#coldcard漏洞被盗1367枚比特币 1367 tấm
$BTC ! 89 triệu USD! Mất hết rồi!
Các anh em ơi, đây không còn là tin tức nữa—đây là khoảnh khắc đen tối nhất của niềm tin “tự quản lý” trong thị trường crypto! 4585 địa chỉ, ba đợt tấn công, ví lạnh nằm yên ở nhà lại bị “lấy cắp từ xa” trong chớp mắt!
Kinh khủng hơn nữa: không phải hacker quá giỏi, mà là chính Coldcard tự đào bẫy!
Bản firmware từ tháng 3/2021, một lỗi kiểm tra mã—trực tiếp khiến khi tạo mnemonic cho ví, nó đã bỏ qua bộ tạo số ngẫu nhiên phần cứng, chuyển sang dùng chuỗi số của chip cộng với giá trị thời gian để tạo.
Số serial thì cố định, còn thời gian có thể suy ra. Tức là mật khẩu két sắt nhà bạn dùng “mã xuất xưởng + thời điểm hiện tại”! Hacker căn bản không cần đụng vào thiết bị của bạn. Chỉ cần ngồi ở nhà chạy GPU thử qua tất cả các tổ hợp có thể là có thể tính ra private key, rồi chuyển tiền đi ngay.
Và mọi chuyện chưa dừng lại ở đó!
Galaxy Research nói rằng đợt tấn công thứ tư có thể đã bắt đầu: lại có 462 địa chỉ bị quét, tổng cộng 389 BTC.
CEO của Coldcard cũng đã xin lỗi công khai, nói "tim nát rồi", công ty hoàn toàn chịu trách nhiệm. Nhưng xin lỗi có giúp tiền quay về được không?
Bây giờ phải làm gì? Đừng vòng vo, hành động ngay!
Với các anh em dùng Coldcard: kiểm tra ngay phiên bản firmware! Chỉ cần mnemonic được tạo trên các phiên bản bị ảnh hưởng thì mặc định đã bị lộ.
Cập nhật firmware không đồng nghĩa với việc “sửa” các seed đã có. Phải tạo mnemonic hoàn toàn mới trên thiết bị sau khi cập nhật, tạo địa chỉ mới, rồi di chuyển toàn bộ tài sản sang đó.
Trước hết làm thử với số tiền nhỏ, rồi hãy chuyển phần dư!
Thậm chí có chuyên gia bảo mật cho rằng vụ này có thể thay đổi vĩnh viễn niềm tin của mọi người vào “tự quản lý”. Có người bắt đầu hô "tự quản lý đã chết", bảo mọi người cứ mua ETF đi.
Còn tôi thì từ nay sẽ không còn mê tín bất kỳ ví phần cứng nào nữa. Đa chữ ký, đa nhà cung cấp, đa thiết bị phân tán cất giữ, hoặc thậm chí ném phần lớn tài sản vào nơi quản lý của tổ chức. Đừng thấy phiền—còn hơn một đêm trắng tay.
Trong ngành này, đừng bao giờ nghĩ là "không thể sai".
#BTC #钱包