Lỗ hổng nghiêm trọng trên Coldcard: lỗi firmware biến entropy thành mối đe dọa đối với khóa riêng Bitcoin

Một lỗ hổng nghiêm trọng ảnh hưởng đến ví phần cứng Coldcard, do Coinkite Inc. phát triển, đã được công bố vào ngày 4 tháng 8 năm 2026. Một lỗi trong firmware, liên quan đến việc tạo entropy cho khóa riêng Bitcoin, khiến người dùng đối mặt với nguy cơ cao hơn về việc tài sản của họ bị xâm phạm. Lỗi này, được đặt biệt danh là entropy time bomb , biến một điểm yếu thuật toán thành mối đe dọa thực sự đối với các ví tự quản lý. Coinkite đã phát hành bản vá khẩn cấp, nhưng người dùng được khuyến nghị cập nhật thiết bị ngay lập tức. Điều đã xảy ra Lỗ hổng này ảnh hưởng cụ thể đến các mẫu Coldcard Mk4 và Coldcard Q chạy các phiên bản firmware trước 5.0.9. Lỗi nằm ở thuật toán tạo entropy, thuật toán này không tạo ra đủ mức ngẫu nhiên trong một số điều kiện nhất định. Điểm yếu này cho phép kẻ tấn công thu hẹp không gian tìm kiếm khóa riêng, từ đó tạo điều kiện cho các cuộc tấn công vét cạn hoặc các phương pháp mật mã nâng cao. Hiện chưa có trường hợp khai thác thực tế nào được xác nhận, nhưng Coinkite đánh giá lỗ hổng này là nghiêm trọng do khả năng gây mất tài sản. Các thiết bị Mk3 và các phiên bản cũ hơn không bị ảnh hưởng bởi lỗ hổng này. Coinkite đã phát hành bản vá vào ngày 4 tháng 8 năm 2026, có sẵn thông qua bản cập nhật firmware. Người dùng bị ảnh hưởng được khuyến khích mạnh mẽ áp dụng bản cập nhật này ngay lập tức để bảo vệ khóa riêng của họ. Vì sao điều này quan trọng Các ví phần cứng như Coldcard dựa vào các thành phần bảo mật để tạo và lưu trữ khóa riêng ngoại tuyến. Một lỗ hổng trong quy trình này đặt lợi thế bảo mật chính của chúng vào nghi vấn. Entropy, nguồn ngẫu nhiên để tạo các khóa này, phải không thể dự đoán được. Nếu nó bị xâm phạm, dù chỉ một phần, tài sản của người dùng sẽ trở nên dễ bị tổn thương. Sự cố này nhắc nhở về tầm quan trọng của các cuộc kiểm toán bảo mật độc lập và việc cập nhật thường xuyên đối với ví phần cứng. Về mặt ngành, lỗ hổng này có thể làm xói mòn niềm tin của người dùng vào các giải pháp lưu trữ lạnh, bất chấp danh tiếng về bảo mật của chúng. Các đối thủ cạnh tranh như Ledger hoặc Trezor có thể tăng cường quy trình kiểm thử hoặc công bố thêm các cuộc kiểm toán để trấn an khách hàng. Người dùng cũng có thể chuyển sang các giải pháp đa chữ ký (multi-signature) hoặc các dịch vụ lưu ký (custody) dành cho tổ chức để giảm thiểu rủi ro của mình. Về mặt pháp lý, không dự kiến có tác động trực tiếp nào, nhưng sự cố này có thể làm dấy lên các cuộc tranh luận về nhu cầu ban hành các tiêu chuẩn bảo mật nghiêm ngặt hơn đối với ví tự quản, đặc biệt trong khuôn khổ bảo vệ nhà đầu tư tiền mã hóa. Những điểm cần theo dõi Áp dụng bản vá : Tỷ lệ người dùng cập nhật firmware sẽ là chỉ số chính phản ánh khả năng phục hồi của mạng lưới Coldcard trước lỗ hổng này. Phản ứng của đối thủ : Ledger, Trezor hoặc các bên khác có thể công bố thông cáo trấn an hoặc các cuộc kiểm toán bổ sung để tạo sự khác biệt. Giám sát rủi ro : Những người dùng chưa cập nhật thiết bị vẫn đang gặp rủi ro. Nên tăng cường giám sát các địa chỉ liên kết với các thiết bị Coldcard chưa được cập nhật. Minh bạch về tác động thực tế : Chưa có thông tin nào về số lượng người dùng bị ảnh hưởng hoặc các khoản tổn thất tài sản có thể xảy ra. Chi tiết kỹ thuật đầy đủ về khai thác này chưa được công bố.