Cộng đồng những người nắm giữ Bitcoin ở Hàn Quốc hầu như không chịu tổn thất trực tiếp nào trong cuộc tấn công vào ví phần cứng Coldcard — mặc dù thiết bị này đã được sử dụng rộng rãi trong số những người dùng địa phương có kinh nghiệm nhất. Lỗi trong quá trình tạo số ngẫu nhiên ở một số mẫu Coldcard cụ thể đã cho phép kẻ xấu tiếp cận các cụm seed (seed phrase) dễ bị tổn thương và rút ít nhất 15 Bitcoin từ những kẻ tấn công. Tổng thiệt hại vượt quá 1,596 $BTC — khoảng 130 triệu đô la — và hàng nghìn địa chỉ đã bị ảnh hưởng.
Nhà sản xuất đã phản ứng với sự cố này bằng cách quyết định tiêu hủy các lô hàng còn lại của các thiết bị dễ bị tổn thương và kêu gọi người dùng tạo các cụm seed mới. Theo dữ liệu từ các nhà phân tích độc lập, số lượng địa chỉ bị ảnh hưởng có thể lên tới khoảng 7,300, và nếu tính cả các trường hợp nghi ngờ nhưng chưa được xác nhận, tổng thiệt hại có thể lên tới 2,000 $BTC.
Trong bối cảnh đó, Hàn Quốc nổi bật một cách rõ rệt: các báo cáo địa phương ghi nhận thiệt hại tối thiểu, mặc dù những người nắm giữ có kinh nghiệm ở đây là một trong những người đầu tiên sử dụng Coldcard nhờ chức năng lưu trữ "lạnh" (cold storage) không cần kết nối mạng. Nhà phân tích Koji Higashi giải thích sự khác biệt này không phải do may mắn về mặt kỹ thuật, mà là do văn hóa tiếp cận độc lập và thận trọng đối với việc lưu trữ tài sản đã hình thành qua nhiều năm trong cộng đồng địa phương.
Việc tạo thủ công thay vì tin tưởng vào phần mềm hệ thống
Các nhà lãnh đạo cộng đồng Hàn Quốc từ lâu đã thúc đẩy ý tưởng tạo cụm seed và entropy một cách độc lập với thiết bị, không dựa vào bộ tạo số ngẫu nhiên tích hợp của bất kỳ nhà sản xuất nào. Các phương pháp được khuyến nghị có chủ đích là các phương pháp tương tự (analog):
-
ném xúc xắc hoặc tung đồng xu để có được tính ngẫu nhiên thực sự;
-
tạo cụm từ gợi nhớ BIP39 hoàn toàn ngoại tuyến, không sử dụng bất kỳ thiết bị nào được kết nối;
-
đối với cụm 12 từ — 256 lần tung đồng xu, với việc chuyển đổi mã nhị phân sang thập phân bằng máy tính bình thường, không phải điện thoại thông minh.
Các hướng dẫn địa phương mô tả chi tiết quy trình này từng bước một. Sau đó — kiểm tra các từ thu được với danh sách BIP39 đã in và sử dụng các công cụ ngoại tuyến như SeedSigner chỉ để kiểm tra tổng kiểm tra (checksum), không kết nối mạng ở bất kỳ giai đoạn nào.
Tại sao cộng đồng nói tiếng Anh bị ảnh hưởng nặng nề hơn
Những người ủng hộ việc tự lưu trữ tài sản trong cộng đồng nói tiếng Anh, mặc dù có trình độ kỹ thuật cao, trung bình lại chịu tổn thất lớn hơn đáng kể. Higashi liên hệ điều này với đặc điểm của các luồng thông tin trong cộng đồng:
-
sự phụ thuộc quá mức vào những người có ảnh hưởng, một số trong số họ có thỏa thuận tài trợ hoặc mối quan hệ chặt chẽ với nhà sản xuất Coldcard — công ty Coinkite — điều này có thể làm gia tăng sự tin tưởng không có cơ sở vào các tuyên bố về tính bảo mật của thiết bị;
-
hiệu ứng vang dội: sự đoàn kết ý thức hệ chung trong cộng đồng củng cố niềm tin vào sản phẩm, trong khi lỗ hổng của nó không ai kiểm tra một cách độc lập;
-
các nhà lãnh đạo Hàn Quốc hành động khác — không có mối quan hệ thương mại hay cá nhân với nhà sản xuất, họ đưa ra đánh giá rủi ro trung lập hơn, và những người theo dõi thực sự làm theo những lời khuyên này.
Nguyên tắc "Đừng tin, hãy kiểm chứng" (Don't trust, verify) của Bitcoin trong trường hợp này không chỉ áp dụng cho mã nguồn, mà còn cho các nguồn thông tin. Kết luận thực tế từ câu chuyện này rất đơn giản: tạo cụm seed một cách độc lập bằng các phương pháp vật lý ở nơi có thể, và theo mặc định không tin tưởng bộ tạo số ngẫu nhiên tích hợp của bất kỳ thiết bị nào.
Ý kiến từ AI
Từ góc độ phân tích dữ liệu kỹ thuật, không phải tất cả các phương pháp tạo cụm seed thủ công đều cho ra cùng một lượng entropy trên một đơn vị nỗ lực. Mỗi lần ném xúc xắc mang lại khoảng 2.585 bit thông tin, và sơ đồ tiêu chuẩn "chẵn/lẻ" loại bỏ phần lớn lượng thông tin này, giảm mỗi lần ném xuống còn một bit, trong khi xử lý thông qua hàm băm có khả năng bảo toàn gần như toàn bộ tiềm năng của lần ném. Thú vị là, tài liệu của Coldcard từ năm 2020 có chứa hướng dẫn, theo đó khuyến nghị 99 lần ném xúc xắc để đạt gần đến mức dự trữ an toàn 256 bit.
Một khó khăn riêng biệt là tính ngẫu nhiên vật lý của việc ném không đảm bảo tính độc lập hoàn toàn của các kết quả khi người thực hiện mệt mỏi hoặc cẩu thả, trong khi các bộ tạo phần cứng dựa trên quá trình nhiễu giải quyết vấn đề này theo cách khác, nhưng lại đòi hỏi sự tin tưởng vào chính con chip. Thỏa hiệp nào — thủ công hay phần cứng — là lựa chọn ưu tiên hơn cho người dùng đại chúng vẫn là một câu hỏi mở.
end-content
