ช่องโหว่เอนโทรปีใน Coldcard Wallet ถูกโยงเหตุขโมยบิตคอยน์มูลค่า 38 ล้านดอลลาร์

ประกาศเตือนความปลอดภัยเร่งด่วน — หากคุณสร้าง seed (วลีตั้งต้น) บนอุปกรณ์ Coldcard รุ่น Mk3, Mk4, Mk5 หรือ Q ก่อนติดตั้งเฟิร์มแวร์ฮอตฟิกซ์ล่าสุด เงินของคุณอาจมีความเสี่ยง ควรอ่านข้อมูลฉบับเต็มและดำเนินการย้ายกระเป๋าตามขั้นตอนทันที เหตุการณ์ที่เกิดขึ้น — การกวาดเงินบนเชนมูลค่า 38 ล้านดอลลาร์ Lookonchain รายงานว่า บิตคอยน์มูลค่ากว่า 38 ล้านดอลลาร์ หรือ 594.48 BTC ถูกโอนออกจากกระเป๋าประมาณ 500 ใบ ไปยังที่อยู่รวมศูนย์ซึ่งขึ้นต้นด้วย bc1qnk… ภายในช่วงเวลาสั้น ๆ ครอบคลุมบล็อกจำนวนไม่มาก รูปแบบของกระเป๋าที่ถูกดูดเงินมีจุดสังเกตสำคัญ ได้แก่ - ส่วนใหญ่เป็นกระเป๋าแบบลายเซ็นเดียว (singlesignature) ไม่มีการป้องกันแบบ multisig - หลายกระเป๋าไม่เคลื่อนไหวมาหลายปี สะท้อนว่าการโจมตีอาจเล็ง seed เก่าที่มีช่องโหว่ มากกว่ากระเป๋าที่เพิ่งใช้งาน - การโอนเกิดขึ้นพร้อมกันในลักษณะประสานงาน สอดคล้องกับการกวาดเงินแบบอัตโนมัติจาก seed ที่อาจถูกไล่ค้น/คำนวณได้ในพื้นที่ค้นหาที่แคบลง แม้ Coinkite ยังไม่ยืนยันอย่างเป็นทางการว่า “ช่องโหว่เอนโทรปี” เป็นสาเหตุของการกวาดครั้งนี้ แต่จังหวะเวลาใกล้กันระหว่างประกาศเตือนกับธุรกรรมบนเชน รวมถึงลักษณะกระเป๋าที่ได้รับผลกระทบ ทำให้นักวิจัยด้านความปลอดภัยจำนวนมากชี้ว่า ความเสี่ยงจากการสร้าง seed ด้วยเอนโทรปีต่ำเป็นคำอธิบายทางเทคนิคที่มีน้ำหนักที่สุด ประเด็นทางเทคนิค — เอนโทรปีของ Coldcard ผิดพลาดอย่างไร อ้างอิง: Coinkite technical backgrounder — blog.coinkite.com/entropytechnicalbackgrounder/ คำชี้แจงเชิงเทคนิคของ Coinkite ระบุว่ามีบั๊กหลายจุดต่อเนื่องกัน ทำให้ True Random Number Generator (TRNG) ของฮาร์ดแวร์ไม่สามารถเติมความสุ่มเข้าสู่กระบวนการสร้าง seed ได้ตามที่ออกแบบไว้ในเฟิร์มแวร์บางเวอร์ชัน แกนของปัญหาอยู่ที่ขั้นตอนสร้าง seed ซึ่งเป็นฐานรากทางคริปโตของกระเป๋าบิตคอยน์ กลับไปพึ่งพา PseudoRandom Number Generator (PRNG) ฝั่งซอฟต์แวร์จาก MicroPython แทนฮาร์ดแวร์ RNG ที่ควรใช้ สาเหตุเชิงรากคือการตั้งค่า build และการตรวจสอบด้วย preprocessor ที่ไม่บังคับเส้นทางฮาร์ดแวร์ RNG ส่งผลให้ระบบสลับไปใช้ซอฟต์แวร์เป็นค่า fallback แบบเงียบ ๆ โดยผู้ใช้ไม่เห็นสัญญาณเตือน ผลต่อความปลอดภัย (effective security) - Mk3: ประมาณ ~40 บิต (ตั้งใจควรเป็น 128 บิต) - Mk4, Mk5, Q: ประมาณ ~72 บิต (ดีขึ้นบางส่วนจาก secure elements แต่ยังต่ำกว่า 128 บิต) ค่า 40 บิตหมายถึงจำนวน seed ที่เป็นไปได้โดยประมาณอยู่ราว 1 ล้านล้านค่า ซึ่งมากในชีวิตประจำวัน แต่ยังอยู่ในขอบเขตที่ผู้โจมตีที่มีทรัพยากรสูงและฮาร์ดแวร์คอมพิวติ้งสมัยใหม่อาจไล่ค้นได้ ส่วน 72 บิตปลอดภัยกว่ามาก แต่ยังห่างจากมาตรฐาน 128 บิตที่ทำให้การ brute force แทบเป็นไปไม่ได้ในทางปฏิบัติ ความต่างระหว่าง 40/72 กับ 128 บิตไม่ใช่รายละเอียดเล็กน้อย แต่คือเส้นแบ่งระหว่าง “แทบเจาะไม่ได้” กับ “มีโอกาสถูกไล่ค้นได้ภายในกรอบเวลาที่เป็นไปได้” อุปกรณ์และเฟิร์มแวร์ที่ได้รับผลกระทบ อ้างอิง: Coinkite advisory — blog.coinkite.com/coldcardmk3seedgenerationwarning/ - Mk3 — ความเสี่ยงสูง (HIGH RISK): seed ที่สร้างบนเฟิร์มแวร์ 4.0.1 (ออกเดือนมีนาคม 2021) ถึงเวอร์ชันสุดท้ายที่ยังรองรับ 5.0.3 ถือว่าเข้าข่ายเสี่ยง เอนโทรปีมีผลจริงราว 40 บิต ซึ่งรุนแรงที่สุดในกลุ่มที่ได้รับผลกระทบ - Mk4, Mk5 และ Q — ความเสี่ยงเพิ่มสูง (ELEVATED RISK): seed ที่สร้างบนเฟิร์มแวร์ก่อนฮอตฟิกซ์ล่าสุด มีเอนโทรปีลดลงราว 72 บิต แม้ดีกว่า Mk3 แต่ยังต่ำกว่ามาตรฐาน 128 บิตอย่างมีนัย - อุปกรณ์ที่ไม่กระทบ: TAPSIGNER, OPENDIME และ SATSCARD ไม่ได้รับผลกระทบ เนื่องจากใช้โค้ดเบสต่างกันและไม่อยู่ในช่องโหว่นี้ กลุ่มความเสี่ยงต่ำกว่า ผู้ใช้ที่เพิ่มความสุ่มภายนอกด้วยการทอยลูกเต๋าแบบเป็นส่วนตัวและอิสระอย่างน้อย 50 ครั้งในขั้นตอนสร้าง seed (อุปกรณ์ไม่สามารถลดเอนโทรปีส่วนนี้ได้) หรือผู้ที่ใช้ BIP39 passphrase ที่แข็งแรงและไม่ซ้ำใคร จะมีความเสี่ยงลดลงอย่างมาก เนื่องจาก passphrase ถูกประมวลผลแยกจากเอนโทรปีภายในเครื่อง และยังช่วยเพิ่มชั้นป้องกันแม้ RNG ภายในมีปัญหา สิ่งที่ต้องทำ — คู่มือย้ายกระเป๋าแบบทีละขั้น Coinkite เน้นชัดว่า “อัปเดตเฟิร์มแวร์” ไม่ได้แก้ seed เดิม เพราะ seed ได้ถูกสร้างไปแล้วด้วยเอนโทรปีที่ไม่เพียงพอ ไม่มีการอัปเดตใดเปลี่ยนความสุ่มที่ถูกใช้ไปแล้ว ทางออกเดียวคือสร้าง seed ใหม่ทั้งหมดและย้ายเงิน ขั้นที่ 1 — ถือว่า seed เดิมอาจถูกเจาะได้ หาก seed ของคุณถูกสร้างจากอุปกรณ์/เฟิร์มแวร์ที่เข้าข่าย และไม่ได้เพิ่มลูกเต๋า 50+ ครั้ง และไม่ได้ใช้ passphrase ที่แข็งแรง ให้สมมติว่าอาจมีความเสี่ยง อย่ารอข้อมูลเพิ่ม ขั้นที่ 2 — อัปเดตเป็นเฟิร์มแวร์ที่แก้ไขแล้วทันที - Mk4 และ Mk5: อัปเดตเป็นเฟิร์มแวร์ 5.6.0 หรือใหม่กว่า - รุ่น Q: อัปเดตเป็นเฟิร์มแวร์ 1.5.0Q หรือใหม่กว่า - Mk3: ไม่มีแพตช์แก้ไข (ดูมาตรการชั่วคราวด้านล่าง) ขั้นที่ 3 — สร้าง seed ใหม่ทั้งหมดบนเฟิร์มแวร์ที่อัปเดตแล้ว บนอุปกรณ์ที่อัปเดตแล้ว ให้สร้าง seed ใหม่ อย่ากู้คืนจาก seed phrase เดิม seed ใหม่จะถูกสร้างด้วยเอนโทรปีจากฮาร์ดแวร์ที่ถูกต้องและไม่อยู่ในช่องโหว่ เพื่อความปลอดภัยเพิ่มเติม: - ระหว่างสร้าง seed ใหม่ ให้เพิ่มการทอยลูกเต๋าแบบอิสระอย่างน้อย 50 ครั้ง - ใช้ BIP39 passphrase ที่แข็งแรงและไม่ซ้ำใคร และเก็บแยกจากแบ็กอัพ seed ขั้นที่ 4 — สำรอง seed และ passphrase ให้ถูกต้อง จด seed phrase ใหม่ลงบนกระดาษและเก็บอย่างปลอดภัย หากใช้ BIP39 passphrase ให้เก็บแยกจาก seed phrase เพราะต้องใช้ทั้งสองอย่างในการเข้าถึงกระเป๋า การทำหายอย่างใดอย่างหนึ่งเท่ากับสูญเสียการเข้าถึง ขั้นที่ 5 — ตรวจสอบกระเป๋าใหม่ ตรวจสอบ fingerprint ของกระเป๋า และยืนยันอย่างน้อย 1 ที่อยู่รับ (receive address) เพื่อให้มั่นใจว่าตั้งค่าถูกต้องก่อนโอนเงิน ขั้นที่ 6 — โอนทดสอบจำนวนเล็กก่อน ก่อนย้ายยอดทั้งหมด ให้โอนจำนวนเล็กจากกระเป๋าเดิมไปยังกระเป๋าใหม่ และยืนยันว่าเข้าจริง แล้วจึงย้ายยอดที่เหลือ ขั้นที่ 7 — ย้ายเงินที่เหลือทั้งหมด โอนเงินทั้งหมดจากกระเป๋าเดิม (ที่อาจถูกเจาะได้) ไปยังกระเป๋าใหม่ หลังย้ายแล้วอย่าใช้ seed เดิมอีก มาตรการชั่วคราวสำหรับ Mk3 หาก Mk3 เป็นอุปกรณ์เดียวที่มีและยังเข้าถึง Mk4/Mk5/Q ไม่ได้ สามารถลดความเสี่ยงชั่วคราวด้วยการเพิ่ม BIP39 passphrase ที่แข็งแรงและไม่ซ้ำใครให้กับกระเป๋าเดิม มาตรการนี้ไม่ใช่ทางแก้ถาวร ควรวางแผนย้ายไปอุปกรณ์ที่ไม่กระทบโดยเร็ว ทำไมเอนโทรปีจึงสำคัญ (อธิบายแบบไม่เทคนิค) ความปลอดภัยของฮาร์ดแวร์วอลเล็ตขึ้นอยู่กับ “ความสุ่ม” ที่ใช้สร้าง seed เพราะ seed คือกุญแจหลักที่ใช้แตกแขนงที่อยู่บิตคอยน์ทั้งหมด หาก seed ถูกสร้างด้วยความสุ่มไม่พอ ชุดความเป็นไปได้ของ seed จะเล็กลงมาก จากเดิมหนึ่งใน 2¹²⁸ (มากกว่าจำนวนอะตอมในเอกภพที่สังเกตได้) กลายเป็นหนึ่งในประมาณ 2⁴⁰ หรือ 2⁷² ทำให้ผู้โจมตีที่มีทรัพยากรคอมพิวติ้งสูงอาจไล่ค้นได้ คุณสมบัติอย่าง air-gap และความทนต่อการงัดแงะของตัวฮาร์ดแวร์ยังคงเดิม แต่หากฐานรากทางคริปโต (seed) อ่อนแอลง คุณสมบัติด้านกายภาพก็ชดเชยไม่ได้ แหล่งข้อมูลทางการ ควรตรวจสอบข้อมูลผ่านช่องทางของ Coinkite เท่านั้น หลีกเลี่ยงคำแนะนำจากแหล่งไม่เป็นทางการ บัญชีโซเชียลที่อ้างว่าเป็นฝ่ายซัพพอร์ต หรือบุคคลที่สามที่เสนอช่วยกู้คืน/ย้ายเงิน สรุป ช่องโหว่เอนโทรปีของ Coldcard เป็นประเด็นร้ายแรงและซับซ้อน โดยจากหลักฐานบนเชนที่มีอยู่ ถูกเชื่อมโยงว่าอาจนำไปสู่การขโมยบิตคอยน์ราว 38.2 ล้านดอลลาร์จากกระเป๋าที่ได้รับผลกระทบ ต้นเหตุคือบั๊กเฟิร์มแวร์ที่ทำให้ระบบใช้ตัวสุ่มแบบซอฟต์แวร์แทนฮาร์ดแวร์ ส่งผลให้ seed มีความปลอดภัยเชิงผลจริงเพียง 40 หรือ 72 บิตแทน 128 บิต หากคุณถือ Coldcard และสร้าง seed บนเฟิร์มแวร์ที่เข้าข่ายโดยไม่ได้เพิ่มลูกเต๋าหรือไม่ได้ตั้ง passphrase ที่แข็งแรง เงินของคุณอาจเสี่ยงในขณะนี้ ขั้นตอนที่ต้องทำคือ อัปเดตเฟิร์มแวร์ สร้าง seed ใหม่ และย้ายเงินออกทันที คำถามพบบ่อย (FAQ) - ช่องโหว่เอนโทรปีของ Coldcard คืออะไร? บั๊กเฟิร์มแวร์ที่ทำให้ตอนสร้าง seed ไปใช้ PRNG แบบซอฟต์แวร์แทน TRNG ของฮาร์ดแวร์ ส่งผลให้ความปลอดภัยเชิงผลจริงเหลือราว 40 บิต (Mk3) หรือ 72 บิต (Mk4/Mk5/Q) แทนมาตรฐาน 128 บิต - อุปกรณ์ของฉันได้รับผลกระทบหรือไม่? Mk3 ที่ใช้เฟิร์มแวร์ 4.0.1 ถึง 5.0.3 เสี่ยงสูง Mk4, Mk5 และ Q ที่ใช้เฟิร์มแวร์ก่อนฮอตฟิกซ์ล่าสุดก็ได้รับผลกระทบ TAPSIGNER, OPENDIME และ SATSCARD ไม่ได้รับผลกระทบ - อัปเดตเฟิร์มแวร์แล้ว seed เดิมจะปลอดภัยขึ้นหรือไม่? ไม่ เฟิร์มแวร์ไม่สามารถแก้ seed เดิมได้ ต้องสร้าง seed ใหม่บนเฟิร์มแวร์ที่อัปเดตแล้วและย้ายเงินทั้งหมด - ควรอัปเดตเป็นเวอร์ชันใด? Mk4/Mk5: 5.6.0 หรือใหม่กว่า รุ่น Q: 1.5.0Q หรือใหม่กว่า ส่วน Mk3 ไม่มีแพตช์ ให้ใช้ BIP39 passphrase ที่แข็งแรงเป็นมาตรการชั่วคราวและวางแผนย้ายไปอุปกรณ์ที่ไม่กระทบ