Lỗi Coldcard ảnh hưởng hơn 1.000 BTC, ETF Bitcoin Mỹ quay đầu rút ròng

Tranh cãi về bảo mật quanh việc tự lưu trữ Bitcoin (BTC) bùng lên trở lại sau khi ví cứng Coldcard bị phát hiện lỗi tạo seed. Cùng thời điểm, dòng vốn vào các quỹ ETF Bitcoin giao ngay tại Mỹ quay đầu rút ròng sau khi ghi nhận vào ròng hồi đầu tháng 8, khiến việc tự quản lý khóa cá nhân và nắm giữ qua sản phẩm niêm yết cùng được đem ra so sánh.

Coinkite, nhà sản xuất Coldcard, cho biết trong thông báo bảo mật ngày 30 tháng 7 rằng seed được tạo bởi một số phiên bản Coldcard có thể bị ảnh hưởng. Đối tượng bị ảnh hưởng gồm firmware 4.0.1-4.1.9 trên Mk2 và Mk3, cùng các phiên bản firmware trước bản vá trên Mk4, Mk5 và Q. Công ty cho biết seed cũ không thể khôi phục chỉ bằng cách cập nhật firmware.

Vấn đề cốt lõi của sự việc không phải là khóa cá nhân bị rò rỉ trực tiếp trên mạng, mà là độ ngẫu nhiên trong quá trình tạo seed bị suy yếu. Coinkite cho biết một số seed được tạo trên Mk4, Mk5 và Q chỉ đạt entropy khoảng 72 bit, thay vì mức kỳ vọng 128 bit. Công ty nêu hai trường hợp được xem là an toàn hơn: người dùng đã bổ sung từ 50 lần nhập xúc xắc độc lập trở lên, hoặc đã sử dụng cụm mật khẩu BIP-39 đủ mạnh.

Seed là cụm từ khóa cốt lõi giúp khôi phục toàn bộ ví. Entropy thể hiện mức độ khó đoán của cụm từ này, entropy càng thấp thì phạm vi tổ hợp mà kẻ tấn công cần dò càng hẹp. Bình luận: dù ví cứng vốn được thiết kế cho lưu trữ ngoại tuyến, một lỗ hổng ngay từ bước tạo seed vẫn có thể làm lung lay toàn bộ phương thức tự bảo quản tài sản của người dùng.

Quy mô thiệt hại được các nguồn tin đưa ra không thống nhất. Decrypt cho biết thiệt hại ban đầu là 594 BTC, tương đương khoảng 38 triệu USD. Techmeme, khi tổng hợp bài viết của CoinDesk dựa trên ước tính của Galaxy Research, cho biết thiệt hại đã tăng lên hơn 1.000 BTC, tương đương hơn 70 triệu USD. Con số 116 triệu USD từng xuất hiện ở một tiêu đề gốc không khớp với các tài liệu đối chiếu chéo.

Với độc giả trong nước, sự việc lần này là dịp nhìn lại ưu nhược điểm của phương thức tự lưu trữ. Giữ BTC trong ví cá nhân thay vì gửi trên sàn giao dịch giúp giảm rủi ro từ bên thứ ba, nhưng trách nhiệm quản lý thiết bị, firmware và seed vẫn thuộc về người dùng. TokenPost từng đưa tin rằng sau sự cố rò rỉ của Coldcard, các thảo luận về lưu trữ phân tán đã gia tăng.

Theo dữ liệu do Farside Investors công bố ngày 14, các quỹ ETF Bitcoin giao ngay tại Mỹ ghi nhận vào ròng lần lượt 170,1 triệu USD, 211,5 triệu USD, 244,4 triệu USD, 137,6 triệu USD và 101,7 triệu USD trong các ngày 3-7 tháng 8. Tổng cộng 5 ngày đạt 865,3 triệu USD.

Xu hướng nhanh chóng đảo chiều. Trong các ngày 10-13 tháng 8, dòng vốn lần lượt ghi nhận rút ròng 144,6 triệu USD, vào ròng 7,8 triệu USD, rút ròng 61,1 triệu USD và rút ròng 131,1 triệu USD. Chưa có căn cứ để khẳng định lo ngại về tự lưu trữ đã trực tiếp khiến dòng tiền chuyển sang ưu tiên ETF.

Dòng vốn tổ chức và tranh luận về tự lưu trữ vận hành trên hai cấu trúc thị trường khác nhau. Tự lưu trữ là phương thức người dùng trực tiếp kiểm soát khóa nhưng phải gánh rủi ro vận hành, trong khi ETF mang lại khả năng tiếp cận giá thông qua công ty quản lý quỹ và đơn vị lưu ký. Tuần này, ưu và nhược điểm của cả hai hướng đi cùng được bộc lộ.

Ở phía doanh nghiệp, động thái của Strategy và Riot Platforms (RIOT) cùng được nhắc đến. Phong Le (Phong Le), Giám đốc điều hành (CEO) Strategy, trong cuộc phỏng vấn với Fox Business đã cho biết công ty có thể mua lại Bitcoin trong năm nay. The Block đưa tin Strategy vẫn giữ lập trường là bên mua dài hạn dù mới bán ra một lượng nhỏ trước đó. Thời điểm và khối lượng cụ thể mới dừng ở mức phát biểu và tin tức, chưa phải công bố chính thức.

TokenPost trước đó đưa tin rằng Strategy đã bán 3.588 BTC từ ngày 29 tháng 6 đến ngày 5 tháng 7, thu về 216 triệu USD. Số tiền bán ra khi đó được dùng để trả cổ tức cổ phiếu ưu đãi và bổ sung dự trữ USD, làm dấy lên tranh luận về chiến lược tài chính Bitcoin của công ty. Phát biểu về khả năng mua lại lần này cũng nằm trong mạch tranh luận đó.

Riot Platforms, trong thông báo ngày 28 tháng 7 về lịch họp báo cáo kết quả kinh doanh quý 2, tái khẳng định mô hình kinh doanh song song giữa trung tâm dữ liệu quy mô lớn và khai thác Bitcoin. Investopedia đưa tin Riot Platforms sẽ cung cấp 191MW công suất điện toán theo hợp đồng trị giá 9,1 tỷ USD, kéo dài 20 năm. Bài viết dẫn nguồn Bloomberg cho biết đối tác là Anthropic.

Trump Media & Technology Group (DJT) ngày 16 tháng 7 đã nộp hồ sơ công bố thông cáo báo chí lên Ủy ban Chứng khoán và Giao dịch Mỹ (SEC). AP đưa tin công ty lỗ 238 triệu USD trong quý 2, đồng thời thu hẹp một số mảng kinh doanh mới như cá cược trực tuyến và tiền mã hóa.

Nhìn chung, các diễn biến trong ngành tuần này khó gói gọn trong một sự kiện duy nhất, mà là bức tranh đồng thời của lưu trữ tài sản, sản phẩm niêm yết, chiến lược tài chính doanh nghiệp và chuyển dịch sang hạ tầng AI. Những gì đã được xác nhận là lỗi tạo seed của Coldcard, biến động ngắn hạn của dòng vốn ETF, phát biểu về khả năng mua lại của Strategy, kế hoạch mở rộng trung tâm dữ liệu của Riot Platforms và khoản lỗ quý của Trump Media. Trong khi đó, dư luận tiếp tục theo dõi khả năng Strategy có nối lại việc mua Bitcoin trong năm nay hay không.

Nguồn xác minh: thông báo bảo mật của Coinkite, bảng dữ liệu ETF của Farside Investors, Decrypt, Techmeme, Fox Business, The Block, thông tin quan hệ nhà đầu tư của Riot Platforms, Investopedia, hồ sơ 8-K của SEC, AP.