Bạn có nhớ câu chuyện về những chiếc két sắt “không thể phá vỡ” không? Cứ vài năm, bạn lại nghe về một két sắt hiện đại bị bẻ khóa một cách ngoạn mục. Ngành công nghiệp tiền mã hóa đang có một phiên bản của riêng mình, ngoạn mục và đau đớn hơn nhiều.
Theo báo cáo mới nhất từ Galaxy Research – một trong những đơn vị phân tích hàng đầu trong lĩnh vực tiền mã hóa – các vụ trộm Bitcoin từ thiết bị Coldcard đã vượt qua cột mốc 100 triệu USD, trải qua ít nhất ba đợt tấn công được xác nhận. Đáng kinh ngạc hơn, khoảng 90% số Bitcoin bị đánh cắp vẫn nằm yên trong các ví, chưa được chuyển đi. Có dấu hiệu cho thấy một đợt tấn công thứ tư đang được hình thành, với tổng thiệt hại có thể lên tới 130 triệu USD.
Tôi vẫn nhớ cảm giác khi đọc tài liệu đó. Trong suốt 24 năm làm việc với blockchain, tôi đã chứng kiến không ít vụ trộm từ sàn giao dịch, từ hợp đồng thông minh, thậm chí là tấn công vào chính người dùng. Nhưng số tiền 100 triệu USD bốc hơi khỏi thiết bị lạnh – thứ được xem là bất khả xâm phạm – lại là một cú sốc có sức nặng hoàn toàn khác.
Tôi không nói đây là ngày tận thế của ví cứng. Nhưng nếu bạn đang là người nắm giữ Bitcoin lâu dài tại Việt Nam, đặc biệt là những người chọn con đường tự quản để tránh rủi ro sàn giao dịch, đây chính là lúc bạn cần dừng lại và suy nghĩ: liệu thiết bị trong tay mình có thực sự an toàn tuyệt đối?
Vì sao Coldcard? Vì sao lúc này?
Trước khi đi sâu vào phân tích, chúng ta cần hiểu rõ bối cảnh. Coldcard không phải là một cái tên xa lạ trong cộng đồng Bitcoin. Được sản xuất bởi Coinkite Inc., một công ty có trụ sở tại Canada, Coldcard đã tạo dựng được danh tiếng là một trong những ví cứng an toàn và “kỹ trị” nhất trên thị trường. Nó không có màn hình cảm ứng sang trọng như Ledger hay Trezor, nhưng bù lại, nó cung cấp các tính năng bảo mật nâng cao như ký giao dịch hoàn toàn ngoại tuyến, hỗ trợ PSBT (Partially Signed Bitcoin Transactions), và đặc biệt được lòng những người theo chủ nghĩa tối đại hóa Bitcoin, những người coi trọng sự kiểm soát tuyệt đối.
Chính vì vậy, vụ tấn công nhắm vào Coldcard không chỉ là một tin tức bảo mật thông thường. Nó tấn công trực tiếp vào niềm tin cốt lõi của cộng đồng tự quản: “Chỉ cần giữ private key ngoại tuyến, tài sản của bạn sẽ an toàn tuyệt đối.”
Hãy để tôi nói rõ hơn từ góc độ kỹ thuật. Trong các vụ trộm từ ví nóng, câu chuyện thường là hacker xâm nhập vào máy chủ, đánh cắp private key từ cơ sở dữ liệu hoặc memory. Với ví cứng, mô hình tấn công khác hẳn. Tội phạm phải có khả năng can thiệp vào phần cứng, vào chính chip bảo mật, hoặc vào chuỗi cung ứng từ nhà máy đến tay người dùng. Đây là lớp phòng thủ mà cả ngành công nghiệp ví cứng đã dày công xây dựng trong gần một thập kỷ.
Vậy mà Galaxy Research xác nhận có ít nhất ba đợt tấn công đã hoàn tất và một đợt nữa đang rình rập. Điều đó có nghĩa gì? Nó có nghĩa là kẻ tấn công đã tìm ra một điểm yếu hệ thống, không chỉ là một lỗ hổng cá biệt. Không phải một người dùng bị lừa nhập seed phrase vào trang web giả mạo, mà là một cuộc tấn công có tổ chức, lặp đi lặp lại và nhắm vào chính nền tảng vật lý của sự tin tưởng.
Nói về thời điểm, đây là lúc thị trường đang trong giai đoạn giảm. Khi mọi thứ trở nên ảm đạm, người dùng thường có xu hướng rút tài sản khỏi sàn giao dịch và chuyển sang ví lạnh. Chúng ta đã thấy điều này trong nhiều chu kỳ trước. Những người nắm giữ dài hạn, đặc biệt là tại Việt Nam nơi mà thị trường tiền mã hóa phát triển mạnh mẽ nhưng người dùng lại ít được trang bị kiến thức bảo mật nâng cao, trở thành mục tiêu đắc lực. Cú đánh này giáng xuống đúng giai đoạn mà người ta tin rằng “chỉ có ví cứng mới cứu được họ trong thị trường gấu.”
Những gì chúng ta chưa biết: Kỹ thuật tấn công là gì?
Cho đến thời điểm viết bài này, Coldcard chưa đưa ra tuyên bố chính thức về việc thiết bị của họ bị xâm phạm. Galaxy Research cũng chưa công bố chi tiết kỹ thuật về cách kẻ tấn công vận hành. Và chính khoảng trống thông tin này là mảnh đất màu mỡ cho các suy đoán – nhưng với tôi, nó cũng là một cơ hội để nhìn vào cấu trúc của vấn đề.
Có ba khả năng chính đáng được cân nhắc.
Thứ nhất, tấn công vào chuỗi cung ứng (supply chain attack). Kẻ tấn công có thể chặn lô hàng Coldcard từ nhà sản xuất, thay thế một số linh kiện hoặc cài đặt một firmware độc hại trước khi chúng đến tay người dùng. Đây là hướng đi khả dĩ nhất để giải thích vì sao nhiều đợt tấn công lại xảy ra đồng thời trên nhiều người dùng khác nhau. Nếu kẻ tấn công kiểm soát được một phần trong chuỗi sản xuất – như bộ phận nạp firmware hoặc một nhà phân phối trung gian – chúng có thể tạo ra một loạt thiết bị bị nhiễm độc mà không cần phải tấn công từng cá nhân một.
Thứ hai, tấn công vào lỗ hổng trong quá trình cập nhật firmware. Ví cứng thường có một cơ chế để người dùng cập nhật phiên bản mới. Nếu kẻ tấn công phát hiện ra một lỗ hổng trong quy trình xác thực chữ ký số của bản cập nhật, chúng có thể lừa người dùng cài đặt một bản firmware giả mạo. Tuy nhiên, khả năng này phụ thuộc rất nhiều vào việc người dùng có thực sự tải xuống và cài đặt bản cập nhật hay không. Nó có vẻ khó hơn để tạo ra một cuộc tấn công quy mô lớn nếu không có sự phối hợp từ người dùng.
Thứ ba, tấn công vật lý thông qua side-channel. Kỹ thuật này đã được biết đến trong giới bảo mật từ lâu. Bằng cách đo lường mức tiêu thụ điện năng hoặc phát xạ điện từ của chip trong quá trình ký giao dịch, kẻ tấn công có thể dần dần tái tạo lại private key. Nhưng để làm điều này trên quy mô hàng trăm người dùng, kẻ tấn công cần có quyền truy cập vật lý vào thiết bị hoặc cần một cách nào đó để thu thập dữ liệu từ xa. Với khoản tiền 100 triệu USD và nhiều đợt tấn công, đây là một kịch bản khó xảy ra vì chi phí và độ phức tạp của nó quá lớn.
Cá nhân tôi – và tôi tin rằng nhiều nhà nghiên cứu bảo mật cũng sẽ nhìn nhận giống tôi – hướng trọng tâm về khả năng tấn công vào chuỗi cung ứng. Không chỉ bởi vì việc thực hiện dễ dàng hơn trên quy mô lớn, mà còn bởi vì nó là một trong những “vùng mù” lớn nhất của toàn ngành ví cứng. Các công ty như Coldcard nổi tiếng với việc sản xuất thiết bị tại những nhà máy đối tác ở các quốc gia khác nhau. Quản lý chuỗi cung ứng toàn cầu là một bài toán khó, và một công ty có vài chục nhân viên như Coldcard chắc chắn sẽ không có đủ nguồn lực để giám sát chặt chẽ từng linh kiện.
Hành vi của kẻ tấn công: Vì sao 90% Bitcoin vẫn nằm yên?
Đây là một trong những chi tiết khiến tôi thực sự tập trung. Khi một kẻ trộm đánh cắp được một lượng lớn tài sản, hành động đầu tiên của chúng thường là chuyển tiền qua nhiều bước để làm xáo trộn dấu vết. Vậy mà ở đây, 90% số Bitcoin – tương đương khoảng 90 triệu USD – vẫn còn nguyên trong các ví của nạn nhân.
Có một cách giải thích đơn giản: kẻ tấn công chưa hoàn tất việc kiểm soát các private key. Có thể chúng đã cài một loại malware hoặc phần mềm độc hại vào thiết bị của nạn nhân, nhưng không thể rút tiền hoàn toàn nếu người dùng không ký một giao dịch cụ thể. Hoặc kẻ tấn công đang trong quá trình rút dần từng khoản nhỏ để tránh bị phát hiện. Nhưng khi số tiền đã lên đến 100 triệu USD, thì việc chỉ chuyển đi 10% là một dấu hiệu kỳ lạ.
Tôi có một giả thuyết khác. Có thể kẻ tấn công không thực sự kiểm soát được toàn bộ số Bitcoin đó. Chúng có thể chỉ đang chiếm quyền điều khiển các giao dịch – ví dụ như chặn hoặc sửa đổi địa chỉ người nhận trong quá trình ký. Nếu đúng như vậy, thì số Bitcoin vẫn nằm trong ví của nạn nhân, nhưng sẽ bốc hơi mỗi khi chủ sở hữu cố gắng gửi tiền đi. Và đó là một viễn cảnh còn kinh khủng hơn nhiều.
Hãy thử tưởng tượng: bạn mở ví Coldcard, nhìn thấy toàn bộ số Bitcoin vẫn còn nguyên vẹn, bạn thở phào nhẹ nhõm. Nhưng thực ra, mỗi lần bạn cố ký một giao dịch, số tiền đó sẽ được gửi vào một địa chỉ của kẻ tấn công mà bạn không hề hay biết. Đây là một chiến thuật mà tôi đã từng gặp trong các cuộc tấn công có tổ chức vào phần mềm kế toán tại Brazil. Nạn nhân tin rằng họ đang trả tiền cho nhà cung cấp, nhưng thực ra họ đang chuyển tiền vào tài khoản của băng đảng tội phạm.
Với các dữ liệu hiện có, tôi đánh giá mức độ tin cậy của giả thuyết này là trung bình. Nhưng dù kẻ tấn công có kiểm soát trực tiếp hay gián tiếp, việc 90% số Bitcoin chưa di chuyển cho chúng ta một thông điệp rõ ràng: vụ việc chưa kết thúc. Cuộc điều tra vẫn đang trong giai đoạn đầu, và đây là cơ hội để các cơ quan thực thi pháp luật và các công ty phân tích blockchain can thiệp.
Mối đe dọa đối với người dùng Việt Nam
Có một lý do khiến tôi muốn viết bài này bằng tiếng Việt, không phải chỉ vì đây là ngôn ngữ tôi đang sử dụng, mà vì thị trường tiền mã hóa Việt Nam đang nằm trong nhóm những thị trường tăng trưởng nhanh nhất thế giới. Trong bối cảnh đó, rất nhiều người mới tham gia, họ mua Bitcoin, mua ví cứng, nhưng lại chưa có đủ kiến thức để hiểu rõ về các mối đe dọa an ninh.
Những gì tôi sắp nói có thể khiến nhiều người khó chịu, nhưng tôi cần phải nói: việc sở hữu một chiếc ví cứng không khiến bạn trở nên bất khả xâm phạm. Và điều này càng đúng hơn nếu bạn mua ví từ những kênh không chính thức.
Tại các thành phố lớn như Hà Nội, TP.HCM, mua một chiếc ví cứng không khó. Bạn có thể lên sàn thương mại điện tử, tìm một người bán uy tín, hoặc thậm chí nhờ người quen xách tay từ nước ngoài về. Chính kênh nhập khẩu tự do này là một vùng rủi ro. Làm sao bạn có thể chắc chắn rằng chiếc hộp bạn nhận được không được dán tem hoặc thay thế bên trong trước khi đến tay bạn? Bạn có biết cách kiểm tra tem niêm phong của Coldcard không? Bạn có kiểm tra mã xác thực trên bao bì không?
Đây không phải là lỗi của người dùng. Đây là lỗ hổng trong thiết kế hệ thống phân phối. Nhưng những kẻ tấn công biết rõ rằng người dùng ở các thị trường mới nổi thường ít có điều kiện để xác minh tính xác thực của sản phẩm. Và điều đó khiến họ trở thành những mục tiêu dễ dàng hơn nhiều so với những người dùng ở Bắc Mỹ hoặc châu Âu nơi có các kênh phân phối chính hãng và dịch vụ hỗ trợ.
Trong báo cáo của Galaxy Research, không hề đề cập cụ thể đến việc liệu các nạn nhân có mua ví từ các kênh không chính thống hay không. Nhưng nếu suy luận theo hướng tấn công chuỗi cung ứng, thì người dùng mua lại từ các kênh trung gian sẽ chính là những người nằm trong vùng nguy hiểm cao nhất.
Điều gì sẽ xảy ra tiếp theo?
Nếu đúng là có một đợt tấn công thứ tư, và tổng thiệt hại tăng lên 130 triệu USD, thì đây sẽ là vụ trộm ví cứng lớn nhất trong lịch sử ngành công nghiệp tiền mã hóa. Đợt này được cho là sẽ khiến các cơ quan quản lý toàn cầu phải có những phản ứng mạnh mẽ hơn.
Theo tôi, có ba kịch bản có thể xảy ra.
Kịch bản thứ nhất: Coldcard tìm ra nguyên nhân, phát hành bản vá và bồi thường cho các nạn nhân. Điều này sẽ giúp khôi phục phần nào niềm tin của người dùng. Tuy nhiên, với một công ty có quy mô nhỏ như Coinkite, một khoản bồi thường lên đến 100 triệu USD là điều gần như không thể. Họ sẽ phải phối hợp với các công ty bảo hiểm hoặc chính phủ, và điều đó có thể mất nhiều năm.
Kịch bản thứ hai: Nguyên nhân gốc rễ nằm trong chuỗi cung ứng. Nếu điều này được xác nhận, toàn bộ ngành công nghiệp ví cứng sẽ phải đối mặt với một cuộc kiểm toán toàn diện. Các nhà sản xuất sẽ phải thắt chặt quy trình vận chuyển, thêm nhiều lớp xác thực hơn. Chi phí sản xuất sẽ tăng lên, và giá thành của ví cứng cũng sẽ tăng theo.
Kịch bản thứ ba: Các nhà điều tra không tìm ra được thủ phạm. Số Bitcoin bị đánh cắp sẽ được chuyển từ từ qua các cầu rửa tiền và cuối cùng bị thanh lý trên các sàn giao dịch phi tập trung hoặc các quốc gia có quản lý lỏng lẻo. Sau đó, vụ việc sẽ được bỏ ngỏ và câu chuyện dần chìm vào quên lãng.
Trong cả ba kịch bản, có một thứ chắc chắn sẽ bị tổn hại, đó là niềm tin vào sự an toàn tuyệt đối của ví cứng.
Một góc nhìn khác: Đây có thể là tín hiệu tích cực cho ngành bảo mật?
Nghe có vẻ ngược đời, nhưng tôi tin rằng một vụ tấn công lớn như thế này, dù gây ra thiệt hại nặng nề, lại là một cơ hội để toàn ngành đứng lên và xem xét lại những lỗ hổng mà lâu nay chúng ta đã lờ đi.
Trước năm 2014, khi sàn giao dịch Mt.Gox bị hack mất 850.000 Bitcoin, rất ít người ý thức được rằng việc lưu trữ tiền trên sàn là rủi ro. Sau vụ việc đó, khái niệm “không nắm giữ private key của mình” bắt đầu được phổ biến rộng rãi. Phong trào tự quản ra đời, và nó đã giúp vô số nhà đầu tư bảo vệ tài sản của họ khỏi các vụ tấn công vào sàn giao dịch.
Bây giờ, nếu vụ Coldcard thực sự là một vụ tấn công có hệ thống, nó sẽ dạy cho chúng ta một bài học tương tự nhưng ở một cấp độ sâu hơn. Tự quản không chỉ là nắm giữ private key trong một thiết bị. Tự quản là nắm giữ toàn bộ chuỗi tin cậy – từ nơi bạn mua thiết bị, đến nơi bạn lưu trữ seed phrase, đến cách bạn thực hiện giao dịch. Nếu chỉ cần một khâu trong chuỗi này bị phá vỡ, thì toàn bộ hệ thống cũng sẽ sụp đổ.
Theo tôi, điều này sẽ thúc đẩy sự phát triển của các giải pháp bảo mật mới như:
- Multi-sig: Sử dụng nhiều ví khác nhau (có thể từ nhiều nhà sản xuất khác nhau) để ký các giao dịch lớn. Ví dụ, sử dụng một Coldcard, một Trezor và một ví phần mềm trên điện thoại. Một kẻ tấn công sẽ phải xâm phạm đồng thời tất cả các thiết bị đó, điều mà khó có thể thực hiện ở quy mô lớn.
- MPC (Multi-Party Computation): Công nghệ này chia nhỏ private key thành nhiều mảnh, phân tán trên nhiều thiết bị hoặc nhiều bên. Ngay cả khi một thiết bị bị xâm phạm, kẻ tấn công cũng không thể tái tạo lại private key hoàn chỉnh.
- Bảo hiểm tài sản số: Mặc dù còn mới mẻ, nhưng các sản phẩm bảo hiểm cho ví lạnh đang bắt đầu xuất hiện. Nếu bạn lo lắng về rủi ro từ lỗi thiết bị hoặc chuỗi cung ứng, một hợp đồng bảo hiểm có thể là một lựa chọn.
Với thị trường Việt Nam, tôi hy vọng rằng vụ việc này sẽ là một hồi chuông cảnh tỉnh không chỉ cho người dùng mà còn cho các nhà phân phối. Chúng ta cần có một cộng đồng tự quản có ý thức hơn, biết cách kiểm tra tem niêm phong, biết cách xác minh chữ ký số của firmware, và biết rằng không có một thiết bị nào là hoàn hảo tuyệt đối.
Vậy, người dùng Việt Nam nên làm gì ngay bây giờ?
Dựa trên những gì chúng ta biết, tôi có một số khuyến nghị cụ thể.
Đầu tiên, nếu bạn đang sử dụng Coldcard, hãy bình tĩnh. Đừng vội vàng chuyển tiền đi nơi khác trong lúc hoảng sợ. Việc di chuyển tiền trong lúc không hiểu rõ vấn đề có thể tự tay chuyển Bitcoin vào ví của kẻ tấn công nếu chúng đã kiểm soát được quá trình ký của bạn.
Thay vào đó, hãy xác minh thiết bị của bạn. Kiểm tra tem niêm phong, kiểm tra xem firmware trên thiết bị có đúng là bản chính hãng không. Coldcard có một công cụ để xác minh chữ ký số của firmware; hãy sử dụng nó. Nếu bạn mua ví từ một nguồn không đáng tin cậy, hãy liên hệ với nhà sản xuất và hỏi xem có giấy chứng nhận nguồn gốc không.
Thứ hai, hãy xem xét việc sử dụng nhiều ví cho các khoản tiền lớn. Đừng để tất cả trứng trong một giỏ. Bạn có thể chia số tiền thành ba phần: một phần trong một ví cứng khác, một phần trong một ví phần mềm có bảo mật yếu hơn (nếu số tiền nhỏ), và một phần trong một giải pháp multifactor như MPC hoặc một quỹ tín thác.
Thứ ba, hãy theo dõi các thông báo chính thức từ Coinkite và Galaxy Research. Đừng tin vào những tin đồn lan truyền trên mạng xã hội. Hãy đợi những bằng chứng kỹ thuật từ các đơn vị có uy tín.
Cuối cùng, nếu bạn có một khoản tiền đáng kể đang lưu trữ trong ví cứng, hãy nghiêm túc cân nhắc việc tạo một bản sao lưu seed phrase ở một địa điểm an toàn, và hãy thực hành một cuộc diễn tập khôi phục. Điều này sẽ giúp bạn xác nhận rằng bạn có toàn quyền kiểm soát số tiền của mình, hoặc nếu không, bạn sẽ nhận ra vấn đề trước khi quá muộn.
Kết luận mở
Bài học lớn nhất từ vụ việc Coldcard 100 triệu USD không phải là “đừng mua ví cứng”. Mà là “đừng tuyệt đối hóa bất kỳ một công nghệ nào.”
Chúng ta đang sống trong một ngành công nghiệp non trẻ, nơi mà các giải pháp bảo mật phát triển bằng cách chạy đua với các mối đe dọa. Những vụ tấn công như thế này từng xảy ra với sàn giao dịch, với các giao thức DeFi, với các cầu nối chuỗi chéo. Và bây giờ, nó xảy ra với người tiên phong của việc tự quản. Mỗi lần như thế, chúng ta lại đau đớn, nhưng cũng học được một bài học quý giá.
Câu hỏi lớn nhất mà tôi muốn để lại cho người đọc không phải là “Coldcard có an toàn không?” hay “Tôi có nên chuyển sang dùng Trezor không?”. Câu hỏi thực sự là: “Bạn có đang xây dựng một hệ thống lưu trữ tài sản dựa trên niềm tin mù quáng, hay dựa trên nguyên tắc phân tán rủi ro và liên tục kiểm chứng?”
Trong một thị trường gấu khi mà mọi thứ đều ảm đạm, việc bảo vệ tài sản trở thành ưu tiên tối thượng. Và một người dùng thông minh là một người dùng biết rằng ngày mai luôn có thể mang lại một vụ tấn công mới, tinh vi hơn. Câu trả lời không nằm trong việc tìm kiếm “thiết bị hoàn hảo”, mà nằm trong việc trở thành một người quản lý rủi ro có kỷ luật.
Còn tôi, tôi sẽ vẫn theo dõi diễn biến tiếp theo của vụ việc này, với tư cách của một người đã chứng kiến nhiều vụ tấn công lớn nhỏ suốt hơn một thập kỷ qua. Và tôi sẽ tiếp tục đặt câu hỏi cho đến khi những kẻ gây ra vụ trộm 100 triệu USD này bị đưa ra công lý.
Bạn có dám làm điều tương tự không?
