Sự cố ví cứng Coldcard: Lưu trữ lạnh không còn là lá chắn tuyệt đối
Sự kiện ví cứng Coldcard, vốn được xem là "thánh địa" bảo mật của giới đầu tư tiền mã hóa, vướng phải lỗ hổng nghiêm trọng đe dọa khối tài sản lên tới gần 89 triệu USD (khoảng 1.367 Bitcoin) đã tạo ra một cú sốc lớn.
Sự cố này phá vỡ niềm tin bấy lâu nay rằng: Cứ chuyển tài sản ra khỏi mạng internet là an toàn 100%. Để hiểu rõ hơn về nguyên nhân sâu xa của sự cố cũng như cách người dùng tự bảo vệ mình trong kỉ nguyên mới, chúng tôi đã có cuộc trao đổi với Thạc sĩ Phạm Nhật Huy – chuyên gia từ SSI.
Hàng rào "cách li" hoàn toàn vô nghĩa nếu móng nhà bị hổng
Phóng viên (PV): Chào Thạc sĩ Phạm Nhật Huy, ví cứng (hay lưu trữ lạnh) luôn được ca tụng là giải pháp an toàn nhất để cất giữ Bitcoin. Tuy nhiên, sự cố của Coldcard vừa qua đã khiến hàng ngàn ví đứng trước nguy cơ bị bòn rút. Nhìn từ góc độ bảo mật, sự việc này đang phản ánh điều gì thưa ông?
Thạc sĩ Phạm Nhật Huy: Sự cố này là một gáo nước lạnh thức tỉnh toàn bộ thị trường. Nó khẳng định sự thật là: "Lưu trữ lạnh" (Cold Storage) không còn là lá chắn tuyệt đối.
Nguyên lí của ví cứng là cách li vật lí (Air-gapping), tức là tách biệt hoàn toàn chiếc ví khỏi internet để hacker không thể chạm tới. Nhưng sự cố của Coldcard cho thấy, việc cách li này chỉ có tác dụng sau khi chìa khóa của bạn đã được tạo ra một cách an toàn.
Hãy tưởng tượng bạn xây một cái két sắt không có cửa sổ, không ai xâm nhập được (cách li internet). Nhưng nếu bản thân cái máy đúc chìa khóa bên trong két sắt lại bị lỗi và đúc ra những chiếc chìa khóa mà ai cũng có thể đoán được hình dạng, thì bức tường két sắt kia hoàn toàn vô nghĩa. Rủi ro hiện nay không chỉ đến từ việc tin tặc đập phá két từ bên ngoài, mà đến từ những lỗ hổng siêu nhỏ nằm ngay trong nền tảng toán học và chuỗi cung ứng phần mềm sản xuất ra chiếc két đó.
PV: Theo như công bố, nguyên nhân không phải do ví bị hack trực tiếp mà là lỗi từ lúc tạo "cụm từ khôi phục" (seed phrase). Ông có thể giải thích rõ hơn về mức độ nghiêm trọng của lỗi này? Vì sao một sản phẩm top đầu lại mắc phải?
Thạc sĩ Phạm Nhật Huy: Đây là dạng rủi ro nghiêm trọng và đáng sợ nhất, vì người dùng thông thường không thể nào tự phát hiện ra. Lỗ hổng này bắt nguồn từ một chuỗi các sai sót kĩ thuật rất ngớ ngẩn nhưng lại để lại hậu quả tàn khốc.
Thứ nhất, kiểm tra an toàn quá hời hợt: Hệ thống của ví chấp nhận những mật khẩu quá đơn giản (chỉ cần 5 kí tự khác nhau).
Thứ hai, một dòng code "tắt nhầm" tính năng cốt lõi: Một lỗi cú pháp nhỏ xíu trong câu lệnh đã khiến ví vô tình tắt hẳn vi mạch phần cứng chuyên dụng để tạo ra các con số ngẫu nhiên an toàn.
Thứ ba, dùng công thức quá dễ đoán: Khi con chip bảo mật bị tắt, hệ thống tự động chuyển sang một phần mềm "chữa cháy" tạm bợ. Phần mềm này tạo mật khẩu dựa trên thông tin cố định như mã số chip hay đồng hồ thời gian.
Hậu quả là gì? Độ khó của mật khẩu sụp đổ từ 128 bit xuống chỉ còn khoảng 40 bit. Nói một cách dễ hiểu, thay vì hacker phải mò mẫm trong một không gian vô tận không bao giờ giải được, thì giờ đây chúng chỉ phải đối mặt với khoảng 1 nghìn tỉ khả năng. Với sức mạnh máy tính hiện nay, chúng có thể quét toàn bộ blockchain và giải mã khóa của người dùng chỉ trong vài giờ.
Điều kinh khủng nhất là bộ phận tạo số ngẫu nhiên bị lỗi nhưng không hề phát ra cảnh báo. Các từ khóa sinh ra trông vẫn rất bình thường, ví vẫn giao dịch mượt mà. Lỗ hổng này đã nằm im lìm trong mã nguồn suốt 5 năm trời mà không ai hay biết.
Rũ bỏ tư duy "bỏ vào ví cứng Coldcard là xong" và cuộc chiến bảo mật thời AI
PV: Nhiều nhà đầu tư vẫn đang có thói quen mua ví cứng, cắm vào máy, rút tiền về và kê cao gối ngủ. Sau sự cố này, chúng ta cần thay đổi tư duy quản lí tài sản ra sao, thưa ông?
Thạc sĩ Phạm Nhật Huy: Nhà đầu tư cá nhân bắt buộc phải rũ bỏ tư duy "chuyển tiền vào ví cứng là xong". Thay vào đó, hãy xem việc lưu trữ tài sản là một hệ thống quản trị rủi ro nhiều lớp, và chiếc ví cứng chỉ là một mắt xích trong đó.
Nguyên tắc sống còn hiện nay đối với người dùng ví cứng là bắt buộc phải thiết lập Cụm từ mật khẩu (Passphrase hay còn gọi là "Từ thứ 25").
Đây là một chuỗi kí tự do chính bạn tự nghĩ ra (có thể dài tới 100 kí tự) và nó hoạt động độc lập hoàn toàn với con chip của thiết bị. "Từ thứ 25" này đóng vai trò như một lớp ngụy trang, tạo ra một "ví ẩn" hoàn toàn khác biệt so với ví tạo từ 24 từ khôi phục gốc.
Nghĩa là, cho dù con chip của ví bị hỏng từ nhà máy như vụ Coldcard, hoặc ai đó lấy cắp được 24 từ khóa gốc của bạn, thì hacker vẫn "trắng tay" nếu không biết Cụm từ mật khẩu do chính não bộ bạn nghĩ ra. Đặc biệt, Passphrase có một cơ chế rất hay: nếu bạn nhập sai, nó không báo lỗi mà sẽ mở ra một chiếc ví trống rỗng (số dư bằng 0) để đánh lừa hacker. Do đó, tuyệt đối không lưu Cụm từ mật khẩu này trên thiết bị hay để chung chỗ với 24 từ gốc.
PV: Trong lúc thị trường tiền mã hóa đang ấm dần lên, ông dự báo xu hướng tấn công của tin tặc trong thời gian tới sẽ nhắm vào đâu?
Thạc sĩ Phạm Nhật Huy: Trong vài năm tới, tôi cho là mũi nhọn tấn công sẽ dịch chuyển mạnh mẽ từ các Sàn giao dịch (CEX) sang ví cá nhân và chuỗi cung ứng phần mềm.
Trước đây (2014-2019), hacker thích tấn công sàn giao dịch. Nhưng hiện nay, các sàn lớn đã nâng cấp hệ thống phòng thủ như pháo đài với công nghệ Tính toán Đa bên (MPC) hay cơ chế đa chữ kí (multi-sig). Việc hack sàn trở nên quá khó và đắt đỏ.
Do đó, hacker chuyển sang các mục tiêu "mềm" hơn. Lịch sử đã chứng minh điều này qua hàng loạt vụ sụp đổ của Trust Wallet (2022), Profanity hay lỗ hổng Libbitcoin (2023) do bộ tạo số ngẫu nhiên bị lỗi.
Nguy hiểm hơn, với sự trỗi dậy của Trí tuệ nhân tạo (AI) và các Mô hình Ngôn ngữ Lớn (LLMs), tin tặc giờ đây không cần dò dẫm thủ công. Chúng sử dụng AI để càn quét tự động hàng triệu dòng mã nguồn mở trên GitHub, lùng sục từng lỗi cú pháp nhỏ nhất (như lỗi đã hạ gục Coldcard) hay các lỗ hổng từ bên thứ ba. Cuộc chiến không còn nằm ở việc ai có tường lửa mạng mạnh hơn, mà đã lùi sâu vào cấp độ viết code và kiểm thử phần mềm.
PV: Xin cảm ơn ông về những chia sẻ rất thiết thực này!