Gần đây, cộng đồng tiền điện tử đã thảo luận rộng rãi về một tin tức: Các cơ quan thực thi pháp luật Hoa Kỳ bị nghi ngờ đã thu thập được khóa riêng của khoảng 120.000 Bitcoin đã được chuyển đi một cách bí ẩn vào năm 2020, với giá trị lên tới 15 tỷ đô la. Theo báo cáo của Elliptic [1], những tài sản này ban đầu được liên kết với nhóm khai thác Lubian.com và sau đó đã bị Bộ Tư pháp Hoa Kỳ chính thức tịch thu. Nhiều người suy đoán rằng các cơ quan thực thi pháp luật có thể đã khai thác một lỗ hổng trong số ngẫu nhiên được tạo ra khi ví được tạo ra để tái tạo hoặc chiếm đoạt khóa riêng. Một số người cũng tin rằng đây là một hoạt động bẻ khóa kỹ thuật do chính phủ Hoa Kỳ chỉ đạo.
Sau khi tin tức được đưa ra, nó đã gây ra một cú sốc mạnh mẽ trong toàn bộ ngành công nghiệp tiền điện tử và nhanh chóng trở thành một chủ đề nóng trong ngành. Sự việc này không chỉ gây ra những tranh luận rộng rãi ở cấp độ kỹ thuật và bảo mật, mà còn khiến các nhà đầu tư lo ngại về độ tin cậy và khả năng phòng ngừa rủi ro của tài sản tiền điện tử. Bài viết này sẽ xem xét một cách có hệ thống sự cố này và các nguyên nhân bảo mật tiềm ẩn từ cả góc độ kỹ thuật lẫn thực tế, phân tích sâu sắc các chi tiết kỹ thuật quan trọng, xem xét toàn diện các sự kiện và khám phá những tác động sâu rộng tiềm tàng của chúng. Số Ngẫu nhiên và Bảo mật Khóa Riêng: Mạch sống của Thế giới Blockchain Trong thế giới blockchain, số ngẫu nhiên là nền tảng của bảo mật mật mã. Khóa riêng của mỗi ví Bitcoin hoặc Ethereum được tạo ra bằng một số ngẫu nhiên. Nếu số ngẫu nhiên này thiếu "tính ngẫu nhiên" cần thiết, tin tặc có thể dự đoán khóa riêng và đánh cắp tài sản kỹ thuật số. Để giảm thiểu rủi ro này một cách hiệu quả, ví phải sử dụng Bộ Tạo Số Ngẫu nhiên An toàn về Mật mã (CSPRNG) để đảm bảo rằng các số ngẫu nhiên được tạo ra thực sự không thể đoán trước và không thể sao chép. Các ví dựa trên thuật toán ngẫu nhiên không an toàn có thể hoạt động bình thường, nhưng trên thực tế, chúng ẩn chứa những rủi ro tiềm ẩn: nếu tính ngẫu nhiên có thể được dự đoán thành công, tổn thất tài sản sẽ trở nên không thể đảo ngược.
Từ năm 2022 đến năm 2023, một số sự cố bảo mật lớn do cùng một lỗ hổng số ngẫu nhiên gây ra đã lần lượt được tiết lộ, phơi bày toàn bộ mức độ nghiêm trọng và bản chất lan rộng của vấn đề này.#p#分页标题#e#
Vào ngày 20 tháng 9 năm 2022, nhà tạo lập thị trường nổi tiếng Wintermute đã gặp phải một sự cố bảo mật lớn và khoảng 160 triệu đô la tài sản kỹ thuật số đã bị đánh cắp [2]. Kẻ tấn công đã khéo léo khai thác điểm yếu của công cụ tạo địa chỉ Profanity - công cụ này dựa vào Mersenne Twister (MT19937) làm nguồn số giả ngẫu nhiên để tạo ra "địa chỉ đẹp" trong một số trường hợp sử dụng.
Do đầu ra của MT19937 có thể dự đoán được khi không có đủ entropy injection, nên kẻ tấn công đã có thể tạo lại một phần của quy trình tạo địa chỉ/khóa riêng, tính toán thành công khóa riêng tương ứng và chuyển tiền. Trường hợp này đánh dấu lần đầu tiên trong lịch sử tiền điện tử mà một ví của tổ chức bị xâm phạm do sử dụng sai số ngẫu nhiên, báo hiệu rằng các vấn đề về tính ngẫu nhiên đã phát triển từ sự bất cẩn đơn giản của nhà phát triển thành rủi ro bảo mật hệ thống. Safeheron đã đăng một bài phân tích các chi tiết kỹ thuật của cuộc tấn công và tạo lại quy trình tấn công. [3]Vào tháng 4 năm 2023, các nhà nghiên cứu bảo mật đã phát hiện ra rằng tiện ích mở rộng trình duyệt Trust Wallet (phiên bản 0.0.172–0.
