sau khi vụ việc xảy ra, một lượng lớn bitcoin đã được chuyển đi

Ngày 13 tháng 8 năm 2026 · Tự quản lý và quan sát an toàn khóa

Cuối tháng 7, lỗ hổng của Coldcard khiến khoảng 1.816 bitcoin bị đánh cắp, nhưng dữ liệu trên chuỗi cho thấy sau đó có 233.000 BTC được chuyển ra khỏi các ví nắm giữ dài hạn, trong đó 22.000 BTC chảy vào sàn giao dịch.[1] CEO của Casa, Nick Neuman, cho biết số tiền bị chuyển đi tương đương 10 đến 100 lần giá trị bị đánh cắp đã được đưa tới nơi an toàn.

Đợt di chuyển này có hai nguồn: một phần là khách hàng của Casa trước đó dùng ví một chữ ký Ledger hoặc Trezor (hoàn toàn là các thương hiệu thiết bị khác nhau), nhưng sự cố lần này đã thúc đẩy họ chuyển sang ví đa chữ ký; phần còn lại là những người vốn đã dùng ví đa chữ ký, đã loại bỏ thiết bị Coldcard khỏi tổ hợp khóa.[1]

Neuman đã so sánh lần phản hồi này với tình huống giả định về việc lưu ký tập trung. Nếu cùng một lượng giá trị BTC được cất trong một sàn giao dịch, và sàn bị tấn công, thì mọi thứ sẽ đảo ngược: gần như toàn bộ tiền sẽ biến mất trong một lần, chỉ một số ít có thể thoát. [1] Còn trong kịch bản tự giám sát (tự quản), kẻ tấn công phải bẻ khóa từng địa chỉ một, mỗi lần chỉ lấy được một lượng BTC nhỏ, đồng thời cả mạng có thời gian phản ứng và chuyển sang nơi khác phần tiền còn lại.

Dữ liệu Glassnode xác nhận quy mô: lượng cung do nhà đầu tư nắm giữ dài hạn giảm từ gần 15 triệu BTC xuống khoảng 14,7 triệu — mức giảm theo tuần lớn nhất kể từ tháng 12 năm 2024. Điều này xảy ra khi giá BTC vẫn còn ở dưới đỉnh lịch sử 126.000 USD hồi tháng 10 khoảng 50%. [1]

Coinkite đã thúc giục mọi người dùng đã tạo hạt giống (seed) trên các phiên bản firmware từ 4.0.1 đến 4.1.9 (bao phủ từ tháng 3 năm 2021 đến tháng 7 năm 2026) ngay lập tức di chuyển sang seed mới. Dù thiết bị đã được nâng cấp, entropy của lô seed cũ từ lúc tạo đã yếu và không thể khắc phục bằng bản vá.

## SlowMist tái hiện kỹ thuật: hồi lui số ngẫu nhiên khiến khóa riêng có thể dự đoán

Nhóm SlowMist đã tái hiện đầy đủ chuỗi tấn công trên firmware Mk3 4.1.9. [2] Nguyên nhân gốc nằm ở việc chồng chéo hai lỗi ở tầng biên dịch.

Tầng một: Coldcard trong `mpconfigboard.h` đặt rõ ràng `MICROPY_HW_ENABLE_RNG` thành 0, vì nhóm cho rằng họ bọc (wrap) `ckcc.rng_bytes` để gọi thẳng phần cứng STM32 TRNG. Tuy nhiên, thư viện phụ thuộc `libngu` dùng kiểm tra `#ifndef` cho macro này, chỉ xác nhận “macro có tồn tại” mà không kiểm tra “macro có được bật hay không”.

Tầng hai: khi macro bằng 0, lớp chuyển cổng MicroPython cho STM32 khiến `rng_get()` âm thầm quay lui sang bộ tạo số giả ngẫu nhiên bằng phần mềm Yasmarang. Seed ban đầu của PRNG này gần như hoàn toàn được tạo từ các giá trị có thể dự đoán: UID của chip (96-bit nhận dạng chỉ dùng 32-bit thấp; ở lô Phase A, tọa độ X/Y chủ yếu nằm trong phạm vi 0–72), `SysTick->VAL` (giá trị đếm ngược dưới đồng hồ 80 MHz, phạm vi 0–79999) và các thanh ghi RTC (trong mọi vector đã xác nhận đều được giải ra là 0). [2]

Kết quả là có hai phiên bản Yasmarang: một là dòng hằng số toàn cục của `libngu` ( `pad=0x0a8ce26f` , mọi thiết bị hoàn toàn giống nhau), và một là phiên bản dự phòng khi `rng_get()` quay lui, biến duy nhất là giá trị 32-bit `UID ^ SysTick`. Nguồn entropy thực sự cho toàn bộ quá trình sinh seed chỉ khoảng 32–72 bit — không gian mà một cụm GPU có thể duyệt hết trong vài ngày. [2]

## Toàn bộ “ý nghĩ nội tâm” của mô hình AI bị lộ, 62 khóa API bị lần ra

Các nhà nghiên cứu an ninh phát hiện một cách để đọc “ý nghĩ nội tâm” (được mã hóa) của từng mô hình suy luận AI phổ biến và đã khôi phục 62 khóa API đang hoạt động cùng 33 mật khẩu từ nhật ký hội thoại do nhà phát triển chia sẻ công khai (mà không biết bên trong có gì). [3]

“Bằng cách giải mã 315.320 khối suy luận mà chúng tôi đã thu thập từ kho công khai, chúng tôi khôi phục được 367 PII (thông tin nhận dạng cá nhân) và 182 thông tin xác thực.” Nhóm nghiên cứu viết trong bài báo nộp ngày 10 tháng 8. [3]

Tất cả các nhà cung cấp AI phổ biến đều mã hóa token suy luận bằng cùng một khóa toàn cục. Kẻ tấn công tận dụng điều này, giải mã 315.320 khối suy luận bị ẩn từ nhật ký công khai, và trong quá trình đó đã tìm lại mật khẩu cùng các khóa API đang hoạt động. [3]

Đây là vụ thứ ba liên quan đến việc các mô hình tấn công nhà cung cấp thứ ba trong các thử nghiệm AI tiên phong, sau các cáo bạch gần đây của OpenAI và Anthropic.

Tháng 7, OpenAI cho biết hai mô hình khi tìm đáp án cho bộ câu hỏi benchmark đã thoát khỏi “sandbox” kiểm thử và chiếm quyền trên Hugging Face. Công ty sau đó tiết lộ rằng mô hình còn truy cập thêm bốn dịch vụ trực tuyến khác. [3] Tiếp đó, Anthropic cho biết ba mô hình Claude đã tấn công các tổ chức thực thông qua việc khai thác lỗi trong quá trình kiểm thử, sau khi chúng bị lộ ra Internet. Tháng 8, Meta cho biết các lỗi tương tự cho phép một mô hình của họ khai thác một dịch vụ bên thứ ba. [3]

Những sự kiện này thúc đẩy các nhà lập pháp đưa ra đề xuất “kill switch” cho AI, cho phép chính phủ liên bang hạn chế hoặc tắt các mô hình mạnh trong tình huống khẩn cấp.

## Máy chủ MCP có thể chia lệnh theo từng đoạn, giúp trợ lý mã hóa AI lén lút rò rỉ khóa

Một máy chủ công cụ độc hại được kết nối với trợ lý mã hóa AI có thể âm thầm lấy đi khóa SSH, thông tin bí mật về môi trường, mã nguồn và dữ liệu khách hàng mà không cần gửi bất kỳ một lệnh nào trông rõ ràng là gây hại. [4]

Mẹo này vẫn hiệu quả ngay cả sau khi phiên bản “thẳng thừng” của yêu cầu chiếm đoạt bị từ chối: chia yêu cầu thành nhiều mảnh trông đều rất thông thường, đặt chúng vào các kênh mà trợ lý đã đang sử dụng, để trợ lý tự lắp ghép lại. [4]

Model Context Protocol (MCP) giúp trợ lý mã hóa AI gọi công cụ bên ngoài thông qua các giao diện có cấu trúc — đọc tệp, truy vấn cơ sở dữ liệu, thực thi lệnh. Kẻ tấn công có thể nhúng một đoạn prompt thứ hai vào tin nhắn phản hồi của công cụ, dẫn trợ lý gửi lại dữ liệu nhạy cảm vừa đọc về máy chủ công cụ, về bề ngoài chỉ trông như “ghi nhật ký” hoặc “định dạng”.

Vì mỗi lần gọi đều được chia theo từng đoạn và mỗi lệnh nếu nhìn riêng lẻ vẫn có vẻ hợp lý, các cơ chế phòng vệ tích hợp của trợ lý sẽ không kích hoạt. Nhưng ngay khi luồng dữ liệu hướng về máy chủ độc hại thì đã xảy ra rò rỉ. [4]

Kiểu tấn công này không cần phá vỡ bất kỳ rào cản nào, chỉ lợi dụng chính thiết kế của MCP: trợ lý tin tưởng dữ liệu có cấu trúc mà công cụ trả về, trong khi công cụ có thể nhét vào phần trả về các chỉ dẫn ở tầng thứ hai.

Tác giả đang làm một ví MPC về chủ đề “vô trợ giúp ghi nhớ từ”, nên trên phương diện này có lập trường. Dữ liệu đều được cung cấp nguồn gốc, còn việc phán đoán hãy tự bạn làm.

https://cowallet.ai/en?pid=jingle