Coldcard buộc người dùng tự bổ sung entropy sau vụ trộm Bitcoin liên quan lỗi seed trị giá trên 100 triệu USD

Coinkite đã phát hành firmware 5.6.1 cho ví cứng Coldcard, yêu cầu người dùng phải tự cung cấp entropy (nguồn ngẫu nhiên do người dùng tạo) mỗi khi tạo seed mới trên thiết bị. Trước đây, quá trình tạo seed chủ yếu dựa vào bộ tạo số ngẫu nhiên nội bộ của ví. Động thái này xuất hiện sau các báo cáo về lỗ hổng liên quan seed gắn với một vụ khai thác lớn dẫn tới thất thoát Bitcoin. CryptoPotato ước tính thiệt hại khoảng 100 triệu USD, còn The Cryptonomist EN đưa ra con số 112 triệu USD. Hai con số đề cập cùng một sự cố, nhưng tổng thiệt hại chính xác vẫn chưa thống nhất giữa các nguồn. Seed (cụm từ khôi phục) là nền tảng của mô hình tự lưu ký. Seed phrase thường gồm 12 hoặc 24 từ, mã hóa các khóa riêng điều khiển tài sản của người dùng. Nếu độ ngẫu nhiên dùng để tạo seed có thể bị dự đoán, yếu hoặc bị xâm phạm, kẻ tấn công về lý thuyết có thể tái tạo khóa và rút sạch tiền trong ví. Đây là rủi ro cốt lõi của lỗ hổng đang bị soi xét. Việc bắt buộc người dùng bổ sung entropy là biện pháp giảm thiểu từ lâu được giới nghiên cứu bảo mật khuyến nghị. Thực tế có thể dùng các cách như gieo xúc xắc, lấy ảnh từ camera hoặc các nguồn ngẫu nhiên thủ công khác. Phần entropy này sẽ được kết hợp với độ ngẫu nhiên nội bộ của thiết bị, không phải thay thế hoàn toàn. Mục tiêu là giảm phụ thuộc vào một nguồn ngẫu nhiên duy nhất, nhất là khi nguồn đó có thể gặp lỗi do bug firmware hoặc rủi ro chuỗi cung ứng. Ví phần cứng được quảng bá là lựa chọn an toàn hơn so với lưu ký trên sàn vì khóa riêng không rời khỏi thiết bị. Danh tiếng này phụ thuộc lớn vào tính toàn vẹn của quá trình tạo số ngẫu nhiên khi thiết lập ban đầu. Một sai sót ở khâu này có thể làm suy yếu lời hứa bảo mật của lưu trữ lạnh, dù thiết bị vẫn bảo vệ khóa tốt ở các bước sau. Sự cố tiếp tục cho thấy một mô-típ lặp lại trong an ninh crypto. Thị trường thường nhắc nhiều tới hack sàn và khai thác hợp đồng thông minh; lỗ hổng trong ví phần cứng hoặc quy trình tạo khóa ít gặp hơn nhưng có thể nguy hiểm hơn vì có khả năng âm thầm khiến tài sản bị lộ trong khi chủ sở hữu vẫn tin rằng mọi thứ "đã được khóa an toàn". Người dùng từng tạo seed trên các phiên bản firmware bị ảnh hưởng có thể cần xem hướng dẫn của Coinkite để đánh giá có nên chuyển sang seed mới hay không. Các bản tin hiện có chưa trích dẫn trực tiếp Coinkite về nguyên nhân kỹ thuật cụ thể. Dù vậy, việc thay đổi cơ chế entropy cho thấy công ty coi quy trình cũ là chưa đủ an toàn nếu chỉ dựa vào một nguồn. Tác động thị trường Tác động trước mắt nhiều khả năng tập trung ở nhóm người dùng Coldcard và phân khúc ví cứng trong thị trường tự lưu ký. Việc soi xét trở lại các thực hành tạo seed có thể khiến các nhà sản xuất ví phần cứng khác rà soát hoặc tăng cường cách triển khai entropy của họ. Ở phạm vi rộng hơn, sự việc củng cố tranh luận về rủi ro lưu ký khi nhà đầu tư tổ chức và cá nhân cân nhắc giữa tự lưu ký và tài sản để trên sàn. Các nguồn tin hiện chưa gắn sự kiện này với dữ liệu giá hay giao dịch, nên phản ứng thị trường tổng thể vẫn chưa thể khẳng định. Firmware 5.6.1 được xem là phản ứng trực tiếp trước báo cáo lỗ hổng seed, trong bối cảnh quy mô thiệt hại vẫn được các trang tin mô tả khác nhau. Người dùng Coldcard được khuyến nghị cập nhật và tham khảo hướng dẫn chính thức của Coinkite về cách xử lý seed trong thời gian tới. Hỏi đáp nhanh Coldcard là gì? Coldcard là ví phần cứng do Coinkite sản xuất, thiết kế để lưu khóa riêng Bitcoin ngoại tuyến phục vụ tự lưu ký. "User entropy" trong bối cảnh này nghĩa là gì? Đây là độ ngẫu nhiên do người dùng tự đóng góp (ví dụ gieo xúc xắc hoặc dữ liệu từ camera), được trộn cùng độ ngẫu nhiên nội bộ khi tạo seed mới. Thiệt hại được báo cáo là bao nhiêu? Tùy nguồn: CryptoPotato nêu khoảng 100 triệu USD, The Cryptonomist EN nêu 112 triệu USD. Người dùng Coldcard hiện tại có cần làm gì không? Những ai tạo seed trước bản cập nhật có thể nên xem hướng dẫn chính thức của Coinkite để xác định có được khuyến nghị tạo lại seed hay không. Bài gốc do AltcoinGordon đăng tải, Grace Mitchell viết. Đăng lại theo sự cho phép. Xem bản gốc trên AltcoinGordon →