Đêm 31/7, tôi ngồi trước màn hình, tách cà phê đã nguội lạnh từ lâu. Trên bảng điều khiển, một con số nhảy vọt như nhịp tim của bệnh nhân nguy kịch: số địa chỉ hoạt động của Bitcoin tăng từ 645.000 lên gần 1 triệu chỉ trong 24 giờ – mức cao nhất trong 20 tháng. Nhưng giá BTC chỉ nhích 1,24%, dừng ở 60.347 USD. Với người ngoài, đó là tín hiệu tăng trưởng. Với tôi, đó là tiếng khóc không thành lời.
Đêm đó, tôi theo dõi dòng tiền chạy như kiến vỡ tổ. Hàng chục nghìn giao dịch nhỏ, dưới 1 BTC, rời khỏi các địa chỉ từng đứng im hàng tháng trời. Không phải người mua. Người ta đang bỏ chạy. Họ không chạy khỏi sàn giao dịch như tháng 11/2022. Họ chạy khỏi thứ mà họ tin là an toàn nhất: chiếc ví cứng Coldcard.
Với người ngoài, Coldcard chỉ là một thiết bị USB xấu xí, không màu mè, không màn hình cảm ứng. Nhưng trong cộng đồng Bitcoin, nó là một biểu tượng. Được sản xuất bởi Coinkite (Canada), Coldcard tự định vị là "ví lạnh khắc nghiệt nhất" dành cho những ai coi bảo mật tuyệt đối là trên hết. Không WiFi, không Bluetooth, thậm chí có thể vận hành mà không cần kết nối máy tính. Tôi đã từng khuyên nhiều người mua nó. Và bây giờ, tôi phải ngồi viết những dòng này.
Thủ phạm là RNG – Random Number Generator, bộ tạo số ngẫu nhiên. Trong thế giới tiền mã hóa, một khóa riêng tư chỉ là một con số. Nhưng con số đó phải được tạo ra từ một nguồn entropy thực sự không thể đoán trước. Nếu RNG yếu, giống như một chiếc khóa có cấu trúc bên trong có thể nhìn xuyên qua, mọi khóa được tạo ra sau đó đều có thể được tái dựng lại từ phía bên kia. Đây là tầng thấp nhất của mật mã học, nơi mà một sai lầm không thể vá bằng bản cập nhật phần mềm, mà đòi hỏi phải thay toàn bộ thiết bị.
Kẻ tấn công không cần biết bạn là ai. Chúng chỉ cần một danh sách các khóa riêng tư tiềm năng, rồi quét toàn bộ chuỗi khối để tìm số dư khớp. Đây là kiểu tấn công hút bụi – vacuum. Nó không nhắm vào một nạn nhân cụ thể, mà nhắm vào tất cả những ai đang nằm trong vùng ảnh hưởng của lỗ hổng. Bốn đợt tấn công liên tiếp đã được ghi nhận. Đợt đầu tiên quét sạch 1.367 BTC từ 4.585 địa chỉ, tương đương 88,6 triệu USD. Đợt thứ tư, vẫn còn phảng phất trong bóng tối, cuỗm thêm 380 BTC. Tổng cộng khoảng 1.747 BTC, tương đương hơn 113 triệu USD, đã bốc hơi khỏi những chiếc ví được mệnh danh là "không thể bị hack".
Điều đáng sợ nhất không nằm ở con số. Nó nằm ở nhịp điệu. Tốc độ thanh lọc lên tới 13,8 giao dịch mỗi khối – gấp 45 lần mức bình thường. Đây không phải hành động của một hacker đơn lẻ gõ lệnh từng dòng. Đây là một cỗ máy tự động, được lập trình để quét từng khóa riêng tư yếu, kiểm tra số dư, rồi dồn toàn bộ tài sản vào các địa chỉ mới. Cơn mưa giao dịch ấy không phải do con người tạo ra trong lúc hoảng loạn. Nó được sinh ra từ một thuật toán đang nhẫn nại ăn dần chiếc bánh.
Tôi đã chứng kiến nhiều vụ hack trong 27 năm theo dõi ngành này. Nhưng chưa bao giờ tôi thấy một vụ tấn công có nhịp điệu đều đặn đến vậy. Bốn đợt, như bốn nhịp thở. Mỗi đợt cách nhau một khoảng thời gian đủ để cộng đồng bắt đầu tin rằng "có lẽ đã kết thúc". Rồi đợt tiếp theo lại ập đến. Kẻ tấn công không chỉ hiểu kỹ thuật. Chúng hiểu cả tâm lý con người – và điều đó khiến tôi lạnh sống lưng.
Khi một vụ việc như thế này xảy ra, tôi thường nhìn vào on-chain data để tìm câu trả lời. Và dữ liệu lần này kể một câu chuyện đầy mâu thuẫn. Số địa chỉ hoạt động tăng vọt, nhưng số địa chỉ nhận gần như không đổi. Điều đó có nghĩa là tiền đang được gom lại, không được phân tán. Những người hoảng sợ không phải là những nhà đầu tư lớn đang tái phân bổ danh mục. Họ là những con cá nhỏ – những người nắm dưới 1 BTC, những người mua ví lạnh vì nghe lời khuyên "không giữ khóa thì không phải là tiền của bạn".
Số lượng BTC dưới 1 BTC được chuyển trong ngày 31/7 lên tới 39.600 BTC. Con số gần như trùng khớp với 39.900 BTC trong ngày FTX sụp đổ – 16/11/2022. Nhưng có một khác biệt lớn: hướng của dòng tiền. Năm 2022, mọi người rút BTC từ sàn giao dịch về ví lạnh, chạy trốn khỏi sự kiểm soát của bên thứ ba. Lần này, họ chuyển BTC ra khỏi ví lạnh – một phần chảy về sàn, một phần chuyển sang các địa chỉ mới được tạo ra trong hoảng loạn. Cùng một khối lượng chuyển động, nhưng hai câu chuyện trái ngược: năm đó là chiến thắng của self-custody; năm nay là sự hoài nghi về chính self-custody.
Các nhà phân tích chuỗi gọi đây là một "cú sốc cấu trúc". Khi hàng chục nghìn địa chỉ đột ngột chuyển tiền, các mô hình phân tích dựa trên lịch sử giao dịch sẽ bị nhiễu. Dữ liệu về số dư trao đổi, dòng vốn ròng, thậm chí cả ước tính chi phí cơ sở của từng nhóm nắm giữ – tất cả đều cần được tính toán lại. Tôi đã nhắc đi nhắc lại nhiều lần: nhà phân tích nên dùng dữ liệu đã điều chỉnh theo thực thể, nếu không họ sẽ viết những báo cáo sai lệch dựa trên một cơn hoảng loạn.
Nhưng câu chuyện kỳ lạ nhất lại nằm ở giá. BTC tăng vỏn vẹn 1,24% trong ngày 31/7. Hai tuần sau, giá vẫn nằm lì quanh 60.000 USD. Thị trường đã hấp thụ vụ việc một cách kỳ lạ. Năm 2024, khi active address chạm mức tương tự, giá Bitcoin ở vùng 100.000 USD – đó là đỉnh của cơn sốt. Còn bây giờ, cùng một con số, giá chỉ còn 60.000 USD. Cùng một hoạt động, nhưng hàm ý đối lập: trước là sự tham lam, bây giờ là nỗi sợ hãi. Khi giá im lặng, chuỗi khối đang hét lên. Chúng ta không thể đánh giá mức độ nghiêm trọng của một sự kiện chỉ qua biến động giá.
Và vết nứt không chỉ dừng ở tầng ví. BIP-110 – một đề xuất nâng cấp giao thức Bitcoin – đã bị hoãn kích hoạt. Các nhà phát triển nói rằng họ cần ưu tiên xử lý vấn đề bảo mật ví. Nhưng tôi đọc giữa những dòng đó: nếu một lỗ hổng RNG có thể làm rung chuyển tầng cơ sở, thì làm sao có thể yên tâm nâng cấp một giao thức trị giá hàng nghìn tỷ USD? Sự chậm trễ này không chỉ là thận trọng kỹ thuật. Đó là một lời thú nhận: chúng ta vẫn chưa hiểu hết lỗ hổng này.
Tôi cũng muốn nói rõ một điều về trách nhiệm của chính tôi. Với tư cách một người làm truyền thông, tôi thấy mình có lỗi một phần. Trong nhiều năm, chúng tôi đã lặp lại công thức "ví cứng = an toàn tuyệt đối" như một chân lý, mà không giải thích rằng an toàn của ví cứng phụ thuộc vào một chuỗi các giả định: chip RNG hoạt động đúng, firmware không bị can thiệp, người dùng không tự bắn vào chân mình. Khi một mắt xích trong chuỗi đó gãy, toàn bộ câu chuyện sụp đổ.
Khi tôi bắt đầu viết những dòng này, tôi nhớ lại một trải nghiệm cũ. Trong biển ICO rác năm 2017, tôi dành sáu tháng đọc whitepaper, sàng lọc hàng trăm dự án, chỉ chọn ra ba cái tên thực sự có đội ngũ phát triển tử tế. Hồi đó, người ta bảo tôi điên. Thị trường đang kiếm tiền bằng mọi thứ, tại sao lại kén chọn? Nhưng tôi biết rằng trong một thị trường đầy sạn, viên ngọc thật thường bị bỏ qua. Và tôi cũng biết rằng khi mọi người đều tin một thứ là tuyệt đối an toàn, thì đó chính là lúc nguy hiểm nhất. Coldcard chính là viên ngọc đó trong mắt cộng đồng self-custody. Còn bây giờ, viên ngọc đã nứt.
Hãy nói về điều phản trực giác. Tôi tin rằng vụ tấn công Coldcard có thể là liều thuốc đắng mà Bitcoin cần. Không phải vì nó khiến người ta đau đớn, mà vì nó phá vỡ câu chuyện "một chìa khóa là đủ". Hệ sinh thái này đã quá say sưa với khẩu hiệu "not your keys, not your coins" đến mức quên mất rằng chìa khóa nằm trong một thiết bị có lỗ hổng cũng chẳng khác gì giao chìa khóa cho một tên trộm mặc vest. Sự an toàn tuyệt đối chỉ tồn tại trong những câu chuyện bán hàng.
Sự thật mà ít người dám nói ra: self-custody không phải là một trạng thái, mà là một kỹ năng. Và hầu hết mọi người không có kỹ năng đó. Họ xứng đáng có những lựa chọn an toàn hơn, thay vì bị ném vào cái hố không đáy gọi là "tự chịu trách nhiệm". Vụ tấn công RNG cho thấy điều gì xảy ra khi một cộng đồng xem "tự quản lý khóa riêng tư" như một giá trị đạo đức thay vì một quyết định kỹ thuật. Nó khiến hàng triệu người tin rằng chỉ cần mua một chiếc ví 100 USD là họ đã trở thành ngân hàng của chính mình. Nhưng một ngân hàng không chỉ có két sắt. Nó có nhiều lớp kiểm soát, có dự phòng, có quy trình xử lý khủng hoảng. Còn người dùng Coldcard lần này thì sao? Họ có gì ngoài một tờ giấy ghi 24 từ?
Tôi không nói rằng bạn nên gửi Bitcoin lên sàn. Tôi đã chứng kiến FTX đóng băng tài sản của hàng triệu người chỉ sau một đêm. Nhưng tôi cũng chứng kiến cảnh hàng nghìn người mất tiền chỉ vì một con số ngẫu nhiên không đủ ngẫu nhiên. Sự thật nằm giữa hai thái cực: đa chữ ký, ví giám sát một phần, phân tầng tài sản theo mức độ tin cậy. Đó không phải là sự bội giáo. Đó là sự trưởng thành.
Về mặt kỹ thuật, cho đến nay Coldcard vẫn chưa công bố chi tiết về loại RNG bị lỗi. Đó là lỗi phần mềm trong firmware, hay do linh kiện phần cứng bị thay thế từ nhà cung cấp? Nếu là trường hợp sau, thì đây không còn là một bug, mà là một vụ tấn công chuỗi cung ứng. Và nếu điều đó đúng, thì mọi ví cứng trên thị trường – không chỉ Coldcard – đều đang ngồi trên một quả bom hẹn giờ. Sự im lặng của hãng sản xuất càng làm tôi thêm nghi ngờ.
Có một điều nữa tôi muốn độc giả chú ý. Sự kiện này có thể thay đổi cuộc chơi của các nhà phân tích và thậm chí là các cơ quan quản lý. Khi một vụ trộm 113 triệu USD đến từ một lỗ hổng bảo mật ở tầng phần cứng, các cơ quan chức năng sẽ bắt đầu đặt câu hỏi về trách nhiệm sản phẩm. Nếu một chiếc két sắt có thể mở bằng chìa khóa dự phòng do nhà sản xuất giữ, nhà sản xuất phải chịu trách nhiệm. Vậy nếu một con chip RNG tạo ra các khóa có thể đoán trước, ai chịu trách nhiệm? Câu hỏi này sẽ ám ảnh ngành công nghiệp phần cứng tiền mã hóa trong nhiều năm tới.
Khi một chiếc két sắt nứt, người ta không ném bỏ tất cả két sắt. Họ bắt đầu kiểm tra những chiếc còn lại. Họ tìm hiểu về nguồn gốc linh kiện, về quy trình kiểm định, về cách entropy được tạo ra. Và họ đa dạng hóa cách lưu trữ: một phần trong ví đa chữ ký, một phần ở nơi khác. Đó là một sự chuyển đổi đau đớn nhưng cần thiết. Có lẽ đây là điều mà thị trường Bitcoin đang cần – một lời nhắc nhở rằng không có công nghệ nào miễn nhiễm với sự bất toàn của con người.
Còn tôi, tôi vẫn giữ 1 BTC của mình – không phải trong Coldcard, không phải trên sàn, mà trong một cấu trúc đa chữ ký mà tôi đã mất ba tháng để thiết lập và kiểm thử. Và tôi sẽ nói với bạn một điều có thể khiến bạn ngạc nhiên: tôi không làm vậy vì tôi tin nó an toàn. Tôi làm vậy vì tôi biết không có gì là an toàn tuyệt đối – chỉ có những lớp phòng thủ, những kế hoạch dự phòng, và một sự khiêm nhường đủ lớn để thừa nhận rằng chúng ta không thể chiến thắng tất cả mọi cuộc tấn công.
Trong biển ICO rác, tôi học được rằng viên ngọc thật không nằm ở những dự án hứa hẹn giàu sang, mà nằm ở những hệ thống đủ khiêm nhường để nhận ra điều mình chưa biết. Coldcard vừa dạy chúng ta một bài học đắt giá theo cách đó. Câu hỏi còn lại không phải là "ví nào an toàn nhất?" mà là: liệu chúng ta có đủ can đảm để xây dựng một hệ thống dựa trên nỗi sợ hãi thực sự – thay vì dựa trên những hứa hẹn an toàn vĩnh viễn?
Khi giá im lặng, chuỗi khối đang hét lên. Và lần này, nó không hét về một cơ hội. Nó hét về một vết nứt trong nền móng – một vết nứt mà nếu chúng ta không nhìn thẳng, sẽ ngày càng lan rộng. Hãy kiểm tra két sắt của bạn. Không phải vì nó đang bị nứt. Mà vì bạn không thể biết nó đang bị nứt từ bên ngoài.