64 BTC và 200 ETH vào máy trộn: Khi 'rửa tiền' thất bại và Coldcard bị xuyên thủng
Đầu tuần này, một địa chỉ ví được gắn cờ là của kẻ tấn công trong vụ exploit Coldcard đã chuyển 64 BTC và 200 ETH vào một dịch vụ trộn tiền (mixer). Tính theo giá thị trường, tổng giá trị khoảng vài triệu USD — một con số không quá lớn trong bối cảnh thị trường đang tăng nóng. Nhưng điều thực sự đáng chú ý không nằm ở số tiền, mà nằm ở một câu duy nhất trong báo cáo: "phần lớn số tiền bị đánh cắp vẫn nằm trong các ví do kẻ tấn công kiểm soát và có thể truy vết."
Đối với một người đã dành 18 năm quan sát ngành và từng theo dõi các vụ rửa tiền trên chuỗi, tôi nhận ra ngay rằng đây không phải là một vụ trộn tiền thất bại thông thường. Đây là một dấu hiệu cho thấy cuộc chơi giữa tội phạm mạng và các công ty phân tích dữ liệu blockchain đã bước sang một giai đoạn mới — và trong giai đoạn này, kẻ tấn công đang ở thế bị động hơn nhiều so với những gì chúng ta vẫn tưởng.
Coldcard, nếu bạn chưa biết, là một chiếc ví phần cứng Bitcoin đến từ công ty Coinkite của Canada. Sản phẩm này nổi tiếng trong cộng đồng nhờ mã nguồn mở hoàn toàn, thiết kế tối giản và tuyên bố hướng đến "mức độ an toàn cao nhất" cho những người nắm giữ Bitcoin dài hạn. Khác với Ledger hay Trezor hướng đến người dùng phổ thông, Coldcard nhắm vào phân khúc người dùng có hiểu biết kỹ thuật cao, sẵn sàng trả tiền cho một thiết bị không có pin, không có Bluetooth, không có bất kỳ cổng kết nối không dây nào, để giảm thiểu bề mặt tấn công.
Còn máy trộn là một dịch vụ trộn các giao dịch của nhiều người dùng lại với nhau, nhằm cắt đứt mối liên hệ giữa địa chỉ gửi và địa chỉ nhận. Trên Bitcoin, kỹ thuật phổ biến nhất là CoinJoin — nhiều người gộp UTXO của họ vào một giao dịch chung rồi chia lại theo cách làm khó việc xác định ai đã gửi cho ai. Trên Ethereum, mô hình phổ biến hơn là các hợp đồng thông minh như Tornado Cash — một bể trộn sử dụng bằng chứng không kiến thức (zero-knowledge proof) để cho phép người dùng rút tiền mà không tiết lộ mối liên hệ với địa chỉ gửi. Tornado Cash, dù được ca ngợi như một công cụ bảo vệ quyền riêng tư mạnh mẽ, đã bị Văn phòng Kiểm soát Tài sản Nước ngoài Mỹ (OFAC) trừng phạt vào tháng 8 năm 2022 và các nhà phát triển liên quan đã bị truy tố. Bài học rất rõ ràng: trong thế giới tiền mã hóa ngày nay, sử dụng máy trộn không chỉ là một lựa chọn kỹ thuật mà còn là một hành vi có thể bị quy thành "rửa tiền".
Và khi một vụ hack — dù nhỏ — xuất hiện với chi tiết "hacker đã chuyển tiền vào máy trộn", nó ngay lập tức trở thành một bằng chứng khác cho luận điểm của các cơ quan quản lý. Lịch sử đã chứng minh điều này qua vụ hack Ronin Network mất 600 triệu USD vào năm 2022 — nơi một phần lớn số tiền cuối cùng đã bị đóng băng nhờ sự phối hợp giữa các công ty phân tích và cơ quan thực thi pháp luật. Tiền lệ đó khiến cho bất kỳ vụ chuyển tiền vào máy trộn nào cũng trở thành một miếng mồi cho giới giám sát.
Bây giờ, hãy nhìn vào kỹ thuật đằng sau thông điệp "phần lớn tiền vẫn có thể truy vết". Từ góc độ mật mã học, máy trộn hoạt động dựa trên việc phá vỡ mối liên hệ giữa đầu vào và đầu ra. Nhưng khi một máy trộn CoinJoin được thực hiện, các nhà phân tích như Chainalysis hoặc Elliptic không cần biết chính xác đường đi của từng đồng xu. Họ chỉ cần xây dựng một đồ thị liên kết — vẽ tất cả các địa chỉ đầu vào, tất cả các địa chỉ đầu ra, sau đó sử dụng các heuristic để loại trừ dần các khả năng. Ví dụ: nếu một giao dịch có 10 đầu vào và 10 đầu ra, và một trong các đầu ra có giá trị khớp chính xác với một đầu vào, thì rất có thể đó là "tiền thừa" trả về cho chính người gửi. Các thuật toán phân loại ngày càng thông minh hơn, và dữ liệu từ các sàn giao dịch — nơi KYC là bắt buộc — được đối chiếu chéo để gán nhãn danh tính.
Để hiểu rõ hơn về ý nghĩa của "phần lớn vẫn có thể truy vết", chúng ta cần nói về khái niệm UTXO. Mỗi bitcoin là một chuỗi các giao dịch chưa chi tiêu (UTXO). Khi bạn gửi bitcoin, những gì bạn thực sự đang làm là ký một giao dịch để chi tiêu một UTXO và tạo ra một hoặc nhiều UTXO mới. Máy trộn CoinJoin hoạt động bằng cách gộp nhiều UTXO từ nhiều người dùng vào một giao dịch lớn, sau đó chia nhỏ thành các UTXO mới với cùng tổng giá trị. Nhưng nếu các UTXO mới có giá trị quá khớp nhau, hoặc được rút ra trong một khoảng thời gian quá gần nhau, các nhà phân tích có thể sử dụng các kỹ thuật suy luận để ghép lại câu đố. Một địa chỉ ví đã bị gắn cờ trước khi vào máy trộn sẽ tiếp tục bị theo dõi sau khi các UTXO được rút ra. Vì vậy, "ẩn danh" chỉ kéo dài cho đến khi một nhà phân tích đủ kiên nhẫn ghép nối thành công mối liên hệ.
Dữ liệu on-chain không nói dối. Khi một vụ chuyển tiền vào máy trộn được ghi nhận, nhưng "phần lớn vẫn nằm trong ví có thể truy vết", có hai khả năng. Một là kẻ tấn công đã thực hiện quy trình trộn một cách vội vàng và không đầy đủ — họ chỉ mới bắt đầu và chưa xử lý phần lớn số dư. Hai là họ đang cố tình thăm dò: chuyển một phần nhỏ qua máy trộn để xem các bên giám sát có phản ứng hay không, trước khi quyết định có nên chuyển phần còn lại hay không.
Tôi đã có cơ hội dành ba tháng năm 2022 để kiểm toán hợp đồng thông minh cho một giao thức DeFi — một giao thức sau đó đã bị hack 180 triệu USD. Bài học tôi rút ra từ vụ việc đó rất đơn giản: kẻ tấn công thường không chuyên nghiệp như chúng ta vẫn hình dung. Họ có thể rất giỏi trong việc khai thác một lỗ hổng đơn lẻ, nhưng lại rất kém trong việc tổ chức các bước hậu hack. Tôi từng thấy một kẻ tấn công để quên một hợp đồng thông minh chứa chìa khóa rút tiền trên mạng chính, và một kẻ khác sử dụng cùng một địa chỉ ví để rút tiền từ sàn giao dịch nhiều lần sau khi đã bị gắn cờ. Sự sơ hở trong vụ Coldcard này, nếu nhìn từ lăng kính đó, không có gì bất thường.
Ba tín hiệu cho thấy meta đang chuyển dịch trong câu chuyện này.
Tín hiệu thứ nhất đến từ phía máy trộn. Trước đây, giới tội phạm tin rằng chỉ cần đưa tài sản qua một máy trộn là chúng sẽ "sạch". Nhưng thực tế của các vụ truy quét gần đây đã chứng minh điều ngược lại. Các sàn giao dịch tuân thủ quy định đã triển khai các công cụ truy vết nguồn gốc tài sản, và khi một địa chỉ bị gắn cờ là liên quan đến máy trộn, các sàn này sẽ từ chối nhận tiền gửi hoặc đóng băng tài khoản ngay khi tiền chạm đến. Nói cách khác, máy trộn không còn là một "nút cửa sau" dẫn đến tự do; nó trở thành một dấu chấm than đỏ trên hồ sơ on-chain của bất kỳ ai cố gắng sử dụng nó với mục đích xấu.
Tín hiệu thứ hai đến từ chính Coldcard. Một sản phẩm được thiết kế để trở thành "bất khả xâm phạm" đã bị xâm phạm — hoặc ít nhất là bị cáo buộc xâm phạm. Cho đến khi Coinkite công bố báo cáo chi tiết, chúng ta không biết liệu đây là lỗ hổng phần cứng thực sự, lỗ hổng chuỗi cung ứng, hay một chiến dịch lừa đảo qua thiết bị giả mạo. Nhưng dù là trường hợp nào, câu chuyện "ví phần cứng là nơi an toàn tuyệt đối để cất giữ tài sản mã hóa" đã bị nứt thêm một vết nứt. Trong một thị trường tăng giá, nơi các nhà đầu tư mới đang đổ xô mua ví phần cứng để bảo vệ tài sản, điều này có thể tạo ra một làn sóng hoài nghi — nhưng hãy khoan vội, đó là điều tôi sẽ nói ở phần sau.
Tín hiệu thứ ba, và là tín hiệu quan trọng nhất, là sự thắng thế của câu chuyện "blockchain minh bạch". Khi một bài báo về vụ hack Coldcard được xuất bản với dòng chữ "phần lớn số tiền vẫn có thể truy vết", nó gửi một thông điệp rõ ràng đến công chúng và các nhà quản lý: tiền mã hóa không phải là nơi trú ẩn của tội phạm. Điều này góp phần củng cố lập trường quản lý rằng cần phải siết chặt các dịch vụ trộn tiền. Và nếu siết chặt hơn nữa, các dự án quyền riêng tư hợp pháp — những dự án thực sự cung cấp quyền riêng tư cho người dùng bình thường — sẽ bị tổn hại. Đó là một sự đánh đổi mà cả ngành đang phải trả giá.
Các chỉ báo narrative đang nhấp nháy điều gì? Chúng đang nhấp nháy màu đỏ cho toàn bộ phân khúc "quyền riêng tư và ẩn danh". Mỗi khi một kẻ tấn công sử dụng máy trộn, câu chuyện "máy trộn là công cụ rửa tiền" lại được lặp lại trên các phương tiện truyền thông. Sự lặp lại đó, qua thời gian, định hình nhận thức của cả người dùng lẫn cơ quan quản lý. Và khi nhận thức đã định hình, các quy định cứng rắn hơn sẽ đến, bất kể chúng ta có muốn hay không.
Điều phản trực giác trong vụ việc này, theo quan điểm của tôi, là thiệt hại lớn nhất không đến từ phía Coldcard — mà đến từ phía cộng đồng bảo vệ quyền riêng tư. Hãy nhìn kỹ hơn: những người thực sự đang nắm giữ Coldcard là những người dùng có hiểu biết cao. Họ hiểu rằng không có thiết bị nào an toàn tuyệt đối, và họ sẽ chờ đợi báo cáo sự cố trước khi thay đổi hành vi. Ngược lại, câu chuyện "hacker dùng máy trộn nhưng vẫn bị theo dõi" lại len lỏi vào tâm trí của các nhà hoạch định chính sách và củng cố luận điểm rằng các công cụ ẩn danh trên blockchain cần phải được kiểm soát chặt chẽ hơn.
Nhưng chúng ta cũng cần nhìn vào một khả năng mà hầu hết các bản tin bỏ qua: đây có thể là một chiến thuật thăm dò có chủ đích. Kẻ tấn công biết rằng các công ty phân tích đang theo dõi. Chúng cố tình chuyển một lượng nhỏ vào máy trộn, tạo ra một "tín hiệu giả" để đánh lạc hướng sự chú ý, trong khi phần lớn tài sản — vẫn nằm trong ví có thể truy vết — có thể sẽ được di chuyển qua một con đường khác an toàn hơn mà chưa bị phát hiện. Trong ngành này, tôi đã học được rằng những gì nhìn thấy trên chuỗi thường chỉ là phần nổi của tảng băng. Và nếu kẻ tấn công thực sự thông minh, chúng sẽ không bao giờ dùng cùng một phương pháp để rửa số tiền còn lại.
Vậy nên, trước khi kết luận "rửa tiền thất bại", hãy tự hỏi: liệu chúng ta có đang nhìn vào một vụ rửa tiền thất bại, hay một màn khởi động được tính toán kỹ lưỡng? Với một kẻ tấn công đủ khả năng để khai thác Coldcard — một trong những mục tiêu khó nhằn nhất trong làng ví cứng — thì việc chúng mắc lỗi ngớ ngẩn như chuyển tiền vào máy trộn khi chưa chuẩn bị xong là điều khó tin. Cẩn trọng là đức tính cần thiết của bất kỳ ai đọc báo cáo an ninh mạng, dù là nhà đầu tư bán lẻ hay chuyên gia.
Nếu một chiếc ví phần cứng được mệnh danh là "an toàn nhất thế giới" cũng có thể bị xâm phạm, và một máy trộn được cho là "ẩn danh" không thể che giấu dòng tiền, thì còn nơi trú ẩn thực sự nào cho nhà đầu tư bán lẻ trong thị trường tăng giá này? Có lẽ câu trả lời không nằm ở một thiết bị hay dịch vụ thần kỳ nào, mà nằm ở việc mỗi người phải tự trang bị kiến thức — để hiểu rằng trên một sổ cái công khai, mọi thứ đều có thể theo dõi, và sự an toàn thực sự chỉ đến từ sự hiểu biết.