Hacker Coldcard lộ ra lỗi lâu bị che giấu về tính ngẫu nhiên của hạt giống (seed)
Theo các báo cáo, vụ hack Coldcard đã đánh cắp gần 114 triệu USD BTC từ 709+ địa chỉ. Một lỗi trong firmware được cho là đã tạo seed ví với độ ngẫu nhiên thấp hơn nhiều so với cam kết. Vụ “quét” đầu tiên được cho là đã rút cạn khoảng 500 ví trong 25 phút.
Sự cố này được cho là đã được đưa vào codebase của Coldcard từ tháng 3/2021 và theo báo cáo đã tồn tại lộ diện hơn năm năm, dù mã nguồn có sẵn công khai. Bài viết sau đó bổ sung thêm góc nhìn rộng hơn về “khoảng trống niềm tin”: lập luận rằng thất bại chịu ảnh hưởng bởi quy trình và động lực, bao gồm thay đổi cấp phép và một lỗi liên quan trong tạo seed được đưa vào cùng commit tháng 3/2021.
Bài viết cũng xem lại phản hồi của các nhà nghiên cứu. Các thông tin tiết lộ liên quan đến Shift Crypto và Nunchuk (tháng 8/2020) ban đầu bị hoài nghi, và các nỗ lực sau đó nhằm tái hiện các vấn đề cũ lại vấp phải thái độ thù địch, thậm chí có cả đe dọa pháp lý. Mối lo của trader là thực tế: cập nhật firmware có thể không khắc phục được thiệt hại do các seed đã được tạo ra từ các phiên bản dễ tổn thương, vì vậy việc di chuyển (migration) và chuyển tiền thủ công là rất quan trọng.
Sau sự cố, các luồng tiền vào sàn giao dịch được cho là lại chuyển sang tích cực (OKX nêu dòng tiền vào kỷ lục) và nhu cầu đối với spot BTC ETF tăng mạnh (ví dụ IBIT/FBTC). Với trader, vụ hack Coldcard có thể làm tăng biến động ngắn hạn quanh các câu chuyện về việc lưu ký BTC và bảo mật ví, trong khi tác động dài hạn phụ thuộc vào các đợt rà soát bảo mật nhanh hơn và hướng dẫn rõ ràng hơn trong tài liệu lẫn truyền thông.
Bài học từ vụ hack Coldcard: hãy coi việc tự lưu ký bằng một thiết bị duy nhất là rủi ro cao hơn và ưu tiên các quy trình đã được xác minh (dấu vết kiểm toán, di chuyển và thực hành multisig an toàn hơn), ngay cả sau khi có “cập nhật khẩn cấp” firmware.
Neutral
Mặc dù vụ hack Coldcard rõ ràng là một sự kiện nghiêm trọng liên quan đến việc lưu ký và bảo mật ví BTC, tín hiệu giao dịch ngay lập tức lại khá lẫn lộn. Trong ngắn hạn, câu chuyện rủi ro xoay quanh tự lưu ký và độ ngẫu nhiên của seed có thể làm gia tăng biến động, đặc biệt với những người nắm giữ dựa vào ví phần cứng chỉ dùng một thiết bị. Trong dài hạn, việc nhấn mạnh lại vào các cuộc kiểm toán, các best practice di chuyển và việc rà soát bảo mật nhanh hơn có thể giúp giảm rủi ro “đuôi”—nhưng cũng có thể khiến thị trường tiếp tục tập trung vào cơ sở hạ tầng lưu ký.
Đồng thời, sự thay đổi được báo cáo sau sự cố—dòng tiền ròng đổ vào sàn ở mức dương và nhu cầu mạnh hơn đối với ETF BTC giao ngay—có thể bù đắp nỗi hoảng loạn bằng cách chuyển dòng tiền sang các công cụ được quản lý. Vì vậy, tác động ròng lên giá BTC nhiều khả năng là trung tính: chất xúc tác cho biến động hơn là một động lực xu hướng kéo dài.