Vụ Coldcard 89 triệu USD đảo ngược hiệu ứng FTX: Nhà đầu tư đưa Bitcoin trở lại sàn

Lỗ hổng nghiêm trọng liên quan đến ví phần cứng Coldcard đang tạo ra một phản ứng hiếm thấy trên thị trường Bitcoin: thay vì rút tài sản khỏi sàn giao dịch để tự lưu ký, nhiều nhà đầu tư nhỏ lẻ lại đưa BTC trở lại các nền tảng tập trung với mục đích tìm kiếm sự an toàn tạm thời.

Dữ liệu on-chain cho thấy lượng Bitcoin được gửi lên sàn trong các giao dịch nhỏ đã tăng mạnh sau khi vụ việc được công bố. Diễn biến này hoàn toàn trái ngược với những gì từng xảy ra sau sự sụp đổ của FTX vào tháng 11/2022, khi người dùng đồng loạt rút tiền khỏi các sàn giao dịch tập trung.

Sự đảo chiều không chỉ phản ánh tâm lý hoảng sợ. Nó còn đặt ra một câu hỏi khó đối với cộng đồng Bitcoin: điều gì sẽ xảy ra khi chính công cụ được thiết kế để bảo vệ quyền tự lưu ký lại trở thành nguồn rủi ro?

Nhà đầu tư nhỏ chuyển 7.300 BTC lên sàn trong một ngày

Theo dữ liệu được CryptoQuant công bố, lượng Bitcoin gửi lên các sàn thông qua những giao dịch có quy mô dưới 10 BTC đã tăng lên khoảng 7.300 BTC trong ngày 31/7. Đây là mức cao nhất kể từ ngày 6/2/2026.

Julio Moreno, Trưởng bộ phận nghiên cứu của CryptoQuant, nhận định sự gia tăng này có thể liên quan trực tiếp đến vụ Coldcard, khi người dùng chuyển tài sản đi vì lo ngại ví của mình nằm trong nhóm bị ảnh hưởng.

Số lượng địa chỉ Bitcoin hoạt động hằng ngày cũng tăng mạnh, từ khoảng 645.000 địa chỉ ngày 30/7 lên gần một triệu địa chỉ vào ngày hôm sau. Đây là mức cao nhất được ghi nhận kể từ tháng 12/2024, trong đó phần lớn mức tăng đến từ những địa chỉ chuyển tiền lên sàn.

Hoạt động của các ví nhỏ còn thể hiện rõ hơn qua nhóm giao dịch dưới 1 BTC. Tổng khối lượng của nhóm này đạt khoảng 39.600 BTC, gần bằng mức 39.900 BTC được ghi nhận ngày 16/11/2022, ngay sau thời điểm FTX nộp đơn phá sản.

Nói cách khác, những người nắm giữ Bitcoin quy mô nhỏ đã không di chuyển lượng BTC lớn như vậy trong một ngày kể từ cuộc khủng hoảng FTX.

Dữ liệu do nhà phân tích on-chain Timechainindex tổng hợp cũng ghi nhận dòng tiền ròng khoảng 11.163 BTC chảy vào các sàn và tổ chức lưu ký trong ngày 31/7. Phần lớn tài sản được chuyển đến Binance, River, Kraken và OKX.

Sau sự kiện, tổng lượng Bitcoin nằm trong những ví được xác định thuộc các sàn tập trung tăng từ khoảng 2,704 triệu BTC lên 2,715 triệu BTC.

Lỗ hổng Coldcard khiến seed phrase có thể bị tái tạo

Coldcard là dòng ví phần cứng chỉ hỗ trợ Bitcoin, được phát triển bởi công ty Coinkite tại Canada. Thiết bị có thể hoạt động trong trạng thái cách ly mạng, cho phép người dùng lưu giữ và ký giao dịch mà không cần đưa khóa riêng lên một thiết bị kết nối internet.

Tuy nhiên, vụ việc lần này không xuất phát từ việc tin tặc truy cập vật lý vào ví, đánh cắp seed phrase hoặc lừa người dùng ký một giao dịch độc hại.

Vấn đề nằm ngay trong quá trình tạo seed phrase.

Theo phân tích kỹ thuật, một thay đổi trong firmware từ tháng 3/2021 đã khiến một số thiết bị Coldcard sử dụng bộ tạo số giả ngẫu nhiên bằng phần mềm thay cho bộ tạo số ngẫu nhiên phần cứng như thiết kế ban đầu.

Nguồn dữ liệu để khởi tạo bộ tạo số này bao gồm những thông tin tương đối dễ dự đoán, chẳng hạn số serial của chip và các giá trị liên quan đến đồng hồ hệ thống. Điều đó làm giảm đáng kể entropy, tức mức độ ngẫu nhiên cần thiết để bảo vệ seed phrase.

Thay vì phải tìm kiếm trong một không gian khóa gần như không thể tính toán, kẻ tấn công chỉ cần kiểm tra một tập hợp hữu hạn các seed có khả năng đã được thiết bị tạo ra.

Quá trình này có thể được thực hiện hoàn toàn trên máy tính của kẻ tấn công. Thiết bị của nạn nhân không cần bật nguồn, không cần kết nối internet và cũng không cần bị tiếp cận trực tiếp.

Bitcoin Optech cho biết seed được tạo trên một số thiết bị Mk3 bị ảnh hưởng có thể chỉ còn khoảng 40 bit entropy hiệu dụng, thấp hơn rất nhiều so với mức bảo mật dự kiến. Các thiết bị Mk4, Mk5 và Q có thêm dữ liệu từ secure element, nhưng nghiên cứu của Block cho thấy lượng entropy thực sự đi vào trạng thái của bộ tạo số vẫn không đạt mức bảo mật cần thiết.

Thiệt hại tăng lên gần 89 triệu USD

Ước tính thiệt hại ban đầu của vụ Coldcard chỉ vào khoảng 594 BTC. Tuy nhiên, con số này liên tục tăng khi các công ty phân tích phát hiện thêm địa chỉ và những đợt rút tiền mới.

Galaxy Research ghi nhận ba làn sóng tấn công đã lấy đi tổng cộng khoảng 1.367 BTC, trị giá gần 89 triệu USD, từ 4.585 địa chỉ.

Trong làn sóng đầu tiên, khoảng 1.083 BTC bị rút khỏi 1.196 địa chỉ chỉ trong 41 phút. Đến làn sóng thứ ba, kẻ tấn công bắt đầu nhắm đến những ví có số dư nhỏ hơn, lấy khoảng 208 BTC từ 1.912 địa chỉ.

Quy mô trung bình trên mỗi nạn nhân giảm xuống, nhưng số lượng địa chỉ bị ảnh hưởng lại tăng nhanh. Điều này cho thấy những phần có giá trị cao nhất trong tập hợp khóa yếu có thể đã được quét trước, trong khi kẻ tấn công tiếp tục tìm kiếm những ví nhỏ còn sót lại.

Các giao dịch cũng trở nên phức tạp hơn. Thay vì gom toàn bộ số tiền đánh cắp vào một vài địa chỉ dễ theo dõi, làn sóng mới chuyển tài sản của từng nạn nhân đến những địa chỉ riêng biệt và sử dụng cấu trúc đầu ra khó phân tích hơn.

Các nhà nghiên cứu chưa thể xác định liệu cả ba làn sóng đều do cùng một cá nhân thực hiện hay nhiều nhóm khác nhau đang cùng khai thác không gian khóa bị suy yếu.

Tại sao phản ứng lần này trái ngược hoàn toàn với FTX?

Sau khi FTX sụp đổ vào cuối năm 2022, mối đe dọa lớn nhất mà thị trường nhìn thấy là rủi ro đối tác.

Người dùng nhận ra rằng số dư hiển thị trên sàn không đồng nghĩa với việc sàn thực sự đang giữ đầy đủ tài sản. Nguy cơ mất khả năng thanh toán, đóng băng rút tiền và sử dụng tiền khách hàng sai mục đích khiến hàng loạt nhà đầu tư chuyển Bitcoin sang ví cá nhân.

Thông điệp “not your keys, not your coins” trở thành nguyên tắc phòng thủ phổ biến. Số dư Bitcoin trên các sàn giảm mạnh khi người dùng lựa chọn tự kiểm soát khóa riêng.

Vụ Coldcard tạo ra một tình huống ngược lại.

Lần này, rủi ro không nằm ở việc sàn giao dịch có thể mất khả năng thanh toán, mà nằm ở khả năng khóa riêng đã không đủ ngẫu nhiên ngay từ thời điểm được tạo ra.

Khi không thể xác định chắc chắn seed phrase của mình có nằm trong tập hợp khóa yếu hay không, một số nhà đầu tư đã lựa chọn chuyển tiền lên sàn như một giải pháp tạm thời.

Điều này không đồng nghĩa họ tuyệt đối tin tưởng sàn giao dịch. Thay vào đó, họ đang thay thế một rủi ro tức thời và khó quan sát bằng một hình thức lưu ký quen thuộc hơn, nơi tài sản có thể được bảo vệ bởi hệ thống quản lý khóa quy mô lớn, quy trình giám sát và khả năng đóng băng giao dịch đáng ngờ.

Dòng tiền lần này cho thấy cách nhà đầu tư đánh giá “nơi an toàn” có thể thay đổi tùy thuộc nguồn gốc của mối đe dọa. Khi sàn là điểm yếu, tài sản được rút về ví cá nhân. Khi thiết bị tạo khóa trở thành điểm yếu, một phần tài sản lại quay trở về sàn.

Vụ Coldcard không phải sự thất bại của toàn bộ mô hình tự lưu ký

Mặc dù sự cố gây thiệt hại lớn, đây vẫn là lỗ hổng liên quan đến cách triển khai của một dòng thiết bị và một nhóm firmware cụ thể, không phải lỗi trong mạng Bitcoin hay cơ chế mật mã nền tảng.

Những seed phrase được tạo bằng nguồn ngẫu nhiên đủ mạnh vẫn không thể bị tái tạo theo phương pháp được sử dụng trong vụ tấn công. Phần lớn các ví phần cứng khác cũng không liên quan đến lỗ hổng Coldcard.

Bitcoin Optech lưu ý rằng việc cập nhật firmware chỉ ngăn thiết bị tạo thêm seed yếu trong tương lai. Firmware mới không thể làm cho một seed cũ trở nên an toàn hơn, bởi toàn bộ địa chỉ và khóa riêng đã được dẫn xuất từ seed đó.

Điều này cũng giải thích vì sao nhiều người dùng phản ứng ngay lập tức. Khi một seed có nguy cơ đã bị suy yếu, việc chờ đợi thêm thông tin có thể tạo cơ hội cho kẻ tấn công hoàn thành quá trình quét khóa trước.

Sự cố còn cho thấy tự lưu ký không đơn giản chỉ là sở hữu thiết bị ngoại tuyến. Mức độ an toàn phụ thuộc vào toàn bộ chuỗi hình thành và sử dụng khóa, từ nguồn entropy, firmware, thư viện mật mã, quy trình cập nhật cho đến cách người dùng sao lưu và phân tách rủi ro.

Cuộc tranh luận về nơi lưu trữ Bitcoin sẽ trở nên phức tạp hơn

FTX từng khiến thị trường nhận ra rằng trao toàn bộ quyền kiểm soát tài sản cho một tổ chức tập trung có thể dẫn đến hậu quả nghiêm trọng.

Coldcard lại nhắc nhở rằng việc tự nắm giữ khóa riêng cũng không tự động loại bỏ mọi rủi ro. Người dùng có thể kiểm soát thiết bị nhưng vẫn phải tin rằng thiết bị đã tạo ra một seed phrase thực sự ngẫu nhiên, firmware hoạt động đúng như công bố và không có sai sót tồn tại trong nhiều năm mà chưa được phát hiện.

Do đó, sự lựa chọn giữa sàn giao dịch và ví cá nhân không nên được nhìn nhận như một quyết định tuyệt đối giữa “an toàn” và “không an toàn”.

Mỗi mô hình chỉ chuyển rủi ro sang một vị trí khác.

Sàn giao dịch tạo ra rủi ro đối tác, pháp lý và khả năng đóng băng tài sản. Tự lưu ký tạo ra rủi ro vận hành, mất khóa, lỗi phần mềm và sự phụ thuộc vào chất lượng của thiết bị bảo mật.

Dòng tiền Bitcoin quay trở lại các sàn sau vụ Coldcard không chứng minh rằng sàn tập trung an toàn hơn ví phần cứng. Nó chỉ cho thấy trong một cuộc khủng hoảng, nhà đầu tư thường ưu tiên tránh mối đe dọa gần nhất, ngay cả khi điều đó đồng nghĩa họ phải chấp nhận một loại rủi ro khác.

Bitcoin quay lại sàn có giúp tăng cơ hội thu hồi tài sản?

Việc Bitcoin chảy vào các sàn tập trung có thể tạo thêm cơ hội ngăn chặn tài sản bị đánh cắp, nhưng cần phân biệt hai dòng tiền hoàn toàn khác nhau.

Lượng BTC mà các nạn nhân chủ động chuyển từ Coldcard lên sàn chỉ là tài sản chưa bị lấy cắp. Hành động này giúp họ tạm thời đưa Bitcoin ra khỏi những seed phrase có nguy cơ bị tái tạo, nhưng không làm tăng khả năng thu hồi số tiền đã rơi vào tay kẻ tấn công.

Cơ hội thu hồi chỉ thực sự xuất hiện khi chính những đồng Bitcoin bị đánh cắp được gửi đến một sàn giao dịch có hệ thống KYC và kiểm soát chống rửa tiền.

Không giống một địa chỉ cá nhân trên blockchain, tài khoản sàn thường gắn với thông tin đăng ký, lịch sử đăng nhập, thiết bị, địa chỉ IP và các phương thức rút tiền. Nếu một địa chỉ liên quan đến vụ Coldcard được gắn nhãn đủ sớm, sàn có thể hạn chế giao dịch, đóng băng tài khoản hoặc giữ lại tài sản trong thời gian cơ quan điều tra xác minh.

Kraken cho biết nền tảng có thể đóng băng tài khoản, hạn chế quyền tiếp cận tài sản bị nghi liên quan đến hành vi phạm pháp và phối hợp với các công ty phân tích blockchain cùng cơ quan thực thi pháp luật để hỗ trợ việc hoàn trả tài sản khi có thể. Binance.US cũng có quy trình tiếp nhận yêu cầu đóng băng chính thức khi nhà chức trách có căn cứ cho rằng tài sản trong một tài khoản có thể bị tịch thu.

Theo cách nhìn này, sàn giao dịch trở thành một “điểm nghẽn” quan trọng. Bitcoin có thể di chuyển tự do giữa các địa chỉ, nhưng quá trình đổi tài sản sang tiền pháp định hoặc rút qua một tài khoản đã xác minh danh tính thường buộc kẻ tấn công phải tiếp xúc với một tổ chức có khả năng can thiệp.

Tuy nhiên, theo dõi được Bitcoin không đồng nghĩa với việc có thể tự động lấy lại nó. Giao dịch Bitcoin sau khi được xác nhận không thể bị đảo ngược bởi thợ đào, nhà phát triển ví hay công ty phân tích blockchain. Sàn chỉ có thể đóng băng số tiền vẫn còn nằm trong phạm vi kiểm soát của mình.

Hiệu quả thu hồi vì thế phụ thuộc vào bốn yếu tố: địa chỉ của kẻ tấn công có được nhận diện chính xác hay không, thông tin có được chuyển đến sàn đủ nhanh hay không, tài sản có còn nằm trong tài khoản hay đã bị rút đi, và yêu cầu pháp lý có đáp ứng tiêu chuẩn của khu vực mà sàn đang hoạt động hay không. Các sàn thường chỉ cung cấp dữ liệu hoặc thực hiện biện pháp cưỡng chế khi yêu cầu của cơ quan chức năng hợp lệ và đủ phạm vi pháp lý.

Kẻ tấn công cũng có thể giảm khả năng bị chặn bằng cách chia nhỏ số tiền, chuyển qua nhiều lớp địa chỉ, sử dụng dịch vụ hoán đổi hoặc lựa chọn những nền tảng có quy trình tuân thủ yếu hơn. Cấu trúc phân tán của các làn sóng rút tiền sau vụ Coldcard có thể khiến việc liên kết toàn bộ giao dịch với cùng một chủ thể trở nên khó khăn hơn.

Một trở ngại khác là nguy cơ gắn nhãn sai. Không phải mọi đồng Bitcoin đi qua một địa chỉ từng tương tác với hacker đều chắc chắn thuộc về hacker. Nếu việc đóng băng chỉ dựa trên mối liên hệ gián tiếp, tài sản của bên thứ ba vô tình nhận phải “coin bẩn” cũng có thể bị ảnh hưởng. Vì vậy, các sàn thường cần kết hợp dữ liệu on-chain với hồ sơ tài khoản và yêu cầu từ cơ quan điều tra thay vì chỉ dựa vào danh sách địa chỉ công khai.

Dòng tiền quay lại sàn vì thế tạo ra một nghịch lý. Người dùng chấp nhận trở lại mô hình lưu ký tập trung để tránh một lỗ hổng tự lưu ký, trong khi chính khả năng kiểm soát tập trung của sàn lại có thể trở thành công cụ hữu ích để chặn tài sản của kẻ tấn công.

Dù vậy, đây chỉ là cơ hội điều tra tốt hơn, không phải bảo đảm thu hồi. Nếu số Bitcoin bị đánh cắp vẫn nằm trong những địa chỉ do hacker trực tiếp kiểm soát hoặc đã rời khỏi các nền tảng hợp tác, các công ty phân tích có thể tiếp tục theo dõi dòng tiền nhưng không thể buộc giao dịch quay trở lại.

Mất Bitcoin vì lỗi firmware có được bồi thường không?

Việc thiệt hại được cho là bắt nguồn từ lỗi firmware không đồng nghĩa người dùng sẽ tự động được hoàn trả toàn bộ số Bitcoin bị mất.

Cho đến thời điểm bài viết được cập nhật, chưa có chương trình bồi thường công khai nào bảo đảm hoàn trả BTC cho các nạn nhân của sự cố Coldcard. Tài liệu công khai của Coinkite chủ yếu cung cấp kênh báo cáo lỗ hổng, hỗ trợ kỹ thuật và chính sách thưởng dành cho nhà nghiên cứu bảo mật, không phải cơ chế bảo hiểm tài sản cho người sử dụng thiết bị.

Điều khoản bán hàng của Coinkite cũng tạo ra rào cản đáng kể. Công ty tuyên bố sản phẩm được cung cấp trên cơ sở “nguyên trạng”, không bảo đảm thiết bị hoặc phần mềm luôn không có lỗi hay luôn an toàn. Điều khoản còn nêu rằng không có bảo hiểm của chính phủ hoặc một cơ chế bảo hiểm mặc định nào bao phủ việc Bitcoin bị mất hay đánh cắp khi lưu trữ trên sản phẩm.

Đáng chú ý hơn, Coinkite quy định tổng trách nhiệm của công ty, trong phạm vi pháp luật cho phép, được giới hạn ở thiệt hại trực tiếp không vượt quá giá mua thiết bị. Điều đó có nghĩa một người mất số BTC trị giá hàng trăm nghìn USD có thể đối mặt với một hợp đồng chỉ thừa nhận mức trách nhiệm tương đương giá của chiếc ví phần cứng. Các tranh chấp cũng có thể phải giải quyết bằng trọng tài tại Toronto, trong khi điều khoản đặt thời hạn một năm để khởi kiện và yêu cầu người mua từ bỏ quyền tham gia kiện tập thể.

Tuy nhiên, điều khoản miễn trừ không phải lúc nào cũng là câu trả lời cuối cùng. Chính hợp đồng của Coinkite thừa nhận rằng một số khu vực pháp lý không cho phép áp dụng toàn bộ giới hạn hoặc loại trừ trách nhiệm. Khả năng yêu cầu bồi thường vì thế sẽ phụ thuộc vào luật bảo vệ người tiêu dùng, nơi thiết bị được mua, đơn vị trực tiếp bán sản phẩm và mức độ mà tòa án hoặc trọng tài công nhận các điều khoản hạn chế này.

Vấn đề cốt lõi của mỗi yêu cầu bồi thường sẽ là chứng minh quan hệ nhân quả.

Nạn nhân cần chứng minh thiết bị của mình thuộc mẫu bị ảnh hưởng, seed được tạo trong giai đoạn chạy firmware có lỗi và số Bitcoin bị đánh cắp thực sự xuất phát từ seed yếu đó. Họ cũng phải chứng minh quyền sở hữu đối với địa chỉ bị rút tiền, đồng thời loại trừ các nguyên nhân khác như seed phrase bị lộ, thiết bị bị can thiệp vật lý, phần mềm bên thứ ba hoặc lỗi bảo quản của người dùng.

Điều này khó hơn so với việc chứng minh một chiếc ví phần cứng ngừng hoạt động. Blockchain chỉ cho thấy Bitcoin đã được chuyển từ địa chỉ này sang địa chỉ khác; nó không tự giải thích khóa riêng bị lấy bằng phương pháp nào. Việc nhiều ví có đặc điểm tạo khóa tương tự bị quét theo cùng một mô hình là bằng chứng kỹ thuật quan trọng, nhưng từng người dùng vẫn có thể phải cung cấp firmware, thời điểm khởi tạo ví, địa chỉ liên quan và lịch sử sử dụng thiết bị.

Nếu trách nhiệm của nhà sản xuất được xác lập, vẫn còn câu hỏi về cách tính thiệt hại. Giá Bitcoin biến động liên tục, nên mức bồi thường có thể được tranh luận dựa trên giá tại thời điểm bị đánh cắp, giá tại thời điểm yêu cầu được xử lý hoặc số lượng BTC nguyên trạng. Khoảng cách giữa các cách tính này có thể rất lớn.

Ngoài con đường pháp lý, Coinkite có thể chủ động lập quỹ hỗ trợ, đề nghị dàn xếp hoặc bồi thường một phần nhằm bảo vệ uy tín thương hiệu. Tuy nhiên, đây là quyết định tự nguyện nếu chưa có phán quyết hoặc nghĩa vụ pháp lý bắt buộc. Việc đổi thiết bị, hoàn tiền mua ví hay tặng phần cứng mới cũng không tương đương với việc hoàn trả số Bitcoin đã mất.

Bảo hiểm cá nhân chỉ có ý nghĩa nếu hợp đồng cụ thể bao phủ lỗi phần mềm hoặc lỗi sản phẩm của ví phần cứng. Nhiều gói bảo hiểm tài sản số loại trừ thiệt hại do mất khóa, tự lưu ký sai cách hoặc lỗ hổng chưa được công bố. Vì vậy, việc nạn nhân sở hữu một hợp đồng bảo hiểm không bảo đảm yêu cầu sẽ được chấp nhận.

Vụ Coldcard có thể trở thành phép thử quan trọng đối với ngành ví phần cứng. Các nhà sản xuất thường quảng bá sản phẩm như một giải pháp loại bỏ rủi ro từ sàn giao dịch, nhưng người dùng gần như không có khả năng tự kiểm tra chất lượng entropy hoặc xác minh mọi thay đổi trong firmware.

Nếu doanh nghiệp có thể giới hạn trách nhiệm ở giá bán thiết bị ngay cả khi lỗi sản phẩm làm suy yếu khóa riêng, phần lớn rủi ro tài chính vẫn thuộc về người dùng. Khi đó, lời hứa “tự kiểm soát tài sản” không chỉ bao gồm quyền sở hữu private key mà còn bao gồm việc chấp nhận hậu quả nếu công nghệ dùng để tạo private key thất bại.