Lỗi COLDCARD khiến video cảnh báo 'gieo xúc xắc một lần' được chú ý lại

Tranh cãi về lỗi tạo seed ngẫu nhiên trên ví phần cứng COLDCARD đang khiến một video cảnh báo từ năm 2023, trong đó nêu rủi ro khi thiết bị cho phép tạo ví chỉ sau một lần gieo xúc xắc, được chú ý trở lại.

Odaily ngày 2 cho biết sau khi lỗi RNG(bộ tạo số ngẫu nhiên) của COLDCARD được công bố, video do tài khoản giáo dục ví phần cứng @YTCryptoGuide đăng năm 2023 lại gây chú ý. Trong video, @YTCryptoGuide chỉ ra rằng COLDCARD Mk4 cho phép tạo ví dù người dùng chỉ gieo xúc xắc một lần. Nếu số lần gieo không đủ, mức ngẫu nhiên(entropy) cấu thành seed sẽ thấp, khiến người dùng có thể vô tình tạo ra ví dễ bị tấn công.

@YTCryptoGuide cũng cho rằng giao diện của COLDCARD có thể khiến người dùng tin rằng giá trị xúc xắc họ nhập sẽ được trộn với RNG phần cứng của chính thiết bị. Tuy nhiên, theo tài khoản này, trong một số luồng thiết lập, điều đó không thực sự diễn ra. Cảnh báo nhắm tới nhóm người dùng có kinh nghiệm, vốn chọn phương pháp xúc xắc vì không muốn hoàn toàn tin vào RNG phần cứng, nhưng chính quy trình này cũng có thể tồn tại lỗ hổng.

COLDCARD là ví phần cứng chuyên dùng cho Bitcoin(BTC) do Coinkite sản xuất. TokenPost từng đưa tin lỗi nghiêm trọng trong quá trình tạo entropy trên các thiết bị Mk2 và Mk3 đã được công bố, đồng thời làm dấy lên khả năng liên quan đến vụ đánh cắp Bitcoin trị giá 38 triệu USD(khoảng 53 tỷ won). Coinkite đã khuyến nghị người dùng từng tạo seed bằng firmware bị ảnh hưởng nâng cấp lên firmware đã vá lỗi, tạo seed mới và chuyển tài sản sang ví mới.

Cảnh báo trong video từ 3 năm trước cũng trùng với khuyến nghị gần đây của một số chuyên gia trong ngành. Alex Thorn, trưởng bộ phận nghiên cứu của Galaxy, cho biết các ví đơn chữ ký dùng firmware COLDCARD phát hành sau ngày 17 tháng 3 năm 2021, nhưng không tăng cường bảo mật seed bằng số ngẫu nhiên từ xúc xắc và cũng không thiết lập passphrase, nên được chuyển ngay sang ví khác. Theo ông, nếu không sử dụng seed có entropy cao từ nguồn khác hoặc không thực hiện đủ quá trình ngẫu nhiên hóa bằng xúc xắc, người dùng nên rời hoàn toàn khỏi hệ sinh thái COLDCARD.

Hiện vẫn chưa thể khẳng định lỗi trong phương pháp xúc xắc được nêu trong video năm 2023 và lỗi firmware mới được biết đến gần đây có phải cùng một vấn đề hay không. Lập trường chính thức của Coinkite, nguyên nhân cụ thể của lỗi lần này, cũng như phạm vi mẫu máy và firmware bị ảnh hưởng vẫn cần được xác minh thêm.