1432~1816 BTC: Vì sao số liệu thiệt hại vụ hack Coldcard không khớp nhau

Thiệt hại từ vụ hack Coldcard (Coldcard) được ghi nhận ở các mức khác nhau, từ 1432 Bitcoin(BTC) đến 1816 BTC, tùy theo tiêu chí điều tra. Việc chỉ công nhận tổn thất do nạn nhân tự báo cáo hay bao gồm cả dòng tiền được xác định qua mô hình giao dịch on-chain đã tạo ra sự chênh lệch giữa các con số ước tính.

Cointelegraph đưa tin ngày 11 (giờ địa phương) rằng CryptoQuant xác nhận mức thiệt hại đã được kiểm chứng là 1432 BTC, trong khi Galaxy Research và TRM Labs đưa ra quy mô thiệt hại lớn hơn. Khác với các vụ xâm nhập sàn giao dịch tập trung, sự cố ví cá nhân không có danh sách đầy đủ tài khoản bị ảnh hưởng nên cần kết hợp báo cáo của nạn nhân với phân tích on-chain.

Galaxy Research đưa ra mức tối thiểu có độ tin cậy cao là 1730 BTC. Con số 1816 BTC được đề cập trước đó, theo tổ chức này, không phải là thiệt hại đã được xác nhận mà là ước tính có khả năng liên quan đến cuộc tấn công.

Alex Thorn (Alex Thorn), người đứng đầu Galaxy Research, cho biết "chúng tôi đã xác nhận trực tiếp hơn 450 BTC thông qua báo cáo của nạn nhân, và dựa trên các báo cáo này, chúng tôi đã xác định được tổng cộng hơn 730 BTC, bao gồm cả những nạn nhân chưa được biết đến". Ông giải thích rằng phạm vi thiệt hại bổ sung được thu hẹp lại bằng cách tìm ra mô hình tấn công chung giữa các địa chỉ đã báo cáo.

Galaxy Research loại trừ khỏi số liệu thống kê những khoản tiền bị nghi ngờ liên quan đến cuộc tấn công nhưng chưa có đủ căn cứ xác thực. Ông Thorn cho biết nếu có thêm báo cáo thiệt hại và mô hình tấn công được chứng minh thêm, mức tối thiểu có độ tin cậy cao có thể tăng lên.

Kết quả truy vết độc lập của TRM Labs cũng nằm trong phạm vi tương tự Galaxy Research. TRM Labs phân tích rằng kẻ tấn công đã rút khoảng 1816 BTC từ hơn 5200 địa chỉ qua bốn đợt.

Ari Redbord (Ari Redbord), Giám đốc chính sách toàn cầu của TRM Labs, cho biết "chúng ta nên dự đoán con số ước tính sẽ tiếp tục tăng cho đến khi ổn định". Điều này có nghĩa là số liệu thống kê có thể thay đổi trong quá trình xác minh thêm mối liên hệ giữa báo cáo thiệt hại và các địa chỉ.

CryptoQuant áp dụng tiêu chí thận trọng hơn. Đơn vị này xác nhận trước địa chỉ ví hoặc mã giao dịch mà nạn nhân công khai, sau đó đối chiếu với các mô hình tấn công on-chain đã biết để tính toán mức thiệt hại đã xác nhận là 1432 BTC.

Julio Moreno (Julio Moreno), Trưởng bộ phận nghiên cứu tại CryptoQuant, cho biết "vì Bitcoin bị đánh cắp thuộc về cá nhân chứ không phải các tổ chức tập trung như sàn giao dịch, nên chúng tôi chỉ có thể xác nhận những gì từng nạn nhân công khai". Quan điểm của ông là nếu chỉ dựa vào mô hình on-chain để xác định nạn nhân, khả năng nhận diện sai có thể khiến con số ước tính bị thổi phồng.

Phân tích on-chain là công việc truy vết mối quan hệ giữa các địa chỉ và đường đi của dòng tiền dựa trên luồng giao dịch được ghi lại trên blockchain. Phương pháp này thường sử dụng các mô hình như gộp nhóm địa chỉ đầu vào, ước tính địa chỉ tiền thừa, tái sử dụng địa chỉ, nhưng chỉ vì xuất hiện cùng đặc điểm giao dịch thì không thể khẳng định chắc chắn chủ sở hữu địa chỉ hay việc địa chỉ đó có bị thiệt hại hay không.

Vì vậy, việc xác định mức thiệt hại trong sự cố ví tự lưu ký (self-custody) khó hơn so với vụ hack sàn giao dịch. Sàn giao dịch có thể đối chiếu sổ sách nội bộ với tài khoản khách hàng, nhưng với ví cá nhân, nếu chủ sở hữu không báo cáo thì bên ngoài khó có thể xác nhận trực tiếp việc có bị thiệt hại hay không.

Coinkite thông báo qua bản cập nhật tình trạng bảo mật rằng một số phiên bản firmware có lỗi trong quá trình tạo seed, đồng thời cung cấp firmware đã sửa lỗi cho từng dòng sản phẩm được hỗ trợ. Công ty giải thích rằng bản cập nhật chỉ khắc phục vấn đề đối với các seed mới được tạo ra sau đó, không khôi phục được các seed đã bị ảnh hưởng trước đó, nên các seed cũ cần một quy trình chuyển đổi riêng.

TokenPost trước đó từng đưa tin thiệt hại từ vụ hack Coldcard được ước tính ở mức 1596 BTC. Sau đó, phạm vi thống kê được mở rộng và cũng xuất hiện phân tích cho rằng khoảng 1816 BTC đã bị đánh cắp, nhưng qua đợt điều tra lần này, một lần nữa cho thấy cần phân biệt rõ giữa thiệt hại đã xác nhận và ước tính dựa trên on-chain.

Sự cố lần này cho thấy ngay cả ví cứng, nếu quá trình tạo cụm từ khôi phục gặp lỗi, thì việc chỉ lưu trữ offline cũng khó đảm bảo an toàn tuyệt đối. Trước đó cũng có ý kiến đề cập đến ảnh hưởng của lỗ hổng Coldcard đối với người dùng Nunchuk và hệ thống quản lý khóa nền tảng.

Hiện tại, phạm vi được xác nhận qua thống kê của từng tổ chức là 1432 BTC theo CryptoQuant, 1730 BTC là mức tối thiểu có độ tin cậy cao theo Galaxy Research, và khoảng 1816 BTC theo ước tính của TRM Labs. Quy mô thiệt hại cuối cùng có thể được điều chỉnh trong quá trình thêm nạn nhân công khai địa chỉ và mã giao dịch, đồng thời mối liên hệ với các mô hình on-chain hiện có được xác minh thêm.