Công ty Bitcoin Canada mất 100 triệu USD vì lỗ hổng ví lạnh

Tiền được lưu trữ trên một thiết bị ngoại tuyến liệu có thực sự an toàn tuyệt đối? Một vụ tấn công mạng gần đây đã gây xôn xao trên mạng xã hội và khiến nhiều người hoảng loạn sau khi số bitcoin của họ đột ngột biến mất mà không rõ nguyên nhân.

Theo National Post, Coinkite Inc., một công ty Canada cung cấp dịch vụ lưu ký ví bitcoin, gần đây đã hứng chịu một vụ vi phạm an ninh nghiêm trọng, tạo điều kiện để tin tặc đánh cắp hơn 100 triệu USD bitcoin.

Theo Galaxy Research, tính đến thứ Hai (3/8), hơn 1.755 bitcoin trị giá khoảng 110 triệu USD đã bị đánh cắp khỏi khoảng 5.000 ví. Chỉ trong vài ngày, thiệt hại đã tăng vọt, khiến đây trở thành một trong những vụ trộm tiền mã hóa lớn nhất trong năm nay.

Ví lạnh không an toàn tuyệt đối

Thiết bị bị nhắm mục tiêu trong vụ tấn công là ví lạnh Coldcard do Coinkite sản xuất. Coldcard là một loại ví phần cứng tiền mã hóa phổ biến và là công cụ cốt lõi được khách hàng sử dụng để lưu trữ tài sản bằng ví lạnh.

“Ví lạnh” là phương thức lưu trữ thông tin bí mật, hay còn gọi là “khóa” (key), trên một thiết bị phần cứng ngoại tuyến không kết nối trực tiếp với internet. Phương thức này ban đầu được thiết kế nhằm tăng thêm một lớp bảo mật trong bối cảnh mật khẩu thường xuyên bị xâm phạm. Trong một thời gian dài, ví lạnh được xem là một trong những cách an toàn nhất để lưu trữ tiền mã hóa, đặc biệt được các nhà đầu tư dài hạn và những người nắm giữ lượng lớn tài sản số ưa chuộng.

Tuy nhiên, tuần trước Coinkite đã thông báo với khách hàng rằng một số ví được tạo bằng thiết bị Coldcard đã bị xâm phạm. Công ty cũng đã phát hành phiên bản phần mềm mới nhằm giảm thiểu rủi ro tiếp diễn.

Chuyên gia: Lưu trữ ngoại tuyến không phải là tuyệt đối an toàn

Bà Ayesha Kiani, Giám đốc vận hành của công ty đầu tư tài sản số Monarq Asset Management, cho biết vụ việc một lần nữa cho thấy mức độ an toàn của hình thức tự lưu ký phụ thuộc vào việc quy trình tạo và bảo vệ khóa có đáng tin cậy hay không, chứ không chỉ phụ thuộc vào thiết bị phần cứng.

Ông Aneirin Flynn, Giám đốc điều hành công ty an ninh mạng Failsafe, cho biết nhiều người lầm tưởng rằng ví lạnh tuyệt đối an toàn chỉ vì nó ngoại tuyến.

Tuy nhiên, ông nói rằng nếu thuật toán nền tảng tồn tại lỗ hổng thì ví vẫn có thể bị xâm nhập, ngay cả khi thiết bị chưa từng kết nối internet.

“Vụ việc này đã phơi bày sự ngộ nhận rằng ‘ngoại tuyến đồng nghĩa với an toàn’”, ông nói. “Phần cứng chỉ có nhiệm vụ tạo mật khẩu. Nếu bản thân thuật toán có lỗ hổng thì mật khẩu vẫn có thể bị suy ra.”

Coinkite giải thích nguyên nhân vụ tấn công

Theo báo cáo phân tích kỹ thuật do nhóm kỹ sư của công ty thanh toán Block công bố, vấn đề không nằm ở Bitcoin mà xuất phát từ lỗi thiết kế trong cách Coldcard tạo cụm từ khôi phục (seed phrase).

Seed phrase là tập hợp gồm từ 12 đến 24 từ tiếng Anh dùng để khôi phục toàn bộ ví tiền mã hóa. Một khi ai đó có được seed phrase, họ có thể kiểm soát toàn bộ tài sản trong ví.

Báo cáo cho biết bộ tạo số ngẫu nhiên của Coldcard tồn tại lỗ hổng. Trong một số trường hợp, hệ thống đã sử dụng các giá trị dễ suy đoán hơn, chẳng hạn như số sê-ri của thiết bị, để tạo seed phrase thay vì tạo mật khẩu ngẫu nhiên thực sự.

Điều này cho phép tin tặc sử dụng khả năng tính toán quy mô lớn để suy ra seed phrase của người dùng, tái tạo ví và đánh cắp toàn bộ số bitcoin bên trong.

Trên thực tế, cơ chế này tương tự như tài khoản ngân hàng: bản thân hệ thống ngân hàng có thể rất an toàn, nhưng nếu mật khẩu của người dùng bị lộ thì tiền trong tài khoản vẫn có thể bị đánh cắp.

Việc kiểm soát tài sản bitcoin hoàn toàn phụ thuộc vào một chuỗi mật mã riêng gọi là khóa (key); ai nắm giữ khóa sẽ có quyền chuyển toàn bộ tài sản trong ví.

Hôm thứ Sáu tuần trước (1/8), thiệt hại từ vụ tấn công được ước tính khoảng 38 triệu USD, nhưng con số này đã tăng nhanh trong suốt cuối tuần và đến thứ Hai.

Nhà đầu tư mất hàng triệu USD chỉ trong vài phút

Một trong những nạn nhân, ông Jonathan Goodman, nói với Bloomberg rằng khi kiểm tra ví, ông phát hiện toàn bộ tài sản đã biến mất.

“Ngay khi trang tải xong, tôi biết mọi chuyện đã kết thúc vì nhìn thấy dòng cảnh báo rút tiền màu đỏ”, ông nói. “Từ 9:36 đến 9:43 tối ngày 29/7, cả 3 ví của tôi đều bị rút sạch.”

Ông Goodman cho biết mình đã mất khoảng 1,6 triệu USD.

Đối với những người nắm giữ bitcoin bị ảnh hưởng, điều khiến họ phẫn nộ nhất là họ tin rằng mình đang sử dụng phương thức an toàn nhất để bảo vệ khoản đầu tư.

Ông Tim Lamb, Giám đốc điều hành EquityEdge Studio, đã đăng trên X kêu gọi cơ quan chức năng truy tìm thủ phạm. Ông cho biết hai bitcoin mà mình nắm giữ vốn được dành để giúp các con “có một khởi đầu tốt đẹp”, và việc mất số tài sản đó là “một đòn nặng nề”.

Các vụ tấn công tiền mã hóa đạt mức cao kỷ lục

Mặc dù tổng giá trị tài sản tiền mã hóa bị đánh cắp trong năm nay thấp hơn năm ngoái, số lượng các vụ tấn công vẫn tiếp tục gia tăng.

Một báo cáo mới của công ty bảo mật blockchain TRM Labs cho thấy tổng thiệt hại do các vụ tấn công mạng nhằm vào tiền mã hóa trên toàn cầu trong nửa đầu năm 2026 vào khoảng 972 triệu USD, chưa bằng một nửa so với mức 2,3 tỷ USD cùng kỳ năm 2025.

Tuy nhiên, đã có 207 vụ tấn công mạng được ghi nhận trong 6 tháng đầu năm nay — mức cao nhất từng được ghi nhận trong cùng kỳ — cho thấy hoạt động của tin tặc vẫn đang trở nên thường xuyên hơn.

Đối với ông Goodman, vụ việc khiến ông nhận ra mình đã đặt quá nhiều “niềm tin mù quáng” vào công nghệ đang sử dụng. Ông cho biết sẽ không còn đầu tư vào bitcoin hoặc sử dụng ví lạnh trong tương lai.