ช่องโหว่การสร้าง "seed" ของ Coldcard เปิดทางโจรกรรมบิตคอยน์ครั้งใหญ่ แม้ชิป Secure Element ไม่ถูกเจาะ

รายงานวิเคราะห์เชิงเทคนิคของ BIT ที่เผยแพร่เมื่อ 7 สิงหาคม 2026 ระบุว่า เหตุโจรกรรมที่กระทบผู้ใช้กระเป๋าเงินฮาร์ดแวร์ Coldcard ตั้งแต่ 30 กรกฎาคม 2026 ไม่ได้เกิดจากการเจาะชิป secure element แบบคู่ของอุปกรณ์ แต่เกิดจากข้อบกพร่องในชั้นซอฟต์แวร์ก่อนถึงชิป กล่าวคือขั้นตอน "ผลิต seed" ตั้งแต่ต้นทาง ทำให้คีย์ที่ถูกเก็บในชิปอาจอ่อนแอตั้งแต่เกิด แม้ตัวชิปจะทนต่อการสกัดข้อมูลทางกายภาพได้อย่างไร้ที่ติ Coldcard ผลิตโดย Coinkite บริษัทจากแคนาดา และใช้ชิป secure element สองตัว ได้แก่ Microchip ATECC608 และ Maxim DS28C36B ซึ่งถูกออกแบบให้ต้านทานการงัดแงะในระดับห้องแล็บ ตามที่ BIT ระบุ จุดอ่อนอยู่ที่ "seed" ต้องถูกสร้างขึ้นมาก่อนแล้วจึงส่งไปเก็บในชิป และขั้นตอนนี้เองที่มีบั๊ก รายงานของ Block ที่ The Hacker News อ้างเมื่อ 1 สิงหาคม 2026 ระบุว่า การตั้งค่าระหว่างการผลิตของ Coldcard กำหนดมาโครชื่อ MICROPY_HW_ENABLE_RNG เป็นศูนย์ เนื่องจาก Coinkite มี wrapper ของฮาร์ดแวร์ RNG ของตัวเอง แต่ไลบรารีที่เกี่ยวข้อง (libngu) ตรวจเพียงว่า "มี" มาโครนี้หรือไม่ ไม่ได้ตรวจว่า "เปิดใช้งาน" หรือไม่ ส่งผลให้เฟิร์มแวร์ไปผูกกับตัวสร้างเลขสุ่มสำรองของ MicroPython ที่ชื่อ Yasmarang แทน CoinDesk ในรายงานวันที่ 31 กรกฎาคม 2026 อธิบายข้อบกพร่องในทิศทางเดียวกัน โดยชี้ว่า build setting ทำให้อุปกรณ์ข้ามการใช้ตัวสร้างความสุ่มจากฮาร์ดแวร์ และการตรวจในไลบรารีประกอบเช็กแค่ว่ามีการตั้งค่าอยู่ ไม่ได้เช็กสถานะการเปิดใช้งาน Block ระบุการเปลี่ยนแปลงดังกล่าวย้อนไปถึงคอมมิตวันที่ 1 มีนาคม 2021 ตามที่ CoinDesk อ้าง รายละเอียดว่า Yasmarang ถูกป้อนค่าเริ่มต้นอย่างไรมีความต่างเล็กน้อยระหว่างสำนักข่าว แต่สรุปผลตรงกัน The Hacker News (อ้าง Block) ระบุว่าเริ่มต้นจาก unique ID ของอุปกรณ์และรีจิสเตอร์เวลา และไม่มีการเติม entropy ใหม่หลังจากนั้น CoinDesk ระบุอินพุตเดียวกันในรูปแบบหมายเลขซีเรียลของชิปและรีจิสเตอร์นาฬิกา พร้อมระบุว่าเป็นข้อมูลไม่ลับ ส่วน BIT (7 สิงหาคม 2026) ระบุว่ามี Yasmarang สองอินสแตนซ์นำมา XOR กัน โดยหนึ่งอินสแตนซ์ถูก seed จากค่าคงที่สาธารณะที่ hardcode ไว้ ความต่างเหล่านี้สะท้อนการสืบย้อนเหตุการณ์จากทีมอิสระหลายทีม ไม่ใช่คำอธิบายแบบไล่บรรทัดจาก Coinkite ในที่สาธารณะ ผลเชิงปฏิบัติที่สื่อหลายแห่งอ้างจากการประเมินของ Coinkite (The Hacker News, BIT และ crypto.news) คือ seed ที่ถูกสร้างภายใต้บั๊กนี้มี entropy ที่มีผลจริงราว 40 บิตบนรุ่น Mk2 และ Mk3 และราว 72 บิตบนรุ่น Mk4, Mk5 และ Q เทียบกับเป้าหมายการออกแบบ 128 บิตสำหรับ seed มาตรฐาน BIP39 ทั้งนี้ Block (ตามที่ The Hacker News ระบุ) ไม่ให้ตัวเลข brute force แบบสรุปเดียว โดยให้เพดานแบบมีเงื่อนไขและเตือนว่าค่าที่สูงกว่านั้นไม่เท่ากับความปลอดภัยเชิงคริปโตแท้จริงที่ระดับ 73 บิต ขณะเดียวกันยังไม่มีรายงานสาธารณะใดเผยแพร่ benchmark การ brute force และยังไม่มีรายงานใดระบุว่าสามารถกู้ seed ของเหยื่อรายใดรายหนึ่งและจับคู่กับที่อยู่ที่ถูกดูดเหรียญได้ ตามที่ The Hacker News ระบุ BIT เน้นขอบเขตหน้าที่ของ secure element อย่างชัดเจนว่า ชิป "ไม่ตรวจสอบว่า seed ถูกสร้างด้วยความสุ่มเพียงพอหรือไม่" มันปกป้อง seed หลังการสร้าง แต่ไม่สามารถประเมินคุณภาพของ seed ตอนถูกส่งเข้าไปได้ ข้อเท็จจริงนี้สำคัญต่อการเปรียบเทียบกระเป๋าเงินฮาร์ดแวร์ โดย BIT ระบุว่าโครงสร้างสองชิปของ Coldcard ทำให้ผู้โจมตีที่พยายามสกัดข้อมูลทางกายภาพต้องเอาชนะชิปจากคนละแหล่งสองตัวและยังต้องผ่านโปรเซสเซอร์หลัก ซึ่งยากกว่าแบบชิปเดียว ขณะที่ Ledger และ Trezor (ตาม BIT) ใช้ secure element อย่างละหนึ่งตัว บทเปรียบเทียบของ Spark Money (ฉบับที่ตรวจสอบไม่มีระบุวันเผยแพร่) ระบุว่า Ledger ใช้ชิป STMicroelectronics ที่ได้รับการรับรอง Common Criteria ระดับ EAL5+ หรือ EAL6+ แล้วแต่รุ่น ส่วน Trezor Safe 3 และ Safe 5 ใช้ OPTIGA Trust M ของ Infineon Spark Money ยังระบุว่าเอกสาร secure element ของ Trezor เปิดเผยต่อสาธารณะให้นักวิจัยตรวจสอบได้ ขณะที่เฟิร์มแวร์ secure element ของ Ledger ยังปิดภายใต้สัญญา NDA กับ STMicroelectronics แม้ซอฟต์แวร์ชั้นแอปของ Ledger จะเปิดกว้างเป็นส่วนใหญ่ สำหรับ Coldcard นั้น Spark Money และ BIT ระบุสอดคล้องกันว่าเผยแพร่ซอร์สโค้ดเฟิร์มแวร์เต็มรูปแบบ อย่างไรก็ดี ความเปิดกว้างไม่ได้ป้องกันความผิดพลาดเดือนมีนาคม 2021 จากการหลุดรอดนานกว่า 5 ปี เฟิร์มแวร์ที่ตรวจสอบได้ไม่ได้แปลว่าได้รับการตรวจสอบเข้มพอจะจับบั๊กประเภทนี้ ซึ่งเป็นการ์ดที่เช็กแค่ว่ามีการตั้งค่าถูกประกาศไว้ ไม่ได้เช็กค่าที่ตั้งจริง นี่เป็นช่องว่างที่ทั้ง secure element และโอเพนซอร์สเพียงลำพังปิดไม่ได้ ตัวเลขความเสียหายที่รายงานแตกต่างกันเพราะช่วงเวลาและขอบเขตการนับไม่เท่ากัน ไม่ใช่เพราะมีใครรายงานผิด CoinDesk (เผยแพร่และอัปเดต 31 กรกฎาคม 2026) รายงานว่ามีการกวาดประมาณ 594 BTC หรือราว 38 ล้านดอลลาร์ จากกระเป๋า single-signature ราว 500 ใบ ในช่วงเวลา 01:31–01:56 UTC ส่วน crypto.news (1 สิงหาคม 2026) รายงานตัวเลข 594 BTC และราว 38 ล้านดอลลาร์เช่นกัน แต่ระบุช่วงเวลา 02:14–02:39 UTC ซึ่งความต่างของ timestamp นี้ไม่สามารถชี้ขาดได้จากหลักฐานที่มี The Hacker News (1 สิงหาคม 2026) อ้างการทำแผนที่ของ Galaxy Research ที่ขยายขอบเขตเป็น 1,196 แอดเดรสถูกดูดภายใน 41 นาทีในวันที่ 30 กรกฎาคม รวม 1,082.65 BTC หรือราว 70.2 ล้านดอลลาร์ ต่อมา The Hacker News อัปเดตว่า Galaxy Research พบเพิ่มอีกสองระลอก ทำให้ยอดที่สังเกตได้เพิ่มเป็น 1,367.05 BTC หรือราว 88.6 ล้านดอลลาร์ ครอบคลุม 4,585 แอดเดรส ขณะที่ BIT (7 สิงหาคม 2026) ให้ยอดสะสมถึงวันที่ 3 สิงหาคม 2026 ที่ประมาณ 1,816 BTC มากกว่า 116 ล้านดอลลาร์ ครอบคลุมมากกว่า 5,200 แอดเดรส และระบุว่าเป็นการโจมตีกระเป๋าเงินฮาร์ดแวร์ที่ใหญ่ที่สุดเท่าที่มีบันทึก ความต่างของตัวเลขจึงเกิดจากจุดตัดข้อมูลและขอบเขตการไล่ตามแอดเดรส CoinDesk และ crypto.news เน้นระลอกแรก ขณะที่ The Hacker News และ BIT ใช้ยอดสะสมที่ขยายตามการทำแผนที่เพิ่มเติมของ Galaxy Research ในหลายวันถัดมา ทั้งนี้ Galaxy Research (ตามที่ The Hacker News ระบุ) เตือนว่าข้อค้นพบอาศัยการวิเคราะห์รูปแบบธุรกรรมบนเชน และไม่ได้ยืนยันเชิงคำนวณทุกแอดเดรสที่ถูกตั้งธงว่ามาจาก entropy อ่อนของ Coldcard อีกทั้งยังระบุว่ากิจกรรมยังดำเนินต่อ ณ เวลาที่อัปเดต และรายงานแอดเดรสที่สงสัยว่าอยู่ภายใต้การควบคุมของผู้โจมตีราว 600 แอดเดรสให้หน่วยงานสืบสวนแล้ว ทำให้ยอดรวมอาจเปลี่ยนได้อีก ส่วนที่ยังไม่ชัดเจนจากหลักฐานสาธารณะ ได้แก่ ไม่มีแหล่งข่าวใดสรุปตัวเลขความเสียหาย "สุดท้าย" ชัดเจน ควรมอง 594 BTC, 1,082.65 BTC, 1,367.05 BTC และ 1,816 BTC เป็นการวัดต่างช่วงเวลาและต่างขอบเขต ไม่ใช่คำตอบสุดท้ายที่แข่งขันกัน นอกจากนี้ crypto.news รายงานว่า Coinkite อ้างว่าผู้โจมตีอาจใช้ AI เพื่อค้นหาช่องโหว่ และการรีวิวด้วย AI ของบริษัทเองก่อนหน้านั้นไม่พบประเด็นร้ายแรง โดย crypto.news เรียกข้ออ้างดังกล่าวว่า "น่าเป็นไปได้แต่ยังไม่ยืนยัน" และยังไม่มีหลักฐานอิสระยืนยันการระบุที่มา The Hacker News ระบุว่าไม่มีรายงานสาธารณะใดสามารถกู้ seed ที่ถูกขโมยของเหยื่อรายใดรายหนึ่งแล้วจับคู่กับแอดเดรสที่ถูกดูดเหรียญได้ ขณะที่รูปแบบที่ Galaxy Research ใช้เพื่อโยงระลอกต่าง ๆ เข้าด้วยกันเป็นการระบุพฤติกรรมธุรกรรม ไม่ใช่การยืนยันสาเหตุ และ Galaxy ระบุชัดว่าไม่ถือว่า Wave 3 เชื่อมโยงกับ Wave 1 และ Wave 2 ในด้านขอบเขตเวอร์ชันที่ได้รับผลกระทบ คำแนะนำของ Coinkite ระบุว่าเฟิร์มแวร์ Mk3 เวอร์ชัน 4.0.1 ถึง 4.1.9 อยู่ในช่วงเสี่ยง และไม่ระบุ Mk2 ส่วนการวิเคราะห์ของ Block (ตามที่ The Hacker News อ้าง) ระบุว่าทั้ง Mk2 และ Mk3 เวอร์ชัน 4.0.0 ถึง 4.1.9 อยู่บนเส้นทางที่มีช่องโหว่ ซึ่งกว้างกว่าที่คำแนะนำของ Coinkite ครอบคลุม และไม่สามารถยืนยันได้จากข้อมูลที่มีว่าขอบเขตใดเป็นข้อสรุปสุดท้าย ยังไม่มีรายงานในชุดหลักฐานนี้ที่ประเมินภายนอกในระดับเดียวกับที่ Block ทำกับ Coldcard สำหรับโค้ดสร้าง seed ของ Ledger หรือ Trezor อย่างไรก็ดี crypto.news รายงานเมื่อ 1 สิงหาคม 2026 ว่า Block, Trezor และ Ledger ยืนยันว่าผลิตภัณฑ์ของตน "ไม่ได้รับผลกระทบจากช่องโหว่นี้" ซึ่งเป็นคำยืนยันต่อบั๊กเฉพาะกรณี ไม่ใช่การตรวจสอบความสุ่มของแต่ละค่ายแบบครอบคลุม แหล่งข้อมูล: ข้อเท็จจริงทั้งหมดข้างต้นอ้างอิงจาก CoinDesk (31 กรกฎาคม 2026), The Hacker News (1 สิงหาคม 2026), crypto.news (1 สิงหาคม 2026), BIT (7 สิงหาคม 2026) และรายงานของ Block ที่สื่อดังกล่าวอ้างถึง