Thiệt hại Coldcard vượt 115 triệu USD, theo dữ liệu của Galaxy Research

Galaxy Research cho biết tổng số tiền bị mất do lỗi trên Coldcard đã vượt qua 115 triệu USD, liên quan tới 1,778.58 Bitcoin (BTC) bị đánh cắp từ 8,680 ví kể từ ngày 30/07, theo số liệu của Galaxy cập nhật đến ngày 13/08.

Một biểu đồ mới từ Galaxy cho thấy 10 nhóm quét lớn nhất dựa trên thói quen giao dịch. Tuy nhiên, phần lớn các địa chỉ bị rút hết tiền vẫn chưa xác định được chủ sở hữu.

Theo dõi chúng tôi trên X để cập nhật những tin tức mới nhất

Coldcard losses have exceeded $115M (based on the price when coins were stolen)Galaxy Research has spoken with 200+ victims to support them and gather intelligence on the attackersThis thread contains additional charts and info 👇 pic.twitter.com/H2K141mugF

— Galaxy Research (@glxyresearch) August 16, 2026

Các coin bị đánh cắp đều thuộc về thời điểm sau khi bản firmware 2021 ra mắt

Bản firmware có lỗi đã được phát hành vào ngày 17/03/2021, tại block 674,951. Galaxy xác nhận không có coin nào bị đánh cắp được tạo ra trước thời điểm này.

Không đồng nào trong tổng số 6,303 BTC bị lấy đi là trước ngày ra mắt firmware. Điều này cũng đúng với 3,598 địa chỉ được các nạn nhân báo cáo. Địa chỉ sớm nhất xuất hiện vào ngày 22/03/2021.

Thời điểm này là bằng chứng của lỗi bảo mật đó. Các khóa tạo trên thiết bị bị ảnh hưởng chỉ xuất hiện sau bản cập nhật, nên những coin liên quan cũng vậy.

Thời gian lưu trữ cho thấy phạm vi ảnh hưởng. Các địa chỉ bị rút tiền thường bị bỏ không trong khoảng trung bình 1,292 ngày, tức hơn 3.5 năm. Trong khi đó, Galaxy từng cảnh báo về làn sóng tấn công mới vào ngày 03/08.

Làn sóng đầu tiên chiếm 61% tổng số trong chưa đầy 1 giờ

Số liệu mới khiến tổng thiệt hại từ ví cứng tăng mạnh so với các thống kê trước. Đợt quét đầu tiên gây tổn thất nặng nề nhất.

Galaxy cho biết 70.2 triệu USD, tương đương 61% tổng số tiền bị mất, là do làn sóng đầu tiên. Tốc độ này thậm chí còn khiến CZ – nhà sáng lập Binance – phải lên tiếng cảnh báo.

Các giao dịch quét diễn ra trong 9 block chỉ trong 41 phút. Người vận hành trả phí cố định khoảng 30 satoshi trên mỗi vByte và rút tiền từng địa chỉ một cho mỗi giao dịch.

Tổng cộng 1,195 địa chỉ bị quét, số tiền được chuyển về bốn ví tập trung. Trong khi đó, Footprint E tiếp cận tới 2,147 địa chỉ và gom tối đa 795 ví trong một giao dịch duy nhất.

Phần lớn Bitcoin bị lấy trong đợt đầu tiên vẫn chưa bị di chuyển. Trong tổng số 1,082.65 BTC bị chiếm đoạt, hiện vẫn còn 1,082.57 BTC chưa có dấu hiệu rời khỏi ví. Ngược lại, Footprint E đã chuyển gần hết 209.94 BTC, chỉ còn lại 4.38 BTC chưa di chuyển.

Làn sóng 3 lại khác. Kẻ tấn công nhận tiền vào các ví thông thường, nhưng sau đó 207.73 BTC đã được chuyển tới các vault theo dạng script-hash.

Báo cáo thực tế vẫn chưa bắt kịp thông tin trên blockchain. Mới chỉ có 192 người gửi báo cáo về mất tiền, tổng cộng 714.81 BTC, chiếm khoảng 40.2% số Bitcoin bị lấy mất.

Trong số các báo cáo, mức bị mất lớn nhất lên tới 58.97 BTC, còn mức trung vị là 1.03 BTC. Hiện còn tới 6,890 địa chỉ, tương đương 1,063.76 BTC, vẫn chưa xác định được chủ sở hữu.

Đăng ký kênh YouTube của chúng tôi để xem các chuyên gia và nhà báo chia sẻ nhận định mới nhất