Coldcard vỡ đê: 89 triệu USD và nỗi sợ mới của những người nắm giữ chìa khóa

Có một tin nhắn tôi nhận được lúc 2 giờ 14 phút sáng tại Riyadh. Một người bạn, người đã nhiều năm tự hào khoe rằng anh ấy chưa từng tin tưởng bất kỳ sàn giao dịch nào, gửi cho tôi một ảnh chụp màn hình. Đó là một giao dịch rút Bitcoin mà anh ấy không hề thực hiện. “Từ Coldcard của anh à?” – tôi hỏi. Anh ấy im lặng. Sáng hôm sau, tôi thấy một dòng chảy lạ: những người dùng ví cứng khét tiếng nhất đang chuyển tiền vào các sàn giao dịch tập trung. Không phải vì họ muốn bán. Họ chỉ muốn chạy trốn. Vào thời điểm tôi viết những dòng này, toàn bộ cộng đồng tiền mã hóa chỉ có ba mẩu thông tin vụn vặt: Coldcard tồn tại một lỗ hổng bảo mật, khoảng 89 triệu USD đã bị đánh cắp, và đây được gọi là cuộc di cư on-chain lớn nhất kể từ khi FTX sụp đổ. Không có địa chỉ ví, không có mã khai thác, không có xác nhận chính thức từ Coinkite. Chỉ có một con số và một sự hoảng loạn. Tôi đã ở trong ngành này đủ lâu để biết rằng sự hoảng loạn thường đi trước sự thật, và đôi khi chính nó tạo ra sự thật. Để hiểu vì sao một tin đồn lại có sức mạnh như vậy, bạn cần hiểu Coldcard không chỉ là một sản phẩm, mà là một lời tuyên ngôn. Được phát triển bởi Coinkite, một công ty có trụ sở tại Canada, Coldcard ra mắt lần đầu vào năm 2017, đúng thời điểm cơn sốt ICO bùng nổ. Trong khi Ledger và Trezor tập trung vào trải nghiệm người dùng, Coldcard đi theo hướng ngược lại: tối giản, khó sử dụng, gần như thô sơ. Màn hình chỉ có vài dòng chữ, các nút bấm cứng, không hỗ trợ Bluetooth và không có USB trong chế độ ký hoàn toàn ngoại tuyến. Bạn muốn ký một giao dịch? Hãy dùng thẻ nhớ SD, chuyển dữ liệu qua lại, và thực hiện một nghi lễ mà nhiều người gọi là “điện thoại bàn của thế giới tiền mã hóa”. Sự khắc khổ đó chính là điểm bán hàng. Với những người theo chủ nghĩa tối đa Bitcoin, Coldcard là biểu tượng của sự thuần khiết. Nó không có cám dỗ kết nối internet, không có ứng dụng đi kèm để bạn vô tình ký một hợp đồng độc hại. Nó chỉ làm một việc: giữ chìa khóa của bạn an toàn. Người mua Coldcard thường là những người đã trải qua mất mát, hoặc đã chứng kiến bạn bè mất tiền trong các sàn giao dịch. Họ tin rằng chỉ có tự quản lý mới là con đường duy nhất. Và họ sẵn sàng trả hơn 150 đô la cho một miếng nhựa đen nhỏ, không phải vì nó đẹp, mà vì nó đúng. Có một điều tôi nhận ra khi ngồi giữa những tán cây già: sự an toàn tuyệt đối chỉ tồn tại trong những câu chuyện chúng ta kể cho chính mình. Coldcard là một câu chuyện đẹp. Nhưng hôm nay, câu chuyện đó bắt đầu nứt. Tôi muốn dành thời gian phân tích các vectơ tấn công có thể xảy ra, vì sự khác biệt giữa chúng quyết định mức độ nghiêm trọng. Điều đầu tiên tôi nghĩ đến là tấn công chuỗi cung ứng. Coinkite sản xuất Coldcard tại các nhà máy ở châu Á, sau đó vận chuyển đến các nhà phân phối toàn cầu. Nếu một kẻ tấn công có thể chặn một lô hàng, mở hộp, cài phần sụn độc hại rồi niêm phong lại, thì những chiếc ví đó sẽ ngoan ngoãn hoạt động bình thường trong nhiều tháng, cho đến khi chúng bắt đầu gửi khóa riêng về máy chủ của kẻ tấn công. Loại tấn công này khó phát hiện, đặc biệt với người dùng không kiểm tra niêm phong hoặc xác minh chữ ký phần sụn sau khi nhận hàng. Điều thứ hai, và có thể tồi tệ hơn, là rò rỉ khóa ký phần sụn. Mọi phần mềm của Coldcard đều được ký bằng một khóa riêng mà Coinkite nắm giữ. Nếu khóa đó bị lộ, kẻ tấn công có thể phát hành một bản cập nhật phần sụn “chính thức” chứa mã độc. Người dùng sẽ tải xuống từ trang web chính thức, cài lên thiết bị, và nghĩ rằng họ đang nhận được một bản vá bảo mật – trong khi thực tế họ đang nộp đời mình cho kẻ tấn công. Đây là lý do vì sao các dự án mã nguồn mở lại quan trọng: nếu cộng đồng không thể kiểm tra, thì một khóa bị lộ có thể tồn tại trong nhiều năm. Điều thứ ba là một lỗ hổng trong bộ tạo số ngẫu nhiên. Đây là thứ khiến các nhà mật mã học mất ngủ. Nếu bộ tạo số ngẫu nhiên bị lỗi, nó có thể tạo ra các khóa riêng có cấu trúc. Kẻ tấn công có thể tái tạo chúng bằng cách sử dụng các giả định về thời gian, entropy hoặc các yếu tố môi trường. Trong lịch sử, một số ví tốn kém đã bị tấn công chính xác vì lỗi này, khiến các nhà nghiên cứu phát hiện ra rằng họ có thể tạo ra các khóa giống hệt nhau chỉ bằng cách nhân giống cùng một hạt giống. Nếu Coldcard bị ảnh hưởng bởi một lỗi như vậy, biên độ thảm họa không chỉ là 89 triệu USD, mà có thể là toàn bộ các khóa được tạo ra trong một khoảng thời gian. Điều thứ tư là tấn công kênh phụ (side-channel). Không giống như ba kịch bản trên, kẻ tấn công cần tiếp cận vật lý với thiết bị của bạn. Bằng cách đo tiêu thụ điện năng, bức xạ điện từ hoặc thời gian phản hồi, chúng có thể dần suy ra các bit của khóa riêng. Nghe có vẻ phức tạp, nhưng các cuộc tấn công như vậy đã được chứng minh là có thể thực hiện với chi phí thấp. Với một thiết bị như Coldcard, vốn được thiết kế để hoạt động trong môi trường khắc nghiệt, điều này càng đáng lo ngại. Tôi không thể khẳng định kịch bản nào là chính xác. Nhưng tôi có thể nói rằng tất cả chúng đều có chung một đặc điểm: chúng tấn công vào điểm yếu nằm ngoài nhận thức của người dùng. Bạn có thể kiểm tra ba lần địa chỉ người nhận, nhưng bạn không thể kiểm tra xem con chip bên trong có đang hát bài hát ru kẻ trộm hay không. Nhưng câu chuyện không dừng lại ở kỹ thuật. Hãy nói về con người. Khi tôi còn làm biên tập viên cấp trung vào năm 2017, tôi đã dành hai tháng theo dõi 50 nhóm Telegram khác nhau. Tôi ghi chép cách các thành viên nói chuyện, cách họ lặp lại các khẩu hiệu, cách họ phớt lờ những bằng chứng kỹ thuật. Tôi phát hiện ra rằng các cộng đồng bị thao túng có một điểm chung: họ không bao giờ đặt câu hỏi, họ chỉ tìm kiếm sự xác nhận. Và khi một sự kiện gây sốc xảy ra, họ không dừng lại để phân tích; họ di chuyển như một đàn chim, không có người dẫn đầu, chỉ có nỗi sợ dẫn đường. Điều tương tự đang xảy ra với vụ Coldcard. Hãy nhìn cách dòng người di cư on-chain: họ không chạy trốn khỏi nguy hiểm, họ chạy trốn khỏi nỗi sợ bị bỏ lại một mình. Người dùng ví cứng vốn là những người ca ngợi sự tự lập. Nhưng trong một cuộc khủng hoảng niềm tin, họ bỗng trở thành những sinh vật xã hội nhất. Họ hỏi bạn bè xem nên chuyển tiền đi đâu, họ theo dõi các nhà bảo mật có ảnh hưởng để tìm kiếm dấu hiệu, họ thậm chí tìm đến những sàn giao dịch mà họ từng thề sẽ không bao giờ sử dụng. Sự mỉa mai nằm ở chỗ: vụ tấn công, nếu có thật, chỉ lấy đi 89 triệu USD từ một nhóm người dùng cụ thể. Nhưng cuộc di cư có thể khiến hàng tỷ USD rời khỏi hệ sinh thái tự quản lý, chỉ vì một nỗi sợ mơ hồ. Khi FTX sụp đổ, câu chuyện rất rõ ràng: một kẻ lừa đảo, một sàn giao dịch, một sự phản bội. Người dùng có thể chỉ tay vào Sam Bankman-Fried. Nhưng trong vụ Coldcard, nếu tin đồn là sự thật, thì kẻ tấn công vô hình. Không có CEO để ghét, không có văn phòng để phong tỏa. Nỗi sợ trở nên thiếu vắng một khuôn mặt, và điều đó làm nó đáng sợ hơn. Người dùng tự quản lý không thể đổ lỗi cho “sàn giao dịch gian lận”; họ phải đối mặt với sự lựa chọn của chính mình. Đây có lẽ là lý do sâu xa nhất khiến cuộc di cư lần này được gọi là “lớn nhất sau FTX”: nó không chỉ là một cuộc chuyển tiền, nó là một cuộc sám hối. Trong một ngành mà bằng chứng mật mã là thứ duy nhất đáng tin cậy, việc thiếu bằng chứng trong câu chuyện Coldcard là một điều kỳ lạ không thể bỏ qua. 89 triệu USD là một con số không quá lớn trong bối cảnh các vụ hack DeFi, nhưng nó đủ lớn để để lại hàng trăm giao dịch trong mempool. Người ta có thể dễ dàng truy vết xem tiền được rút từ địa chỉ nào, chúng được gửi đi đâu, và liệu chúng có được bán trên các sàn giao dịch hay không. Nhưng không có dữ liệu đó được công bố. Phải chăng các nhà điều tra đang giữ kín vì lý do an ninh? Hoặc phải chăng con số 89 triệu USD đến từ một mô hình ước tính hơn là một giao dịch cụ thể? Nếu vậy, nó làm thay đổi mọi thứ. Tôi không nói rằng vụ việc là giả. Tôi đang nói rằng một cộng đồng từng chế giễu những người tin vào “sự thật từ các phương tiện truyền thông chính thống” lại đang vội vã rút tiền chỉ dựa trên một báo cáo không trích dẫn. Chúng ta đã trở thành nạn nhân của chính trò chơi mà chúng ta từng tố cáo: phản ứng theo cảm xúc, không theo bằng chứng. Có một sự mỉa mai cay đắng trong việc này, và nó khiến tôi nhớ đến câu tôi đã viết trong nhật ký thị trường của mình: “Niềm tin là thứ duy nhất trên blockchain không thể được xác minh bằng chữ ký.” Vậy điều gì sẽ xảy ra sau tất cả? Nhiều người sẽ nói rằng đây là bằng chứng cho thấy tự quản lý là quá rủi ro, rằng chúng ta nên quay trở lại với các bên giám sát. Nhưng tôi nghĩ điều này hoàn toàn sai lầm. Sự tập trung hóa có những rủi ro riêng, và những rủi ro đó còn lớn hơn nhiều. Nếu một ví cứng bị hack, bạn mất một khoản tiền. Nếu một sàn giao dịch bị hack, bạn cũng mất tiền. Nhưng nếu toàn bộ ngành công nghiệp kết luận rằng “tự quản lý là không thể”, chúng ta sẽ trao lại quyền kiểm soát tiền tệ cho một nhóm nhỏ các công ty công nghệ – và điều đó trái ngược với lý do tồn tại của Bitcoin. Điều thực sự phản trực giác, đối với tôi, là vụ Coldcard có thể là một món quà. Nó cho chúng ta cơ hội để từ bỏ ảo tưởng về sự hoàn hảo và xây dựng một hệ thống an toàn thực sự dựa trên sự dư thừa. Đa chữ ký, nhiều nhà sản xuất, kiểm toán độc lập, và quan trọng nhất: chấp nhận rằng không có một công cụ nào đủ tốt. Trước Coldcard, các cộng đồng chuyên sâu về bảo mật đã sử dụng nhiều ví khác nhau để phân tán rủi ro. Vụ việc này có thể khiến thói quen đó trở thành tiêu chuẩn phổ biến. Nỗi sợ hãi, nếu được quản lý đúng cách, có thể trở thành nền tảng cho một kiểu tự chủ khiêm nhường hơn và bền vững hơn. Tôi cũng muốn nhắc đến một thứ mà nhiều người bỏ qua: các cuộc di cư tạo ra dữ liệu. Mỗi giao dịch chuyển tiền khỏi Coldcard là một điểm dữ liệu cho các nhà phân tích. Khi mọi người di chuyển tiền của họ, họ để lại dấu chân – và những dấu chân đó có thể tiết lộ các mô hình hành vi, các mối liên hệ nguy hiểm, hoặc thậm chí là danh tính của kẻ tấn công. Trong vài tuần tới, các nhà phân tích on-chain sẽ có một mỏ vàng dữ liệu để nghiên cứu. Đó là một trong những điều khiến tôi vẫn tin tưởng vào blockchain: không giống như thế giới tài chính truyền thống, mọi vết sẹo đều có thể được soi chiếu. Tôi vẫn nhớ cái đêm tôi ngồi viết báo cáo về AI agent và quyền sở hữu token, trước khi thị trường bắt đầu quan tâm đến khái niệm đó. Tôi viết rằng “AI agent sẽ trở thành chủ sở hữu token đầu tiên không phải con người”. Niềm tin đó khiến tôi tin rằng tương lai của tài sản số không nằm trong bàn tay của bất kỳ công ty hay thiết bị nào, mà nằm trong các giao thức có thể tự kiểm tra và tự sửa chữa. Coldcard có thể là một ví cứng, nhưng vụ việc này không chỉ là về một chiếc ví. Nó là về việc chúng ta sẵn sàng đối mặt với sự không chắc chắn như thế nào. Khi một chiếc két sắt bị mở, người ta không vứt bỏ chiếc két, họ nghi ngờ những gì bên trong. Và đôi khi, sự nghi ngờ đó là khởi đầu của một loại an toàn mới – một loại an toàn không dựa trên niềm tin mù quáng, mà dựa trên sự minh bạch và khả năng phục hồi. Liệu chúng ta có đủ can đảm để nhìn vào những gì thực sự bên trong chiếc két của chính mình không? Tôi đang chờ câu trả lời từ chính cộng đồng.