Theo CryptoQuant, các nhà đầu tư Bitcoin nhỏ đã chuyển coin vào ngày 31 tháng 7 với tốc độ chưa từng thấy kể từ sự sụp đổ của FTX, khi tin tức lan truyền rằng ví cứng Coldcard đã tạo ra các khóa có thể đoán được trong năm năm.

Julio Moreno, Trưởng phòng Nghiên cứu của công ty, đã tweet rằng tổng số giao dịch dưới 1 BTC đạt 39.600 BTC (khoảng 2,5 tỷ USD) vào ngày hôm đó. Con số tương đương cuối cùng là 39.900 BTC vào ngày 16 tháng 11 năm 2022, vài ngày sau khi FTX sụp đổ. Số địa chỉ hoạt động hàng ngày tăng từ 645.000 vào ngày 30 tháng 7 lên gần một triệu vào ngày 31 tháng 7, mức cao nhất kể từ tháng 12 năm 2024, với sự gia tăng tập trung ở các địa chỉ gửi chứ không phải địa chỉ nhận.

Một phần trong số đó đã được chuyển đến các sàn giao dịch. Theo CryptoQuant, các khoản tiền gửi gồm các giao dịch dưới 10 BTC đạt 7.300 BTC (459 triệu USD) vào ngày 31 tháng 7, mức cao nhất kể từ ngày 6 tháng 2. Moreno liên kết động thái này với vụ vi phạm Coldcard, cho rằng mọi người dường như đang chuyển tài sản "để tìm kiếm sự an toàn", mặc dù ông lưu ý rằng mối liên hệ này không chắc chắn.

Đáng chú ý, giá Bitcoin hầu như không thay đổi giữa làn sóng tiền gửi vào sàn giao dịch, cho thấy người dùng đang chuyển coin của họ để bảo mật chứ không phải để bán. Bitcoin hiện đang giao dịch ở mức 62.724 USD, giảm 0,7% trong ngày qua, theo dữ liệu của CoinGecko.

Vụ khai thác ColdCard

Lỗ hổng Coldcard bắt nguồn từ lỗi bản dựng firmware tháng 3 năm 2021 khiến các cụm từ hạt giống (seed phrase) được tạo ra từ một tập hợp quá nhỏ. Galaxy Research đã ghi nhận ba đợt trộm cắp tính đến thứ Bảy, tổng cộng 1.367 BTC trên 4.585 địa chỉ, tăng từ 38 triệu USD khi lỗ hổng được tiết lộ và 70 triệu USD khi người sáng lập Binance Changpeng Zhao cảnh báo người dùng.

Một đợt thứ tư có thể đang diễn ra. Alex Thorn của Galaxy Research đã báo cáo các cuộc quét trên 15 khối liên tiếp vào thứ Hai, với tốc độ nhanh gấp khoảng 45 lần so với bình thường, và sau khi sửa một tập hợp đã bao gồm sai các địa chỉ multisig, con số này là 709 địa chỉ và 448,73 BTC (28 triệu USD). Điều đó sẽ nâng tổng số lên khoảng 1.816 BTC, gần 114 triệu USD. Thorn nói thêm một lưu ý rằng chưa có nạn nhân nào xác nhận đợt thứ tư này, vốn dựa trên việc khớp mẫu.

Ông cho biết một số giao dịch quét vẫn đang chờ xác nhận trong mempool và đã chọn sử dụng tính năng thay thế bằng phí (replace-by-fee), có nghĩa là những người nắm giữ hành động nhanh chóng và trả phí cao có thể có khả năng trả giá cao hơn kẻ tấn công. Không có địa chỉ nào bị ảnh hưởng trong ba đợt đầu tiên là multisig.

"Một lời cảnh tỉnh"

Nick Percoco, giám đốc an ninh của Kraken, gọi sự cố này là "một lời cảnh tỉnh cho toàn bộ ngành ví cứng." Ông lưu ý rằng ColdCard Mk4, Mk5 và Q được trang bị các phần tử bảo mật được chứng nhận, nhưng các seed của chúng vẫn có độ dài khoảng 72 bit, bởi vì chứng nhận chỉ bao gồm thành phần chứ không ai xác minh đường dẫn mã thực tế nào đã chạy.

Percoco muốn có sự xác nhận độc lập từ phòng thí nghiệm về các nguồn entropy, được gắn với các phiên bản firmware cụ thể và được liệt kê trong một sổ đăng ký công khai, như các thiết bị thanh toán đã yêu cầu. Ông nói thêm rằng bản sửa lỗi nóng của Coinkite hiện sẽ làm lỗi bản dựng trừ khi trình tạo chính xác được liên kết vào, một biện pháp kiểm soát mà ông nói rằng phải mất khoảng 48 giờ để viết sau khi công ty biết cần tìm gì.