COLDCARD bị hack 38 triệu USD: Block truy vết đến nhà cung cấp dịch vụ – bài học đắt giá cho những ai tự giữ Bitcoin
Trần Hải
Tôi đã chứng kiến nhiều vụ sụp đổ trong crypto. EOS ICO sập ngay khi tôi nhấn deploy. Nhưng sáng nay, khi đọc bản tin về COLDCARD – một trong những chiếc ví cứng Bitcoin được tôn sùng nhất – bị rút sạch 38 triệu USD, tôi dừng lại lâu hơn. Block, đơn vị phân tích blockchain, xác nhận đã truy vết dòng tiền và tìm ra một nhà cung cấp dịch vụ blockchain có liên quan. Người ta vội mừng: "Sắp bắt được thủ phạm rồi!" Tôi thì không chắc. Việc biết tiền đi qua một sàn giao dịch hay một dịch vụ lưu ký nào đó không đồng nghĩa với việc biết kẻ trộm là ai, và càng không đồng nghĩa với việc bạn sẽ lấy lại được một xu.
COLDCARD không phải là một chiếc ví cứng tầm thường. Đó là sản phẩm của CoinKite, một công ty Canada, nổi tiếng với thiết kế "air-gapped" – có thể ký giao dịch mà không cần cắm vào máy tính có internet. Mã nguồn mở, chip bảo mật chuyên dụng, cộng đồng người dùng cực kỳ trung thành, toàn những "whale" tích trữ Bitcoin lâu dài. Chính vì vậy, con số 38 triệu USD không hề vô lý. Đây có thể là một người dùng hoặc một nhóm nhỏ bị tấn công có chủ đích. Nhưng điều đáng sợ hơn cả là thông tin về kỹ thuật tấn công vẫn chỉ là dấu chấm hỏi. CoinKite chưa công bố báo cáo, chưa nói rõ phiên bản firmware nào bị ảnh hưởng, và cũng chưa khẳng định có bao nhiêu thiết bị bị xâm nhập.
Khi tôi kiểm toán các hợp đồng thông minh, tôi thường tìm những giả định sai lầm của lập trình viên. Với phần cứng, giả định chết người là: chiếc ví tôi đang cầm thật sự là chiếc ví tôi đã đặt mua. Khi chưa có báo cáo kỹ thuật từ CoinKite, chúng ta chỉ có thể phán đoán dựa trên các vector tấn công phổ biến. Tôi đã từng đánh giá hàng chục hệ thống lưu ký. Điều khiến tôi không bao giờ chủ quan là những vụ hack thường không đến từ một lỗ hổng duy nhất, mà đến từ sự kết hợp của ba lớp yếu kém: công nghệ, quy trình và con người. COLDCARD có thể có công nghệ tốt, nhưng nếu quy trình vận chuyển bị phá vỡ, hoặc người dùng không kiểm tra chữ ký firmware, thì mọi lớp khác đều thành vô nghĩa.
Thứ nhất, supply chain. Kẻ tấn công có thể chặn được lô hàng, mở hộp, thay thế chip hoặc cài một con chip "ma" hoạt động hoàn hảo cho đến khi bạn nhập seed phrase. Thứ hai, lỗ hổng firmware. Trình tạo số ngẫu nhiên yếu, lỗi trong bộ ký, hoặc chữ ký firmware bị làm giả – tất cả đều có thể khiến private key bị lộ mà chủ máy không hay biết. Thứ ba, side-channel: kẻ tấn công có thể đo điện năng tiêu thụ hoặc bức xạ điện từ khi máy đang ký. Những kỹ thuật này từng được chứng minh trong phòng thí nghiệm, nhưng rất khó thực hiện ngoài đời thực. Cuối cùng, xã hội học: lừa nạn nhân cài phần mềm giả mạo, hoặc tự tiết lộ seed phrase.
Trong tất cả các vector trên, tôi đặt cược nhiều nhất vào supply chain và firmware. Lý do? Vì chúng cho phép tấn công hàng loạt với chi phí thấp. Một khi kẻ thù đã thay thế được thiết bị trong kênh phân phối, chúng có thể đợi nạn nhân nạp Bitcoin vào rồi mới kích hoạt. Điều này giải thích vì sao 38 triệu USD có thể bị rút sạch trong một khoảng thời gian dài mà không bị phát hiện.
Phân tích mã? Tôi chỉ mất 3 phút. Nhưng phân tích một vụ hack phần cứng, với thông tin vỏn vẹn như hiện tại, thì phải mất nhiều tuần. Điểm khiến tôi quan tâm là việc Block truy vết được đến một "blockchain service provider". Điều này có nghĩa là dòng tiền đã chạm vào một hệ thống có KYC, hoặc ít nhất là một dịch vụ trung gian như sàn giao dịch, sàn OTC, hay nền tảng thanh toán. Nếu tội phạm dùng sàn có KYC, chúng sẽ rất dễ bị lộ danh tính. Vậy tại sao chúng vẫn làm? Có thể chúng cần thanh khoản nhanh và chấp nhận rủi ro, hoặc chúng đã dùng một tài khoản giả. Cũng có thể "service provider" đó nằm ở một khu vực pháp lý không hợp tác với quốc gia của nạn nhân. Khi đó, việc truy vết chỉ dừng ở mức "biết đích đến", chứ chưa phải "tóm được".
Tôi muốn nhấn mạnh một điều: vụ việc này không phải là một lỗ hổng Bitcoin. Mạng lưới hoạt động bình thường. Nó là sự thất bại của lớp tự bảo quản tài sản. Nó tương tự như việc bạn để tiền trong két sắt, nhưng tên thợ khóa đã chép chìa khóa trước khi giao két sắt cho bạn. Khái niệm "không có khóa, không có tiền" vẫn đúng, nhưng nó không an toàn tuyệt đối như các nhà tiếp thị vẫn quảng cáo.
Điều khiến tôi lo ngại hơn cả là phản ứng của cộng đồng. Nhiều người sẽ nói: "Vứt hết ví cứng đi, gửi coin lên sàn cho khỏe." Đây là phản ứng thiếu suy nghĩ. Sàn giao dịch cũng từng bị hack, và khi đó bạn chẳng còn gì để bắt đền. Nhưng đồng thời, chính sự kiện này phơi bày điểm mù của cả ngành công nghiệp: chúng ta tôn thờ khái niệm "air-gapped" như một thần hộ mệnh, trong khi quên mất rằng nó chỉ bảo vệ bạn khỏi việc bị tấn công từ mạng internet, chứ không bảo vệ bạn khỏi một lô hàng bị làm giả, hay một bản firmware bị sửa đổi. DeFi Summer kết thúc bằng một dòng log. Lần này, sự sụp đổ niềm tin vào "self-custody hoàn hảo" có thể bắt đầu từ một dòng lỗi trong phần mềm máy tính.
Trong các group crypto Việt Nam, nhiều người đang hoang mang chia sẻ ảnh chụp chiếc COLDCARD của mình, hỏi nhau có nên "chuyển sang nhà cung cấp khác" không. Tôi muốn nói rằng: hãy bình tĩnh. Một sự cố đơn lẻ, dù to đến đâu, cũng không đồng nghĩa với việc thương hiệu đó đã chết. Vấn đề là cách họ phản hồi. Nếu CoinKite minh bạch, phát hành bản vá, bồi thường cho nạn nhân, thì danh tiếng có thể phục hồi. Còn nếu im lặng, thì đó mới là dấu chấm hết.
Trong vài tuần tới, tôi sẽ theo dõi các tín hiệu sau: thông báo chính thức từ CoinKite về nguyên nhân và phạm vi ảnh hưởng; liệu có vụ thứ hai hay không; dòng tiền trên blockchain có di chuyển vào mixers hay không; và liệu các nhà cung cấp dịch vụ bị chỉ điểm có lên tiếng hay không. Nếu kẻ tấn công sử dụng CoinJoin hoặc Lightning Network, khả năng truy vết sẽ giảm mạnh.
Vụ hack 38 triệu USD của COLDCARD gần như chắc chắn sẽ không làm sụp đổ thị trường. Nhưng nó cho thấy một điều: kẻ xấu không ngừng tìm cách tấn công lớp bảo mật cuối cùng của bạn. Block có thể truy vết dòng tiền, nhưng việc truy vết không mang lại tiền về. Trong nhiều vụ kiểm toán của tôi, tài sản bị đánh cắp thường không bao giờ trở lại. Câu hỏi mà mỗi người dùng nên tự hỏi không phải là "Block sẽ bắt được ai", mà là "liệu tôi có đang tự đặt mình vào tình thế rủi ro ngay từ khi mở hộp sản phẩm?".
Hãy cẩn thận. Nếu bạn đang dùng COLDCARD, hãy kiểm tra lại nguồn gốc, verify seal, update firmware từ trang chính thức. Nếu bạn định mua, chỉ nên mua từ nhà sản xuất hoặc đại lý được ủy quyền. Đừng để một thú vui "self-custody" trở thành cơn ác mộng. Và nhớ: trên blockchain, mọi thứ đều minh bạch, nhưng sự minh bạch không có nghĩa là công lý sẽ đến. Nó chỉ là một dòng log dài.