dca

Theo báo cáo của Decrypt, Galaxy Research cho biết, những kẻ tấn công trong đợt tấn công thứ ba vào ví phần cứng Coldcard gần đây đã chuyển 97.09 BTC, tương đương khoảng 7.7 triệu USD theo giá hiện tại, chiếm khoảng 45% tổng số Bitcoin bị đánh cắp trong đợt này.Trong đó, những kẻ tấn công đã chuyển khoảng 20.5 BTC qua THORChain sang Ethereum vào ngày 2 tháng 9; sau đó lại chuyển một phần tiền vào quy trình CoinJoin để tăng độ khó trong việc theo dõi tiền. Hiện tại, trong số 293 địa chỉ đa chữ ký 2-of-2 được thiết lập bởi những kẻ tấn công trong đợt tấn công thứ ba, đã có 11 địa chỉ bị rút sạch.Báo cáo cho biết, sự cố an ninh Coldcard lần này bắt nguồn từ một lỗ hổng firmware được giới thiệu vào năm 2021, dẫn đến việc ngẫu nhiên hóa trong việc tạo ra cụm từ khôi phục ví bị giảm đáng kể, khiến cho những kẻ tấn công có thể tái tạo khóa riêng offline và đánh cắp tiền. Đến nay, khoảng 82% số BTC bị đánh cắp trong toàn bộ sự cố tấn công Coldcard vẫn chưa được chuyển đi.Galaxy Research cho rằng, nếu đưa vào thống kê các địa chỉ nghi vấn mới phát hiện, tổng số BTC bị đánh cắp có thể đạt khoảng 1806 BTC, tương đương khoảng 144 triệu USD.

Galaxy Research đã công bố rằng, kẻ tấn công trong sự kiện tấn công "Wave 3" của Coldcard vẫn đang tiếp tục chuyển tiền bị đánh cắp. Trong giai đoạn này, kẻ tấn công đã tạo ra 293 kho lưu trữ đa chữ ký 2-of-2 cho từng nạn nhân. Lần chuyển tiền đầu tiên đã được thực hiện qua THORChain sang Ethereum; vòng chuyển tiền mới nhất đã bắt đầu vào quy trình CoinJoin.Hiện tại, kẻ tấn công Wave 3 đang xử lý số tiền lớn nhất theo thứ tự bị đánh cắp, đã chuyển tiền từ kho lưu trữ xếp hạng từ 1 đến 11. 10 kho lưu trữ tiếp theo chưa được chuyển tổng cộng nắm giữ 30.81 BTC, trong khi các kho lưu trữ xếp hạng từ 61 đến 293 tổng cộng nắm giữ 33.77 BTC. Đến thời điểm hiện tại, kẻ tấn công đã chuyển khoảng 45% tài sản bị đánh cắp trong lần khai thác này, tiền đã chảy vào Ethereum (qua THORChain) hoặc vào giao dịch CoinJoin. Ngoài ra, việc chuyển tiền này còn phát hiện một kho lưu trữ chưa từng biết đến trước đây: 58 địa chỉ đã chi tiêu chung theo cách đa chữ ký 2-of-2 với định dạng giống như Wave 3, và đã được kẻ tấn công Wave 3 chuyển vào một địa chỉ nhảy để cung cấp tiền cho CoinJoin.Nhóm phân tích trên chuỗi hiện đã đánh dấu kho lưu trữ này là "cause = open", nhưng cho rằng nó rất có thể cũng thuộc về nạn nhân của Coldcard, điều này có nghĩa là số lượng kho lưu trữ liên quan đến Wave 3 có thể tăng lên 294, và tổng số tiền bị đánh cắp từ lỗ hổng Coldcard được công bố trước đó có thể tăng lên khoảng 1806 BTC. Hiện tại, khoảng 82% BTC bị đánh cắp vẫn nằm trong địa chỉ mà kẻ tấn công ban đầu kiểm soát, khoảng 18% đã được chuyển đi, và dòng tiền cho thấy nó có thể đang được xử lý rửa tiền.

Bitcoin News đã đăng bài trên nền tảng X cho biết, Coldcard đang bổ sung dần dần hàng tồn kho của các nhà phân phối với việc sản xuất thiết bị mới. Khoảng một tháng trước, lỗ hổng entropy của Coldcard đã dẫn đến việc hơn 100 triệu đô la Mỹ giá trị Bitcoin của người dùng bị đánh cắp; công ty cho biết, nhiều nhà phân phối đã nộp đơn xin bổ sung hàng tồn kho, thiết bị vẫn đang được bán liên tục.

Theo dõi của Bitcoin News, những kẻ hack liên quan đến vụ trộm thứ ba của ví Coldcard đã bắt đầu chuyển tiền bị đánh cắp và đổi Bitcoin sang ETH thông qua THORChain. Alex Thorn từ Galaxy Research cho biết, khoảng 10% BTC bị đánh cắp đã được chuyển đi, trong khi 90% còn lại vẫn chưa được sử dụng.Kẻ tấn công được báo cáo đã gặp khó khăn trong việc đổi tiền, nhiều giao dịch THORChain đã bị trả lại và thử lại. Các nhà nghiên cứu đã theo dõi các giao dịch đổi tiền liên quan đến một địa chỉ Ethereum mới, Alex Thorn cho biết, địa chỉ này đã được chia sẻ với các cơ quan chức năng và các công ty tiền điện tử. Galaxy Research cho biết, sự khai thác lỗ hổng Coldcard rộng rãi hơn đã dẫn đến việc 8865 địa chỉ ít nhất mất 1789 BTC, theo giá trị vào thời điểm bị đánh cắp, tương đương khoảng 115 triệu USD.

Theo giám sát của Giám đốc Nghiên cứu Galaxy, kẻ tấn công COLDCARD Wave 3 đã lần đầu tiên chuyển tiền bị đánh cắp và đổi chúng thành ETH thông qua DEX đa chuỗi THORChain. Đây là lần đầu tiên tiền được chuyển trên chuỗi từ địa chỉ hacker gốc trong Wave 1, 2 hoặc 3.

Tin tức từ ChainCatcher, Blockstream cho biết, Jade không bị ảnh hưởng bởi lỗ hổng của bộ sinh số ngẫu nhiên Coldcard, và đã phát hành firmware 1.41 sau khi nhận được nhiều đánh giá an ninh hỗ trợ bởi AI. Jade cho biết, họ đã trải qua hàng chục lần quét tự động hóa bằng AI và nhiều lần kiểm tra thủ công, tập trung vào các lĩnh vực nhạy cảm như sinh số ngẫu nhiên và ký giao dịch.Firmware mới đã tăng cường bảo vệ ngăn xếp, cập nhật các phụ thuộc, kiểm toán quy trình dọn dẹp bộ nhớ nhạy cảm, và nâng cấp môi trường hoạt động của Jade. Blockstream cho biết, cơ chế sinh số ngẫu nhiên của Jade sử dụng nhiều nguồn entropy khác nhau, bao gồm tiếng ồn từ chip phần cứng, dữ liệu thời gian, dữ liệu cảm biến và tiếng ồn từ camera, và được trộn bằng SHA-512 để ngăn chặn sự cố từ một nguồn entropy đơn lẻ ảnh hưởng đến việc tạo hạt giống. Nhóm cho biết, các phát hiện nghiêm trọng hơn vẫn đang được xử lý, dự kiến firmware 1.42 sẽ được phát hành trong thời gian phát triển ngắn hơn.

Theo thông tin từ ChainCatcher, theo dõi của Giám đốc Nghiên cứu Galaxy, tin tặc Coldcard vẫn đang hoạt động, một tin tặc đã đánh cắp khóa được tạo ra thông qua 5 lần ném xúc xắc để tăng cường độ ngẫu nhiên.

Tin tức từ ChainCatcher, ví phần cứng Coldcard thuộc Coinkite đã bị phát hiện có lỗ hổng entropy nghiêm trọng, lỗ hổng này đã không được phát hiện từ năm 2021, dẫn đến việc hơn 100 triệu đô la Bitcoin bị đánh cắp, nạn nhân chủ yếu là những người dùng ví với một cụm từ ghi nhớ duy nhất. Entropy yếu khiến kẻ tấn công có thể đoán khóa riêng thông qua các phương pháp tùy chỉnh, sự kiện này đã thúc đẩy cộng đồng Bitcoin xem xét lại độ tin cậy của việc tự quản lý với chữ ký đơn.Trong bối cảnh này, giải pháp đa nhà cung cấp đa chữ ký (Multi-vendor Multisig) đang trở thành tiêu chuẩn lưu ký mới được khuyến nghị cho những người nắm giữ lâu dài. Giải pháp này yêu cầu người dùng sử dụng các khóa từ các nhà cung cấp ví khác nhau để xây dựng địa chỉ đa chữ ký, chẳng hạn như Trezor Safe 7, Ledger Nano và Casa để tạo thành đa chữ ký 2-of-3, từ đó giảm sự phụ thuộc vào niềm tin vào một nhà cung cấp phần cứng duy nhất. Đa chữ ký cũng có thể chống lại các cuộc tấn công bằng cờ lê và đã thúc đẩy sự ra đời của các dịch vụ bảo hiểm Bitcoin tính bằng BTC như AnchorWatch.Tuy nhiên, đa chữ ký cũng có nhược điểm, người dùng không chỉ cần bảo quản các khóa ngưỡng mà còn cần lưu giữ bản sao của kịch bản hoặc mẫu đa chữ ký, để có thể khôi phục độc lập tài sản khi dịch vụ ví ngoại tuyến.

Tin tức từ ChainCatcher, Bitcoin News đã đăng trên nền tảng X cho biết, BTC Sessions cho biết, đội ngũ của họ đã dành vài tuần để hỗ trợ những người nắm giữ Bitcoin bị ảnh hưởng bởi lỗ hổng Coldcard chuyển tiền đến nơi an toàn, ước tính trong thời gian này đã bảo vệ được số Bitcoin trị giá hàng chục triệu đô la. Nhưng đối với nhiều người, đã quá muộn.Một thành viên trong cộng đồng Bitcoin địa phương đã mất 90% Bitcoin, trong khi một phụ nữ khác nói chuyện với anh ta thì đã mất toàn bộ Bitcoin. BTC Sessions cho biết, đây có thể là sự kiện tự quản lý nghiêm trọng nhất trong lịch sử Bitcoin. BTC Sessions cho biết, trải nghiệm này đã thúc đẩy họ suy nghĩ lại về việc quản lý tài sản, và đa dạng hóa các biện pháp an ninh trở thành bài học quan trọng.

ChainCatcher thông báo, theo Cointelegraph, Galaxy Research đã cập nhật dữ liệu theo dõi sự kiện tấn công ví phần cứng Coldcard, hiện đã xác nhận đã đánh cắp 1,789.28 BTC từ 8,865 địa chỉ (giá trị khoảng 114.7 triệu USD tại thời điểm xảy ra vụ việc). Giám đốc nghiên cứu Galaxy, Alex Thorn cho biết, trong số đó, 87.3% (khoảng 1,561 BTC) vẫn được giữ nguyên trong các địa chỉ do kẻ tấn công kiểm soát và chưa được di chuyển, tất cả số Bitcoin bị đánh cắp trong ba đợt tấn công đầu tiên đều chưa bị động.Trong các cuộc tấn công tiếp theo, một phần Bitcoin đã được chuyển qua các giao dịch CoinJoin và chia nhỏ số lượng. Thống kê dựa trên 221 báo cáo của nạn nhân, bao gồm 790.72 BTC thiệt hại, với thiệt hại trung vị là 1.04 BTC, hơn một nửa số báo cáo liên quan đến thiệt hại trên 1 BTC. Galaxy đã chia sẻ địa chỉ của kẻ tấn công với các sàn giao dịch, công ty tuân thủ và cơ quan thực thi pháp luật, hy vọng rằng khi dòng tiền chảy vào các trung gian tập trung sẽ bị đóng băng.

Theo thông tin từ ChainCatcher, theo dõi của Giám đốc Nghiên cứu Galaxy, sự cố lỗ hổng Coldcard liên quan đến 8865 địa chỉ, tổng thiệt hại là 1789.28 BTC, giá trị khi bị đánh cắp là 114.7 triệu USD, hiện tại giá trị là 138.8 triệu USD.Theo thống kê địa chỉ, thiệt hại trung vị của một địa chỉ là 0.00152 BTC, giá trị trung bình là 0.20184 BTC; thời gian ngủ đông trung vị là 3.2 năm, giá trị trung bình là 3.6 năm. Trong 221 báo cáo của nạn nhân, thiệt hại trung vị là 1.04272 BTC, giá trị trung bình là 3.57792 BTC; thời gian ngủ đông trung vị là 3.25 năm, giá trị trung bình là 2.99 năm. Thiệt hại mà các nạn nhân báo cáo là 790.72 BTC, chiếm 44.2% tổng thiệt hại. Nếu tính đến thiệt hại với độ tin cậy trung bình và các thiệt hại liên quan chưa được xác nhận, tổng thiệt hại sẽ đạt 1824 BTC, tính theo giá trị khi thiệt hại xảy ra là 140 triệu USD.

Tin tức từ ChainCatcher, Bitcoin News đã đăng trên nền tảng X cho biết, Coinkite đã phát hành bản cập nhật firmware mới cho Coldcard để khắc phục vấn đề an toàn của cụm từ ghi nhớ.Các cụm từ ghi nhớ trước đó có lỗ hổng vẫn không an toàn và nên được thay thế.

Tin tức từ ChainCatcher, Coldcard đã phát hành firmware mới nhất 5.6.1 (Mk4/Mk5) và 1.5.1Q (Q). Cập nhật này dựa trên cuộc kiểm tra an ninh kéo dài ba tuần sau khi sửa lỗi khẩn cấp, tập trung vào việc ứng phó với các rủi ro an ninh do cuộc tấn công tạo ra cụm từ ghi nhớ trước đó. Mỗi cụm từ ghi nhớ mới được tạo ra phải bao gồm ít nhất một nguồn entropy từ người dùng, bao gồm việc nhấn phím không đều ít nhất 65 lần, ném xúc xắc thực tế 50 lần hoặc ném đồng xu thực tế 128 lần, và kết hợp với entropy tươi từ STM32 TRNG, SE1 và SE2.Firmware mới cũng bổ sung xác thực PSBT theo từng giai đoạn ngay trước khi ký, tăng cường kết nối USB và ranh giới cập nhật firmware, cải thiện cơ chế cách ly Delta Mode, sửa lỗi sao lưu ví hoạt động, tăng cường khởi tạo bộ sinh số ngẫu nhiên và kiểm tra lỗi, điều chỉnh cài đặt mặc định SIGHASH, và bao gồm nhiều cải tiến về an ninh và độ chính xác. Coldcard cho biết, cập nhật này nhằm giảm thiểu thêm rủi ro thiết bị bị tấn công.Thông báo chính thức nhắc nhở, việc cập nhật firmware không thể sửa chữa các cụm từ ghi nhớ đã được tạo ra bởi firmware bị ảnh hưởng trước đó. Nếu cụm từ ghi nhớ của người dùng thuộc phạm vi thông báo an ninh này, họ nên cập nhật thiết bị trước, sau đó tạo và xác thực cụm từ ghi nhớ hoàn toàn mới, và di chuyển tài sản đến ví mới. Coldcard khuyến nghị tất cả người dùng Mk4, Mk5 và Q nên cập nhật thiết bị kịp thời và xác minh chữ ký của firmware đã tải xuống.

ChainCatcher thông báo, theo dõi từ thám tử trên chuỗi Specter, nạn nhân này tuyên bố đã bị tấn công bởi hacker qua Coldcard, và đã chuyển tiền từ Bitcoin sang Ethereum. Nhưng dữ liệu trên chuỗi cho thấy, 73 BTC (trị giá 4,6 triệu USD) cách đây hai tuần ban đầu đến từ máy trộn Whirlpool, trong đó một phần đã chuyển qua chuỗi sang Ethereum, sau đó được gửi vào thông qua giao diện lừa đảo Tornado Cash.Trong quá trình chuyển tiền liên quan, đã sử dụng hai máy trộn. Người này cũng được phát hiện xuất hiện trong các nhóm Telegram liên quan đến tìm kiếm khóa riêng và bẻ khóa bạo lực. Thám tử trên chuỗi Specter cho biết, nạn nhân này có thể là một kẻ đe dọa, và số tiền của họ cũng có thể đã bị đánh cắp bởi một kẻ đe dọa khác.

Tin tức từ ChainCatcher, theo báo cáo của Bitcoin Magazine, cuộc điều tra về sự kiện đánh cắp tiền điện tử quy mô lớn từ ví phần cứng Coldcard vào tháng 7 năm 2026 đã có tiến triển. Khoảng 1082.65 BTC (khoảng 118 triệu USD) vẫn được lưu trữ trong địa chỉ của kẻ tấn công trong đợt tấn công đầu tiên, cuộc điều tra phát hiện kẻ tấn công đã sử dụng tài khoản trả phí của một nhà cung cấp dịch vụ dữ liệu blockchain, nhật ký nội bộ "có sự phù hợp cao" với mô hình đánh cắp, các manh mối liên quan đã được chuyển giao cho cơ quan thực thi pháp luật. Nhà phân tích Alex Thorn của Galaxy Research cho biết, danh tính của kẻ tấn công trong đợt tấn công đầu tiên "có thể đã được cơ quan thực thi pháp luật nắm giữ".Các đợt tấn công tiếp theo tổng cộng khoảng 2000 BTC đã bị đánh cắp, trong đó đợt tấn công thứ hai khoảng 76 BTC, phương thức hoạt động tương tự như đợt tấn công đầu tiên, có thể là cùng một đối tượng. Sự kiện này bắt nguồn từ lỗ hổng sinh entropy được giới thiệu trong bản cập nhật mã của Coinkite vào tháng 3 năm 2021, dẫn đến việc một số thiết bị sử dụng MK2 và các mẫu sau này, firmware phiên bản 4.1 trở lên tạo ra khóa riêng có độ mạnh yếu, hạt giống có thể bị bẻ khóa bằng phương pháp brute force. Coinkite đã phát hành firmware sửa lỗi và khuyến nghị người dùng di chuyển tài sản, nhưng phạm vi ảnh hưởng của lỗ hổng vẫn đang được đánh giá.

Tin tức từ ChainCatcher, theo giám đốc nghiên cứu của Galaxy, cuộc tấn công nhằm vào Coldcard vẫn đang tiếp diễn, người dùng vẫn đang sử dụng Coldcard nên giữ cảnh giác và xác nhận cài đặt thiết bị.Họ tiếp tục hỗ trợ các nạn nhân và thu thập thông tin về kẻ tấn công, đồng thời cho biết hy vọng những nạn nhân bị đánh cắp tiền có thể liên hệ qua tin nhắn riêng để nhận được sự giúp đỡ trong việc truy tìm.

Tin tức từ ChainCatcher, Bitcoin News đã đăng trên nền tảng X cho biết, Hoàng tử Filip trong kỳ nghỉ đã biết rằng COLDCARD bị tấn công bởi hacker. Là một người dùng Mk3, ông đã phải đối mặt với nguy cơ toàn bộ Bitcoin của mình có thể bị đánh cắp bất cứ lúc nào.

Theo dõi của Catcher Predict, dự đoán trên thị trường Polymarket về sự kiện "Counter-Strike: Wildcard đối đầu paiN (BO3) - Giải vô địch eSports nhóm D", tỷ lệ thắng của tùy chọn "paiN" trong thị trường con "Chia điểm 3 vòng: paiN (-3.5) đối với Wildcard (+3.5)" đã có sự biến động mạnh, từ 50% một giờ trước tăng vọt lên 90.05% hiện tại (biến động lên tới 40.05%). Xin lưu ý rằng các tin tức đột xuất liên quan có ảnh hưởng.

Tin tức từ ChainCatcher, theo giám đốc nghiên cứu Galaxy, họ đã liên lạc với hơn 190 nạn nhân của lỗ hổng Coldcard và yêu cầu những nạn nhân chưa liên hệ với họ hãy gửi tin nhắn riêng để họ cung cấp thông tin theo dõi, hỗ trợ báo cáo thiệt hại đến các cơ quan liên quan.Kể từ ngày 6 tháng 8, chưa có sự kiện tấn công mới nào được xác nhận, nhưng điều này không có nghĩa là sẽ không xảy ra các cuộc tấn công mới, cần phải giữ cảnh giác.