Coldcard lỗ hổng nở rộ, bị trộm hơn 1.000 coin BTC
Anh em, nói một chuyện.
Nếu bạn từng dùng Coldcard, ngay bây giờ, ngay lập tức—đừng kéo xuống nữa—hãy đi kiểm tra phiên bản firmware của bạn trước.
Từ 1 giờ 10 phút đến 1 giờ 51 phút sáng ngày 30/7, kéo dài 41 phút.
1.196 địa chỉ đã bị rút sạch.
1082,65 BTC, khoảng 70 triệu USD, đã biến mất một cách khó hiểu khỏi những ví Coldcard bị khóa trong két sắt, ngắt mạng, và không động tới hàng tháng hoặc thậm chí vài năm.
Suốt quá trình, thiết bị không hề bị đụng tới.
Kẻ tấn công thậm chí cũng chưa chạm vào ví của bạn. Ví của bạn có thể đã được hàn vào két sắt, có thể chôn dưới tầng hầm—vẫn vô dụng.
Chuyện này có thể là điều mỉa mai nhất của năm 2026.
Điểm bán hàng lớn nhất của ví phần cứng là gì?—“khóa riêng tư không bao giờ chạm mạng, cách ly vật lý, tuyệt đối an toàn.”
Kết quả thì sao? Lỗi nằm ở một dòng mã trong tháng 3/2021.
Firmware Coldcard vốn phải gọi bộ tạo số ngẫu nhiên trên phần cứng để tạo ra cụm từ ghi nhớ. Nhưng một lần kiểm tra build chỉ xác nhận “có tồn tại cài đặt”, chứ không xác nhận “cài đặt đã được bật”—thế là hệ thống âm thầm quay về một bộ tạo số ngẫu nhiên dạng phần mềm.
Còn “hạt giống” của bộ tạo số ngẫu nhiên phần mềm đó là gì? Số sê-ri của chip + thanh ghi đồng hồ.
Số sê-ri là dữ liệu cố định từ nhà máy. Giá trị đồng hồ là trạng thái thời gian có thể suy ra.
Tương đương như mật khẩu két sắt của bạn—dùng mã xuất xưởng cộng với thời gian hiện tại.
Kẻ tấn công chỉ cần chạy vét cạn trên thiết bị của chúng—không gian tìm kiếm của Mk3 chỉ khoảng 40 bit, trong khi hạt giống an toàn lẽ ra phải là 128 bit. 40 bit, với máy tính hiện đại là ra ngay trong vài phút.
Bạn tưởng là thành đồng vách sắt, hóa ra giấy mỏng. Kẻ tấn công ngồi ở nhà uống cà phê, tính ra khóa riêng tư của bạn.
Cay hơn nữa là: đây không phải lỗi của một “hãng vô danh” nào đó.
Coldcard là một trong những ví phần cứng được tôn sùng nhất trong cộng đồng Bitcoin, “lựa chọn của dân geek”, “biểu tượng của niềm tin tự giám sát”. Vậy mà sao? Mk3 từ 4.0.1 đến 4.1.9 đều dính. Sau đó thông báo được mở rộng—Mk4, Mk5 dưới 5.6.0, Q dưới 1.5.0Q, cũng bị ảnh hưởng.
Gần như toàn diện sụp đổ.
CEO Rodolfo Novak (NVK) xin lỗi vào thứ Sáu, nói công ty chịu toàn bộ trách nhiệm, thừa nhận quy trình kiểm tra nội bộ đã không phát hiện vấn đề.
Rồi ông ấy nói một câu làm cả ngành lạnh gáy—lỗ hổng này rất có thể là do AI phát hiện.
Coinkite vài tuần trước vừa quét mã của họ bằng mô hình AI tiên tiến nhất—không phát hiện gì. Còn kẻ tấn công dùng đúng công cụ đó, và tìm ra.
Người phòng thủ và kẻ tấn công cầm cùng một vũ khí—kẻ tấn công thắng.
Giờ vấn đề quan trọng nhất đến—
“Ví phần cứng an toàn hơn sàn giao dịch”—niềm tin này còn đứng vững được không?
Trong 5 năm qua, mỗi lần sàn sập, bỏ chạy, hoặc bị hack, chúng ta đều tự nhủ: không sao cả, vì mình nắm giữ khóa riêng tư là an toàn. Mua Coldcard, tạo offline không cần mạng, cách ly vật lý, vạn vô nhất.
Thế rồi sao? Chỉ một lỗi ở một dòng mã, nhưng bùng nổ tập trung 5 năm sau. Tiền của bạn nằm trong ví lạnh, so với việc đặt ở sàn và bị hacker kéo trộm tài khoản—kết cục là giống nhau: mất sạch.
Nhà phát triển Bitcoin Peter Todd nói đây là điều ông đã lo lắng suốt nhiều năm. Ví phần cứng thương mại chạy phần mềm, và những đoạn mã đó được thẩm định độc lập rất hạn chế. Thứ “phần cứng” bạn tin tưởng, về bản chất là bạn đang tin vào một hộp đen đóng kín và hầu như không ai kiểm toán.
Còn nặng hơn: dù bạn xuất cụm từ ghi nhớ sang ví khác, lỗ hổng vẫn theo bạn đi. Vì vấn đề nằm ngay tại thời điểm tạo ra cụm từ ghi nhớ, chứ không phải ở thiết bị.
“tự giám sát” của bạn—từ khoảnh khắc 5 năm trước tạo hạt giống—đã không còn tự giám sát nữa.
Nói một câu thẳng vào nỗi đau:
Bạn tưởng bạn đang “tự quản” Bitcoin. Thực ra bạn đang “thay hacker giữ Bitcoin”—chỉ là hôm nay chúng mới nhớ ra để lấy.
5 năm. Hơn 1.000 BTC nằm yên trong những địa chỉ đó, chủ nhân tưởng an toàn tuyệt đối. Sau khi qua tháng 3/2021, hacker có thể tính ra bất cứ lúc nào—nhưng họ chọn đúng ngày 30/7, trong 41 phút là rút sạch toàn bộ.
Bạn thức khuya nghiên cứu cách lưu trữ an toàn—rồi một dòng mã kéo bạn về thời kỳ trước giải phóng.
Vậy bây giờ phải làm gì?
Bước 1: Kiểm tra phiên bản firmware Coldcard của bạn. Mk3 4.0.1 đến 4.1.9, Mk4/Mk5 dưới 5.6.0, Q dưới 1.5.0Q—chỉ cần bạn đã tạo cụm từ ghi nhớ trên các phiên bản này, mặc định hãy coi như bạn đã bị lộ.
Bước 2: Cập nhật firmware lên phiên bản mới nhất—Mk3 từ 4.2.0 trở lên, Mk4/Mk5 từ 5.6.0 trở lên, Q từ 1.5.0Q trở lên.
Bước 3: Cập nhật firmware không đồng nghĩa sửa được hạt giống đã tạo. Bạn cần dùng thiết bị đã cập nhật để tạo lại một bộ cụm từ ghi nhớ hoàn toàn mới, tạo địa chỉ mới, rồi chuyển toàn bộ tài sản sang.
Bước 4: Trước khi chuyển, hãy thực hiện một giao dịch thử nghiệm số tiền nhỏ. Xác nhận ổn thỏa rồi mới chuyển số dư.
Nếu lúc tạo hạt giống bạn dùng thêm con xúc xắc tạo ngẫu nhiên hoặc cụm mật khẩu BIP39, chúc mừng—khả năng cao là bạn an toàn. Nhưng Coinkite vẫn khuyến nghị bạn di chuyển.
Cuối cùng hỏi mọi người một câu:
Nếu ngay cả Coldcard cũng có thể xảy ra chuyện như vậy—các ví phần cứng khác bạn đang cầm trong tay, thật sự bạn yên tâm đến vậy sao? #Gate独家美股0费率 #USD1持币生息最高8% #长鑫科技市值突破4万亿元 $BTC $ETH $SOL
Anh em, nói một chuyện.
Nếu bạn từng dùng Coldcard, ngay bây giờ, ngay lập tức—đừng kéo xuống nữa—hãy đi kiểm tra phiên bản firmware của bạn trước.
Từ 1 giờ 10 phút đến 1 giờ 51 phút sáng ngày 30/7, kéo dài 41 phút.
1.196 địa chỉ đã bị rút sạch.
1082,65 BTC, khoảng 70 triệu USD, đã biến mất một cách khó hiểu khỏi những ví Coldcard bị khóa trong két sắt, ngắt mạng, và không động tới hàng tháng hoặc thậm chí vài năm.
Suốt quá trình, thiết bị không hề bị đụng tới.
Kẻ tấn công thậm chí cũng chưa chạm vào ví của bạn. Ví của bạn có thể đã được hàn vào két sắt, có thể chôn dưới tầng hầm—vẫn vô dụng.
Chuyện này có thể là điều mỉa mai nhất của năm 2026.
Điểm bán hàng lớn nhất của ví phần cứng là gì?—“khóa riêng tư không bao giờ chạm mạng, cách ly vật lý, tuyệt đối an toàn.”
Kết quả thì sao? Lỗi nằm ở một dòng mã trong tháng 3/2021.
Firmware Coldcard vốn phải gọi bộ tạo số ngẫu nhiên trên phần cứng để tạo ra cụm từ ghi nhớ. Nhưng một lần kiểm tra build chỉ xác nhận “có tồn tại cài đặt”, chứ không xác nhận “cài đặt đã được bật”—thế là hệ thống âm thầm quay về một bộ tạo số ngẫu nhiên dạng phần mềm.
Còn “hạt giống” của bộ tạo số ngẫu nhiên phần mềm đó là gì? Số sê-ri của chip + thanh ghi đồng hồ.
Số sê-ri là dữ liệu cố định từ nhà máy. Giá trị đồng hồ là trạng thái thời gian có thể suy ra.
Tương đương như mật khẩu két sắt của bạn—dùng mã xuất xưởng cộng với thời gian hiện tại.
Kẻ tấn công chỉ cần chạy vét cạn trên thiết bị của chúng—không gian tìm kiếm của Mk3 chỉ khoảng 40 bit, trong khi hạt giống an toàn lẽ ra phải là 128 bit. 40 bit, với máy tính hiện đại là ra ngay trong vài phút.
Bạn tưởng là thành đồng vách sắt, hóa ra giấy mỏng. Kẻ tấn công ngồi ở nhà uống cà phê, tính ra khóa riêng tư của bạn.
Cay hơn nữa là: đây không phải lỗi của một “hãng vô danh” nào đó.
Coldcard là một trong những ví phần cứng được tôn sùng nhất trong cộng đồng Bitcoin, “lựa chọn của dân geek”, “biểu tượng của niềm tin tự giám sát”. Vậy mà sao? Mk3 từ 4.0.1 đến 4.1.9 đều dính. Sau đó thông báo được mở rộng—Mk4, Mk5 dưới 5.6.0, Q dưới 1.5.0Q, cũng bị ảnh hưởng.
Gần như toàn diện sụp đổ.
CEO Rodolfo Novak (NVK) xin lỗi vào thứ Sáu, nói công ty chịu toàn bộ trách nhiệm, thừa nhận quy trình kiểm tra nội bộ đã không phát hiện vấn đề.
Rồi ông ấy nói một câu làm cả ngành lạnh gáy—lỗ hổng này rất có thể là do AI phát hiện.
Coinkite vài tuần trước vừa quét mã của họ bằng mô hình AI tiên tiến nhất—không phát hiện gì. Còn kẻ tấn công dùng đúng công cụ đó, và tìm ra.
Người phòng thủ và kẻ tấn công cầm cùng một vũ khí—kẻ tấn công thắng.
Giờ vấn đề quan trọng nhất đến—
“Ví phần cứng an toàn hơn sàn giao dịch”—niềm tin này còn đứng vững được không?
Trong 5 năm qua, mỗi lần sàn sập, bỏ chạy, hoặc bị hack, chúng ta đều tự nhủ: không sao cả, vì mình nắm giữ khóa riêng tư là an toàn. Mua Coldcard, tạo offline không cần mạng, cách ly vật lý, vạn vô nhất.
Thế rồi sao? Chỉ một lỗi ở một dòng mã, nhưng bùng nổ tập trung 5 năm sau. Tiền của bạn nằm trong ví lạnh, so với việc đặt ở sàn và bị hacker kéo trộm tài khoản—kết cục là giống nhau: mất sạch.
Nhà phát triển Bitcoin Peter Todd nói đây là điều ông đã lo lắng suốt nhiều năm. Ví phần cứng thương mại chạy phần mềm, và những đoạn mã đó được thẩm định độc lập rất hạn chế. Thứ “phần cứng” bạn tin tưởng, về bản chất là bạn đang tin vào một hộp đen đóng kín và hầu như không ai kiểm toán.
Còn nặng hơn: dù bạn xuất cụm từ ghi nhớ sang ví khác, lỗ hổng vẫn theo bạn đi. Vì vấn đề nằm ngay tại thời điểm tạo ra cụm từ ghi nhớ, chứ không phải ở thiết bị.
“tự giám sát” của bạn—từ khoảnh khắc 5 năm trước tạo hạt giống—đã không còn tự giám sát nữa.
Nói một câu thẳng vào nỗi đau:
Bạn tưởng bạn đang “tự quản” Bitcoin. Thực ra bạn đang “thay hacker giữ Bitcoin”—chỉ là hôm nay chúng mới nhớ ra để lấy.
5 năm. Hơn 1.000 BTC nằm yên trong những địa chỉ đó, chủ nhân tưởng an toàn tuyệt đối. Sau khi qua tháng 3/2021, hacker có thể tính ra bất cứ lúc nào—nhưng họ chọn đúng ngày 30/7, trong 41 phút là rút sạch toàn bộ.
Bạn thức khuya nghiên cứu cách lưu trữ an toàn—rồi một dòng mã kéo bạn về thời kỳ trước giải phóng.
Vậy bây giờ phải làm gì?
Bước 1: Kiểm tra phiên bản firmware Coldcard của bạn. Mk3 4.0.1 đến 4.1.9, Mk4/Mk5 dưới 5.6.0, Q dưới 1.5.0Q—chỉ cần bạn đã tạo cụm từ ghi nhớ trên các phiên bản này, mặc định hãy coi như bạn đã bị lộ.
Bước 2: Cập nhật firmware lên phiên bản mới nhất—Mk3 từ 4.2.0 trở lên, Mk4/Mk5 từ 5.6.0 trở lên, Q từ 1.5.0Q trở lên.
Bước 3: Cập nhật firmware không đồng nghĩa sửa được hạt giống đã tạo. Bạn cần dùng thiết bị đã cập nhật để tạo lại một bộ cụm từ ghi nhớ hoàn toàn mới, tạo địa chỉ mới, rồi chuyển toàn bộ tài sản sang.
Bước 4: Trước khi chuyển, hãy thực hiện một giao dịch thử nghiệm số tiền nhỏ. Xác nhận ổn thỏa rồi mới chuyển số dư.
Nếu lúc tạo hạt giống bạn dùng thêm con xúc xắc tạo ngẫu nhiên hoặc cụm mật khẩu BIP39, chúc mừng—khả năng cao là bạn an toàn. Nhưng Coinkite vẫn khuyến nghị bạn di chuyển.
Cuối cùng hỏi mọi người một câu:
Nếu ngay cả Coldcard cũng có thể xảy ra chuyện như vậy—các ví phần cứng khác bạn đang cầm trong tay, thật sự bạn yên tâm đến vậy sao? #Gate独家美股0费率 #USD1持币生息最高8% #长鑫科技市值突破4万亿元 $BTC $ETH $SOL
0
