Hacker Coldcard tiếp tục chuyển 30 BTC đã đánh cắp sang ví mới

Kẻ tấn công im hơi lặng tiếng, rồi lại có động thái

Chỉ vài giờ trước, hacker đứng sau phần lớn vụ trộm, nắm giữ 2.055 BTC trị giá khoảng 130 triệu USD, đã xuất hiện trở lại để chuyển 30,185 BTC, trị giá khoảng 1,94 triệu USD, vào một ví mới được tạo. Các nhà điều tra chuỗi khối khác đã xác nhận giao dịch này chỉ trong vài phút, mô tả đây là hoạt động đầu tiên của hacker kể từ vụ trộm ban đầu.

So với tổng số Bitcoin mà hacker đang nắm giữ, động thái này là nhỏ, chỉ chiếm khoảng 1,5% số tiền bị đánh cắp, nhưng nó lại có ý nghĩa quan trọng vì đã phá vỡ chuỗi im lặng kéo dài, khiến các nhà điều tra và cộng đồng Bitcoin rộng lớn phải theo dõi một khối lượng Bitcoin bị đánh cắp vốn dĩ không hề bị động đến.

Bitcoin.com News trước đó đã đưa tin rằng vụ trộm, ảnh hưởng đến các thiết bị Coldcard Mk3 chạy phần mềm dễ bị tấn công, đã vượt quá 116 triệu USD với hơn 1.800 BTC bị rút khỏi hơn 5.200 địa chỉ khi các đợt rút tiền bổ sung được phát hiện trong những tuần sau khi vụ việc được tiết lộ lần đầu.

Ý nghĩa tiềm năng của giao dịch này

Các nhà phân tích on-chain thường coi động thái đầu tiên của hacker khi di chuyển số tiền bị đánh cắp là tín hiệu sớm của một nỗ lực rút tiền, bởi các kẻ tấn công thường phải chuyển coin qua một chuỗi ví, công cụ trộn (mixer) hoặc cầu nối chuỗi chéo trước khi cố gắng chuyển đổi chúng thành các tài sản khác hoặc tiền pháp định mà không ngay lập tức thu hút sự chú ý.

Tình hình của hacker Coldcard càng phức tạp do số tiền bị đánh cắp đã bị theo dõi rất chặt chẽ, đặc biệt khi trước đó hắn đã nhận được một đề nghị táo bạo từ một bên thứ ba đề xuất giúp rửa tiền trực tiếp trên chuỗi khối — một động thái công khai bất thường, nhất là khi các ví liên quan đã phải chịu sự giám sát gắt gao từ cộng đồng an ninh blockchain.

Mặt khác, nhà điều tra trên chuỗi ZachXBT cho biết ông không có kế hoạch tự mình theo dõi số tiền bị đánh cắp, mà để công việc đó cho các nhà nghiên cứu khác và một số tài khoản phân tích blockchain đã theo dõi chặt chẽ các ví này kể từ khi lỗ hổng bảo mật được phát hiện.

Nhắc lại quy mô của lỗ hổng

Lỗ hổng cơ bản xuất phát từ một lỗi phần mềm nhúng (firmware) trong các thiết bị Coldcard do nhà sản xuất Coinkite có trụ sở tại Toronto sản xuất, khiến một số thiết bị tạo ra các hạt giống (seeds) với mức độ ngẫu nhiên mật mã chỉ bằng một phần nhỏ so với dự kiến. Điều này khiến những người nắm giữ lâu dài đã tạo ví trên các phiên bản firmware bị ảnh hưởng phải đối mặt với các cuộc tấn công brute-force có khả năng tái tạo khóa riêng tư của họ.

Bitcoin.com News đã đưa tin rằng riêng người dùng Canada đã chiếm khoảng một phần tư tổng số thiệt hại có thể xác định được, một chi tiết phù hợp với trụ sở của Coinkite tại Toronto và cho thấy các thiết bị bị ảnh hưởng có thể đã lưu hành nhiều hơn trên thị trường đó.

Hoạt động trở lại từ một trong những đối tượng hưởng lợi lớn nhất từ lỗ hổng này có khả năng sẽ làm dấy lên sự chú ý trở lại đối với một câu chuyện vốn đã bắt đầu lắng xuống khi tốc độ rút tiền mới chậm lại. Đối với các nạn nhân vẫn đang hy vọng tìm được lối thoát, việc hacker di chuyển tiền chứng tỏ các đồng coin vẫn tồn tại và có thể theo dõi trên sổ cái công khai, nhưng điều này cũng làm tăng khả năng ít nhất một phần bitcoin bị đánh cắp sắp trở nên khó theo dõi hơn nhiều.

Trong vài ngày tới, các chuyên gia có thể sẽ theo dõi chặt chẽ ví đích để phát hiện bất kỳ động thái nào tiếp theo, vì các giao dịch chuyển tiền sau đó thường tiết lộ liệu hacker đang thử nghiệm một lộ trình rửa tiền, tập trung vốn trước một động thái lớn hơn, hay đang phản ứng với một số áp lực từ bên ngoài.