạnh là tuyến phòng thủ an toàn cuối cùng cho tài sản Bitcoin sau khi rút tiền khỏi sàn giao dịch và tránh xa các nền tảng tiền mã hóa rủi ro cao.

Quy định quản lý AI của Mỹ làm tăng độ khó truy vết vụ Coldcard

Việc chuyển ví gây nhiễu loạn tín hiệu thị trường Bitcoin này cũng khiến việc truy vết tài sản bị đánh cắp trở nên cấp bách, phải khóa dòng tiền trước khi chúng chảy vào các nền tảng có thể quy đổi và rút tiền.

Galaxy Research đã tổng hợp thông tin báo cáo từ các nạn nhân, phân loại ra một danh sách các địa chỉ nghi là của hacker, và cung cấp thông tin này cho các cơ quan thực thi pháp luật, tổ chức tuân thủ cũng như các nhà điều tra an ninh mạng khác. Thorn tiết lộ, tổ chức đã báo cáo khoảng 600 địa chỉ của hacker nghi chứa số Bitcoin bị đánh cắp.

Tuy nhiên, ông cho biết, các rào cản an toàn (safety guardrails) được thiết lập bởi các mô hình AI lớn chính thống của Mỹ đã hạn chế công tác truy vết tài sản bị đánh cắp và bảo vệ người dùng, buộc nhóm điều tra phải chuyển sang sử dụng một mô hình AI mã nguồn mở của Trung Quốc. Thorn không chỉ rõ đó là những mô hình AI Mỹ nào, những lệnh truy vấn nào đã bị chặn, cũng không nêu chi tiết mô hình thay thế này đã hỗ trợ cuộc điều tra như thế nào. Dù vậy, tình huống khó xử mà ông nêu ra có điểm tương đồng rất lớn với khó khăn mà Hugging Face gặp phải trong một cuộc tấn công mạng trước đó.

Nền tảng AI này cho biết, đã có chương trình tự động xâm nhập vào một phần cơ sở hạ tầng của họ, và đội ngũ an ninh cần phân tích hơn 17.000 bản ghi sự kiện. Ban đầu, các nhà điều tra sử dụng giao diện thương mại (API) để gọi các mô hình tiên tiến chính thống, tải lên các lệnh tấn công, payload khai thác lỗ hổng và nhật ký liên quan đến chỉ huy và kiểm soát (C2) để phân tích.

Hugging Face cho biết tất cả các truy vấn này đều bị hệ thống chặn lại. Lý do là hệ thống an toàn AI không thể phân biệt được các nhà điều tra xử lý khẩn cấp với những kẻ tấn công thực sự. Cuối cùng, nhóm nghiên cứu đã chọn mô hình trọng số mã nguồn mở GLM 5.2 do Zhipu AI (智谱 AI) tự phát triển, và hoàn tất toàn bộ quá trình phân tích pháp y trên máy chủ riêng của họ.

Mô hình này đã hỗ trợ các nhân viên xây dựng lại dòng thời gian tấn công hoàn chỉnh, xác định vị trí các thông tin xác thực bị rò rỉ, trích xuất các dấu hiệu xâm nhập, và có thể phân biệt các dấu vết tấn công thực sự với các hành vi mồi nhử gây nhiễu. Hugging Face cho biết, công việc pháp y vốn cần nhiều ngày, nhờ có sự hỗ trợ của AI đã được rút ngắn xuống còn vài giờ.

Trường hợp này xác nhận vấn đề bất đối xứng AI tấn công-phòng thủ mà Thorn đề cập trong vụ Coldcard: hacker có thể sử dụng các công cụ AI không bị giới hạn, có thể tự sửa đổi, không bị ràng buộc bởi các quy tắc an toàn của mô hình thương mại; trong khi phe phòng thủ khi gửi tài liệu có đặc điểm độc hại để phục vụ điều tra vụ việc thường bị AI từ chối, ngay cả khi mục đích ban đầu là kiểm soát các sự cố an ninh nghiêm trọng.

Nhưng nếu dỡ bỏ các hạn chế an toàn AI trên diện rộng, lại nảy sinh những rủi ro mới. Các nhà cung cấp dịch vụ AI không thể chỉ dựa vào tuyên bố bằng lời nói của người dùng về việc truy tìm tiền bị đánh cắp mà mở quyền truy cập, những công cụ không giới hạn như vậy cũng sẽ bị lạm dụng cho các hoạt động bất hợp pháp như tấn công ví, rửa tiền, lách các quy định giao dịch.

Trong lĩnh vực tiền mã hóa, mâu thuẫn này đặc biệt gay gắt: tài sản bị đánh cắp có thể được luân chuyển qua các cầu nối xuyên chuỗi, sàn giao dịch, nền tảng cờ bạc chỉ trong vài phút. Một khi việc truy vết bị trì hoãn, tiền sẽ được chuyển vào các nền tảng có thể rút tự do trước khi nạn nhân nhận được phiếu xác nhận báo án và các nhà điều tra hoàn tất quá trình truy xuất nguồn gốc thủ công, và cơ hội phong tỏa sẽ hoàn toàn biến mất.