coldcard

Galaxy Research đã công bố rằng, kẻ tấn công trong sự kiện tấn công "Wave 3" của Coldcard vẫn đang tiếp tục chuyển tiền bị đánh cắp. Trong giai đoạn này, kẻ tấn công đã tạo ra 293 kho lưu trữ đa chữ ký 2-of-2 cho từng nạn nhân. Lần chuyển tiền đầu tiên đã được thực hiện qua THORChain sang Ethereum; vòng chuyển tiền mới nhất đã bắt đầu vào quy trình CoinJoin.Hiện tại, kẻ tấn công Wave 3 đang xử lý số tiền lớn nhất theo thứ tự bị đánh cắp, đã chuyển tiền từ kho lưu trữ xếp hạng từ 1 đến 11. 10 kho lưu trữ tiếp theo chưa được chuyển tổng cộng nắm giữ 30.81 BTC, trong khi các kho lưu trữ xếp hạng từ 61 đến 293 tổng cộng nắm giữ 33.77 BTC. Đến thời điểm hiện tại, kẻ tấn công đã chuyển khoảng 45% tài sản bị đánh cắp trong lần khai thác này, tiền đã chảy vào Ethereum (qua THORChain) hoặc vào giao dịch CoinJoin. Ngoài ra, việc chuyển tiền này còn phát hiện một kho lưu trữ chưa từng biết đến trước đây: 58 địa chỉ đã chi tiêu chung theo cách đa chữ ký 2-of-2 với định dạng giống như Wave 3, và đã được kẻ tấn công Wave 3 chuyển vào một địa chỉ nhảy để cung cấp tiền cho CoinJoin.Nhóm phân tích trên chuỗi hiện đã đánh dấu kho lưu trữ này là "cause = open", nhưng cho rằng nó rất có thể cũng thuộc về nạn nhân của Coldcard, điều này có nghĩa là số lượng kho lưu trữ liên quan đến Wave 3 có thể tăng lên 294, và tổng số tiền bị đánh cắp từ lỗ hổng Coldcard được công bố trước đó có thể tăng lên khoảng 1806 BTC. Hiện tại, khoảng 82% BTC bị đánh cắp vẫn nằm trong địa chỉ mà kẻ tấn công ban đầu kiểm soát, khoảng 18% đã được chuyển đi, và dòng tiền cho thấy nó có thể đang được xử lý rửa tiền.

Bitcoin News đã đăng bài trên nền tảng X cho biết, Coldcard đang bổ sung dần dần hàng tồn kho của các nhà phân phối với việc sản xuất thiết bị mới. Khoảng một tháng trước, lỗ hổng entropy của Coldcard đã dẫn đến việc hơn 100 triệu đô la Mỹ giá trị Bitcoin của người dùng bị đánh cắp; công ty cho biết, nhiều nhà phân phối đã nộp đơn xin bổ sung hàng tồn kho, thiết bị vẫn đang được bán liên tục.

Theo dõi của Bitcoin News, những kẻ hack liên quan đến vụ trộm thứ ba của ví Coldcard đã bắt đầu chuyển tiền bị đánh cắp và đổi Bitcoin sang ETH thông qua THORChain. Alex Thorn từ Galaxy Research cho biết, khoảng 10% BTC bị đánh cắp đã được chuyển đi, trong khi 90% còn lại vẫn chưa được sử dụng.Kẻ tấn công được báo cáo đã gặp khó khăn trong việc đổi tiền, nhiều giao dịch THORChain đã bị trả lại và thử lại. Các nhà nghiên cứu đã theo dõi các giao dịch đổi tiền liên quan đến một địa chỉ Ethereum mới, Alex Thorn cho biết, địa chỉ này đã được chia sẻ với các cơ quan chức năng và các công ty tiền điện tử. Galaxy Research cho biết, sự khai thác lỗ hổng Coldcard rộng rãi hơn đã dẫn đến việc 8865 địa chỉ ít nhất mất 1789 BTC, theo giá trị vào thời điểm bị đánh cắp, tương đương khoảng 115 triệu USD.

Theo giám sát của Giám đốc Nghiên cứu Galaxy, kẻ tấn công COLDCARD Wave 3 đã lần đầu tiên chuyển tiền bị đánh cắp và đổi chúng thành ETH thông qua DEX đa chuỗi THORChain. Đây là lần đầu tiên tiền được chuyển trên chuỗi từ địa chỉ hacker gốc trong Wave 1, 2 hoặc 3.

Tin tức từ ChainCatcher, Blockstream cho biết, Jade không bị ảnh hưởng bởi lỗ hổng của bộ sinh số ngẫu nhiên Coldcard, và đã phát hành firmware 1.41 sau khi nhận được nhiều đánh giá an ninh hỗ trợ bởi AI. Jade cho biết, họ đã trải qua hàng chục lần quét tự động hóa bằng AI và nhiều lần kiểm tra thủ công, tập trung vào các lĩnh vực nhạy cảm như sinh số ngẫu nhiên và ký giao dịch.Firmware mới đã tăng cường bảo vệ ngăn xếp, cập nhật các phụ thuộc, kiểm toán quy trình dọn dẹp bộ nhớ nhạy cảm, và nâng cấp môi trường hoạt động của Jade. Blockstream cho biết, cơ chế sinh số ngẫu nhiên của Jade sử dụng nhiều nguồn entropy khác nhau, bao gồm tiếng ồn từ chip phần cứng, dữ liệu thời gian, dữ liệu cảm biến và tiếng ồn từ camera, và được trộn bằng SHA-512 để ngăn chặn sự cố từ một nguồn entropy đơn lẻ ảnh hưởng đến việc tạo hạt giống. Nhóm cho biết, các phát hiện nghiêm trọng hơn vẫn đang được xử lý, dự kiến firmware 1.42 sẽ được phát hành trong thời gian phát triển ngắn hơn.

Theo thông tin từ ChainCatcher, theo dõi của Giám đốc Nghiên cứu Galaxy, tin tặc Coldcard vẫn đang hoạt động, một tin tặc đã đánh cắp khóa được tạo ra thông qua 5 lần ném xúc xắc để tăng cường độ ngẫu nhiên.

Tin tức từ ChainCatcher, ví phần cứng Coldcard thuộc Coinkite đã bị phát hiện có lỗ hổng entropy nghiêm trọng, lỗ hổng này đã không được phát hiện từ năm 2021, dẫn đến việc hơn 100 triệu đô la Bitcoin bị đánh cắp, nạn nhân chủ yếu là những người dùng ví với một cụm từ ghi nhớ duy nhất. Entropy yếu khiến kẻ tấn công có thể đoán khóa riêng thông qua các phương pháp tùy chỉnh, sự kiện này đã thúc đẩy cộng đồng Bitcoin xem xét lại độ tin cậy của việc tự quản lý với chữ ký đơn.Trong bối cảnh này, giải pháp đa nhà cung cấp đa chữ ký (Multi-vendor Multisig) đang trở thành tiêu chuẩn lưu ký mới được khuyến nghị cho những người nắm giữ lâu dài. Giải pháp này yêu cầu người dùng sử dụng các khóa từ các nhà cung cấp ví khác nhau để xây dựng địa chỉ đa chữ ký, chẳng hạn như Trezor Safe 7, Ledger Nano và Casa để tạo thành đa chữ ký 2-of-3, từ đó giảm sự phụ thuộc vào niềm tin vào một nhà cung cấp phần cứng duy nhất. Đa chữ ký cũng có thể chống lại các cuộc tấn công bằng cờ lê và đã thúc đẩy sự ra đời của các dịch vụ bảo hiểm Bitcoin tính bằng BTC như AnchorWatch.Tuy nhiên, đa chữ ký cũng có nhược điểm, người dùng không chỉ cần bảo quản các khóa ngưỡng mà còn cần lưu giữ bản sao của kịch bản hoặc mẫu đa chữ ký, để có thể khôi phục độc lập tài sản khi dịch vụ ví ngoại tuyến.

Tin tức từ ChainCatcher, Bitcoin News đã đăng trên nền tảng X cho biết, BTC Sessions cho biết, đội ngũ của họ đã dành vài tuần để hỗ trợ những người nắm giữ Bitcoin bị ảnh hưởng bởi lỗ hổng Coldcard chuyển tiền đến nơi an toàn, ước tính trong thời gian này đã bảo vệ được số Bitcoin trị giá hàng chục triệu đô la. Nhưng đối với nhiều người, đã quá muộn.Một thành viên trong cộng đồng Bitcoin địa phương đã mất 90% Bitcoin, trong khi một phụ nữ khác nói chuyện với anh ta thì đã mất toàn bộ Bitcoin. BTC Sessions cho biết, đây có thể là sự kiện tự quản lý nghiêm trọng nhất trong lịch sử Bitcoin. BTC Sessions cho biết, trải nghiệm này đã thúc đẩy họ suy nghĩ lại về việc quản lý tài sản, và đa dạng hóa các biện pháp an ninh trở thành bài học quan trọng.

ChainCatcher thông báo, theo Cointelegraph, Galaxy Research đã cập nhật dữ liệu theo dõi sự kiện tấn công ví phần cứng Coldcard, hiện đã xác nhận đã đánh cắp 1,789.28 BTC từ 8,865 địa chỉ (giá trị khoảng 114.7 triệu USD tại thời điểm xảy ra vụ việc). Giám đốc nghiên cứu Galaxy, Alex Thorn cho biết, trong số đó, 87.3% (khoảng 1,561 BTC) vẫn được giữ nguyên trong các địa chỉ do kẻ tấn công kiểm soát và chưa được di chuyển, tất cả số Bitcoin bị đánh cắp trong ba đợt tấn công đầu tiên đều chưa bị động.Trong các cuộc tấn công tiếp theo, một phần Bitcoin đã được chuyển qua các giao dịch CoinJoin và chia nhỏ số lượng. Thống kê dựa trên 221 báo cáo của nạn nhân, bao gồm 790.72 BTC thiệt hại, với thiệt hại trung vị là 1.04 BTC, hơn một nửa số báo cáo liên quan đến thiệt hại trên 1 BTC. Galaxy đã chia sẻ địa chỉ của kẻ tấn công với các sàn giao dịch, công ty tuân thủ và cơ quan thực thi pháp luật, hy vọng rằng khi dòng tiền chảy vào các trung gian tập trung sẽ bị đóng băng.

Theo thông tin từ ChainCatcher, theo dõi của Giám đốc Nghiên cứu Galaxy, sự cố lỗ hổng Coldcard liên quan đến 8865 địa chỉ, tổng thiệt hại là 1789.28 BTC, giá trị khi bị đánh cắp là 114.7 triệu USD, hiện tại giá trị là 138.8 triệu USD.Theo thống kê địa chỉ, thiệt hại trung vị của một địa chỉ là 0.00152 BTC, giá trị trung bình là 0.20184 BTC; thời gian ngủ đông trung vị là 3.2 năm, giá trị trung bình là 3.6 năm. Trong 221 báo cáo của nạn nhân, thiệt hại trung vị là 1.04272 BTC, giá trị trung bình là 3.57792 BTC; thời gian ngủ đông trung vị là 3.25 năm, giá trị trung bình là 2.99 năm. Thiệt hại mà các nạn nhân báo cáo là 790.72 BTC, chiếm 44.2% tổng thiệt hại. Nếu tính đến thiệt hại với độ tin cậy trung bình và các thiệt hại liên quan chưa được xác nhận, tổng thiệt hại sẽ đạt 1824 BTC, tính theo giá trị khi thiệt hại xảy ra là 140 triệu USD.

Tin tức từ ChainCatcher, Bitcoin News đã đăng trên nền tảng X cho biết, Coinkite đã phát hành bản cập nhật firmware mới cho Coldcard để khắc phục vấn đề an toàn của cụm từ ghi nhớ.Các cụm từ ghi nhớ trước đó có lỗ hổng vẫn không an toàn và nên được thay thế.

Tin tức từ ChainCatcher, Coldcard đã phát hành firmware mới nhất 5.6.1 (Mk4/Mk5) và 1.5.1Q (Q). Cập nhật này dựa trên cuộc kiểm tra an ninh kéo dài ba tuần sau khi sửa lỗi khẩn cấp, tập trung vào việc ứng phó với các rủi ro an ninh do cuộc tấn công tạo ra cụm từ ghi nhớ trước đó. Mỗi cụm từ ghi nhớ mới được tạo ra phải bao gồm ít nhất một nguồn entropy từ người dùng, bao gồm việc nhấn phím không đều ít nhất 65 lần, ném xúc xắc thực tế 50 lần hoặc ném đồng xu thực tế 128 lần, và kết hợp với entropy tươi từ STM32 TRNG, SE1 và SE2.Firmware mới cũng bổ sung xác thực PSBT theo từng giai đoạn ngay trước khi ký, tăng cường kết nối USB và ranh giới cập nhật firmware, cải thiện cơ chế cách ly Delta Mode, sửa lỗi sao lưu ví hoạt động, tăng cường khởi tạo bộ sinh số ngẫu nhiên và kiểm tra lỗi, điều chỉnh cài đặt mặc định SIGHASH, và bao gồm nhiều cải tiến về an ninh và độ chính xác. Coldcard cho biết, cập nhật này nhằm giảm thiểu thêm rủi ro thiết bị bị tấn công.Thông báo chính thức nhắc nhở, việc cập nhật firmware không thể sửa chữa các cụm từ ghi nhớ đã được tạo ra bởi firmware bị ảnh hưởng trước đó. Nếu cụm từ ghi nhớ của người dùng thuộc phạm vi thông báo an ninh này, họ nên cập nhật thiết bị trước, sau đó tạo và xác thực cụm từ ghi nhớ hoàn toàn mới, và di chuyển tài sản đến ví mới. Coldcard khuyến nghị tất cả người dùng Mk4, Mk5 và Q nên cập nhật thiết bị kịp thời và xác minh chữ ký của firmware đã tải xuống.

ChainCatcher thông báo, theo dõi từ thám tử trên chuỗi Specter, nạn nhân này tuyên bố đã bị tấn công bởi hacker qua Coldcard, và đã chuyển tiền từ Bitcoin sang Ethereum. Nhưng dữ liệu trên chuỗi cho thấy, 73 BTC (trị giá 4,6 triệu USD) cách đây hai tuần ban đầu đến từ máy trộn Whirlpool, trong đó một phần đã chuyển qua chuỗi sang Ethereum, sau đó được gửi vào thông qua giao diện lừa đảo Tornado Cash.Trong quá trình chuyển tiền liên quan, đã sử dụng hai máy trộn. Người này cũng được phát hiện xuất hiện trong các nhóm Telegram liên quan đến tìm kiếm khóa riêng và bẻ khóa bạo lực. Thám tử trên chuỗi Specter cho biết, nạn nhân này có thể là một kẻ đe dọa, và số tiền của họ cũng có thể đã bị đánh cắp bởi một kẻ đe dọa khác.

Tin tức từ ChainCatcher, theo báo cáo của Bitcoin Magazine, cuộc điều tra về sự kiện đánh cắp tiền điện tử quy mô lớn từ ví phần cứng Coldcard vào tháng 7 năm 2026 đã có tiến triển. Khoảng 1082.65 BTC (khoảng 118 triệu USD) vẫn được lưu trữ trong địa chỉ của kẻ tấn công trong đợt tấn công đầu tiên, cuộc điều tra phát hiện kẻ tấn công đã sử dụng tài khoản trả phí của một nhà cung cấp dịch vụ dữ liệu blockchain, nhật ký nội bộ "có sự phù hợp cao" với mô hình đánh cắp, các manh mối liên quan đã được chuyển giao cho cơ quan thực thi pháp luật. Nhà phân tích Alex Thorn của Galaxy Research cho biết, danh tính của kẻ tấn công trong đợt tấn công đầu tiên "có thể đã được cơ quan thực thi pháp luật nắm giữ".Các đợt tấn công tiếp theo tổng cộng khoảng 2000 BTC đã bị đánh cắp, trong đó đợt tấn công thứ hai khoảng 76 BTC, phương thức hoạt động tương tự như đợt tấn công đầu tiên, có thể là cùng một đối tượng. Sự kiện này bắt nguồn từ lỗ hổng sinh entropy được giới thiệu trong bản cập nhật mã của Coinkite vào tháng 3 năm 2021, dẫn đến việc một số thiết bị sử dụng MK2 và các mẫu sau này, firmware phiên bản 4.1 trở lên tạo ra khóa riêng có độ mạnh yếu, hạt giống có thể bị bẻ khóa bằng phương pháp brute force. Coinkite đã phát hành firmware sửa lỗi và khuyến nghị người dùng di chuyển tài sản, nhưng phạm vi ảnh hưởng của lỗ hổng vẫn đang được đánh giá.

ChainCatcher tin tức, một ví Bitcoin được tạo ra vào năm 2012 đã chuyển 212 đồng Bitcoin sau 14 năm im lặng, theo giá trị tại thời điểm chuyển nhượng là 13,72 triệu USD. Địa chỉ ví này được tạo vào ngày 10 tháng 8 năm 2012. Lô Bitcoin này ban đầu có giá trị 2.346 USD, giá mỗi đồng là 11,07 USD; theo giá trong bài viết là 64.761 USD, nếu bán hết, người nắm giữ có thể đạt được lợi nhuận 584.725%. Danh tính của chủ sở hữu ví vẫn chưa được biết.212 đồng Bitcoin đã được chuyển từ ví P2PKH cũ sang ví Bech32 không được đánh dấu, và được chuyển đến nhiều lần trước khi được lưu trữ tập trung. Lỗ hổng Coldcard đã dẫn đến việc gần 2.000 đồng Bitcoin bị đánh cắp, có thể đã thúc đẩy một số người nắm giữ lâu dài chuyển tài sản, nhưng địa chỉ này không được liên kết với bất kỳ thực thể nào đã biết.

Tin tức từ ChainCatcher, theo giám đốc nghiên cứu của Galaxy, cuộc tấn công nhằm vào Coldcard vẫn đang tiếp diễn, người dùng vẫn đang sử dụng Coldcard nên giữ cảnh giác và xác nhận cài đặt thiết bị.Họ tiếp tục hỗ trợ các nạn nhân và thu thập thông tin về kẻ tấn công, đồng thời cho biết hy vọng những nạn nhân bị đánh cắp tiền có thể liên hệ qua tin nhắn riêng để nhận được sự giúp đỡ trong việc truy tìm.

Tin tức từ ChainCatcher, Bitcoin News đã đăng trên nền tảng X cho biết, Hoàng tử Filip trong kỳ nghỉ đã biết rằng COLDCARD bị tấn công bởi hacker. Là một người dùng Mk3, ông đã phải đối mặt với nguy cơ toàn bộ Bitcoin của mình có thể bị đánh cắp bất cứ lúc nào.

Tin tức từ ChainCatcher, theo giám đốc nghiên cứu Galaxy, họ đã liên lạc với hơn 190 nạn nhân của lỗ hổng Coldcard và yêu cầu những nạn nhân chưa liên hệ với họ hãy gửi tin nhắn riêng để họ cung cấp thông tin theo dõi, hỗ trợ báo cáo thiệt hại đến các cơ quan liên quan.Kể từ ngày 6 tháng 8, chưa có sự kiện tấn công mới nào được xác nhận, nhưng điều này không có nghĩa là sẽ không xảy ra các cuộc tấn công mới, cần phải giữ cảnh giác.

Tin tức từ ChainCatcher, theo dõi từ Bitcoin News, nghiên cứu mới được @PraveenPerera công bố cho thấy, kẻ tấn công Coldcard dường như đã xác định trước các địa chỉ có lỗ hổng, sau đó sắp xếp theo số lượng Bitcoin nắm giữ tại các địa chỉ và bắt đầu chuyển tiền từ địa chỉ có số lượng nắm giữ cao nhất. Phần mềm chuyển tiền thực tế được sử dụng thì khá thô sơ.Một địa chỉ có 225 UTXO có thể chi tiêu, kẻ tấn công đã chính xác rút ra 200 UTXO mới nhất, để lại 25 UTXO đầu tiên, trong đó có một UTXO trị giá 0.16 BTC. Điều này hoàn toàn nhất quán với giới hạn 200 bản ghi mà một API blockchain mà các nhà nghiên cứu điều tra trả về mặc định, cho thấy kẻ tấn công có thể đã không tải được trang dữ liệu tiếp theo. Phần mềm thậm chí đã chi tiêu một UTXO 294 Satoshi, được báo cáo làm tăng phí giao dịch khoảng 2040 Satoshi, số tiền chi tiêu rõ ràng cao hơn giá trị của UTXO đó.Tác giả nghiên cứu cho rằng, người xây dựng công cụ này có thể hiểu hệ thống số dư tài khoản tốt hơn là hiểu mô hình UTXO của Bitcoin. Mặc dù kẻ tấn công dường như đã lấy được hạt giống đầy đủ của nạn nhân, nhưng ít nhất 75 BTC vẫn còn trong các địa chỉ khác được sinh ra từ cùng một hạt giống. Hiện tại, nghi ngờ lớn nhất là trong 153 địa chỉ bị đánh cắp vẫn còn 132.95 BTC, các nhà nghiên cứu vẫn không thể tái tạo hạt giống đứng sau những địa chỉ này, do đó không loại trừ khả năng kẻ tấn công đã lấy được dữ liệu thiết bị riêng tư chưa công khai hoặc dữ liệu ứng cử viên.

Tin tức từ ChainCatcher, sau khi lỗ hổng firmware của ví phần cứng Coldcard bị khai thác, khoảng 2,100 đồng Bitcoin đã bị đánh cắp, thiệt hại gần 130 triệu USD. Dữ liệu trên chuỗi cho thấy, trong vài ngày trước và sau sự kiện, ví của những người nắm giữ lâu dài đã chuyển ra khoảng 233,000 đồng Bitcoin, trị giá khoảng 15 tỷ USD.Giám đốc điều hành Casa, Nick Neuman, cho biết một phần số tiền chuyển ra đến từ việc người dùng Coldcard di chuyển sang ví đa chữ ký, cũng như người dùng Ledger và Trezor đã thực hiện các biện pháp tương tự sau sự kiện. Trong cùng thời gian, khoảng 22,000 đồng Bitcoin đã được chuyển vào sàn giao dịch. Coinkite đã yêu cầu những người dùng đã tạo cụm từ khôi phục bằng firmware phiên bản 4.1 đến 4.1.9, coi ví liên quan là đã bị xâm phạm và ngay lập tức di chuyển sang cụm từ khôi phục mới. Các phiên bản trên bao gồm từ tháng 3 năm 2021 đến tháng 7 năm 2026.