Một lỗ hổng phần sụn tồn tại nhiều năm trong ví phần cứng Coldcard đã cho phép kẻ tấn công rút khoảng 130 triệu USD tiền điện tử bằng cách khai thác khả năng tạo số ngẫu nhiên yếu. Lỗi này, không bị phát hiện từ năm 2021 cho đến khi được tiết lộ vào tháng 7 năm 2026, ảnh hưởng đến các thiết bị chạy phiên bản phần sụn 4.0.1 đến 4.1.9 trên các mẫu Mk2 và Mk3. Người dùng đã tạo cụm từ hạt giống (seed phrase) trong khoảng thời gian đó phải tạo ví hoàn toàn mới và chuyển tiền của họ — chỉ cần nhập cụm từ cũ vào một ví khác sẽ không khắc phục được điểm yếu cơ bản.
Cách thức hoạt động của cuộc tấn công
Lỗ hổng bắt nguồn từ một cơ chế dự phòng trong bộ tạo số ngẫu nhiên. Khi nguồn phần cứng STM32 gặp sự cố, phần sụn mặc định sử dụng thuật toán Yasmarang xác định của MicroPython, tạo ra một tập hợp các hạt giống nhỏ hơn nhiều. Kẻ tấn công có thể tái tạo khóa riêng bằng cách tìm kiếm trong không gian đầu ra hạn chế đó. Các mẫu Mk4, Q và Mk5 bị ảnh hưởng ít nghiêm trọng hơn — chúng tạo ra hạt giống với khoảng 68 bit entropy thay vì 128 bit theo quy định — nhưng vẫn không đạt tiêu chuẩn bảo mật.
Người dùng cần làm gì
Bất kỳ ai đã tạo cụm từ hạt giống trên thiết bị bị ảnh hưởng phải tạo một hạt giống hoàn toàn mới và chuyển tiền của họ sang một ví mới. Sử dụng cụm mật khẩu BIP-39 mạnh và duy nhất có thể chống lại cuộc tấn công tái tạo hạt giống vì cụm mật khẩu được kết hợp với mnemonic để tạo ra hạt giống ví. Tuy nhiên, Coinkite, công ty đứng sau Coldcard, vẫn khuyến nghị di dời cho những người dùng đó như một biện pháp phòng ngừa. Người dùng đã tạo hạt giống của họ với ít nhất 50 lần tung xúc xắc công bằng, độc lập và riêng tư không bị ảnh hưởng bởi lỗ hổng cụ thể này — entropy bên ngoài đã bỏ qua hoàn toàn bộ tạo số bị lỗi.
Chuyển động on-chain lớn
Khi thông tin về lỗi lan truyền, hơn 77.000 BTC đã được chuyển từ các ví cũ khi người dùng vội vã bảo vệ tiền của họ. Sự thay đổi đột ngột này làm phức tạp các chỉ báo on-chain giảm giá, khiến các nhà phân tích khó phân biệt giữa tâm lý thị trường thực sự và các giao dịch chuyển do hoảng loạn. Khối lượng di dời khổng lồ cho thấy có bao nhiêu người đã dựa vào thiết bị Coldcard để tạo khóa.
Rủi ro tập trung trong ví phần cứng
Sự cố này làm nổi bật một vấn đề rộng hơn: việc dựa vào một thiết bị duy nhất để tạo khóa tạo ra rủi ro tập trung. Andrew Mannoukas, CISO tại Xapo Bank, đã lưu ý điểm này. Khi phần sụn của ví phần cứng có lỗ hổng ẩn, mọi khóa được tạo trên thiết bị đó đều trở nên đáng ngờ. Việc lỗi tồn tại trong năm năm mặc dù mã nguồn được công khai đặt ra câu hỏi về mức độ kỹ lưỡng của việc kiểm toán ví phần cứng mã nguồn mở trên thực tế.
Hiện tại, người dùng bị ảnh hưởng phải đối mặt với việc di dời tẻ nhạt nhưng cần thiết. Bước tiếp theo là Coinkite công bố báo cáo phân tích đầy đủ và cộng đồng quyết định liệu các cuộc kiểm toán bên thứ ba bổ sung có nên trở thành tiêu chuẩn trước khi các bản cập nhật phần sụn được đẩy vào sản xuất hay không.
