Claude phát hiện lỗ hổng chỉ trong 8 phút
Một mô hình trí tuệ nhân tạo được cho là đã phát hiện chính xác lỗ hổng nghiêm trọng liên quan đến vụ tấn công ví phần cứng Coldcard chỉ sau vài phút phân tích.
Theo chia sẻ từ các nhà phát triển và chuyên gia bảo mật, Claude Code của Anthropic được yêu cầu kiểm tra mã nguồn Coldcard để tìm điểm yếu an ninh. Sau khoảng 8 phút, mô hình này được cho là đã xác định đúng lỗ hổng từng bị tin tặc khai thác.
Nhà nghiên cứu Medusa viết trên X:
“Claude Code đã tìm ra lỗ hổng của ví Coldcard chỉ với một câu lệnh, sau đúng 8 phút suy luận. Chúng ta chưa sẵn sàng cho những gì sắp tới.”
Điểm yếu nằm ở cơ chế tạo số ngẫu nhiên
Lỗ hổng được cho là bắt nguồn từ cách một số phiên bản firmware Coldcard tạo dữ liệu ngẫu nhiên phục vụ mật mã.
Ví tiền điện tử cần các giá trị ngẫu nhiên khó dự đoán để tạo khóa riêng và chữ ký số. Nếu nguồn ngẫu nhiên không đủ mạnh hoặc có thể bị đoán trước, kẻ tấn công có thể suy ra khóa bảo mật và kiểm soát tài sản.
Vụ việc này được xem là một trong những sự cố ví phần cứng Bitcoin nghiêm trọng nhất. Ước tính ban đầu cho thấy hơn 1.080 BTC bị đánh cắp trong chưa đầy một giờ, trong khi một số số liệu mới hơn cho rằng tổng thiệt hại đã vượt 100 triệu USD.
🚨 LIKELY 4TH ORGANIZED WAVE COLDCARD ATTACK OCCURRING RIGHT NOW
THERE ARE STILL SIMILAR TXS IN THE MEMPOOL WAITING TO BE CONFIRMED AND THE PREVIOUSLY-CONFIRMED TXS SIGNAL RBF OPT-IN, CHECK YOUR FUNDS AND YOU MAY BE ABLE TO RBF YOUR WAY OUT OF THIS
pattern identified:
blocks…— Alex Thorn (@intangiblecoins) August 3, 2026
Xuất hiện làn sóng tấn công thứ tư
Alex Thorn, Trưởng bộ phận nghiên cứu tại Galaxy, cho biết dữ liệu on-chain cho thấy có thể đã xuất hiện làn sóng tấn công có tổ chức thứ tư liên quan đến Coldcard.
Theo Thorn, các block Bitcoin từ 960.778 đến 960.792 ghi nhận 218 giao dịch đáng ngờ, ảnh hưởng đến 462 địa chỉ và làm dịch chuyển gần 389 BTC.
Ông cảnh báo người dùng Coldcard bị ảnh hưởng cần nhanh chóng chuyển tài sản sang ví an toàn khác. Tuy nhiên, các thông tin về việc Claude phát hiện lỗ hổng trong 8 phút hiện chủ yếu dựa trên chia sẻ của cộng đồng và chưa phải kết luận kiểm định độc lập chính thức.
