บั๊ก Coldcard เผยช่องโหว่เมล็ดคีย์ กวาดบิตคอยน์เสียหายอาจแตะ 130 ล้านดอลลาร์

ทีม Bitcoin Engineering & Security ของ Block ร่วมกับนักพัฒนาอิสระของ Bitcoin Core ระบุสาเหตุการสูญเสียจากกระเป๋าฮาร์ดแวร์ Coinkite Coldcard ระลอกล่าสุดว่าเกิดจากข้อบกพร่องเฟิร์มแวร์ที่ทำให้การสร้างเมล็ดคีย์ (seed) อ่อนแอตั้งแต่ต้นทาง ก่อนผู้ใช้จะได้ใช้งานหรือเปิดเผยวลีช่วยกู้ (seed phrase) ด้วยซ้ำ รายงานชี้ว่า บั๊กดังกล่าวทำให้การสุ่มเลขของอุปกรณ์เบี่ยงจากแหล่งสุ่มฮาร์ดแวร์ STM32 ไปใช้ตัวสำรอง Yasmarang ของ MicroPython ที่มีลักษณะเป็นการสุ่มแบบกำหนดได้ (deterministic) ส่งผลให้ Coldcard Mk2 และ Mk3 ที่ใช้เฟิร์มแวร์ 4.0.1 ถึง 4.1.9 สร้าง seed ที่ความสุ่มเชิงเข้ารหัสลดลงเหลือชุดเล็กๆ ที่สามารถไล่ค้นหาได้ ส่วนรุ่น Mk4, Q และ Mk5 ได้รับผลกระทบน้อยกว่า แต่ยังสร้าง seed ที่มีเอนโทรปีราว 72 บิต ต่ำกว่ามาตรฐาน 128 บิตตามที่ออกแบบไว้ ช่องโหว่นี้ทำให้แม้ผู้ใช้จะจดวลี 12 หรือ 24 คำ เก็บไว้ในที่ปลอดภัย ปิดอุปกรณ์แบบออฟไลน์เป็นเวลาหลายปี ก็ยังอาจถือกุญแจที่ผู้โจมตีสามารถกู้กลับได้จากการไล่ค้นหาพื้นที่ผลลัพธ์ที่จำกัดของตัวสุ่มสำรอง ประเด็นสำคัญคือ การอัปเดตเฟิร์มแวร์จะปกป้องได้เฉพาะ seed ที่ถูกสร้าง “หลัง” ติดตั้งแพตช์เท่านั้น seed ที่ถูกสร้างผ่านเส้นทางที่มีปัญหาไปแล้วต้องเปลี่ยนใหม่ทั้งหมด โดยคำแนะนำของ Coinkite ระบุให้ผู้ได้รับผลกระทบสร้าง seed ใหม่และย้ายเงินออก การนำวลีเดิมไปนำเข้าในกระเป๋าของผู้ผลิตรายอื่นก็ยังคงอ่อนแอเหมือนเดิม เพราะจุดบกพร่องอยู่ที่แหล่งกำเนิดของ seed และติดไปกับชุดคำกู้คืน ภาพรวมสิ่งที่ผู้ใช้คิดว่าปลอดภัยกับสิ่งที่บั๊กเปิดเผยสามารถสรุปได้ดังนี้: การสร้าง seed ที่ควรสุ่มอย่างปลอดภัยอาจ "อ่อนแอตั้งแต่เกิด", การเก็บออฟไลน์ช่วยไม่ได้หากเอนโทรปีต่ำ, การอัปเดตแพตช์ไม่สามารถซ่อม seed เดิม, การย้ายอุปกรณ์โดยนำเข้าวลีเดิมไม่แก้ปัญหา และความสูญเสียอาจเกิดขึ้นได้แม้ผู้ใช้ไม่ทำผิดพลาดอย่างฟิชชิงหรือทำวลีรั่ว Coldcard สร้างชื่อจากคุณสมบัติที่คู่มือด้านความปลอดภัยของ Bitcoin มักแนะนำ เช่น เฟิร์มแวร์ Bitcoin-only, การเซ็นแบบแยกช่องทาง (air-gapped), secure element คู่, โค้ดเผยแพร่ และการ build ที่ทำซ้ำได้ การนำเฟิร์มแวร์ที่เผยแพร่มาสร้างใหม่แล้วเทียบกับไบนารีที่แจกจ่ายยืนยันได้เพียงว่าไบนารีตรงกับสิ่งที่เผยแพร่ แต่ไม่ได้การันตีว่าจะไม่มีข้อผิดพลาดเชิงออกแบบในซอร์สโค้ด ซึ่งต้องอาศัยการตรวจสอบเชิงลึกอีกระดับ เส้นทางที่เปราะบางถูกส่งมากับเฟิร์มแวร์ที่ Coinkite เริ่มปล่อยตั้งแต่ปี 2021 และยังคงมีอยู่จนกระทั่งมีการเปิดเผยในเดือนกรกฎาคมที่ผ่านมา รวมเป็นช่วงเวลาประมาณ 5 ปี ทั้งที่ซอร์สโค้ดเป็นสาธารณะและข้อบกพร่องไม่ถูกตรวจพบ หมายเหตุทางเทคนิคของ Coinkite ระบุว่าเคยมีการตรวจทานพบว่าในไบนารีมีตัวสุ่มฮาร์ดแวร์ที่ถูกต้องอยู่ แต่ไม่ได้ยืนยันว่ารูทีนสร้าง seed เข้าถึงแหล่งสุ่มนั้นจริง ผู้ใช้บางส่วนมี "สมมติฐานที่สอง" ช่วยลดความเสี่ยงจากการกู้ seed ได้ ได้แก่ (1) ตั้ง BIP39 passphrase ที่แข็งแรงและไม่ซ้ำ ซึ่งทำให้ seed ของกระเป๋าได้มาจาก mnemonic ผสานกับ salt ที่มี passphrase อยู่ด้วย ทำให้ passphrase คนละชุดให้กระเป๋าคนละใบแม้คำจะเหมือนกัน อย่างไรก็ดี Coinkite ยังแนะนำให้ผู้ใช้กลุ่มนี้ย้ายเงิน (2) เพิ่มเอนโทรปีจากภายนอกด้วยการทอยลูกเต๋าส่วนตัวอย่างยุติธรรมและเป็นอิสระอย่างน้อย 50 ครั้ง ซึ่งทำให้ตัวสุ่มที่บกพร่องของอุปกรณ์ไม่ใช่อินพุตเดียว Andrew Mannoukas ประธานเจ้าหน้าที่ความมั่นคงสารสนเทศของ Xapo Bank ระบุในบันทึกถึง CryptoSlate ว่า บทเรียนไม่ได้หมายความว่าฮาร์ดแวร์วอลเล็ตเลวร้าย แต่ความเสี่ยงคือ "การรวมศูนย์ของสมมติฐาน" เมื่อความปลอดภัยถูกลดทอนเหลือความลับเดียว สร้างบนอุปกรณ์เดียว ในช่วงเวลาเดียวที่ทำซ้ำไม่ได้ ผู้ใช้ก็รับเอาสมมติฐานทั้งหมดที่ฝังอยู่ในช่วงเวลานั้นมาด้วย เขาเสริมว่า ข้อมูลอุตสาหกรรมชี้มาหลายปีแล้วว่าความสูญเสียส่วนใหญ่เกิดจากการจัดการกุญแจและความล้มเหลวเชิงปฏิบัติการ คำแนะนำเรื่อง multisig มักละข้อแม้สำคัญ: แบบ 2-of-3 ป้องกันได้เมื่อมีเพียง "หนึ่ง" คีย์ถูกเจาะ แต่ถ้าทั้งสามคีย์ใช้การติดตั้งที่บกพร่องเหมือนกัน ก็เท่ากับอยู่ในโดเมนความล้มเหลวเดียว เอกสารของ Coldcard ยังเปิดให้ใช้อุปกรณ์เครื่องเดียวสร้างหลาย co-signer ด้วย passphrase ต่างกัน ทำให้ดูเหมือนแยกคีย์ได้ แต่ยังย้อนกลับไปที่ implementation เดียวกันอยู่ดี แก่นของการทดสอบจึงไม่ใช่แค่ว่าใช้ multisig หรือไม่ แต่เป็นว่าใครสร้างแต่ละคีย์ ใช้ implementation ใด และใช้แหล่งความสุ่มจากไหน ในฝั่งคู่ขนาน Ledger ถูกยกเป็นภาพสะท้อน: บริการ Recover (เป็นตัวเลือก) ของ Ledger ให้ Secure Element ทำสำเนาเอนโทรปีของกระเป๋า เข้ารหัส แบ่งเป็น 3 ชิ้นที่เข้ารหัส แล้วส่งให้ผู้ให้บริการสำรองแยกกัน ซึ่งต้องสมัครสมาชิกและยืนยันบนอุปกรณ์ทุกครั้ง ปัญหาเชิงขอบเขตความปลอดภัยของ Ledger คือการนำความลับออกนอกอุปกรณ์ตามเงื่อนไขที่ผู้ใช้อนุมัติ ส่วนกรณี Coinkite อยู่ "ต้นน้ำกว่า" คือเฟิร์มแวร์ไปบ่อนทำลายความลับตั้งแต่ก่อนเส้นแบ่งอุปกรณ์จะมีความหมาย ในทั้งสองกรณี ซอฟต์แวร์ของผู้ผลิตเป็นตัวกำหนดว่าเส้นแบ่งความปลอดภัยของการถือครองเองอยู่ตรงไหน ไม่ใช่ถ้อยคำการตลาดของฮาร์ดแวร์ ข้อมูลบนเชนระบุว่า การกวาดเงินระยะแรกดึงไปราว 594 BTC จากประมาณ 500 กระเป๋า นักวิจัยบนเชนเชื่อมโยงได้อย่างน้อย 3 ระลอกที่น่าสงสัยรวมเกือบ 1,367 BTC ครอบคลุมมากกว่า 4,500 แอดเดรส คิดเป็นมูลค่าราว 89 ล้านดอลลาร์ในขณะนั้น รายงานที่เผยแพร่เมื่อ 3 ส.ค. กล่าวถึงความเป็นไปได้ของระลอกที่สี่ ซึ่งอาจดันยอดรวมไปใกล้ 114 ล้านดอลลาร์ Alex Thorn ของ Galaxy Digital เตือนว่า รูปแบบบนบล็อกเชนเพียงอย่างเดียวไม่สามารถยืนยันความเชื่อมโยงระหว่างบางแอดเดรสที่ถูกกวาดกับเฟิร์มแวร์ Coldcard ที่เปราะบางได้ ทำให้การระบุที่มา (attribution) ยังเป็นเพียงข้อสันนิษฐาน ขณะที่ตัวเลขยังเพิ่มขึ้น ต่อมา Lookonchain อัปเดตเมื่อ 4 ส.ค. โดยอ้าง Galaxy Research ประเมินว่าความเสียหายที่เกี่ยวข้องกับ Coldcard อาจแตะ 2,055 BTC หรือราว 130 ล้านดอลลาร์ ครอบคลุมมากกว่า 7,700 แอดเดรสที่ได้รับผลกระทบ TRM Labs ระบุว่า การถูกเจาะเชิงโครงสร้างพื้นฐานและเชิงปฏิบัติการ โดยเฉพาะการขโมย private key และ seed phrase คิดเป็นราว 76% ของมูลค่าที่ถูกขโมยในการแฮ็กคริปโตช่วงครึ่งแรกปี 2026 แต่คิดเป็นราว 15% ของจำนวนเหตุการณ์ทั้งหมด ขณะที่ CertiK จัดให้ "การถูกเจาะกระเป๋า" เป็นหมวดการโจมตีที่สร้างความเสียหายสูงสุดในช่วงเดียวกัน มากกว่า 444 ล้านดอลลาร์จาก 33 เหตุการณ์ สะท้อนว่าผู้โจมตีทำกำไรได้มากกว่าจากการโจมตีระบบและกระบวนการรอบกุญแจ มากกว่าการเจาะคริปโตกราฟีโดยตรง Rodolfo Novak ผู้ก่อตั้ง Coinkite ออกมาขอโทษต่อสาธารณะ ระบุว่าบริษัทรับผิดชอบเต็มที่ และเสนอความช่วยเหลือเรื่องรายงานตำรวจ เคลมประกัน และการสืบสวนบนบล็อกเชน ณ วันที่ 3 ส.ค. การชดเชยไม่ได้อยู่ในรายการแนวทางแก้ไขที่ประกาศไว้ กรณีของผู้ให้บริการแลกเปลี่ยน (exchange) หากทำเงินลูกค้าหาย บางครั้งยังพอใช้ทุนสำรอง ประกัน หรือฐานะการเงินมารองรับได้ แต่ผู้ผลิตฮาร์ดแวร์วอลเล็ตขายสินค้าและโดยทั่วไปปล่อยให้การถือครอง Bitcoin อยู่กับผู้ใช้เพียงลำพัง ทำให้ความรับผิดจากข้อบกพร่องของผลิตภัณฑ์ยังเป็นช่องว่างที่ไม่ชัดเจนระหว่างผู้ใช้กับผู้ผลิต มุมมองต่อการถือครองเองของ Bitcoin หลังเหตุการณ์นี้ มีทั้งกรณีบวกและกรณีลบ หากการย้ายเงิน (migration) เกิดขึ้นรวดเร็วกว่าแรงจูงใจของผู้โจมตี และผู้ผลิตเพิ่มการทดสอบเอนโทรปี การออกหลักฐานยืนยัน (attestation) การทดสอบกระบวนการสร้าง seed และเครื่องมือหมุนคีย์ฉุกเฉินที่ชัดเจน แนวทางอย่าง passphrase การเติมเอนโทรปีด้วยลูกเต๋า และ multisig ที่กระจายแหล่งกำเนิดคีย์อย่างแท้จริงอาจกลายเป็นคำแนะนำมาตรฐาน ไม่ใช่ทิปขั้นสูง อีกด้านหนึ่ง หากนักวิจัยพบเส้นทาง seed อ่อนแอเพิ่มเติมในรุ่นหรือขั้นตอนตั้งค่าอื่น ความเชื่อมั่นอาจถดถอยเร็วกว่าที่ผู้ผลิตจะออกแพตช์ได้ การย้ายเงินแบบตื่นตระหนกยังอาจสร้างความเสียหายของตัวเอง เช่น ความผิดพลาดจากการใช้แอดเดรสซ้ำ การโอนแบบเร่งรีบ และการหลอกลวงซัพพอร์ตวอลเล็ตระลอกใหม่ที่โจมตีผู้ใช้ซึ่งกำลังพยายามย้ายเงินไปสู่ความปลอดภัย สาระสำคัญของเหตุการณ์คือ การถือคีย์เองช่วยตัดอำนาจของ exchange ในการระงับการถอน นำเงินไปใช้ซ้ำ (rehypothecate) หรือพังจากการล้มละลายพร้อมเงินลูกค้า แต่ยังมี "การพึ่งพา" ที่เหลืออยู่ใน self-custody คือผู้ผลิตอุปกรณ์ที่แปลงความสุ่มให้กลายเป็นคีย์ เมล็ดคีย์เดียวที่เกิดจากฮาร์ดแวร์บริษัทเดียว ในช่วงเวลาที่ทำซ้ำไม่ได้ จะเป็นความเป็นอธิปไตยได้จริงก็ต่อเมื่อมีสมมติฐานอิสระอีกชั้นหนึ่งค้ำอยู่เบื้องหลัง