Coldcard เจอบั๊กสร้าง "seed" อ่อนแอ แฮ็กเกอร์กวาดบิตคอยน์หายหลายสิบล้านดอลลาร์

เหตุโจรกรรมบิตคอยน์ครั้งใหญ่เมื่อวันที่ 30 กรกฎาคมถูกเชื่อมโยงกับช่องโหว่การสร้าง "seed" (วลีสำรองกู้คืนกระเป๋า) ของฮาร์ดแวร์วอลเล็ต Coldcard บางรุ่น โดยผู้โจมตีฉวยโอกาสจาก "seed" ที่สุ่มได้ไม่แข็งแรงและโอนบิตคอยน์ออกจากกระเป๋าหลายร้อยใบ คิดเป็นมูลค่ารวมระดับหลายสิบล้านดอลลาร์ Galaxy Research ระบุว่าช่วงการขโมยหลักเกิดขึ้นแบบประสานงานสูงและจบลงภายในราว 25 นาที ขณะที่การไล่ร่องรอยในภาพกว้างเชื่อมโยงได้ประมาณ 1,196 ที่อยู่ (addresses) และมากถึง 1,083 BTC มูลค่าเกือบ 70 ล้านดอลลาร์ โดยกิจกรรมทั้งหมดกินเวลาราว 41 นาที ตัวเลขสุดท้ายอาจเปลี่ยนได้เมื่อผู้ตรวจสอบยังติดตามธุรกรรมต่อบนบล็อกเชนบิตคอยน์ ต้นตอไม่ได้มาจากฟิชชิ่ง มัลแวร์ การขโมยเครื่อง หรือการเจาะระบบแบบรีโมตตามปกติ แต่เป็นความผิดพลาดในเฟิร์มแวร์ที่ทำให้กระบวนการสุ่มสำหรับสร้าง "seed" อ่อนลง "seed" ที่ได้ยังดูปกติ แต่ความเป็นไปได้ของชุดคำกลับแคบกว่าที่ควรอย่างมาก Coinkite ผู้ผลิตจากแคนาดาซึ่งทำ Coldcard ระบุว่า "seed" ของรุ่น Mk3 ที่ได้รับผลกระทบมีเอนโทรปี (entropy) ราว 40 บิต แทนที่จะเป็นมาตรฐาน 128 บิตสำหรับ "seed" 12 คำ ส่วนรุ่นใหม่กว่าอย่าง Mk4, Q และ Mk5 มีการเติมความสุ่มจาก secure element เพิ่มขึ้น แต่ในช่วงก่อนติดตั้งเฟิร์มแวร์ที่แก้ไขแล้ว เอนโทรปีที่มีผลจริงยังถูกประเมินไว้ราว 72 บิต ต่ำกว่ามาตรฐานที่ตั้งใจไว้ ตามคำอธิบายของบริษัท สาเหตุเริ่มจากการย้ายไลบรารีซอฟต์แวร์ในปี 2021 ทำให้ฟังก์ชันสุ่มสองตัวที่หน้าตาคล้ายกันถูกใช้งานผิดตัว ฟังก์ชันหนึ่งใช้ฮาร์ดแวร์ random number generator ในไมโครคอนโทรลเลอร์ แต่อีกตัวเป็นทางเลือกสำรองแบบซอฟต์แวร์ที่อ่อนกว่า เมื่อการตั้งค่าหนึ่งถูกตรวจเพียงว่า "มีอยู่" ไม่ได้ตรวจว่า "เปิดใช้งาน" หรือไม่ แม้ค่าจะเป็นศูนย์ กระบวนการ build ยังผ่านและการสร้าง "seed" เลยเงียบๆ ไปใช้ตัวสุ่มแบบซอฟต์แวร์ ตัวสุ่มสำรองดังกล่าวพึ่งพาข้อมูลที่คาดเดาได้มากขึ้น เช่น ตัวระบุชิปคล้ายซีเรียลนัมเบอร์ และค่าเวลาภายในที่สัมพันธ์กับจังหวะการเริ่มทำงานของเครื่อง ทำให้ผู้โจมตีที่จำกัดขอบเขตอินพุตเหล่านี้ได้เผชิญพื้นที่ค้นหาที่เล็กลงมาก และสามารถไล่ลอง "seed" แล้วเทียบกับที่อยู่บิตคอยน์บนบล็อกเชนได้ รูปแบบการโจมตีบ่งชี้ความเป็นงานอัตโนมัติ ผู้โจมตีเคลื่อนย้ายเร็ว จ่ายค่าธรรมเนียมธุรกรรมแบบกำหนดตายตัวในระดับสูง และไม่สร้าง "change output" ส่งผลให้แต่ละที่อยู่ถูกกวาดจนหมด ขณะที่หลายที่อยู่ที่ถูกโอนออกเคยนิ่งมานานหลายปี และเจ้าของจำนวนมากเป็นผู้ถือระยะยาวที่สร้าง "seed" จากอุปกรณ์ที่รันเฟิร์มแวร์ซึ่งมีช่องโหว่ (ตั้งแต่มีนาคม 2021 เป็นต้นมา) Coinkite ออกประกาศด้านความปลอดภัยและปล่อยเฟิร์มแวร์แก้ไข พร้อมย้ำว่า "แค่อัปเดตเฟิร์มแวร์ไม่พอ" ผู้ใช้ที่เคยสร้าง "seed" บนเวอร์ชันที่ได้รับผลกระทบต้องสร้าง "seed" ใหม่ทั้งหมดบนเฟิร์มแวร์ที่แก้แล้ว และย้ายบิตคอยน์ไปยังที่อยู่ที่ควบคุมด้วย "seed" ใหม่ เนื่องจาก "seed" เดิมอ่อนแอถาวร อัปเดตภายหลังไม่สามารถเติมความสุ่มให้คำที่ถูกสร้างไปแล้วได้ คำแนะนำของบริษัทคือ อัปเดตอุปกรณ์ สร้าง "seed" ใหม่ ตรวจสอบแบ็กอัปและลายนิ้วมือวอลเล็ต (wallet fingerprint) ยืนยันที่อยู่รับ ส่งธุรกรรมทดสอบเล็กน้อย แล้วค่อยย้ายยอดที่เหลือ พร้อมเก็บแบ็กอัปเก่าไว้จนกว่าการโอนจะยืนยันเสร็จ แต่ไม่ควรมองว่า "seed" เก่ายังปลอดภัย เวอร์ชันที่แก้ไขแล้วที่บริษัทระบุ ได้แก่ Mk3 เวอร์ชัน 4.2.0 ขึ้นไป, Mk4 และ Mk5 เวอร์ชัน 5.6.0 ขึ้นไป, Q เวอร์ชัน 1.5.0Q ขึ้นไป รวมถึง Edge เวอร์ชันที่สอดคล้องกัน ส่วนผลิตภัณฑ์ Tapsigner, Opendime และ Satscard ใช้โค้ดคนละชุดและรายงานว่าไม่ได้รับผลกระทบ ผู้ใช้บางรายรอดจากเหตุการณ์นี้เพราะเพิ่มความสุ่มจากภายนอกระหว่างสร้าง "seed" เช่น การทอยลูกเต๋า Coinkite ระบุว่าการทอยลูกเต๋ายุติธรรมอย่างน้อย 50 ครั้งช่วยป้องกันได้เพียงพอ (ทอยมากกว่านั้นยิ่งเพิ่มระยะปลอดภัย) นอกจากนี้ การตั้ง BIP39 passphrase จะสร้างวอลเล็ตอีกชุดที่ไม่สามารถกู้ได้จากคำ "seed" เพียงอย่างเดียว และวอลเล็ตแบบ multisignature ที่ต้องใช้กุญแจจากหลายอุปกรณ์/หลายสถานที่ก็แทบทั้งหมดได้รับการปกป้อง หาก "seed" ที่มีปัญหาเป็นเพียงส่วนหนึ่งของชุดลงนาม Rodolfo Novak ซีอีโอ Coinkite หรือที่รู้จักในชื่อ NVK ออกมาขอโทษต่อสาธารณะเมื่อ 31 กรกฎาคม และยอมรับความรับผิดชอบเต็มที่ โดยระบุว่าแพตช์ช่วยให้ "seed" ที่สร้างใหม่ปลอดภัยขึ้น แต่ไม่สามารถซ่อม "seed" ที่ถูกสร้างภายใต้ซอฟต์แวร์ที่บกพร่องได้ เขาระบุว่าบริษัทจะเผยแพร่รายงานเทคนิคฉบับเต็มหลังตรวจสอบรายละเอียดครบถ้วน และช่วยผู้ใช้ที่ได้รับผลกระทบเรื่องการแจ้งความ เคลมประกัน หรือการสอบสวนอิสระ ประเด็นที่ถูกพูดถึงอีกด้านคือความเสี่ยงจาก AI โดย Novak เตือนว่านักพัฒนาควรตระหนักว่าเครื่องมือ AI สามารถสแกนโค้ดสาธารณะเก่าเพื่อค้นหาจุดอ่อนได้เร็วกว่าแนวทางรีวิวแบบเดิม แม้ยังไม่มีหลักฐานยืนยันว่าช่องโหว่นี้ถูกพบด้วยวิธีใด และบริษัทยังยอมรับว่าการรีวิวล่าสุดด้วยโมเดล AI ชั้นนำก็ไม่สามารถจับปัญหานี้ได้ ผู้ผลิตคู่แข่งบางรายออกมาชี้แจงว่าไม่ได้รับผลกระทบ Ledger ระบุบน X ว่าอุปกรณ์ของตนใช้ True Random Number Generator (TRNG) ที่ได้รับการรับรองในชิป Secure Element สร้างเอนโทรปีเต็ม 256 บิตสำหรับวลี "Secret Recovery Phrase" 24 คำ ขณะที่ Trezor ย้ำว่าผู้ใช้ของตนปลอดภัย เพราะกรณี Coldcard จำกัดอยู่ที่เฟิร์มแวร์เฉพาะของบริษัทและวิธีสร้างความสุ่ม และ Trezor ไม่ได้ใช้โค้ดชุดนั้น พร้อมระบุว่ามีการผสมแหล่งความสุ่มอิสระหลายแหล่งมาโดยตลอด (ฮาร์ดแวร์อุปกรณ์ + โฮสต์ + secure elements ในรุ่นใหม่) ขณะนี้ยังไม่ทราบตัวตนผู้โจมตี และบิตคอยน์ที่ถูกขโมยอาจถูกย้ายออกจากที่อยู่รวมยอดได้ทุกเมื่อ ผู้ตรวจสอบกำลังประเมินจำนวน "seed" ที่เปราะบางที่ถูกสร้างจริง ปริมาณบิตคอยน์ที่ยังเสี่ยง และวอลเล็ตมูลค่าสูงเพิ่มเติมที่อาจถูกระบุตัวแล้วหรือไม่ อีกอุปสรรคคือ Coinkite อาจติดต่อผู้ซื้อเก่าได้ยาก เพราะตามรายงานของ Jameson Lopp ผู้ร่วมก่อตั้ง Casa บน X บริษัทลบข้อมูลลูกค้าทุก 120 วันเพื่อลดความเสี่ยงข้อมูลรั่ว จึงไม่สามารถเข้าถึงลูกค้าที่ซื้ออุปกรณ์ที่มีความเสี่ยงในช่วง 5 ปีที่ผ่านมาเพื่อเตือนภัยได้ นักพัฒนาบิตคอยน์โอเพนซอร์สที่ใช้นามแฝง calle ระบุบน X ว่าเสียใจต่อผู้ได้รับผลกระทบ โดยเฉพาะผู้ที่อาจสูญเงินเก็บทั้งชีวิต และเจ็บปวดที่สุดคือหลายคน "ทำทุกอย่างถูกต้อง" ตามคำแนะนำความปลอดภัยทั่วไปในช่วงเวลานั้น สำหรับผู้ใช้ สิ่งสำคัญเร่งด่วนคือ หากเคยสร้าง "seed" บนเฟิร์มแวร์ที่ได้รับผลกระทบโดยไม่ได้เพิ่มเอนโทรปีจากลูกเต๋าอย่างเพียงพอ ไม่ได้ตั้ง passphrase หรือไม่ได้ใช้ multisig ควรถือว่า "seed" นั้นถูกเจาะได้แล้ว และย้ายเงินไปยังกระเป๋าใหม่ที่สร้างจาก "seed" ใหม่อย่างระมัดระวัง ท่ามกลางความเสียหายครั้งนี้ ชุมชนบิตคอยน์กำลังเร่งกระจายข่าวเพื่อป้องกันไม่ให้มีวอลเล็ตที่ยังเปราะบางถูกกวาดเพิ่ม