Biến Động Coldcard Định Hình Lại Bối Cảnh Cạnh Tranh

Bốn nguồn độc lập đã xác nhận một diễn biến quan trọng trong vụ trộm Coldcard: kẻ tấn công đứng sau đợt khai thác thứ ba đã di chuyển 45% số bitcoin bị đánh cắp, rút cạn 11 kho tiền lớn nhất. Thay đổi này ảnh hưởng đến 190 nạn nhân được Galaxy Research xác định, cũng như các sàn giao dịch và công ty phân tích hiện phải theo dõi các khoản tiền đang di chuyển tích cực thay vì số dư bị đánh cắp tĩnh.

Tác động vận hành rất quan trọng vì mô hình di chuyển cho thấy hoạt động rửa tiền đang diễn ra, không phải ví không hoạt động, điều này thay đổi cách các tổ chức lưu ký và điều tra viên ưu tiên giám sát địa chỉ.

Điều gì đã thay đổi trong đợt tấn công thứ ba

CoinDesk đưa tin rằng hacker Coldcard đã di chuyển $7.7 million BTC, chiếm 45% số bitcoin bị đánh cắp trong đợt tấn công thứ ba. Galaxy Research cho biết kẻ tấn công đã rút cạn 11 kho tiền lớn nhất liên quan đến đợt đó, nghĩa là các tập trung lớn nhất của số tiền bị đánh cắp không còn nằm yên. Decrypt nói thêm rằng kẻ tấn công đã tạo 293 kho tiền riêng biệt cho số bitcoin bị đánh cắp và đang rút chúng theo thứ tự kích thước, từ lớn nhất trước.

Cách tiếp cận có phương pháp này mang lại cho các điều tra viên một chuỗi có thể dự đoán, nhưng nó cũng có nghĩa là các khoản tiền lớn nhất có thể thu hồi đang di chuyển nhanh nhất.

The Block xác nhận con số 45% tương tự và trích dẫn dữ liệu Galaxy từ giữa tháng 8 cho thấy khoảng 1,779 BTC bị đánh cắp từ 190 nạn nhân trên hơn 8,600 địa chỉ. Quy mô số lượng địa chỉ quan trọng vì nó phân mảnh nguồn cung bị đánh cắp trên nhiều ví, làm phức tạp bất kỳ yêu cầu tịch thu hoặc đóng băng đơn lẻ nào. Đối với các sàn giao dịch, điều này có nghĩa là sàng lọc một danh sách ngày càng tăng các địa chỉ được gắn thẻ thay vì một ví có thể xác định duy nhất.

Ai bị ảnh hưởng bởi các động thái quỹ

Các bên liên quan bị ảnh hưởng bao gồm 190 nạn nhân được Galaxy Research xác định, các sàn giao dịch có thể nhận tiền bị ô nhiễm, và các công ty phân tích duy trì danh sách theo dõi địa chỉ. Cointelegraph đưa tin rằng Galaxy cho biết 82% bitcoin bị đánh cắp trong tất cả các cuộc tấn công Coldcard vẫn nằm trong các địa chỉ ban đầu, với 18% đã được chuyển trong các giao dịch rửa tiền rõ ràng. Việc rửa tiền dường như liên quan đến các giao dịch THORChain hoặc CoinJoin, theo báo cáo của Cointelegraph, tạo ra một vấn đề thực tế cho các nhóm tuân thủ vì các phương pháp này che giấu ví đích.

Đối với những người nắm giữ bitcoin sử dụng thiết bị Coldcard, thay đổi được xác nhận không phải là lỗ hổng mới trong phần cứng mà là sự tiếp tục di chuyển tiền từ các vụ khai thác trước đó. Hậu quả vận hành là bất kỳ sàn giao dịch nào nhận bitcoin từ các địa chỉ bị gắn cờ sẽ phải đối mặt với gánh nặng tuân thủ cao hơn. Các tổ chức lưu ký và bàn giao dịch tổ chức xử lý các dòng bitcoin lớn cần kiểm tra xem các công cụ sàng lọc của họ có bao phủ hơn 8,600 địa chỉ được Galaxy xác định hay không, vì kẻ tấn công đang tích cực hợp nhất và di chuyển tiền.

Điều gì vẫn chưa được xác nhận trong các diễn biến Coldcard

Điều vẫn chưa được xác nhận là liệu con số di chuyển 45% chỉ bao gồm đợt thứ ba hay bao gồm cả các đợt tấn công trước đó. Dữ liệu giữa tháng 8 của Galaxy bao phủ khoảng 1,779 BTC từ 190 nạn nhân, nhưng mối quan hệ giữa tổng số đó và 293 kho tiền được Decrypt mô tả vẫn chưa được nêu rõ trong các tài liệu nguồn.

Con số tĩnh 82% từ Cointelegraph áp dụng cho tất cả các cuộc tấn công Coldcard, nhưng con số di chuyển 45% áp dụng cụ thể cho đợt thứ ba, vì vậy độc giả không nên kết hợp các tỷ lệ phần trăm này mà không kiểm tra báo cáo gốc của Galaxy.

Bước kiểm tra tài liệu nguồn tiếp theo là báo cáo đầy đủ của Galaxy Research, báo cáo này sẽ làm rõ liệu 293 kho tiền có độc quyền cho đợt thứ ba hay trải rộng trên nhiều đợt. Nó cũng nên xác nhận liệu 11 kho tiền bị rút cạn có nắm giữ một phần không tương xứng trong tổng số 1,779 BTC hay không. Cho đến khi tài liệu đó được xem xét, các sự kiện được xác nhận là sự di chuyển 45%, 11 kho tiền bị rút cạn, cấu trúc 293 kho tiền và số dư tĩnh 82% trên tất cả các cuộc tấn công.

Đối với độc giả BiFu theo dõi các sự kiện bảo mật bitcoin, bài học thực tế là coi hơn 8,600 địa chỉ được gắn thẻ như một mạng lưới rửa tiền đang hoạt động thay vì một hồ sơ trộm cắp tĩnh. Bước xác minh tiếp theo là kiểm tra xem Galaxy đã công bố danh sách địa chỉ cập nhật kể từ giữa tháng 8 hay chưa, vì sự di chuyển liên tục của kẻ tấn công có nghĩa là bất kỳ danh sách theo dõi nào cũ hơn ngày đó đã không còn đầy đủ.

Tài liệu tham khảo

• https://www.coindesk.com/business/2026/09/07/coldcard-hacker-moves-45-of-bitcoin-stolen-in-third-attack-wave
• https://cointelegraph.com/news/coldcard-third-wave-attacker-moves-bitcoin-stolen
• https://decrypt.co/377537/coldcard-hacker-moves-7-7m-nearly-half-of-third-wave-bitcoin-haul
• https://www.theblock.co/news/defi/2026-09-07-coldcard-exploiter-moves-wave-3-413661