Cobra lo AI làm tăng rủi ro tự lưu ký Bitcoin; sự cố ví nóng BTCPay do lỗ hổng cũ

Cobra, người điều hành ẩn danh tên miền bitcoin.org, lo ngại sự phát triển của trí tuệ nhân tạo (AI) và thị trường suy yếu có thể làm tăng gánh nặng tự lưu ký Bitcoin (BTC). Theo ông, khi năng lực tấn công của các đối tượng xấu tăng lên, việc tự quản lý khóa cá nhân có thể trở nên rủi ro và khó khăn hơn.

Bitcoin.com News giới thiệu bài đăng trên X của Cobra vào ngày 15. Ông viết rằng đợt giảm giá gần đây rất khắc nghiệt và khiến những người nắm giữ Bitcoin nản lòng.

Đây là quan ngại của Cobra về thị trường và bảo mật. Thông báo sự cố của BTCPay Server xác định nguyên nhân là lỗ hổng trong phần mềm phiên bản cũ, không đề cập AI.

Tự lưu ký Bitcoin là cách người nắm giữ trực tiếp quản lý khóa cá nhân thay vì giao tài sản cho đơn vị lưu ký như sàn giao dịch. Khóa cá nhân được dùng để truy cập tài sản và phê duyệt giao dịch.

bitcoin.org cho biết tự lưu ký giúp giảm rủi ro phát sinh khi đơn vị lưu ký phá sản, nhưng đặt trách nhiệm bảo vệ khóa lên người nắm giữ. Nếu khóa bị mất hoặc lộ, chủ sở hữu có thể mất quyền truy cập tài sản hoặc để người khác truy cập.

Sử dụng đơn vị lưu ký có thể giảm gánh nặng tự quản lý khóa. Đổi lại, người nắm giữ tài sản phải phụ thuộc vào bảo mật và khả năng thanh toán của đơn vị đó.

BTCPay Server nhận được báo cáo rằng Bitcoin và Litecoin (LTC) lưu trong ví nóng trên máy chủ đã bị đánh cắp. Báo cáo được gửi ngày 1 tháng 11 và thông báo sự cố được công bố ngày 2 tháng 11.

Ví nóng lưu khóa cần thiết để chuyển tài sản trên máy chủ kết nối internet. Khi khóa nằm trên máy chủ trực tuyến, lỗ hổng trong phần mềm máy chủ có thể ảnh hưởng đến tài sản trong ví.

Cuộc điều tra xác định các máy chủ bị nhắm mục tiêu đang chạy phiên bản 2.4.1 trở xuống. Phiên bản 2.4.1 được phát hành ngày 23 tháng 7.

Lỗ hổng bị khai thác đã được khắc phục trong phiên bản 2.4.2, phát hành ngày 7 tháng 8.

Ví phần cứng lưu khóa bên ngoài máy chủ không bị ảnh hưởng trong vụ việc này. Vị trí lưu khóa — trong ví nóng trên máy chủ hay trên thiết bị bên ngoài — là yếu tố quyết định phạm vi thiệt hại.

Cũng có những trường hợp ứng dụng AI để kiểm tra bảo mật Bitcoin. TokenPost từng đưa tin Bitcoin Red Team đã kiểm tra 150 kho mã nguồn và báo riêng hơn mười lỗ hổng cho các dự án liên quan.

Lỗ hổng trong phần mềm cũ từng dẫn đến việc tài sản trong ví bị đánh cắp. TokenPost trước đây đưa tin lỗi trong firmware cũ của COLDCARD bị khai thác, khiến 1.600 Bitcoin bị đánh cắp. Vụ đó liên quan đến firmware của ví phần cứng, khác với lỗ hổng trong phần mềm máy chủ của BTCPay Server về loại phần mềm và mục tiêu tấn công.

Không thể cộng toàn bộ giao dịch của các địa chỉ liên quan sự cố thành số tiền thiệt hại. Một số giao dịch diễn ra trước khi báo cáo được gửi, nên chưa thể xác định giao dịch nào liên quan đến vụ xâm nhập này.

Trong cảnh báo ngày 1 tháng 11, chưa ghi nhận thiệt hại từ cuộc tấn công tại các máy chủ đã chạy phiên bản 2.4.2 trở lên. Thông báo khuyến nghị người vận hành phiên bản 2.4.1 trở xuống chuyển số dư còn lại sang ví mới và dựng máy chủ mới.