bitching

🚨 Kho lạnh được cho là đồng nghĩa với “không thể đụng tới”.

⚠️ Nhưng nó không như vậy.

$71,000,000+ bằng BTC — biến mất. Không phải bị lừa đảo (phishing). Không bị hack trực tiếp vào thiết bị. Bị rút từ các ví mà chưa từng rời khỏi một nơi an toàn.

💀 Lạnh. Ngoại tuyến. Không bị đụng. Thế mà vẫn bị rút cạn.

Niềm tin cũ: ví phần cứng là “miễn nhiễm” vì kẻ tấn công cần phải có quyền truy cập vật lý.

Thực tế mới: sự ngẫu nhiên (entropy) đã thất bại một cách âm thầm, và toán học đã hoàn tất phần còn lại.

Lỗi firmware năm 2021 của Coldcard đã làm cho độ ngẫu nhiên của seed bị thu hẹp xuống một khoảng có thể đoán được. Không cần link phishing. Không malware. Không cần chiếm quyền/đột nhập thiết bị.

Kẻ tấn công không hề chạm vào bất kỳ ví nào.

⏱️ 1.196 địa chỉ.
41 phút.
Hơn 1.082 BTC bị quét.

Tính đoán trước đã tiêu diệt nhiều ví hơn bất kỳ hacker nào từng có thể làm.

🔓 Sự thật khó chịu: một ví chỉ “lạnh” đến mức độ ngẫu nhiên của nó. Lưu trữ ngoại tuyến giúp chống tấn công qua mạng — nhưng không làm gì trước một bộ tạo số ngẫu nhiên (RNG) bị lỗi, đã được “nhúng sẵn” ngay từ lúc sản xuất.

Câu hỏi không phải là ví phần cứng có an toàn hay không. Câu hỏi là liệu entropy tạo ra seed có thật sự ngẫu nhiên ngay từ đầu hay không.

📌 Hành động được khuyến nghị:
1️⃣ Cập nhật firmware ngay lập tức (Mk3: 4.2.0+, Mk4/Mk5: 5.6.0+, Q: 1.5.0Q+)
2️⃣ Tạo một seed hoàn toàn mới — cập nhật firmware KHÔNG sửa các seed cũ
3️⃣ Chuyển toàn bộ tiền khỏi địa chỉ cũ trước khi chạm lại
4️⃣ Nếu có thể, thêm cụm mật khẩu (passphrase) được gieo xúc xắc để tăng thêm entropy

🔥 Tự gieo xúc xắc của riêng bạn khi thiết lập? Những ví đó đã sống sót mà không bị đụng.

“Lưu trữ lạnh” thực sự bảo vệ chống lại điều gì, nếu sự ngẫu nhiên phía sau nó chưa bao giờ an toàn?

$BTC #Bitching #Coldcard #CryptoSecurity #DeFi
Không phải lời khuyên tài chính. Tự nghiên cứu (DYOR).