Các nhà phát triển tình nguyện đã phát hiện ra 4,962 lỗ hổng bảo mật trên 390 dự án Bitcoin chỉ trong khoảng 30 giờ. Trong 391 mã nguồn được kiểm tra, chỉ duy nhất một dự án không có lỗ hổng nào.
Nhóm này gọi mình là Bitcoin Red Team. Họ đánh giá 720 trong số các lỗ hổng đó thuộc loại nghiêm trọng hoặc rất nghiêm trọng. Chỉ mới có 147 lỗ hổng được gửi tới những người quản lý dự án để được khắc phục.
Cứ 7 lỗ hổng thì có 1 lỗ nghiêm trọng
Mức độ nghiêm trọng phân bố không đều như con số tổng thể thể hiện. Những người kiểm tra đã ghi nhận 85 lỗi ở mức rất nghiêm trọng và 635 lỗi nghiêm trọng.
Tỷ lệ này chiếm khoảng 14.5% tổng số lỗ hổng được ghi nhận. Các lỗi còn lại là mức trung bình, thấp, hoặc chỉ mang tính thông tin. Ngoài ra, còn 246 phát hiện chưa được phân loại mức độ nghiêm trọng.
Chất lượng bằng chứng cũng rất đa dạng. Khoảng 21.4% có kèm mã minh chứng thực tế. Gần 91% kết quả được phát hiện qua quét tự động. Chỉ có 8 trường hợp được loại bỏ do dương tính giả.
Theo dõi chúng tôi trên X để cập nhật tin tức mới nhất
Chỉ trong một giờ đã phát hiện 83% số lỗ hổng
Mốc thời gian 30 giờ có một lưu ý quan trọng. Riêng một giờ đầu đã phát hiện tới 4,101 báo cáo lỗ hổng. Tuy nhiên, con số này chủ yếu đến từ việc nạp lại dữ liệu cũ, chứ không phải do quét trực tiếp trong thời gian thực. Rob Hamilton, giám đốc điều hành của đơn vị bảo hiểm Bitcoin AnchorWatch, đã thực hiện kiểm tra riêng trước cả khi chiến dịch chính thức bắt đầu.
Ông cho biết mình đã tốn hơn 10,000 USD để quét hơn 100 thư viện mã nguồn.
Nếu bỏ phần dữ liệu nạp lại này đi, tốc độ phát hiện lỗ hổng giảm rõ rệt. Chỉ khoảng 840 lỗ hổng mới được ghi nhận trong 29 giờ còn lại. Con số này tương đương khoảng 29 lỗ hổng mỗi giờ, thay vì 166.3 như trong báo cáo công bố.
Dữ liệu cho thấy ví cứng ít bị ảnh hưởng
Phần phân loại theo nhóm dự án mang lại một số bất ngờ. Ví cứng và phần mềm điều khiển (firmware), bao gồm cả nhóm Coldcard, chỉ xếp áp chót về tỷ lệ lỗ nghiêm trọng với 9.6%.
Các lĩnh vực khác lại có tỉ lệ cao hơn nhiều. Pool đào Bitcoin chiếm 21.7%, hạ tầng và các công cụ chiếm 21.5%, còn sàn giao dịch và dịch vụ hoán đổi chiếm 20.9%. Công cụ bảo mật riêng tư đứng đầu với 24%, dù chỉ mới kiểm tra 3 dự án liên quan đến nhóm này.
Thư viện mã hóa lại có số lượng lỗ hổng lớn nhất. Tổng cộng có 1,385 lỗi được phát hiện trên 128 dự án, chiếm hơn 1/4 tổng số các phân tích.
Calle, nhà vật lý với biệt danh đã sáng tạo nên giao thức Cashu ecash, cho biết những người quản lý dự án đang kiểm tra lại các báo cáo nghiêm trọng nhất.
Hầu hết báo cáo ở mức rất nghiêm trọng chúng tôi gửi đều được chủ dự án xác nhận rất nhanh. Chúng tôi biết mình đã xác định trúng những điểm yếu thực sự,
Lý do nhóm Red Team thành lập sau sự cố Coldcard
Chiến dịch bắt đầu từ việc một con chip bị lỗi. Coinkite công bố vào ngày 30/07 rằng tính năng tạo seed trên một số thiết bị Coldcard bị ảnh hưởng đã chuyển sang một quy trình phần mềm có thể dự đoán được.
Lỗi này khá nghiêm trọng. Chỉ có 32 bit được sinh ra từ phần tử bảo mật, khiến hacker chỉ cần thử tối đa 4.3 tỷ lần là có thể dò được seed.
Galaxy Research xác định số Bitcoin bị đánh cắp đã lên tới 1,596 BTC qua khoảng 7,300 địa chỉ tính đến ngày 04/08. Một đợt tấn công thứ tư có thể khiến tổng thiệt hại gần 130 triệu USD. Galaxy cũng nhấn mạnh danh sách địa chỉ này chỉ mang tính ước tính.
Vụ việc đã gây hoang mang trên blockchain, khi số lượng địa chỉ ví hoạt động tăng vọt lên mức cao nhất trong 20 tháng qua. Nhà đầu tư Hàn Quốc hầu như “an toàn” hơn nhờ thói quen tạo seed theo kiểu gieo xí ngầu phổ biến ở nước này.
Nhưng vấn đề tạo số ngẫu nhiên yếu vẫn liên tục xuất hiện lại trong hệ sinh thái Bitcoin. Năm 2023, lỗi Milk Sad đã tạo seed key của Libbitcoin Explorer chỉ bằng 32 bit thời gian đồng hồ. Tháng 05 vừa rồi, lỗ hổng Ill Bloom cũng khiến các ví sử dụng trình tạo số ngẫu nhiên yếu bằng JavaScript bị mất 5.7 triệu USD.
Tài trợ sẽ dành cho các phát hiện mới
OpenSats, tổ chức phi lợi nhuận chuyên tài trợ phát triển Bitcoin, đã mở chương trình tài trợ Code RED vào ngày thứ Năm. Chương trình này sẽ trao thưởng cho các nhà nghiên cứu phát hiện và công bố lỗ hổng. Ngoài ra, chương trình còn hoàn tiền cho chi phí AI mà quá trình nghiên cứu phát sinh.
Trong khi đó, giá Bitcoin giao dịch quanh mức 64,396 USD vào thứ Năm, tăng 0.5% trong 24 giờ qua. Cuộc kiểm toán này không làm biến động thị trường.
Bối cảnh vẫn rất quan trọng khi nhìn vào con số thô. Đây chỉ là những phát hiện, chưa phải những vụ tấn công đã được xác nhận, và hầu hết sẽ không bao giờ bị khai thác.
Dựa trên các bằng chứng hiện tại, Coldcard không phải là trường hợp thất bại cá biệt. Dữ liệu cũng cho thấy sự cố tiếp theo có thể sẽ không đến từ ví cứng.
