Cú sốc Coldcard: 1.100 BTC bay hơi trong 41 phút và vết nứt trên ngôi đền tự quản
Điều gì xảy ra nếu chính chiếc két sắt bạn tin nhất, lại được dựng lên từ những tấm kim loại đã bị đánh tráo ngay từ bên trong?
Trong một khoảng lặng hiếm hoi của thị trường tăng, hơn 1.100 BTC — tương đương gần 70 triệu USD — đã bị rút sạch khỏi ít nhất 1.200 ví Coldcard. Không một lỗ hổng smart contract. Không một vụ exploit DeFi. Kẻ tấn công chỉ cần chen vào một mắt xích duy nhất: nơi phần mềm gặp phần cứng, nơi người dùng bắt đầu đặt niềm tin.
Coldcard, sản phẩm của Coinkite, từ lâu là cái tên được cộng đồng tự quản tôn sùng. Nó không có màn hình màu, không có Bluetooth tiện lợi, không có những đường cong marketing bóng bẩy. Nó toát lên vẻ của một công cụ quân sự: tối giản, cứng nhắc, và được thiết kế cho những người xem “Not your keys, not your coins” như một lời thề máu. Với họ, Coldcard là pháo đài cuối cùng sau khi sàn giao dịch sụp đổ, sau khi DeFi bị khai thác, sau khi mọi trung gian bị vạch trần.
Rồi pháo đài đó tự mở cửa từ bên trong.
Bối cảnh tôi đang đứng hôm nay là một thị trường gần như bị FOMO thâu tóm. Giá đi lên, dòng tiền chảy vào ETF, và những cuộc tranh luận vĩ mô về thanh khoản lại chiếm trọn trang nhất. Trong bối cảnh đó, một sự cố an ninh hạ tầng như vụ Coldcard dễ dàng bị gạt sang bên lề như một tai nạn cá biệt. Nhưng với người làm kỹ thuật, đây không phải tai nạn. Đây là dấu hiệu đầu tiên cho thấy những giả định nền tảng của toàn bộ hệ sinh thái tự quản đang bị phá vỡ.
Tôi đã dành nhiều năm làm việc với các giao thức phi tập trung, theo dõi hàng trăm vụ tấn công và đọc không biết bao nhiêu bản audit. Thói quen của tôi khi một vụ hack xảy ra là mở trình duyệt, rồi bắt đầu đọc mã nguồn, tìm điểm vào lệnh, tìm lỗi toán học. Nhưng với vụ Coldcard, tôi phải đặt trình duyệt xuống. Vì vấn đề không nằm trên màn hình. Nó nằm trong băng tải vận chuyển.
Chuỗi tấn công, được phục dựng từ các mẩu thông tin ban đầu, có hình dạng như thế này: một bản firmware độc hại được chen vào đường phân phối. Người dùng tải bản firmware đó về và nạp vào chiếc Coldcard mới mua. Khi thiết bị được khởi tạo, firmware sẽ lặng lẽ ghi lại seed phrase ngay tại thời điểm nó được tạo ra. Người dùng không hề biết. Họ tưởng rằng mình đang tạo ra một chiếc két an toàn, trong khi thực chất họ vừa trao chìa khóa cho kẻ đứng sau màn hình.
Điều khiến tôi ám ảnh là sự kiên nhẫn của kẻ tấn công. Chúng không rút tiền ngay. Chúng để 1.200 chiếc ví lặng lẽ tích lũy Bitcoin và một số tài sản khác. Người dùng nạp vào — thêm một ít, rồi lại thêm một ít. Mỗi ngày trôi qua, mỗi khoản tiền gửi vào, là một viên gạch được đặt thêm vào bức tường sụp đổ.
Rồi một ngày, cỗ máy được kích hoạt. Chỉ trong 41 phút, hơn 1.100 BTC bị quét sạch khỏi những chiếc ví đó. Tất cả đều sử dụng một mức phí 30 sat/vB — một chi tiết kỹ thuật nhỏ nhưng nói lên rất nhiều điều. Kẻ tấn công không quan tâm đến việc tối ưu phí, không cố gắng che giấu dấu vết bằng những giao dịch phức tạp. Chúng muốn tốc độ. Chúng muốn sự chắc chắn. Chúng đã xây dựng một quy trình quét ví tự động, có tổ chức, có khả năng thao tác hàng nghìn địa chỉ cùng lúc. Đây không phải là một hacker đơn lẻ may mắn. Đây là một chiến dịch có chủ đích.
Tôi muốn so sánh vụ việc này với ba cú sốc lớn trong lịch sử ngành. Mt. Gox năm 2014 đánh sập niềm tin vào ví nóng của sàn giao dịch. FTX năm 2022 xóa sổ niềm tin vào tính minh bạch của các công ty tiền mã hóa. Còn thứ Năm Đen Tối năm 2020 phơi bày sự mong manh của thanh khoản hệ thống. Nhưng cả ba sự kiện đó đều xoay quanh một điểm chung: người dùng giao phó tài sản cho một bên trung gian. Với Coldcard, người dùng không giao phó cho ai cả. Họ tự giữ. Họ tự tạo khóa. Họ tự ký giao dịch. Và chính thiết bị được chế tạo để loại bỏ nhu cầu tin tưởng lại trở thành kẻ phản bội cuối cùng.
Một chi tiết thời gian nữa khiến tôi phải dừng lại. Vụ tấn công xảy ra trước khi Coldcard công khai cảnh báo ít nhất một ngày. Trong 24 giờ im lặng đó, những người dùng vô tội vẫn nạp thêm tiền. Họ vẫn tin rằng “không thể bị hack”. Sự chậm trễ trong quy trình tiết lộ, dù là vì điều tra hay vì kiểm chứng, vô tình trở thành một phần của cuộc tấn công. Khi một công ty bảo mật giữ im lặng trong lúc kẻ trộm đang hoạt động, sự im lặng đó chính là chiếc ô che cho kẻ trộm.
Con mắt audit thường nhìn vào code, nhưng cơn ác mộng lần này nằm ở băng tải.
Ngược lại với những gì các bản tin đang hét lên, khoản lỗ 70 triệu USD thực ra là một con số nhỏ trong một thị trường có vốn hóa hàng nghìn tỷ. Bitcoin chỉ giảm vài nghìn USD. Không có làn sóng bán tháo. Nhưng chỉ số cảm xúc mà Santiment ghi nhận mới là thứ tôi không thể bỏ qua: tỷ lệ bình luận tích cực so với tiêu cực trên các kênh tiền mã hóa rơi xuống 0,58 — mức thấp nhất từng được ghi nhận, thấp hơn cả thời điểm FTX sụp đổ, Mt. Gox phá sản hay cú sốc COVID-19. Sự lệch pha giữa cảm xúc và giá cả là một tín hiệu vô cùng quan trọng. Nó cho thấy thị trường vẫn đang định giá bằng bộ máy tài chính, trong khi cộng đồng đang định giá bằng một thứ còn sâu hơn: niềm tin vào sự an toàn tuyệt đối của tự quản.
Khi FTX sụp đổ, nhà đầu tư cá nhân vẫn còn một cửa thoát hiểm. Họ có thể tự nhủ: tôi sẽ không gửi tiền cho sàn, tôi sẽ tự giữ. Khi Mt. Gox bị hack, câu thần chú “Not your keys, not your coins” càng trở nên phổ biến. Nhưng với Coldcard, cánh cửa đó bị bịt lại ngay bên trong. Nếu chính thiết bị tạo ra khóa không còn đáng tin, thì “tự quản” còn mang nghĩa gì? Đây chính là lớp băng mỏng mà những cơn hoảng loạn kiểu này không bao giờ phản ánh hết trên biểu đồ giá.
Tôi muốn nói điều có thể khiến nhiều người khó chịu: vấn đề không nằm ở một thương hiệu phần cứng cụ thể. Vấn đề nằm ở cách toàn bộ ngành đã tối ưu hóa cho một mô hình đe dọa cũ, trong đó kẻ tấn công ở bên ngoài, còn nhà sản xuất ở bên trong vòng tin cậy. Chúng ta kiểm tra hợp đồng thông minh. Chúng ta kiểm tra mô hình thanh khoản, mô hình quản trị, mô hình phân bổ lượng token. Nhưng chúng ta gần như không bao giờ hỏi: firmware được ký ở đâu? Ai có quyền truy cập vào dây chuyền đóng gói? Nhà phân phối có thể can thiệp vào thiết bị trước khi đến tay người dùng không? Bản cập nhật có được xác minh trên một thiết bị độc lập trước khi áp dụng không? Coldcard đã trả lời sự lơ là đó bằng một câu hỏi ngược: nếu không ai kiểm tra chuỗi cung ứng, thì tấm khiên bạn đang giơ lên có thể chính là lưỡi kiếm đâm vào ngực bạn.
Một điều nữa tôi muốn nhấn mạnh: không cần phá vỡ mật mã học để đánh cắp tài sản. Không cần khai thác đường cong elliptic. Không cần tấn công vào bộ nhớ. Kẻ tấn công chỉ cần một cơ hội nhỏ để thay đổi nguồn gốc của niềm tin. Nếu một chiếc ví cứng được giao tới tay bạn nhưng nó đã được mở trước đó, bạn sẽ không bao giờ biết. Nếu một bản firmware bạn tải về đã bị sửa đổi một dòng lệnh duy nhất, toàn bộ hạnh phúc của bạn có thể sụp đổ trong 41 phút.
Cỗ máy in niềm tin đã bị cắt nguồn, và thứ còn lại là một hộp số không.
Trong bối cảnh đó, tôi không ngạc nhiên khi thấy hàng loạt giải pháp thay thế bắt đầu được nhắc đến nhiều hơn: ví đa chữ ký, MPC, dịch vụ lưu ký có bảo hiểm, thậm chí là ETF. Nhưng tôi lo ngại một điều: khi người dùng hoảng loạn, họ thường tìm đến bất kỳ cứu cánh nào mà họ chưa từng kiểm chứng. Có người sẽ mang seed phrase nhập vào một hot wallet để “kiểm tra xem tiền còn không”. Có người sẽ chuyển toàn bộ tài sản lên một sàn giao dịch vì nghĩ rằng “Coldcard không an toàn bằng Binance”. Đây chính là giai đoạn nguy hiểm nhất. Nguy hiểm không đến từ kẻ tấn công lần đầu, mà đến từ những quyết định vội vã của nạn nhân trong 48 giờ tiếp theo.
Tôi từng có một bài học đắt giá vào năm 2017. Khi đó, tôi tin tuyệt đối vào những lý tưởng phi tập trung, đọc kỹ từng whitepaper và đặt toàn bộ khoản tiết kiệm vào ba dự án ICO mà tôi tin là sẽ thay đổi thế giới. Sáu tháng sau, gần như toàn bộ số tiền đó biến mất. Trải nghiệm đó dạy tôi không bao giờ tin vào bất kỳ lời hứa “quá tốt để là thật”. Nhưng ngay cả sự hoài nghi của tôi cũng có một điểm mù: tôi tin rằng phần cứng là lớp cuối cùng của sự trung thực. Tôi tin rằng một chiếc ví không kết nối mạng sẽ luôn là một chiếc két an toàn. Vụ Coldcard đã phá vỡ điểm mù đó của tôi, và tôi tin nó cũng đang phá vỡ điểm mù của cả ngành.
Một chiếc két sắt được gọi là an toàn không phải khi khóa chắc, mà khi chìa khóa chưa từng bị đánh tráo.
Trong một thị trường tăng, câu chuyện như vậy rất dễ bị lãng quên. Giá tăng sẽ hấp thụ mọi lo lắng, và các nhà đầu tư sẽ lại lao vào những biểu đồ xanh. Nhưng chính trong những giai đoạn sung túc nhất, những lỗi hạ tầng mang tính hệ thống mới có thời gian để phát triển âm thầm. Khi tất cả mọi người đều bận rộn với những con số, kẻ tấn công bận rộn với việc kiên nhẫn.
Câu hỏi lớn nhất mà sự kiện này để lại không phải là “Coldcard có bị hack không?”. Nó là: “Chúng ta thực sự muốn gì từ blockchain?” Nếu chúng ta muốn một hệ thống không cần tin tưởng, chúng ta phải xây dựng những công cụ cho phép kiểm chứng ở từng lớp — không chỉ ở lớp code, mà còn ở lớp vật lý, lớp phân phối, lớp con người. Tự quản không phải là mua một chiếc ví cứng rồi bỏ vào két sắt. Tự quản là một quá trình liên tục: kiểm tra chữ ký firmware, xác minh giao dịch trên một thiết bị độc lập, dùng đa chữ ký để phân tán điểm lỗi, và chấp nhận rằng không có thiết bị nào an toàn vĩnh viễn.
Niềm tin, giống như seed phrase, chỉ cần bị lộ một lần là vĩnh viễn không thể phục hồi.
Nhưng tôi không muốn kết thúc bằng sự tuyệt vọng. Mỗi vụ tấn công đều là một cú hích để ngành trưởng thành hơn. Mt. Gox khiến chúng ta rời bỏ ví sàn. FTX khiến chúng ta đòi hỏi bằng chứng dự trữ. Còn Coldcard sẽ khiến chúng ta đòi hỏi một tiêu chuẩn mới: chuỗi cung ứng có thể xác minh. Từ nay, bất kỳ công ty phần cứng nào muốn trở thành nơi lưu trữ tài sản của những người đòi hỏi tự do, đều sẽ phải công khai quy trình ký firmware, mã hóa vi điều khiển, và chứng minh rằng không một mắt xích nào trong chuỗi sản xuất có thể bị thao túng mà không để lại dấu vết. Đó là một cuộc cách mạng âm thầm nhưng cần thiết.
Chúng ta thực sự muốn gì từ blockchain? Một thế giới không cần lòng tin, hay một thế giới nơi mọi niềm tin đều có thể được kiểm chứng từ điểm xuất phát? Câu trả lời, giống như seed phrase của chính chúng ta, đang nằm trong tay mỗi người.