Vụ tấn công ví Coldcard: 1.359 BTC bị đánh cắp, trở thành vụ trộm Bitcoin lớn nhất năm 2026

BlockBeats đưa tin ngày 3/8: dữ liệu mới nhất cho thấy 1.359 BTC đã bị đánh cắp trong sự cố tấn công ví phần cứng Coldcard. Nhiều người dùng cũng phản ánh thiết bị bị kẹt ở trang lỗi, không khởi động được hoặc gần như "chết" sau khi cài cập nhật. Đây hiện là vụ trộm Bitcoin lớn nhất tính từ đầu năm. Theo dòng thời gian do BlockBeats tổng hợp, phân tích cho thấy đoạn mã firmware Coldcard bị cài cắm đã được phát hành từ tháng 3/2021. Lỗ hổng tồn tại trong mã nguồn mở hơn 5 năm, ảnh hưởng tới quy trình tạo seed trên Mk3 (và một số Mk2), đồng thời tác động tới các mẫu Mk4, Q và Mk5 trước khi được vá. Các cuộc tấn công quy mô lớn khai thác lỗ hổng này kéo dài tới ngày 30/7/2026. Trong khoảng 25–41 phút, kẻ tấn công tự động "quét" hàng trăm đến hàng nghìn địa chỉ. Ban đầu, khoảng 500 ví chữ ký đơn và 1.324 UTXO bị xâm phạm, tổng cộng khoảng 594,5 BTC. Phân tích on-chain sau đó mở rộng phạm vi lên khoảng 1.196 địa chỉ và 1.082,65 BTC, ước tính trị giá khoảng 70,2 triệu USD. Giao dịch tấn công ưu tiên các địa chỉ có số dư lớn, áp mức phí cao cố định, không tạo output tiền thừa (change), qua đó nhanh chóng gom tài sản về một số ít địa chỉ. Sau đó, Coinkite (đơn vị phát triển Coldcard) phát hành khuyến cáo an ninh, xác nhận ban đầu vấn đề tạo seed ảnh hưởng tới Mk3 (firmware 4.0.1 trở lên), khuyến nghị người dùng bị ảnh hưởng chuyển tài sản một cách thận trọng. Công ty cũng suy đoán kẻ tấn công có thể đã dùng AI rà soát mã nguồn mở để tìm ra lỗ hổng. Tính đến 2/8, Alex Thorn, trưởng bộ phận nghiên cứu của Galaxy, cho biết các đợt tấn công liên quan Coldcard vẫn đang diễn biến, xuất hiện thêm nhiều nhóm tấn công nhỏ và các đối tượng bắt chước, nhắm vào những cụm mnemonic Coldcard còn lại. Sự cố thu hút chú ý rộng rãi. Eric Balchunas, chuyên gia phân tích ETF cấp cao của Bloomberg, tiết lộ đội ngũ Coldcard chỉ có 5 nhân viên, con số được xem là thấp bất ngờ với một công ty có vai trò quan trọng. CZ nhận xét: "Trong mô hình tự lưu ký, kể cả khi nhà phát triển vá lỗi, họ cũng không thể sửa các ví đã được tạo trước đó; với người dùng dùng thiết bị cách ly, nhà phát triển cũng không thể liên hệ trực tiếp hay gửi cảnh báo. Nếu người dùng không chủ động hành động, các ví bị ảnh hưởng vẫn có thể tiếp tục đối mặt rủi ro. Tôi ủng hộ tự lưu ký, nhưng điều đó cũng đồng nghĩa người dùng phải tự chịu trách nhiệm hoàn toàn về an toàn của mình." Do sự việc có thể liên quan tới AI làm suy yếu các thiết bị mật mã, nền tảng lưu ký tổ chức BitGo là bên đầu tiên hành động nhằm củng cố uy tín ngành. Ngày 1/8, CEO BitGo Mike Belshe nạp 100 BTC vào một địa chỉ Bitcoin công khai và mời mô hình Claude của Anthropic thử chuyển số tiền này. Nền tảng sử dụng công nghệ đa chữ ký hoặc MPC (tính toán đa bên) để phân tán quyền ký giữa nhiều khóa độc lập. Đến 2/8, Anthropic chưa có phản hồi công khai về thách thức này. Tác động từ sự cố, Bitcoin duy trì trạng thái yếu kể từ ngày 31, giảm từ 65.000 USD xuống 63.000 USD.