ช่องโหว่การสร้าง Seed ของ Coldcard เสี่ยงถูกขโมย Bitcoin

ผู้ใช้ฮาร์ดแวร์วอลเล็ต Coldcard รุ่น Mk3 บางรายอาจจำเป็นต้องย้าย Bitcoin ออกจากที่อยู่เดิม หลัง Coinkite ระบุว่าเงินที่ผูกกับ seed phrase ซึ่งสร้างบนเฟิร์มแวร์ 4.0.1 หรือเวอร์ชัน Mk3 ที่ออกหลังจากนั้น อาจตกอยู่ในความเสี่ยง โดย instagibbs ผู้ร่วมพัฒนา Bitcoin Core ระบุว่าเขาสามารถสร้าง seed ที่มีช่องโหว่ซ้ำได้บน Mk3 ที่เพิ่งเริ่มต้นใช้งานใหม่ Coinkite ระบุด้วยว่าอุปกรณ์ Mk4 และ Mk5 ก็ได้รับผลกระทบหากใช้เฟิร์มแวร์ต่ำกว่า 5.6.0 ส่วนอุปกรณ์ตระกูล Q ได้รับผลกระทบหากต่ำกว่า 1.5.0Q แม้ผลกระทบจะเบากว่า แต่ยังถือว่าร้ายแรง บริษัทเตรียมทำการทบทวนทางเทคนิคอย่างเป็นทางการเพื่อหาสาเหตุรากของปัญหา สาระสำคัญของกรณีนี้อยู่ที่ "การสร้าง seed" ซึ่งเกิดขึ้นก่อนกลไกป้องกันอื่นๆ ของฮาร์ดแวร์วอลเล็ต ไม่ว่าจะเป็นการเก็บกุญแจในพื้นที่ปลอดภัย การเซ็นธุรกรรมแบบออฟไลน์ หรือการตรวจยืนยันบนหน้าจออุปกรณ์ Seed phrase จะปลอดภัยได้ต่อเมื่อมีเอนโทรปี (ความสุ่ม) มากพอ หากความสุ่มอ่อนลง พื้นที่ความเป็นไปได้จะถูกบีบแคบจนผู้โจมตีสามารถไล่ทดสอบ seed ที่เป็นไปได้ สร้างที่อยู่ที่สอดคล้องกัน เฝ้าดูเงินฝากจากเครื่องอื่น แล้วใช้จ่ายเมื่อพบคู่ที่ตรงกันได้ นั่นทำให้ "ช่องว่างอากาศ (air gap)" ไม่ช่วยตั้งแต่ต้นทาง เพราะปัญหาเกิดก่อนที่การป้องกันเหล่านั้นจะเริ่มทำงาน Coinkite ชี้ว่าเฟิร์มแวร์ที่อัปเดตช่วยทำให้กระบวนการตั้งค่าในอนาคตปลอดภัยขึ้น แต่ไม่สามารถเปลี่ยน "วัสดุกุญแจ" ที่ควบคุมที่อยู่เดิมได้ การแก้ไขที่สมบูรณ์สำหรับ seed ที่อาจอ่อนแอคือสร้างคีย์ชุดใหม่ แล้วโอนเหรียญบนเชนไปยังที่อยู่ใหม่ สรุปชั้นความปลอดภัยที่ "ไม่เพียงพอ" ต่อกรณีนี้ - Air gap: กันการเปิดเผยคีย์ผ่านการเชื่อมต่อสด แต่ไม่ช่วยหาก seed ถูกคาดเดาได้ตั้งแต่สร้าง - Secure storage: แยกคีย์ส่วนตัวที่มีอยู่ แต่หากคีย์เริ่มต้นอ่อนแอ ก็เท่ากับปกป้องสิ่งที่ผิด - Offline signing: ปกป้องขั้นตอนการใช้จ่ายหลังมี seed แล้ว ไม่ได้แก้ปัญหาคุณภาพ seed - On-device verification: ให้ผู้ใช้ยืนยันที่อยู่/จำนวนบนจอ แต่ไม่ได้พิสูจน์ว่า seed มีเอนโทรปีเพียงพอ - Firmware update: ปรับพฤติกรรมในอนาคต ไม่สามารถแทนที่ที่อยู่เดิมที่ถูกควบคุมด้วย seed เดิม - New seed + transfer: สร้างคีย์ใหม่และย้ายเงินออกจากที่อยู่เดิม เป็นทางแก้ที่ครบถ้วนสำหรับ seed ที่อาจอ่อนแอ โปรไฟล์ที่เสี่ยงที่สุดตามที่บริษัทอธิบาย คือกรณี Mk3 สร้าง seed แล้วใช้ลายเซ็นเดี่ยว (single-sig) โดยไม่เติมเอนโทรปีจากลูกเต๋า ไม่ตั้ง BIP39 passphrase และไม่ใช้ multisig เพราะจะเหลือเพียงตัวสร้าง seed ของอุปกรณ์เป็นรากฐานการเข้ารหัสเพียงจุดเดียว Coinkite ระบุว่า BIP39 passphrase ที่แข็งแรงและไม่ซ้ำช่วยเพิ่มกำแพงอิสระอีกชั้น ขณะที่ passphrase แบบสั้น ใช้คำทั่วไป มีแพตเทิร์น ใส่เครื่องหมายคำพูด หรือใช้ซ้ำ อาจถูกเดาได้ ทั้งนี้ passphrase ไม่ใช่ PIN ของเครื่อง และจะสร้างวอลเล็ตคนละชุดจาก mnemonic เดิม ทำให้ผู้โจมตีต้องได้ทั้ง mnemonic และ passphrase ถึงจะเข้าถึงได้ แต่ถึงแม้ตั้ง passphrase แข็งแรง Coinkite ก็ยังแนะนำให้ย้ายไป seed ใหม่ อีกทางคือ multisig ซึ่งจำกัดความเสียหายหากมี seed หนึ่งชุดอ่อนแอ เพราะการใช้จ่ายต้องอาศัยคีย์จากผู้ลงนามรายอื่นที่เป็นอิสระ นอกจากนี้ผู้ใช้สามารถเติมเอนโทรปีจากลูกเต๋าเป็นแหล่งสุ่มภายนอก โดยเส้นทางขั้นสูงของ Coinkite ระบุให้ทอยลูกเต๋ายุติธรรมอย่างน้อย 99 ครั้งผ่านโหมดนำเข้าแบบลูกเต๋าเท่านั้น อย่างไรก็ดีแนวทางเหล่านี้ต้องจัดการบันทึกและทดสอบการกู้คืนให้รอบคอบ เพราะการทำ passphrase หายอาจล็อกเจ้าของออกเอง multisig ที่จดบันทึกไม่ดีทำให้กู้คืนยาก และบันทึกผลลูกเต๋าที่รั่วไหลอาจเปิดเผย seed ทดแทน Coinkite แนะนำขั้นตอนลดความผิดพลาดระหว่างการย้าย: ตรวจสอบแบ็กอัป fingerprint และที่อยู่รับ ส่งเงินทดสอบจำนวนเล็กน้อย แล้วค่อยย้ายยอดทั้งหมด เพื่อลดโอกาสเกิดความเสียหายซ้ำจากการพิมพ์ที่อยู่ผิด ใช้วอลเล็ตชั่วคราวที่อ่อนแอ หรือทำแบ็กอัปไม่ครบ การตั้งค่าการดูแลสินทรัพย์และระดับความเสี่ยง (ตามกรอบที่สรุปในเอกสาร) - Mk3 สร้าง seed + single-sig + ไม่มี passphrase/ลูกเต๋า/multisig: เสี่ยงสูงสุด เพราะ seed ที่ได้รับผลกระทบเป็นรากป้องกันเพียงจุดเดียว - Mk3 สร้าง seed + มี BIP39 passphrase: ความเสี่ยงลดลงเฉพาะเมื่อ passphrase แข็งแรงและไม่ซ้ำ ผู้โจมตีต้องมีทั้ง mnemonic และ passphrase - Mk3 สร้าง seed + multisig: ความเสี่ยงลดลงหากผู้ลงนามอื่นเป็นอิสระ seed ที่อ่อนแอหนึ่งชุดไม่พอให้ใช้จ่ายเมื่อเกณฑ์ต้องใช้คีย์อื่น - Mk3 สร้าง seed + เติมเอนโทรปีจากลูกเต๋า: ความเสี่ยงลดลงหากเพิ่มการทอยที่ยุติธรรมและเป็นความลับอย่างน้อย 50 ครั้ง แต่หากน้อยกว่านั้นหรือไม่มั่นใจในกระบวนการ ยังควรย้าย - สร้าง seed ใหม่บนอุปกรณ์ที่ไม่กระทบ: เป็นเส้นทางการแก้ไข โดยย้ายเงินไปคีย์ใหม่ - ย้ายแบบตื่นตระหนกไปวอลเล็ต/ที่อยู่ที่ไม่ตรวจสอบ: เพิ่มความเสี่ยงใหม่ เพราะความเร่งรีบอาจสร้างความเสียหายที่ไม่เกี่ยวกับช่องโหว่เดิม ประเด็นที่ทำให้เรื่องนี้หนักขึ้นคือ "การเก็บเย็นมีต้นทุนบำรุงรักษาระยะยาว" Coinkite ออกเฟิร์มแวร์สุดท้ายของ Mk3 ในเดือนมิถุนายน 2023 ขณะที่คำแนะนำเดือนกรกฎาคม 2026 ครอบคลุม seed ที่ Mk3 สร้างตั้งแต่มีนาคม 2021 เป็นต้นมา ช่องว่างราว 3 ปีระหว่างการสิ้นสุดการซัพพอร์ตกับการต้องดำเนินการเร่งด่วน ทำให้ cold storage กลายเป็นปัญหาการดูแลอุปกรณ์รุ่นเก่า ผู้ถือที่ไม่ได้ใช้งานอาจเปิดเครื่องไม่กี่ปีครั้ง หน้าโปรดักต์เก่าเริ่มถูกค้นหายาก และอาจพลาดประกาศจากผู้ผลิตเป็นเดือนๆ Seed สามารถอยู่ยาวกว่าอุปกรณ์ สายเฟิร์มแวร์ และช่องทางซัพพอร์ตเดิม ทำให้ระบบการดูแลสินทรัพย์ควรมีการแจ้งเตือนที่ทนทานและขั้นตอนการย้ายที่ทำซ้ำได้ เอกสารความปลอดภัยของ Coinkite ยังอ้างถึงโค้ดเปิดและ reproducible builds ในฐานะเครื่องมือให้ตรวจสอบได้ โดยผู้ตรวจทานสามารถเทียบซอร์สกับไบนารีที่ปล่อยจริง แต่ข้อบกพร่องอาจคงอยู่จนกว่าจะมีคนไปตรวจเส้นทางโค้ดที่สร้าง seed ที่ถูกทิ้งไว้ไม่ถูกแตะต้อง ความสามารถในการสร้างไบนารีซ้ำได้บอกว่าโค้ดใดรันอยู่จริง แต่การยืนยันสมมติฐานด้านความปลอดภัยทุกจุดยังต้องอาศัยการทดสอบเอนโทรปีแยกต่างหาก ภาพถัดไปที่เป็นไปได้ถูกวางไว้สองทาง: หากเป็นกรณีบวก ผู้ใช้ที่ได้รับผลกระทบจะหมุนเวียนคีย์อย่างรอบคอบ Coinkite เผยสาเหตุชัดเจน และผู้ผลิตวอลเล็ตปรับการทดสอบเอนโทรปีและช่องทางแจ้งเตือนสำหรับอุปกรณ์เก่า ทำให้การใช้ passphrase, multisig และความสุ่มอิสระแพร่หลายขึ้น แต่หากเป็นกรณีลบ วอลเล็ต Mk3 ที่ไม่ค่อยถูกใช้งานยังคงรับเงินเข้าที่อยู่เดิม เจ้าของรับรู้คำเตือนผ่านรายงานการถูกขโมยหรือการติดต่อฉุกเฉิน การโอนแบบตื่นตระหนกอาจสร้างความเสียหายเพิ่มจากที่อยู่ที่ไม่ตรวจสอบ วอลเล็ตชั่วคราวที่อ่อนแอ หรือแบ็กอัปที่วางผิดที่ พร้อมกับการโยงธุรกรรมบนเชนที่ไม่เกี่ยวข้องเข้ากับช่องโหว่โดยไม่มีหลักฐาน ฮาร์ดแวร์วอลเล็ตทำให้การถือครองด้วยตนเองเป็นไปได้จริงด้วยการปกป้องคีย์ระหว่างการเก็บและการใช้จ่าย แต่คำเตือนของ Coldcard ทำให้โมเดลความปลอดภัยต้องครอบคลุมตั้งแต่การตั้งค่า การเฝ้าระวัง ไปจนถึงการหมุนเวียนคีย์ และทำให้ทุก seed กลายเป็นภาระการบำรุงรักษาระยะยาวที่อาจอยู่ยาวกว่าอุปกรณ์ที่สร้างมัน ที่มา: CryptoSlate