ช่องโหว่ RNG ของ Coldcard เชื่อมโยงความเสียหายราว 1,816 BTC — เตือนผู้ใช้บางส่วนต้องสร้างวอลเล็ตใหม่

Coldcard ออกอัปเดตความปลอดภัย 2 รายการ พร้อมแจ้งเตือนผู้ใช้บางส่วนให้ "สร้างวอลเล็ตใหม่" และย้ายบิตคอยน์ที่เก็บไว้บน seed phrase ที่ได้รับผลกระทบ อัปเดตล่าสุด Coldcard ปล่อยเฟิร์มแวร์ 5.6.1 สำหรับอุปกรณ์ Mk4/Mk5 และ 1.5.1Q สำหรับ Coldcard Q หลังการทบทวนเป็นเวลา 3 สัปดาห์ ต่อเนื่องจากการแก้ไขเร่งด่วน (emergency hotfix) เมื่อวันที่ 31 กรกฎาคม การทบทวนครอบคลุมปัญหาการสร้าง seed ในอดีต รวมถึงกระบวนการลงนาม (signing), การเชื่อมต่ออุปกรณ์, การติดตั้งเฟิร์มแวร์ และการตรวจสอบตัวเลขสุ่ม Coldcard ระบุว่ารับทราบลูกค้าที่ได้รับความเสียหายจากช่องโหว่ดังกล่าว และได้เพิ่มความเข้มงวดของกระบวนการสร้าง seed โดยกำหนดให้ต้องมี entropy จากผู้ใช้ ใครได้รับผลกระทบ ช่องโหว่นี้กระทบเฉพาะ seed ที่สร้างบนเฟิร์มแวร์รุ่นเก่าบางช่วง ไม่ได้กระทบ seed ของ Coldcard ทุกชุด โดยช่วงที่เข้าข่ายมีความเสี่ยง ได้แก่ - Mk2/Mk3: seed ที่สร้างบนเฟิร์มแวร์ 4.0.1 ถึง 4.1.9 - Mk4/Mk5: seed ที่สร้างก่อนเฟิร์มแวร์มาตรฐาน 5.6.0 (หรือ Edge 6.6.0X) - Coldcard Q: seed ที่สร้างก่อนเฟิร์มแวร์มาตรฐาน 1.5.0Q (หรือ Edge 6.6.0QX) ส่วนอุปกรณ์ Mk1 และผลิตภัณฑ์อื่นของ Coinkite (TAPSIGNER, OPENDIME, SATSCARD) ใช้ซอฟต์แวร์คนละชุด ไม่อยู่ในขอบเขตการเปิดเผยครั้งนี้ มาตรการใหม่ให้การสร้าง seed ปลอดภัยขึ้น การสร้าง seed ใหม่หลังอัปเดตจะต้องมีแหล่งความสุ่มจากผู้ใช้อย่างน้อย 1 แหล่ง แล้วนำไปผสานกับตัวสร้างเลขสุ่มจริง (TRNG) บนชิป STM32 และ secure elements 2 ตัว (SE1 และ SE2) ทางเลือกสำหรับ entropy จากผู้ใช้ ได้แก่ - กดปุ่มอย่างน้อย 65 ครั้ง โดยมีจังหวะเวลาไม่คาดเดาได้ หรือ - ทอยลูกเต๋า 6 หน้าอย่างยุติธรรมแบบส่วนตัว 50 ครั้ง หรือ - โยนเหรียญจริง 128 ครั้ง Coldcard ย้ำว่าข้อมูลอินพุตจากผู้ใช้ต้องเป็นความลับ หากมีผู้บันทึกไว้ อาจช่วยย้อนสร้าง seed ได้ อัปเดตนี้มีผลเฉพาะ seed ที่สร้างหลังติดตั้งเฟิร์มแวร์แล้วเท่านั้น ไม่สามารถเพิ่มความสุ่มให้ seed ที่สร้างไว้ก่อนหน้า สิ่งที่ผู้ใช้ที่ได้รับผลกระทบต้องทำ 1) อัปเดตเฟิร์มแวร์ และตรวจสอบลายเซ็นดิจิทัลของไฟล์อัปเดตก่อนติดตั้ง 2) สร้าง seed ใหม่ทั้งหมด และตรวจสอบความถูกต้องตามกระบวนการ entropy แบบใหม่ 3) โอนย้ายเงินจากวอลเล็ตเดิมไปยังที่อยู่ (address) ที่ควบคุมโดย seed ใหม่ ยืนยันที่อยู่รับบนตัวอุปกรณ์ ทำธุรกรรมทดสอบจำนวนเล็กน้อย แล้วจึงย้ายยอดทั้งหมด 4) เก็บแบ็กอัปเดิมแบบออฟไลน์ไว้จนยืนยันการย้ายเสร็จ แต่ไม่ควรใช้งานแบ็กอัปเดิมเพื่อรับเงินต่อ ข้อสังเกตและข้อยกเว้น Coldcard ระบุว่า วอลเล็ตที่เจ้าของเคยเพิ่มการทอยลูกเต๋าอย่างยุติธรรม เป็นอิสระ และทำแบบส่วนตัวอย่างน้อย 50 ครั้งก่อนระบบสร้างคำ seed ชุดสุดท้าย เท่ากับให้ entropy ราว 128 บิตอยู่แล้ว จึงไม่เข้าข่ายต้องย้ายแบบบังคับ หากผู้ใช้พิสูจน์ไม่ได้ว่าได้ทำจริง ควรดำเนินการย้ายตามคำแนะนำ การเพิ่ม BIP39 passphrase ช่วยเพิ่มชั้นป้องกัน แต่ไม่สามารถแก้ปัญหา seed ที่อ่อนแอได้ Coldcard แนะนำให้เปลี่ยน recovery phrase ใหม่แม้จะเคยใช้ passphrase มาก่อน ที่มาทางเทคนิคและผลกระทบ ช่องโหว่มีต้นตอจากการเปลี่ยนแปลงเฟิร์มแวร์ในเดือนมีนาคม 2021 ซึ่งอาจทำให้อุปกรณ์ถอยกลับไปใช้รูทีนแบบ deterministic ของ MicroPython ในการสร้าง seed แทนการใช้ TRNG ของฮาร์ดแวร์ STM32 การทบทวนของ Block ประเมินว่า entropy ที่ใช้งานจริงเหลือเพียงราว 40 บิตในอุปกรณ์ Mk2/Mk3 รุ่นเก่า และราว 72 บิตในอุปกรณ์ Mk4/Mk5/Q ที่เข้าข่ายช่องโหว่ ต่ำกว่าค่าที่ตั้งใจไว้ 128 บิตมาก ทำให้ seed บางส่วนอาจถูกไล่ค้นแบบออฟไลน์ได้ นักวิจัยเชื่อมโยงเหตุโจมตีต้องสงสัย 4 ระลอกกับช่องโหว่นี้ โดยประเมินว่ามีบิตคอยน์ราว 1,816 BTC ถูกนำออกจากมากกว่า 5,200 ที่อยู่ (ตัวเลขความเสียหายอาจเปลี่ยนแปลงได้ระหว่างการสืบสวน) Galaxy Research บริษัทวิเคราะห์บล็อกเชน ระบุว่าได้แชร์ที่อยู่ผู้โจมตีที่ต้องสงสัยให้กับกระดานซื้อขายและหน่วยงานบังคับใช้กฎหมายสหรัฐฯ และข้อมูล ณ ต้นเดือนสิงหาคมชี้ว่า บิตคอยน์ราว 90% ที่ถูกย้ายในระลอกโจมตีที่ยืนยันแล้ว ยังอยู่ในวอลเล็ตปลายทางที่ระบุตัวตนได้ การปรับปรุงอื่นในเฟิร์มแวร์ - เพิ่มการตรวจสอบแบบเป็นขั้นสำหรับ PSBT (partially signed Bitcoin transactions) ทันที قبلการลงนาม - เปลี่ยนค่าเริ่มต้นการจัดการ SIGHASH เพื่อปรับขอบเขตส่วนของธุรกรรมที่ลายเซ็นครอบคลุม - เสริมความแข็งแรงของขอบเขต USB และการตรวจสอบการอัปเดตเฟิร์มแวร์ เพิ่มการแยกส่วนใน Delta Mode แก้พฤติกรรมการสำรองข้อมูล และเพิ่มการตรวจสอบเกี่ยวกับการเริ่มต้น RNG และความผิดปกติ เหตุใดจึงสำคัญ เหตุการณ์นี้ตอกย้ำว่าความสุ่มที่แท้จริงเป็นหัวใจของการสร้าง seed และ "seed ที่อ่อนแอ" เปิดช่องให้ผู้โจมตีคำนวณ seed ที่เป็นไปได้ สร้างที่อยู่ และดูดเงินออกได้โดยไม่ต้องเข้าถึงอุปกรณ์จริง ไม่ต้องรู้ PIN และไม่ต้องโจมตีเครือข่าย ผู้ใช้บางส่วนตอบสนองด้วยการย้ายเงินไปยังกระดานซื้อขายหรือผู้รับฝากสินทรัพย์รายอื่น ซึ่งเป็นการเปลี่ยนความเสี่ยงไปเป็นความเสี่ยงคู่สัญญาของบุคคลที่สาม และสอดคล้องกับภาวะเงินไหลเข้ากระดานซื้อขายที่สูงขึ้น สรุป หาก seed ของ Coldcard ถูกสร้างบนเฟิร์มแวร์ที่อยู่ในช่วงเสี่ยง ให้รีบอัปเดตอุปกรณ์ สร้าง seed ใหม่ด้วยขั้นตอน entropy แบบปรับปรุง และย้ายบิตคอยน์ตามขั้นตอนยืนยันที่ Coldcard แนะนำ ตรวจสอบลายเซ็นของเฟิร์มแวร์ก่อนติดตั้ง และเก็บแบ็กอัประหว่างการย้ายไว้จนกว่าจะยืนยันผลสำเร็จ