Trang chủ
Sàn giao dịch
Admin
Sự cố liên quan đến lỗ hổng entropy đang rút tài sản từ ví lạnh Coldcard đã dấy lên những tranh luận gay gắt về quy trình bảo mật và cách hành xử của nhà sản xuất Coinkite. Theo nhận định từ ông Zach Herbert, đồng sáng lập kiêm CEO của Foundation, vụ việc là minh chứng cho thấy danh tiếng của một thương hiệu không bao giờ có thể thay thế cho các tiêu chuẩn bảo mật thực tế.
Nguồn cơn của sự cố bắt đầu từ việc Coinkite thay đổi điều khoản giấy phép nhằm hạn chế các đối thủ cạnh tranh. Quyết định này dẫn đến việc thay thế vội vã các đoạn mã mã hóa vốn đã được thử thách qua thời gian bằng một đoạn mã mới. Đáng tiếc, chính mã thay thế này lại chứa lỗi nghiêm trọng, trực tiếp dẫn đến việc ví bị rút tiền. Ông Herbert nhấn mạnh rằng các nguyên tắc của phần mềm tự do và mã nguồn mở (FOSS) ra đời để đảm bảo an ninh mạng không bị phụ thuộc hoàn toàn vào quyết định mang tính cá nhân của một công ty duy nhất.
Thái độ thù địch với các nhà nghiên cứu độc lập
Bên cạnh lỗi kỹ thuật, một vấn đề nghiêm trọng khác được chỉ ra là cách Coinkite đối xử với cộng đồng nghiên cứu bảo mật độc lập. Lịch sử cho thấy các nỗ lực cảnh báo lỗi trước đây từ giới chuyên gia thường phải nhận lại sự chỉ trích gay gắt từ phía đại diện công ty.
Cụ thể, vào tháng 8/2020, khi các nhà nghiên cứu từ Shift Crypto và Nunchuk phát hiện và công bố lỗi xác thực đa chữ ký (multisig) trên Coldcard, Coinkite dù đã thừa nhận và sửa lỗi, nhưng nhà sáng lập NVK (trên chương trình Citadel Dispatch) lại công khai gọi hành động này là “khủng bố PR” và đặt câu hỏi về năng lực chuyên môn của nhà nghiên cứu khi không có mã định danh lỗi (CVE).
Đến năm 2023, dự án WalletScrutiny tiếp tục báo cáo về các vấn đề liên quan đến việc tái xây dựng (reproduce) các phiên bản Coldcard cũ. Phản hồi lại, đại diện Coinkite đã cáo buộc dự án này kém năng lực hoặc có ý đồ xấu, đồng thời đe dọa sẽ khởi kiện. Dù sau đó các bên độc lập đã chứng minh rằng lỗi tái xây dựng là có thật trên các phiên bản cũ và các nhà nghiên cứu hoàn toàn thiện chí, nhưng phản ứng của Coinkite đã tạo ra một bầu không khí căng thẳng.
Hậu quả từ việc bóp nghẹt các ý kiến phản biện
Theo phân tích, việc công kích công khai các nhà nghiên cứu bảo mật sẽ gây ra những hệ lụy lâu dài cho hệ sinh thái. Công việc đánh giá bảo mật độc lập vốn đòi hỏi nhiều thời gian, công sức và thường không được trả phí. Khi đối mặt với nguy cơ bị bêu rếu, đưa vào danh sách chặn hoặc bị đe dọa pháp lý, các chuyên gia sẽ chọn cách phớt lờ và dành thời gian cho các dự án khác.
Dù không thể khẳng định chắc chắn thái độ này là nguyên nhân trực tiếp khiến lỗi entropy trên Coldcard không được phát hiện sớm hơn, nhưng rõ ràng một môi trường thiếu cởi mở và trừng phạt người tìm lỗi đã làm suy giảm đáng kể khả năng tự vệ của hệ thống.
Theo Coindesk
