Coldcard phát hành Firmware sau vụ trộm $114M Bitcoin, cảnh báo bản vá không phải là giải pháp triệt để

Sự khác biệt giữa một ví đã được vá lỗi và một ví an toàn không phải lúc nào cũng rõ ràng. Coldcard đã phát hành chương trình cơ sở (firmware) mới sau vụ trộm bitcoin trị giá $114 million liên quan đến một lỗ hổng trong ví phần cứng của mình, và công ty đang vạch ra ranh giới đó một cách rõ ràng. Theo báo cáo gốc, bản cập nhật diễn ra sau ba tuần đánh giá và đã phát hiện thêm các lỗi không liên quan đến lỗ hổng ban đầu. Nhưng việc cài đặt chương trình cơ sở không làm cho một chiếc ví đã bị xâm phạm trở nên an toàn.

Cảnh báo này không phải là một thông báo khuôn mẫu. Một bản cập nhật chương trình cơ sở có thể đóng một đường dẫn phần mềm, nhưng nó không thể khôi phục một cụm từ khôi phục (seed phrase) hoặc khóa riêng tư (private key) đã bị lộ. Nếu một kẻ tấn công có thể trích xuất dữ liệu khóa thông qua chương trình cơ sở độc hại hoặc lỗ hổng khác, các thông tin xác thực bị lộ vẫn cực kỳ nguy hiểm bất kể có bao nhiêu bản vá lỗi được đưa ra sau đó. Sự khác biệt đó xác định liệu người dùng nên cập nhật tại chỗ hay từ bỏ thiết bị và chuyển tiền sang một cụm từ khôi phục mới.

Cuộc đánh giá đã làm lộ ra nhiều hơn một điểm yếu

Cuộc đánh giá kéo dài ba tuần của Coldcard rõ ràng đã làm được nhiều việc hơn là chỉ tập trung vào một lỗ hổng duy nhất đằng sau khoản lỗ $114 million. Công ty cho biết quá trình này đã phát hiện ra các vấn đề không liên quan, điều này cho thấy cuộc kiểm toán đã xem xét trên toàn bộ mã nguồn chương trình cơ sở thay vì chỉ đưa ra một bản sửa lỗi hẹp. Việc sử dụng AI để giúp phát hiện thêm lỗi là điều đáng chú ý vì mã của ví phần cứng có rất ít khả năng chịu lỗi. Một trường hợp ngoại lệ bị bỏ sót có thể dẫn đến việc mất vốn gốc, chứ không chỉ là trải nghiệm người dùng không tốt.