Nhóm Bitcoin Red Team phát hiện 4.962 lỗ hổng sau vụ tấn công vào Coldcard

Phản ứng trước vụ khai thác lỗ hổng Coldcard

Lỗ hổng trên ví phần cứng Coldcard đã khiến người nắm giữ Bitcoin (BTC) lâu năm bị mất tiền sau một lỗi phần mềm cơ sở xuất hiện từ tháng 3 năm 2021. Tổng thiệt hại đã vượt quá 116 triệu USD, với hơn 1.800 BTC bị rút khỏi hơn 5.200 địa chỉ.

Sự việc này đã thúc đẩy một nỗ lực tình nguyện mang tên Bitcoin Red Team, do nhà phát triển BTC Calle dẫn đầu cùng với Rob Hamilton, CEO của công ty bảo hiểm tự quản lý Anchorwatch. Họ đã tiến hành một cuộc kiểm toán khẩn cấp đối với hệ sinh thái mã nguồn mở Bitcoin rộng lớn hơn để kiểm tra xem liệu các ví và thư viện mã nguồn được sử dụng rộng rãi khác có chung những điểm yếu tương tự như lỗ hổng đã gây thiệt hại cho người dùng Coldcard hay không.

16 nhà nghiên cứu bảo mật đã dành 27,5 giờ để rà soát kỹ lưỡng 390 kho lưu trữ mã nguồn mở của Bitcoin, kết hợp phân tích hỗ trợ bởi trí tuệ nhân tạo (AI) với việc kiểm tra thủ công. Nhóm đã ghi nhận tổng cộng 4.962 phát hiện bảo mật, trong đó có 85 trường hợp được phân loại là nghiêm trọng và 635 trường hợp được đánh giá là mức độ cao (tương đương trung bình 2,31 phát hiện mức độ cao hoặc nghiêm trọng mỗi nhà nghiên cứu, mỗi giờ).

Kinh phí cho đợt kiểm tra này đến từ Opensats, một tổ chức phi lợi nhuận hỗ trợ phát triển Bitcoin mã nguồn mở, đã đóng góp gần 40.000 USD để hỗ trợ công việc của các nhà nghiên cứu. Calle mô tả tình trạng bảo mật của hệ sinh thái là “cực kỳ tồi tệ”.

Các nhà phân tích theo dõi cuộc kiểm toán theo thời gian thực lưu ý rằng cho đến nay chỉ có khoảng 1/5 số phát hiện được tái hiện độc lập, cho thấy nhiều vấn đề được báo cáo vẫn cần được xác nhận trước khi các nhà phát triển có thể chắc chắn về mức độ nghiêm trọng của chúng trong thực tế.

Các lỗ hổng tập trung ở đâu

Các công cụ bảo mật và coinjoin (phần mềm được thiết kế để che giấu dấu vết của các giao dịch bitcoin trên chuỗi) chiếm tỷ lệ cao nhất trong số các vấn đề nghiêm trọng, chiếm 24% số phát hiện quan trọng mặc dù chỉ chiếm một phần nhỏ trong tổng số dự án được xem xét. Ngược lại, các thư viện mã hóa tạo ra số lượng phát hiện thô lớn nhất với 1.101 trường hợp, nhưng chỉ có 10% trong số đó được đánh giá là có mức độ nghiêm trọng cao, cho thấy mã nguồn nói chung đã trưởng thành hơn dù vẫn thu hút sự giám sát chặt chẽ nhất từ các nhà nghiên cứu.

Hầu hết trong số 390 dự án được đánh giá đều có rất ít hoặc không có vấn đề nghiêm trọng; nguy cơ thực sự dường như tập trung vào một nhóm nhỏ các công cụ xử lý việc tạo khóa riêng, ký tên và giao dịch bảo vệ quyền riêng tư – chính là loại phần mềm nằm ở gốc rễ của sự cố Coldcard ban đầu, sự kiện đã khởi xướng toàn bộ nỗ lực này.

Thời điểm phát hiện ra vấn đề này rất quan trọng, vì văn hóa tự quản lý bitcoin đã dành hai tuần qua để tiếp nhận quy mô tổn thất từ vụ Coldcard, trong đó riêng người dùng Canada đã chiếm khoảng một phần tư số tiền bị đánh cắp.

Cần đánh giá tình hình trong tương lai

Nhóm Bitcoin Red Team đã lưu ý rằng cuộc kiểm toán này là giai đoạn đầu tiên của một nỗ lực liên tục chứ không phải là một sự kiện đơn lẻ, với kế hoạch xử lý các phát hiện tồn đọng, xác nhận những lỗ hổng nào thực sự có thể bị khai thác, và phối hợp công bố có trách nhiệm với các dự án bị ảnh hưởng trước khi bất kỳ chi tiết nào được công khai.

Đối với một cộng đồng ưa chuộng tự quản lý tài sản vẫn đang dần nhận thức được quy mô tổn thất từ vụ Coldcard, cuộc kiểm toán này cũng là bằng chứng cho thấy các nhà nghiên cứu mũ trắng hiện đang tiến triển với tốc độ gần bằng với các kẻ tấn công.