Các hacker tìm thấy một lỗ hổng phần mềm trong một thương hiệu ví Bitcoin "lạnh," được xem là một trong những nơi an toàn nhất để lưu trữ tiền điện tử, và đang rút hàng chục triệu đô la trong một cuộc tấn công vẫn đang tiếp diễn.

Cuối tuần trước, công ty Coinkite có trụ sở tại Canada đã thông báo cho người dùng thiết bị Coldcard của mình về một lỗ hổng bảo mật trong các khóa bảo vệ Bitcoin gây mất an toàn một số ví. Theo Galaxy Research, đến thứ Hai, khoảng 1.367 token trị giá khoảng 86 triệu USD đã bị rút khỏi hơn 4.500 ví.

Coldcard là thương hiệu thiết bị phần cứng cho phép người dùng bảo mật Bitcoin của họ trong cái gọi là ví lạnh. Những chiếc ví này được cho là nơi an toàn nhất để giữ tiền điện tử vì chúng được cách ly khỏi internet.

Tuy nhiên, một lỗ hổng trong phần mềm của các thiết bị Coldcard đã khiến cho "cụm từ hạt giống" được tạo ra - một chuỗi dài các từ dùng để truy cập vào ví - có thể dự đoán được, theo một báo cáo từ đội ngũ kỹ sư của Block.

"Điều này phơi bày sự ngụy biện rằng tiền điện tử của bạn đang ngoại tuyến," Aneirin Flynn, CEO của công ty công nghệ an ninh mạng Failsafe, cho biết. "Thiết bị này chỉ chịu trách nhiệm tạo ra mật khẩu của bạn, và nếu thuật toán cơ bản bị lỗi, mật khẩu của bạn có thể bị giải mã ngược."

Đối với một số người dùng, tin tức về các cuộc tấn công ban đầu là không thể tin được. Jonathan Goodman, một trong những nạn nhân, cho biết anh nghĩ rằng mình không bị ảnh hưởng, nhưng vẫn quyết định kiểm tra ví của mình.

"Khoảnh khắc nó tải xong, tôi biết mình tiêu rồi vì tôi thấy những dòng màu đỏ báo lệnh rút tiền," anh nói với Bloomberg. "Trong khoảng thời gian từ 9:36 đến 9:43 tối ngày 29 tháng 7, cả ba chiếc ví của tôi đã bị rút sạch hoàn toàn."

Cốt lõi của vấn đề nằm ở cách Coinkite triển khai trình tạo số ngẫu nhiên khi sản xuất các cụm từ, theo Block. Tính ngẫu nhiên thực sự là một thành phần quan trọng của bảo mật mật mã, nhưng ví Coldcard có một cơ chế dự phòng dẫn đến việc các khóa được tạo ra bằng cách sử dụng các giá trị xác định như số sê-ri của thiết bị.

Kết quả là những kẻ tấn công đã có thể tính toán lại một cách có hệ thống và rút cạn ví của người dùng. Các báo cáo vào thứ Sáu cho thấy thiệt hại vào khoảng 38 triệu USD, nhưng con số này đã nhanh chóng tăng lên vào cuối tuần.

Trong một tuyên bố trên trang web của mình, Coinkite xác nhận rằng các khoản tiền được kiểm soát bởi các cụm từ khóa khôi phục tạo trên phiên bản firmware (phần mềm điều khiển nhúng trong thiết bị) gặp rủi ro. Công ty cho biết phần firmware đã được vá lỗi hiện đã có sẵn cho mọi mẫu máy và phiên bản bị ảnh hưởng. 

Vụ tấn công đã thu hút sự chú ý rộng rãi trên mạng, với nhiều người từ những người có ảnh hưởng đến các giám đốc điều hành công ty đều đưa ra ý kiến về các tác động của nó.

Tính đến thời điểm hiện tại của năm 2026, lượng tiền điện tử bị đánh cắp đã giảm so với năm ngoái. Nửa đầu năm đã chứng kiến tổng thiệt hại đạt 972 triệu USD, chưa bằng một nửa so với con số 2,3 tỉ USD bị đánh cắp trong nửa đầu năm 2025, theo một báo cáo của TRM Labs được công bố vào tháng trước. Tuy nhiên, tổng số vụ tấn công đã tăng lên 207, con số cao nhất được ghi nhận trong bất kỳ giai đoạn sáu tháng nào.

Ari Redbord, người đứng đầu chính sách toàn cầu của TRM, cho biết các vụ xâm phạm cơ sở hạ tầng và khóa chiếm khoảng 15% số sự cố nhưng chiếm tới 76% thiệt hại. "Vụ Coldcard cho thấy việc tự quản lý chỉ là chuyển dịch rủi ro chứ không loại bỏ nó," ông nói.

Đối với Goodman, sự cố này đã cho thấy anh đã đặt "niềm tin mù quáng" vào công nghệ mình sử dụng nhiều đến mức nào. Anh cho biết sẽ không đầu tư vào Bitcoin hay sử dụng ví lạnh trong tương lai.

"Nếu nó thực sự phức tạp và mang tính kỹ thuật như vậy, có lẽ nó không đáng để làm," Goodman nói. "Về cơ bản, không ai biết bất cứ thứ gì hoạt động như thế nào cả."