Lỗi tạo seed của Coldcard: hơn 100 triệu USD BTC bị rút khỏi hàng nghìn ví

Lỗi trong việc tạo seed của Coldcard đã không được phát hiện trong nhiều năm, dù người dùng có thể kiểm tra firmware công khai. Các nghiên cứu sau đó truy ra rằng vấn đề xuất phát từ một thay đổi firmware vào tháng 3/2021 (v4.0.0), trong đó khi tạo cụm từ seed lại dùng bộ tạo ngẫu nhiên yếu hơn thay vì nguồn entropy phần cứng chuyên dụng mà lẽ ra phải dùng. Các nhà điều tra báo cáo các vụ trộm khoảng 1.596–1.816 BTC (hơn 100 triệu USD) từ chừng 5.200–7.300 địa chỉ. Coinkite cho biết một số mẫu bị ảnh hưởng có entropy ước tính khoảng ~72 bit thay vì 128 bit dự kiến, khiến không gian tìm kiếm seed bị thu hẹp đáng kể. Đội bảo mật của Block nói rằng nhánh tạo ngẫu nhiên bị ảnh hưởng không cung cấp bất kỳ sự ngẫu nhiên an toàn nào. Coinkite đã phát hành firmware đã sửa cho các mẫu Coldcard bị ảnh hưởng, nhưng bản cập nhật không “nâng cấp” các cụm từ khôi phục hiện có. Người dùng bị ảnh hưởng phải cài bản vá, tạo một seed hoàn toàn mới và chuyển tiền sang các địa chỉ được tạo từ seed đã được sửa. James O’Beirne đã nêu ra vấn đề về ngẫu nhiên sau một cuộc kiểm toán vào tháng 5/2025, và truy ngược nguyên nhân tới libngu. Với các trader, lỗi tạo seed của Coldcard nhấn mạnh rủi ro từ bên trung gian/nhà sản xuất đối với việc tự quản lý tài sản ở giai đoạn tạo khóa. Đây là đòn giáng về danh tiếng và vận hành đối với niềm tin vào ví phần cứng, nhưng sự kiện này khó có khả năng làm thay đổi các nền tảng cốt lõi của BTC.