ช่องโหว่ Seed ของ COLDCARD: แฮกเกอร์หลักยังถือ 1,159 BTC อีกกลุ่มส่ง 64 BTC เข้า Mixer

เหตุโจมตี COLDCARD จากช่องโหว่การสร้าง seed ยังคงสะท้อนบนบล็อกเชนอย่างต่อเนื่อง โดยผู้โจมตีรายใหญ่ที่สุดที่เชื่อมโยงกับช่องโหว่นี้ยังคงถือครอง 1,159 BTC กระจายอยู่ใน 7 แอดเดรส และยังไม่มีการเคลื่อนย้าย ขณะที่อีกรายเริ่มผลักเงินจำนวนย่อยผ่านธุรกรรมที่เชื่อมโยงกับ mixer ซึ่งกลายเป็นร่องรอยใหม่ให้ผู้ตรวจสอบติดตาม ข้อมูลการติดตาม onchain ของ Galaxy Research ระบุว่า เงินที่ถูกขโมยก้อนใหญ่ที่สุดจำนวน 1,159 BTC ถูกกวาดรวมเข้า 7 แอดเดรสภายในราว 41 นาที และยอดคงเหลือยังคงนิ่ง ไม่มีสัญญาณโอนไปยังเว็บเทรด mixer หรือบริการ cash out ที่พบได้ทั่วไป แม้ในเชิงเทคนิคเงินไม่ได้ถูก "อายัด" เพราะโปรโตคอล Bitcoin ไม่สามารถหยุดธุรกรรมได้เพียงเพราะแอดเดรถูกติดธง แต่การนำเหรียญไปแลกเป็นเงิน fiat หรือเข้าสู่บริการที่อยู่ภายใต้การกำกับ มีโอกาสสูงที่จะชนมาตรการ AML/KYC หน่วยงานบังคับใช้กฎหมาย เว็บเทรด และบริษัทวิเคราะห์บล็อกเชนได้ทำเครื่องหมายแอดเดสราว 600 แอดเดสที่เชื่อมโยงกับการขโมยในวงกว้าง ยิ่งเพิ่มความเสี่ยงที่การฝากเข้าแพลตฟอร์มที่ปฏิบัติตามกฎจะถูกตรวจสอบอย่างเข้มงวด ด้านกิจกรรมผ่าน mixer นักวิเคราะห์ติดตามพบกระแสเงิน 64 BTC ไหลเข้าสู่ธุรกรรมที่เชื่อมโยงกับ mixer โดยประมาณ 10 BTC ถูกนำไปผสมทันที ส่วนอีกราว 54 BTC กลับมาเป็นเงินทอนและถูกแยกเป็นเอาต์พุตราว 7 BTC หลายก้อนเพื่อผสมต่อไป แม้ mixer มีเป้าหมายทำให้ที่มาของเงินพร่าเลือนผ่านการรวมและปรับรูปแบบธุรกรรม แต่ไม่ได้รับประกันความนิรนาม กรณีนี้เอาต์พุตที่มีขนาดค่อนข้างใหญ่และสม่ำเสมอกลับทำให้รูปแบบการฟอกติดตามได้ง่ายขึ้น เปิดทางให้ผู้ตรวจสอบเฝ้าดูการ "hop" ต่อ ๆ ไปได้ Galaxy Research ระบุว่ากิจกรรม mixer ดังกล่าวดูไม่เกี่ยวข้องกับคลัสเตอร์ 7 แอดเดสที่ถือ 1,159 BTC ก่อนหน้านี้มีรายงานว่าผู้โจมตีหลายรายอาจฉวยโอกาสจากข้อบกพร่องเดียวกันในการสร้าง seed ของ COLDCARD ทำให้การเคลื่อนไหวจากคลัสเตอร์หนึ่งไม่ควรถูกเหมารวมว่าเป็นฝีมือของผู้เล่นรายเดียวกัน Galaxy Research เคยยืนยันว่ามีการขโมยรวมราว 1,596 BTC ใน 3 ระลอกจากประมาณ 7,300 แอดเดส และพบเหตุการณ์ย่อยที่เกี่ยวข้องอีก 14 เคส อีกทั้งมีความเป็นไปได้ของระลอกที่ 4 ซึ่งอาจดันยอดรวมเข้าใกล้ 2,055 BTC แม้ส่วนเพิ่มดังกล่าวยังไม่ได้รับการยืนยันครบถ้วนจากรายงานของผู้เสียหาย สำหรับต้นตอช่องโหว่ มาจากบั๊กในเฟิร์มแวร์ที่ทำให้ความสุ่มในการสร้าง seed phrase อ่อนลง ผู้โจมตีสามารถสร้าง seed ที่เป็นไปได้แบบออฟไลน์ สร้างแอดเดสจาก seed เหล่านั้น แล้วนำไปเทียบกับแอดเดสที่ใช้งานจริงบนเชนได้ โดยไม่ต้องเข้าถึงอุปกรณ์ ไม่ต้องรู้ PIN และไม่เกี่ยวกับการเจาะโปรโตคอลแต่อย่างใด Coinkite ได้ปล่อยเฟิร์มแวร์ที่แก้ไขแล้ว แต่การอัปเดตอุปกรณ์ไม่สามารถ "ซ่อม" seed ที่ถูกสร้างด้วยเวอร์ชันที่มีช่องโหว่ได้ ผู้ใช้ที่ได้รับผลกระทบต้องสร้าง seed ใหม่และโอนเงินไปยังแอดเดสที่ได้จาก seed ใหม่นั้นจึงจะปลอดภัย ด้านการบังคับใช้กฎหมายและโอกาสการกู้คืน Galaxy ระบุว่าได้แชร์แอดเดสของผู้โจมตีและผู้เสียหายที่ยืนยันแล้วให้หน่วยงานบังคับใช้กฎหมายสหรัฐฯ เว็บเทรด และกลุ่มสืบสวนด้านไซเบอร์ รายการแอดเดสที่ครอบคลุมมากขึ้นช่วยเพิ่มโอกาสตรวจจับความพยายามนำเหรียญเข้าสู่รางการเงินที่อยู่ภายใต้การกำกับ แต่การกู้คืนยังไม่แน่นอน เพราะผู้โจมตีสามารถกระจายเงินผ่านหลายแอดเดส ใช้ mixer แพลตฟอร์มแบบกระจายศูนย์ หรือโยกไปยังเขตอำนาจศาลนอกการเข้าถึงของสหรัฐฯ ก่อนพยายามแลกออก สรุป ผู้โจมตีรายใหญ่ที่สุดที่เชื่อมโยงกับเหตุ COLDCARD ยังคง "นั่งทับ" 1,159 BTC ที่ไม่เคลื่อนไหวตั้งแต่ถูกกวาดรวม ทำให้เหรียญก้อนนี้อยู่ภายใต้การเฝ้าระวังสาธารณะอย่างต่อเนื่อง ขณะที่การเคลื่อนไหวผ่าน mixer ล่าสุดของอีกกลุ่มได้สร้างร่องรอยที่ติดตามได้ ซึ่งผู้ตรวจสอบจะจับตาอย่างใกล้ชิดในระยะถัดไป