Lỗ hổng trên ví phần cứng Coldcard bị khai thác, đánh cắp 70 triệu USD Bitcoin

Một chiến dịch tấn công quy mô lớn vừa nhắm vào ví phần cứng Coldcard, dẫn đến việc 1.196 địa chỉ Bitcoin bị rút sạch 1.082,65 BTC (tương đương khoảng 70,2 triệu USD tại thời điểm xảy ra vụ việc) chỉ trong 41 phút vào ngày 30/7 vừa qua. Theo phân tích từ Galaxy Research, nguyên nhân gốc rễ nằm ở một lỗi tích hợp firmware từ tháng 3/2021.

Lỗi sinh số ngẫu nhiên (PRNG)

Vấn đề xuất phát từ việc cấu hình firmware vô tình chuyển hướng quá trình tạo seed sang một bộ tạo số ngẫu nhiên giả (pseudorandom number generator – PRNG) dựa trên phần mềm, thay vì sử dụng bộ tạo số ngẫu nhiên phần cứng (RNG) trên chip STM32. Lỗi này khiến entropy (độ ngẫu nhiên) bị suy giảm nghiêm trọng, cho phép kẻ tấn công có thể tái tạo lại các seed tiềm năng nếu nắm được các thông tin như UID thiết bị, trạng thái bộ đếm thời gian và lịch sử gọi hàm RNG.

Block, đơn vị phân tích lỗi, cho biết kẻ tấn công có thể thực hiện việc này offline mà không cần truy cập trực tiếp vào thiết bị của nạn nhân. Sau đó, chúng chỉ cần so sánh các seed này với dữ liệu trên blockchain để xác định các địa chỉ ví bị ảnh hưởng.

Khuyến cáo cho người dùng

Coinkite, nhà sản xuất Coldcard, đã phát hành bản firmware khẩn cấp vào ngày 31/7 để khắc phục lỗi. Tuy nhiên, cần lưu ý rằng việc cập nhật firmware không tự động sửa chữa các seed đã bị tạo ra trước đó. Người dùng được khuyến nghị:

• Tạo một seed mới trên firmware đã được vá lỗi.
• Chuyển toàn bộ tài sản sang địa chỉ ví mới này.
• Không nên khôi phục seed cũ trên firmware mới vì lỗ hổng vẫn sẽ tồn tại.

Các dòng thiết bị bị ảnh hưởng bao gồm Mk2, Mk3, Mk4, Mk5 và dòng Q với các phiên bản firmware cũ. Coinkite cũng lưu ý rằng nếu người dùng đã sử dụng ít nhất 50 lần tung xúc xắc thủ công để tạo seed (dice rolls), tài sản của họ có thể không bị ảnh hưởng bởi lỗi này. Tuy nhiên, để đảm bảo an toàn tuyệt đối, việc di chuyển tài sản sang ví mới vẫn là phương án tối ưu.

Hiện tại, chưa có thông tin về danh tính kẻ tấn công. Các chuyên gia bảo mật cảnh báo rằng đây là một lời nhắc nhở đắt giá về tầm quan trọng của việc kiểm định firmware trong các thiết bị lưu trữ tài sản số.

Nguồn tham khảo: The Hacker News