Khi “pháo đài” Coldcard vỡ vì RNG: 1.747 BTC di cư và cuộc chạy trốn âm thầm trên chuỗi
Ngày 31/7, dữ liệu Glassnode bất ngờ ghi nhận hơn 1 triệu địa chỉ hoạt động trên Bitcoin, nhảy vọt so với mức 645.000 của ngày trước đó. Cùng lúc, số giao dịch trong ngày đạt 761.796, một con số cao nhưng không phải kỷ lục. Giá BTC vẫn đứng yên quanh 60.347 USD. Điều gì đang xảy ra? Không phải sự bùng nổ niềm tin. Đó là một cuộc di cư hoảng loạn của những người nắm giữ ví lạnh Coldcard bị tấn công.
Coldcard là dòng ví cứng được cộng đồng kỹ trị tôn thờ như biểu tượng an toàn tuyệt đối. Không giống ví nóng luôn kết nối mạng, ví lạnh hứa hẹn giữ khóa riêng tách biệt khỏi tay hacker. Nhưng vụ việc lần này đã chứng minh một chân lý đau đớn: khóa riêng chỉ an toàn khi bộ phát sinh số ngẫu nhiên (RNG) hoạt động hoàn hảo. Và RNG thì không hoàn hảo.
Kẻ tấn công đã khai thác lỗ hổng RNG để dò ra khóa riêng của nhiều ví Coldcard. Khi khóa riêng trở nên có thể đoán trước, toàn bộ mô hình bảo mật của một thiết bị phần cứng sụp đổ. Không cần ăn cắp thiết bị, không cần xâm nhập nhà bạn; chỉ cần một thuật toán yếu, kẻ tấn công có thể quét hàng loạt và rút sạch. Ba đợt tấn công được xác nhận đã cuốn đi 1.367 BTC, tương đương 88,6 triệu USD, trải rộng trên 4.585 địa chỉ. Ngay sau đó, một đợt thứ tư bị nghi ngờ lại quét thêm hơn 380 BTC. Tổng cộng khoảng 1.747 BTC đã rời khỏi các địa chỉ lạnh.
Dữ liệu chuỗi cho thấy một cấu trúc rất rõ ràng. Tốc độ quét lên tới 13,8 giao dịch mỗi khối, gấp 45 lần mức nền trước sự kiện. Nếu là hành vi thủ công, con số này bất khả thi. Kẻ tấn công đã viết công cụ tự động, biến việc khai thác RNG thành một dây chuyền. Các đợt tấn công nối tiếp nhau theo nhịp “bùng nổ-rồi-dừng”, cho thấy kẻ đứng sau đang chia nhỏ lượng tiền rút ra, có thể để tránh sự chú ý của các công cụ theo dõi on-chain.
Điều quan trọng hơn là điểm nghẽn về hành vi. Số địa chỉ hoạt động tăng vọt, nhưng số giao dịch chỉ ở mức cao cục bộ, chưa phá vỡ lịch sử. Hai chỉ số này lệch nhau: hầu hết địa chỉ chỉ thực hiện một đến hai giao dịch. Đây không phải là một mạng lưới đang sôi động, mà là một lượng lớn người dùng mở ví mới, chuyển tiền ra khỏi Coldcard, rồi dừng lại. Đó là “chuyển khẩn cấp”, không phải “giao dịch thịnh vượng”.
Nếu nhìn vào cấu trúc địa chỉ, bức tranh còn rõ hơn. Toàn bộ mức tăng đến từ địa chỉ gửi. Địa chỉ nhận gần như không đổi. Trong một đợt bùng nổ giao dịch bình thường, cả hai chiều đều tăng; ở đây, tiền chỉ đang được gom về một phía. Điều này củng cố giả thuyết về một chiến dịch phòng thủ: người dùng chuyển BTC từ vùng nguy hiểm sang vùng an toàn hơn, chứ không phải đang tìm kiếm lợi nhuận.
Một điểm khiến tôi thực sự chú ý: lượng giao dịch dưới 1 BTC đạt 39.600 BTC trong một ngày, gần tương đương với mức 39.900 BTC ở đỉnh điểm sụp đổ FTX. Lần trước, làn sóng này đến từ những nhà đầu tư nhỏ rút tiền khỏi sàn giao dịch vì sợ hãi sàn sụp đổ. Lần này, làn sóng đến từ những người dùng tự quản lý tài sản đang vội vã bỏ đi một thiết bị mà họ từng tin là “bất khả xâm phạm”. Hai hướng di chuyển ngược nhau – từ sàn về ví, rồi từ ví về nơi khác – nhưng có cùng một động cơ: sợ hãi. Và cả hai lần, đều là các nhà đầu tư nhỏ, còn những người nắm giữ lớn gần như không tham gia.
Nhiều nhà phân tích vội vàng kết luận rằng địa chỉ hoạt động tăng là tín hiệu tăng giá. Tôi cho rằng đó là cái bẫy. Hãy so sánh với tháng 12/2024: khi BTC ở vùng 100.000 USD, mạng lưới cũng chứng kiến lượng địa chỉ hoạt động tương đương. Đó là khi sự hưng phấn của một đợt tăng giá thu hút người mua mới. Còn nay, BTC đã rút về 60.000 USD, cùng một mức hoạt động nhưng động cơ phía sau là nỗi sợ. Cùng một con số, hai câu chuyện trái ngược. Đọc dữ liệu mà không hiểu bối cảnh là tự đánh lừa mình.
Thị trường dường như cũng đồng tình: giá BTC chỉ tăng 1,24% vào ngày lượng địa chỉ hoạt động bùng nổ. Nếu thị trường coi đây là chất xúc tác tăng trưởng, mức tăng đã phải lớn hơn rất nhiều. Thực tế, giá nằm im trong khi tiền chạy tán loạn – một kiểu im lặng đáng sợ. Với tôi, đây là minh chứng cho thấy thị trường vẫn chưa định giá xong rủi ro. Khoảng 1.747 BTC nếu bị bán tháo trên sàn sẽ tạo ra vùng áp lực khoảng 105 triệu USD, không phải là quá lớn so với khối lượng giao dịch hằng ngày của Bitcoin, nhưng nó có thể trở thành chất xúc tác cho tâm lý nếu xảy ra cùng lúc với một đợt giảm giá.
Còn một tín hiệu nữa mà tôi tin rằng nhiều người bỏ qua: BIP-110, bản nâng cấp giao thức Bitcoin, đã bị trì hoãn kích hoạt. Các nhà phát triển viện dẫn lo ngại về an toàn ví. Điều này rất bất thường. Một lỗ hổng trong phần cứng ví lạnh lại có thể đủ sức đẩy lùi lịch trình nâng cấp giao thức – điều đó cho thấy vụ việc không đơn thuần là một sự cố của một công ty, mà đã chạm vào các giả định an ninh cấp nền tảng. Nếu ví lạnh không còn là biên giới an toàn, thì toàn bộ mô hình tự quản lý tài sản cần phải được mổ xẻ lại.
Từ góc độ vĩ mô, đợt di cư này có thể chỉ là một vết xước nhỏ trên tổng cung Bitcoin. Nhưng nó phơi bày một sự thật khó chịu: niềm tin vào “tuyệt đối” trong bảo mật là thứ xa xỉ. Bất cứ thành phần nào, dù nhỏ đến đâu, nếu hỏng ở tầng sinh khóa, cũng có thể phá sập toàn bộ. Tôi tin rằng ngành cần chuyển từ câu chuyện “một thiết bị bất khả xâm phạm” sang thiết kế phòng thủ đa lớp, nhiều chữ ký, kiểm toán nguồn mở và quy trình phục hồi sau sự cố. Và với những người nắm giữ, hãy tự hỏi: bạn đang đặt niềm tin vào một vi mạch, hay vào một hệ thống được thiết kế để sống sót ngay cả khi một thành phần thất bại? Đó mới là câu hỏi quyết định.
