Coinkite cảnh báo lỗ hổng trên ví cứng COLDCARD Mk3 có thể làm lộ seed phrase, khuyến nghị người dùng chuyển tài sản ra khỏi ví sau vụ thất thoát 594 BTC.
Ví Coinkite kêu gọi người dùng chuyển tài sản vì lỗ hổng nghiêm trọng
Vào ngày 31/07, nhà sản xuất ví Bitcoin là Coinkite đã phát đi cảnh báo bảo mật khẩn cấp, kêu gọi người dùng đạng sử dụng mẫu ví cứng COLDCARD Mk3 nhanh chóng chuyển tài sản sang ví mới trên thiết bị không bị ảnh hưởng sau khi phát hiện lỗ hổng nghiêm trọng có thể ảnh hưởng đến quá trình tạo seed phrase.
COLDCARD Mk3 Security Advisory
— COLDCARD (@COLDCARDwallet) July 30, 2026
If you generated a seed on a Mk3 after firmware 4.0.1, your funds may be at risk.
Mk4, Q and Mk5 are not affected based on our early analysis.
Read the advisory and migrate carefully:https://t.co/3vgPHOjMS7
Cụ thể, những người tạo seed phrase trên ví COLDCARD Mk3 sử dụng firmware 4.0.1 (phát hành vào tháng 03/2021) hoặc các phiên bản Mk3 sau đó đến 5.0.3 đều có thể đối mặt với rủi ro mất tài sản. Dựa trên đánh giá ban đầu, công ty cho biết COLDCARD Mk4, Q và Mk5 hiện vẫn chưa bị ảnh hưởng, đồng thời khẳng định cuộc điều tra vẫn đang diễn ra và báo cáo kỹ thuật sẽ được công bố trong thời gian sắp tới.
Seed phrase (cụm từ khôi phục hoặc cụm từ hạt giống) là một chuỗi gồm 12 đến 24 từ tiếng Anh ngẫu nhiên được tạo ra thông qua tiêu chuẩn BIP39 khi người dùng tạo một ví blockchain mới. Seed Phrase được xem như chìa khoá cho phép người dùng khôi phục ví blockchain và truy cập vào các coin/token, NFT đang lưu trữ trên ví.
Cảnh báo của Coinkite được đưa ra chỉ ít giờ sau khi cộng đồng phát hiện một vụ rút tiền quy mô lớn. Khoảng 594,48 BTC đã bị chuyển khỏi gần 500 địa chỉ ví single-signature thông qua một loạt giao dịch bất thường diễn ra liên tiếp từ block 960188 đến 960191. Với giá Bitcoin hiện tại, số tài sản bị đánh cắp trị giá khoảng 38,3 triệu USD.
More than $38M has been stolen due to a Coldcard wallet vulnerability.⚠️
— Lookonchain (@lookonchain) July 31, 2026
Funds from around 500 wallets were transferred to wallet bc1qnk, totaling 594.48 $BTC ($38.2M).
Stay safe.https://t.co/gUmUfQLvdbhttps://t.co/Bg2XS39mWh pic.twitter.com/XTmDa6lnev
Đáng chú ý, một người dùng trên Reddit cho biết ví của mình bị rút sạch sau khi sử dụng seed được tạo trên COLDCARD Mk3 mua từ năm 2021 và sau đó khôi phục sang COLDCARD Mk4 vào đầu năm 2026.
Trong phân tích ban đầu, CEO kiêm đồng sáng lập AnchorWatch Rob Hamilton cho biết khoảng 1.324 UTXO đã bị rút thông qua gần 500 giao dịch, trước khi 562 BTC được gom về cùng một địa chỉ.
Ông nhận định nguyên nhân có thể nằm ở quá trình tạo seed phrase không đủ ngẫu nhiên (entropy thấp), làm giảm đáng kể số lượng private key được tạo ra, khiến kẻ tấn công có thể dò ra mật khẩu chính xác hơn so với bình thường.
Nhận định này cũng được CEO Wizardsardine, Kevin Loaec, đồng tình về điểm yếu nhiều khả năng nằm ở bộ tạo số ngẫu nhiên của thiết bị (random-number generator), vốn có thể bị ảnh hưởng bởi thư viện phần mềm, một lô thiết bị hoặc một phiên bản firmware cụ thể.
Khi biết được điểm yếu này, hacker có thể thu hẹp phạm vi dò tìm và chỉ tập trung vào nhóm seed phrase được tạo ra từ lỗi, thay vì phải thử toàn bộ các khả năng.
Dù nguyên nhân vụ việc vẫn đang được điều tra, sự cố lần này tiếp tục làm dấy lên tranh luận về mức độ an toàn của tài sản khi lưu trữ trong ví cứng. Như Coin68 đưa tin, "thám tử on-chain" ZachXBT gần đây cho biết ông không khuyến nghị sử dụng bất kỳ mẫu ví cứng nào để lưu trữ tài sản hay ký các giao dịch quan trọng. Thay vào đó, ông cho rằng một chiếc iPhone được tách biệt hoàn toàn, chỉ dùng để quản lý tài sản số, còn đáng tin cậy hơn.
Thông tin trên hầu như không tác động đáng kể đến giá Bitcoin. Đồng coin vua hiện giao dịch quanh mức 63.900 USD, giảm nhẹ 0,1% trong 24 giờ qua.
Biến động giá Bitcoin trong 24 giờ qua, ảnh chụp màn hình trên CoinGecko lúc 03:00 PM ngày 31/07/2026
Coin68 tổng hợp
