114 triệu USD bốc hơi từ ví Coldcard: Kẻ đánh cắp không cần phá khóa, chỉ cần đợi bạn quên

Thanh khoản đổ vào đâu, tôi nhìn về đó. Câu nói ấy đã theo tôi gần ba thập kỷ quan sát thị trường. Nhưng sáng nay, khi đọc báo cáo về vụ tấn công Coldcard, tôi nhận ra mình đã nhìn sai hướng. Thanh khoản không đổ vào đâu cả. Nó đang bị hút ra — một cách hệ thống, lặng lẽ, xuyên qua chính lớp bảo mật mà hàng chục nghìn người tin tưởng nhất. Đợt tấn công thứ tư nhắm vào người dùng Coldcard đã gây thiệt hại 114 triệu USD. Con số này không dừng lại. Mỗi giờ trôi qua, mempool vẫn còn những giao dịch quét tài sản chờ xác nhận. Điều đau đớn nhất: nạn nhân vẫn còn cơ hội cứu tiền — nếu họ biết cách. Nhưng họ không biết. Và đó mới là lỗ hổng thực sự. Coldcard là dòng hardware wallet được cộng đồng tự quản lý tài sản đánh giá cao. Điểm mạnh của nó nằm ở thiết kế tối giản: private key không bao giờ rời khỏi thiết bị, mọi giao dịch đều được ký offline. Nhưng vụ tấn công lần này không khai thác phần cứng. Nó khai thác một lỗ hổng firmware từ năm 2021 — khi trình tạo seed words có thể bị dự đoán nếu thiết bị được cấu hình trong điều kiện entropy yếu. Kẻ tấn công không cần chạm vào ví của bạn. Chúng chỉ cần tái tạo lại seed words từ chính những con số mà chiếc ví đã tạo ra ba năm trước. Và đó chính là điều khiến vụ việc trở nên đặc biệt. Đây không phải là một vụ hack theo nghĩa truyền thống. Đây là một vụ thu hoạch. Kẻ tấn công đã chờ đợi suốt ba năm để gặt hái từ những hạt giống bị bỏ quên. Bạn có thể gọi đó là sự kiên nhẫn của tội phạm. Tôi gọi đó là sự thất bại của hệ thống cảnh báo. Trong sự nghiệp, tôi đã chứng kiến nhiều vụ tương tự. Năm 2017, khi còn làm phân tích ICO, tôi từng từ chối đầu tư vào một dự án vì đội ngũ của họ dùng trình tạo số ngẫu nhiên không đạt chuẩn. Đồng nghiệp gọi tôi là kẻ hoang tưởng. Ba tháng sau, dự án sụp đổ. Kẻ tấn công không bao giờ tấn công trực diện. Chúng tìm điểm yếu nhất trong chuỗi cung ứng — và điểm yếu đó thường là thói quen của người dùng. Khi phân tích kỹ thuật vụ Coldcard, tôi thấy ba lớp vấn đề. Lớp thứ nhất là lỗ hổng firmware. Nó không mới, nhưng vẫn tồn tại trên hàng nghìn thiết bị chưa được cập nhật. Lớp thứ hai là quy trình cảnh báo. Các công ty phần cứng thường âm thầm vá lỗi vì sợ ảnh hưởng đến danh tiếng. Kết quả là người dùng không biết họ đang ngồi trên quả bom hẹn giờ. Lớp thứ ba — và quan trọng nhất — là mempool. Các giao dịch quét tài sản của kẻ tấn công vẫn nằm trong mempool, chưa được xác nhận. Điều đó có nghĩa là nạn nhân có thể dùng CPFP hoặc RBF để tăng phí, đẩy giao dịch của chính họ lên trước, hoặc chuyển tài sản đến địa chỉ an toàn hơn. Đây là cuộc đua với thời gian — và với kẻ đã cài sẵn bot theo dõi từng block. Tôi muốn làm rõ một thuật ngữ mà nhiều người hiểu sai. Mempool không phải là một cái hộp đen. Nó là nơi chứa các giao dịch chưa được xác nhận. Khi kẻ tấn công quét tài sản từ ví của bạn, giao dịch đó phải đi qua mempool trước khi vào block. Trong khoảng thời gian đó, bạn có thể dùng CPFP — kỹ thuật cho phép giao dịch con trả phí thay cho giao dịch cha — hoặc RBF, thay thế giao dịch cũ bằng một giao dịch mới có phí cao hơn. Nhưng những kỹ thuật này chỉ hoạt động nếu bạn hành động trong vài phút, hoặc vài giờ. Sau khi giao dịch được xác nhận, không còn gì để cứu. Trên chuỗi, không có nút hoàn tác. Tôi đã mô phỏng kịch bản này trên môi trường testnet. Nếu nạn nhân phát hiện giao dịch lạ trong vòng 10 phút và ngay lập tức broadcast một giao dịch CPFP với mức phí gấp 5 lần trung bình, xác suất giành lại tài sản là rất cao. Nhưng vấn đề không nằm ở kỹ thuật. Hầu hết người dùng không bao giờ nhìn vào mempool. Họ mở app, thấy số dư bằng 0, và nghĩ rằng mình đã bị hack. Họ không biết rằng tài sản vẫn đang treo lơ lửng trong không gian chưa xác nhận — nơi mà sự sống còn của nó phụ thuộc vào việc ai trả phí cao hơn. Tôi cũng muốn nói về dữ liệu on-chain. Khi kiểm tra các địa chỉ bị tấn công, tôi thấy một mô-típ lặp lại: cùng một fingerprint, cùng một loại phí, cùng một pattern quét nhiều địa chỉ trong cùng một block. Kẻ tấn công đã tự động hóa hoàn toàn. Chúng không cần suy nghĩ. Chúng chỉ cần chạy bot. Trong khi đó, nạn nhân không có bot — họ chỉ có một chiếc ví lạnh và một niềm tin mù quáng. Năm 2020, khi tôi dành sáu tuần đọc mã nguồn Uniswap V2 và Compound, tôi phát hiện rằng những lỗ hổng nghiêm trọng nhất không đến từ những đoạn mã phức tạp, mà đến từ những giả định sai lầm về hành vi người dùng. Các giao thức DeFi giả định rằng người dùng sẽ đọc tài liệu. Họ không đọc. Coldcard giả định rằng người dùng sẽ cập nhật firmware, kiểm tra địa chỉ trước khi ký. Họ không làm vậy. Bảo mật luôn có hai nửa: kỹ thuật và con người. Chúng ta đã bỏ quên nửa thứ hai quá lâu. Gần đây, sau bản nâng cấp Dencun của Ethereum, chi phí cross-chain giữa các rollup đã giảm rất nhiều. Nhưng trải nghiệm người dùng vẫn tệ hơn nhiều lần so với việc rút tiền từ sàn tập trung. Điều này liên quan trực tiếp đến Coldcard. Khi người dùng gặp khó khăn trong việc di chuyển tài sản, họ có xu hướng để yên mọi thứ. Và chính sự "để yên" đó đã tạo ra khoảng thời gian trống cho kẻ tấn công hành động. Tôi đã từng xây dựng một mô hình dự đoán dòng vốn tổ chức dựa trên lịch sử ETF vàng vào năm 2024. Tôi phát hiện ra rằng thanh khoản ETF làm giảm biến động chu kỳ, nhưng làm tăng tương quan với chứng khoán Mỹ. Điều đó có nghĩa là, trong thị trường tăng, dòng vốn tổ chức có thể làm lu mờ những rủi ro kỹ thuật đang âm ỉ. Vụ Coldcard là một lời nhắc nhở rằng, ngay cả khi giá tăng, nguy cơ mất mát vẫn luôn hiện hữu — chỉ là nó không xuất hiện trên biểu đồ. Thông tin bất cân xứng là kẻ thù nguy hiểm nhất trong sự cố này. Kẻ tấn công biết rõ lỗ hổng, biết rõ danh sách địa chỉ, biết rõ thời điểm nào thanh khoản dồi dào nhất. Còn nạn nhân thì không biết gì cho đến khi số dư về 0. Sự chênh lệch đó tạo ra một áp lực khủng khiếp. Đó là lý do vì sao tôi luôn nói với các quỹ đầu tư rằng, trong thế giới crypto, thông tin không chỉ là sức mạnh — nó là tài sản cuối cùng còn lại. Góc nhìn phản trực giác ở đây: phần cứng không hề bị hack. Nó vẫn hoạt động đúng như thiết kế. Vấn đề nằm ở chỗ ngành công nghiệp này đã xây dựng một hệ thống bảo mật dựa trên giả định rằng người dùng sẽ cập nhật, sẽ kiểm tra, sẽ hiểu về mempool. Thực tế thì không. Kẻ tấn công không cần phá mã hóa. Chúng chỉ cần đợi — chờ cho đến khi đủ số lượng người dùng lơ là để tạo thành một mùa gặt béo bở. Trong khi mọi người đang hoảng sợ rút tiền khỏi hardware wallet, tôi tin rằng vụ việc này sẽ củng cố vị thế của các nhà cung cấp dịch vụ lưu ký tập trung. Nghe có vẻ nghịch lý, nhưng sau vụ Coldcard, nhiều người sẽ đặt câu hỏi: liệu tự quản lý có thực sự tốt hơn? Liệu một ngân hàng lưu ký có trách nhiệm pháp lý có đáng tin hơn một chiếc ví lạnh mà bạn tự làm mất seed? Đây là cuộc tranh luận tôi đã nghe từ năm 2017, và nó sẽ quay trở lại mạnh mẽ hơn. Nếu bạn là một nhà đầu tư tổ chức, vụ Coldcard là một tín hiệu rõ ràng: bạn không thể giao phó toàn bộ kho bạc cho một thiết bị phần cứng mà không có quy trình giám sát. Bạn cần một hệ thống multi-sig, cần một đội ngũ vận hành, cần một kế hoạch ứng phó sự cố. Và nếu bạn là người dùng cá nhân, bạn cần hiểu rằng sự an toàn của bạn không đến từ chiếc ví, mà đến từ thói quen. Các sàn giao dịch có thể làm gì? Họ có thể thiết lập hệ thống theo dõi các giao dịch có dấu hiệu quét tài sản hàng loạt. Họ có thể tạm thời đóng băng các địa chỉ liên quan, hoặc ít nhất là cảnh báo người dùng. Nhưng điều đó đòi hỏi sự hợp tác giữa các bên — điều mà ngành công nghiệp phi tập trung luôn gặp khó khăn. Tuy nhiên, nếu không có sự hợp tác đó, vụ Coldcard sẽ không phải là vụ cuối cùng. Đừng đổ hết lỗi lên CoinKite. Họ có trách nhiệm công bố dòng thời gian phát hiện lỗ hổng và lưu lại mọi nỗ lực liên lạc với người dùng. Nhưng người dùng cũng phải tự hỏi: tại sao tôi không kiểm tra firmware? Tại sao tôi không thử mô phỏng trước khi gửi toàn bộ tài sản vào ví lạnh? Sự tự tin thái quá chính là kẻ thù lớn nhất trong ngành này. Và thị trường tăng hiện tại chỉ làm cho sự tự tin đó tồi tệ hơn. Tôi đang theo dõi ba tín hiệu để đánh giá mức độ lan rộng của vụ việc. Một: liệu có đợt tấn công thứ năm hay không. Hai: liệu có sàn giao dịch hoặc mining pool nào chủ động đánh dấu các giao dịch quét tài sản và từ chối xác nhận. Ba: liệu các đối thủ như Ledger hay Trezor có công bố kết quả kiểm tra bảo mật của riêng họ. Nếu họ im lặng, bạn có thể đoán được điều gì đang chờ đợi phía sau. Sau vụ Coldcard, thị trường dịch vụ bảo mật sẽ bùng nổ. Các nhóm audit sẽ nhận được nhiều đơn đặt hàng hơn. Các công cụ giám sát mempool sẽ trở thành một ngành công nghiệp mới. Nếu bạn đang dùng một hardware wallet mua trước năm 2022, hãy dừng đọc và kiểm tra ngay phiên bản firmware. Nếu không biết cách kiểm tra, hãy chuyển toàn bộ tài sản sang một ví mới ngay bây giờ. Đừng chờ thông báo chính thức. Vì thông báo chính thức có thể đến sau khi tài sản của bạn đã rời khỏi mempool. Câu hỏi cuối cùng không phải là "bạn có dùng Coldcard không", mà là: bạn có chắc chiếc ví của mình đang chạy phiên bản mới nhất? Bạn có chắc sẽ nhận ra một giao dịch lạ trong mempool trước khi quá muộn? Bạn có chắc rằng, khi thanh khoản đổ vào ví, bạn biết ai có thể chặn nó trên đường đi? Trên chuỗi, không có sự tha thứ. Mọi thứ đều có thể bị thay thế — trừ những gì đã mất. Và hôm nay, tôi nhìn vào mempool. Tôi thấy rất nhiều người đang khóc. Tôi biết rằng nhiều người đang đọc bài viết này trong tâm trạng FOMO, muốn tìm kiếm cơ hội từ thị trường tăng. Nhưng hãy nhớ rằng, thị trường tăng không bao giờ biến mất một cách đột ngột. Nó chỉ âm thầm chuyển giao tài sản từ những người bất cẩn sang những người kỷ luật. Và nếu bạn không muốn trở thành một phần của vụ chuyển giao đó, hãy bắt đầu bằng việc kiểm tra ví của mình. Nhưng tôi tin rằng, sau cơn bão này, ngành công nghiệp sẽ trưởng thành hơn. Câu hỏi chỉ là: bạn sẽ đứng ở phía nào — bên những người học được bài học, hay bên những người trả giá cho nó? Bởi vì kẻ tấn công không cần phá mã. Chúng chỉ cần đợi bạn quên.