Ví cứng Coldcard tạm dừng xóa dữ liệu khách hàng sau sự cố bảo mật nghiêm trọng
Ví cứng Coldcard đã tạm thời đình chỉ cơ chế tự động xóa dữ liệu khách hàng sau 120 ngày, do các nghĩa vụ pháp lí phát sinh từ sự cố bảo mật được công bố ngày 30/7.
Động thái này đồng nghĩa những hồ sơ lẽ ra phải được xóa sẽ tiếp tục được lưu giữ cho đến khi các yêu cầu pháp lí liên quan đến vụ việc không còn hiệu lực.
Ví cứng Coldcard giữ lại dữ liệu để đáp ứng nghĩa vụ pháp lí
Coldcard, thương hiệu ví Bitcoin phần cứng của Coinkite, cho biết họ đã thay đổi chính sách lưu trữ dữ liệu khách hàng sau sự cố bảo mật ảnh hưởng đến nhiều người dùng. Trong một bài đăng trên X hôm 7/8, công ty giải thích rằng các hồ sơ khách hàng có thể liên quan đến những vụ kiện đang diễn ra hoặc có khả năng phát sinh từ sự cố ngày 30/7 cần được bảo toàn để phục vụ các nghĩa vụ pháp lí.
Theo chính sách thông thường, Coldcard tự động làm trống thông tin khách hàng sau 120 ngày kể từ khi đơn hàng được hoàn tất. Sau thời hạn này, công ty chỉ giữ lại địa chỉ email và quốc gia cư trú. Người mua cũng có thể yêu cầu xóa dữ liệu sớm hơn sau khi đơn hàng được giao. Tuy nhiên, cơ chế này hiện đã được tạm dừng.
Coldcard thừa nhận việc đình chỉ cơ chế xóa dữ liệu tự động là một thay đổi so với chính sách đã công bố trước đây. Công ty cho biết quyết định này xuất phát trực tiếp từ yêu cầu pháp lí liên quan đến sự cố bảo mật, theo đó những dữ liệu có khả năng trở thành bằng chứng trong quá trình điều tra hoặc tố tụng phải được bảo toàn.
Vì vậy, các hồ sơ khách hàng vốn được lên lịch xóa theo quy định 120 ngày sẽ tiếp tục được lưu giữ cho đến khi có thông báo mới.
Dù vậy, Coldcard cho biết khách hàng không muốn thông tin của mình nằm trong diện bảo toàn pháp lí vẫn có thể liên hệ bộ phận hỗ trợ để yêu cầu áp dụng lại chính sách lưu trữ ban đầu. Điều này cho phép những người không liên quan đến quá trình pháp lí yêu cầu dữ liệu của mình được xử lí theo cơ chế xóa thông thường.
Công ty cũng nhấn mạnh rằng dữ liệu được giữ lại sẽ tiếp tục được bảo vệ an toàn, chỉ những nhân sự được cấp quyền mới có thể truy cập. Coldcard khẳng định thông tin này sẽ không được sử dụng cho bất kì mục đích nào ngoài việc tuân thủ các nghĩa vụ pháp lí.
Theo doanh nghiệp, hệ thống tự động xóa dữ liệu sẽ được khôi phục khi các yêu cầu pháp lí không còn buộc công ty phải duy trì hồ sơ.
Việc phải thay đổi chính sách quyền riêng tư cho thấy mức độ nghiêm trọng của sự cố bảo mật lần này. Không chỉ liên quan đến nguy cơ mất tài sản kĩ thuật số, vụ việc còn đặt ra yêu cầu đối với dữ liệu khách hàng có thể hỗ trợ việc xác định nạn nhân, truy vết các giao dịch và phục vụ quá trình điều tra.
Lỗ hổng firmware khiến Bitcoin bị đánh cắp
Sự cố đã trở thành một trong những vụ tấn công nghiêm trọng nhất được biết đến nhằm vào người dùng ví phần cứng Bitcoin.
Theo Galaxy Research, các cuộc tấn công đã được xác nhận dẫn tới việc khoảng 1.596 BTC bị đánh cắp từ khoảng 7.300 địa chỉ ví, trải qua ba đợt tấn công. Galaxy cũng xác định một đợt tấn công thứ tư đáng ngờ có thể nâng tổng thiệt hại lên khoảng 2.055 BTC, dù số liệu này chưa được xếp vào nhóm tổn thất đã xác nhận do chưa có đủ nạn nhân xác nhận.
Điểm đáng chú ý là lỗ hổng không xuất phát từ giao thức Bitcoin hay yêu cầu kẻ tấn công phải lấy được thiết bị vật lí của nạn nhân. Vấn đề nằm trong quá trình tạo seed của một số phiên bản firmware Coldcard.
Theo công bố kĩ thuật trước đó của Coinkite, lỗ hổng bắt nguồn từ tháng 3/2021, khi một thư viện mật mã mới được tích hợp vào firmware. Do lỗi triển khai, một số phiên bản firmware đã sử dụng bộ sinh số giả ngẫu nhiên mang tính xác định của MicroPython thay vì bộ sinh số ngẫu nhiên được hỗ trợ bằng phần cứng trên chip STM32.
Đội ngũ kĩ thuật và bảo mật Bitcoin của Block cũng tiến hành đánh giá độc lập và đi đến kết luận tương tự.
Hậu quả là mức độ ngẫu nhiên của seed trên các thiết bị bị ảnh hưởng thấp hơn đáng kể so với thiết kế ban đầu. Coinkite ước tính các mẫu Mk2 và Mk3 bị ảnh hưởng chỉ đạt khoảng 40 bit entropy hiệu dụng, trong khi Mk4, Mk5 và Coldcard Q ở mức khoảng 72 bit, thay vì mục tiêu 128 bit.
Điều này tạo điều kiện để kẻ tấn công tái tạo các seed có khả năng được sử dụng, tạo ra các địa chỉ Bitcoin tương ứng rồi đối chiếu với dữ liệu công khai trên blockchain. Vì blockchain cho phép quan sát số dư và giao dịch của các địa chỉ, phương thức này có thể giúp xác định những ví chứa tiền mà không cần biết PIN hoặc tiếp cận thiết bị.
Phần lớn số Bitcoin bị đánh cắp hiện vẫn chưa được di chuyển. Galaxy từng ước tính khoảng 90% lượng Bitcoin bị mất vẫn nằm yên, trong đó cụm địa chỉ lớn nhất được xác định đang nắm giữ 1.159 BTC trên bảy địa chỉ.
Tuy nhiên, các nhà phân tích cũng phát hiện hoạt động từ một nhóm tấn công khác. Khoảng 64 BTC đã đi vào một luồng giao dịch liên quan đến dịch vụ trộn tiền mã hóa, cho thấy có thể có nhiều kẻ tấn công khai thác cùng một điểm yếu.
Trong khi cuộc điều tra tiếp tục, Coinkite khuyến cáo người dùng có seed được tạo bằng firmware dễ bị tổn thương phải tạo seed hoàn toàn mới, ngay cả khi đã cập nhật firmware. Người dùng được khuyên kiểm tra địa chỉ nhận, thực hiện một giao dịch thử với số tiền nhỏ và chỉ chuyển toàn bộ tài sản sau khi xác nhận giao dịch hoạt động bình thường.
Coinkite đã phát hành firmware được vá cho các mẫu Coldcard bị ảnh hưởng và loại bỏ số hàng tồn kho chứa phiên bản dễ bị tổn thương. Tuy nhiên, bản cập nhật firmware chỉ bảo vệ những ví được tạo sau khi lỗ hổng được khắc phục. Những seed đã được tạo trong thời gian firmware tồn tại lỗi vẫn cần được thay thế.