Galaxy ชี้บั๊ก RNG ใน Coldcard ทำ BTC หายแล้วอย่างน้อย 1,596 เหรียญ อาจพุ่งแตะราว 130 ล้านดอลลาร์

Galaxy Research ระบุว่า ช่องโหว่ในฮาร์ดแวร์วอลเล็ต Coldcard ได้สร้างความเสียหายให้ผู้ใช้อย่างน้อย 1,596 BTC แล้ว และยอดรวมอาจขยับขึ้นเป็นราว 2,055 BTC (ประมาณ 130 ล้านดอลลาร์สหรัฐ) หากยืนยันได้ว่ามี "คลื่น" การขโมยรอบที่ 4 เกิดขึ้นจริง Galaxy โพสต์บน X ว่าติดตามเงิน 1,596 BTC ที่ถูกขโมยมาจากราว 7,300 ที่อยู่ (addresses) ผ่าน 3 คลื่นการโจมตีที่ยืนยันแล้ว และอีก 14 เหตุการณ์ย่อยที่เกี่ยวข้อง โดยยังไม่นับกิจกรรมที่สงสัยว่าเป็นคลื่นที่ 4 เข้าสู่ตัวเลขยืนยันจนกว่าจะมีรายงานจากผู้เสียหายมายืนยันสัญญาณบนเชน หากกิจกรรมดังกล่าวถูกระบุว่าใช้ช่องโหว่เดียวกัน ความเสียหายรวมจะอยู่ที่ราว 2,055 BTC วิธีคำนวณตัวเลขของ Galaxy การทำแผนที่ข้อมูลบนเชนของ Galaxy ระบุ 1,596 BTC ใน 3 คลื่นที่ยืนยันแล้ว ก่อนหน้านี้การอ่านข้อมูลแบบกว้างโดยอิงบล็อกเชนอย่างเดียวเคยประเมินการเคลื่อนไหวใน 4 คลื่นไว้ราว 1,815.75 BTC แต่ล่าสุดบริษัทปรับให้ "ยอดยืนยัน" แคบลง และคงตัวเลขที่สูงกว่าส่วนหนึ่งไว้เป็นกรณียังไม่ยืนยันซึ่งเชื่อมโยงกับคลื่นที่ 4 นักวิเคราะห์ของ Galaxy แจ้งเตือนความเป็นไปได้ของคลื่นที่ 4 เมื่อวันที่ 3 ส.ค. หลังพบรูปแบบธุรกรรมคล้ายกับการโจมตีก่อนหน้า ประมาณการล่าสุดสำหรับคลื่นที่สงสัยอยู่ที่ราว 448.7 BTC จากที่อยู่เหยื่อที่เป็นไปได้ 709 แห่ง โดยเน้นว่าหลักฐานบนเชนเพียงอย่างเดียวยังยืนยันไม่ได้ครบทุกเหยื่อ หรือยืนยันไม่ได้ว่าเป็นผู้โจมตีรายเดียวที่กวาดเงินทั้งหมด Galaxy ระบุว่ากิจกรรมบนเชนบ่งชี้ว่าคลื่นที่ 4 น่าจะ "ประกอบด้วย" ผู้โจมตีรายเดียวเป็นส่วนใหญ่ ทำให้มีความเชื่อมั่นระดับปานกลางถึงสูง แม้ยังรอการยืนยันโดยตรงจากผู้เสียหาย ช่องโหว่คืออะไร Coinkite ผู้ผลิตอุปกรณ์ Coldcard เปิดเผยช่องโหว่เมื่อสัปดาห์ที่แล้ว และระบุว่าต้นตอมาจากการเปลี่ยนแปลงเฟิร์มแวร์ในเดือนมี.ค. 2021 ระหว่างการรวมไลบรารีเข้ารหัสตัวใหม่ กระบวนการสร้าง seed กลับไปใช้ตัวสร้างเลขสุ่มเทียมแบบกำหนดได้ (deterministic pseudorandom generator) ของ MicroPython แทนที่จะใช้ตัวสร้างเลขสุ่มจริงที่รองรับด้วยฮาร์ดแวร์ (hardware-backed true RNG) ของอุปกรณ์ เนื่องจากฮาร์ดแวร์ RNG ยังปรากฏอยู่ในส่วนอื่นของเฟิร์มแวร์ การตรวจเช็กภายในแบบผิวเผินจึงไม่พบว่ามีการสลับแหล่งเอนโทรปีเกิดขึ้น การตรวจทานโดยหน่วยงานอิสระ ทีมวิศวกรรมและความปลอดภัย Bitcoin ของ Block ตรวจทานเฟิร์มแวร์อย่างอิสระและได้ข้อสรุปตรงกันว่า เฟิร์มแวร์ที่มีช่องโหว่ใช้ทางเลือกสำรองแบบ deterministic ของ MicroPython ในการสร้าง seed แทนการใช้ฮาร์ดแวร์ RNG ของ STM32 Coinkite ประเมินว่าเอนโทรปีที่มีผลใช้งานจริงของอุปกรณ์ที่ได้รับผลกระทบต่ำกว่าที่ตั้งใจไว้อย่างมาก โดยบางรุ่น Mk2/Mk3 อยู่ราว 40 บิต และรุ่น Mk4/Mk5 รวมถึง Coldcard Q ที่มีช่องโหว่อยู่ราว 72 บิต ขณะที่ค่าที่ตั้งใจไว้คือ 128 บิต พฤติกรรมการโจมตีและสถานะการสืบสวน Galaxy รายงานว่า เงินส่วนใหญ่ที่ถูกขโมยถูกกระจายไปยังที่อยู่ใหม่จำนวนมาก มากกว่าการรวบไปยังวอลเล็ต "ตัวรวม" เพียงใบเดียว และบางส่วนถูกส่งต่อผ่านธุรกรรมแบบ "ชั้นที่สอง" (second-hop) ซึ่งทำให้ติดตามได้ยากขึ้น ในช่วงคลื่นที่ 4 ที่สงสัย Galaxy พบกิจกรรมการกวาดวอลเล็ต (wallet sweeps) พุ่งขึ้นเป็นราว 13.8 ครั้งต่อบล็อก Bitcoin จากเดิมราว 0.3 ครั้งต่อบล็อกก่อนหน้านั้น ปัจจุบันประมาณ 90% ของ BTC ที่ถูกขโมยยังไม่ถูกเคลื่อนย้ายบนเชน และเหรียญที่ถูกขโมยใน 3 คลื่นที่ยืนยันแล้วยังไม่เคลื่อนไหวเลยนับตั้งแต่ถูกขโมย ซึ่งเป็นช่วงเวลาที่เอื้อต่อการติดตามและรับมือ Galaxy ระบุว่ากำลังทำงานร่วมกับหน่วยงานบังคับใช้กฎหมายระดับรัฐบาลกลางของสหรัฐฯ กระดานซื้อขายคริปโต และกลุ่มสืบสวนด้านไซเบอร์ พร้อมแบ่งปันรายการที่อยู่ของผู้โจมตีและเหยื่อที่ยืนยันแล้วตามขอบเขตการสอบสวนที่ขยายออกไป บริษัทเตือนว่าอาจมีผู้โจมตีรายอื่นพยายามใช้ช่องโหว่เดียวกันตราบใดที่วอลเล็ตที่ได้รับผลกระทบยังถูกใช้งานอยู่ การระบุที่อยู่ที่อยู่ภายใต้การควบคุมของผู้โจมตีจึงสำคัญเพื่อให้กระดานซื้อขายและหน่วยงานที่เกี่ยวข้องดำเนินการได้หากเงินเริ่มเคลื่อน คำแนะนำสำหรับผู้ใช้ที่ได้รับผลกระทบ Galaxy และ Coinkite แนะนำให้ผู้ใช้ Coldcard ย้ายเงินออกจากวอลเล็ตใดๆ ที่สร้างด้วยเฟิร์มแวร์ที่มีช่องโหว่ไปยังที่อยู่ใหม่ที่ปลอดภัย และให้สร้าง seed phrase ใหม่ทั้งหมดหลังอัปเดตเป็นเฟิร์มแวร์ที่แก้ไขแล้วเท่านั้น Coinkite ออกอัปเดตเฟิร์มแวร์ฉุกเฉินสำหรับรุ่นที่ได้รับผลกระทบทั้งหมด (ตัวอย่างเช่น v4.2.0 สำหรับ Mk2/Mk3, v5.6.0 สำหรับ Mk4/Mk5 และ v1.5.0Q สำหรับ Coldcard Q) และระบุว่าได้ทำลายสต็อกคงเหลือที่มีเฟิร์มแวร์ที่มีช่องโหว่แล้ว ข้อควรระวังสำคัญจาก Coinkite การติดตั้งอัปเดตจะปกป้องเฉพาะวอลเล็ตที่ "สร้างใหม่" หลังมีการแก้ไขเฟิร์มแวร์เท่านั้น ส่วน seed เดิมที่สร้างภายใต้เฟิร์มแวร์ที่มีช่องโหว่ยังคงเสี่ยงและต้องเปลี่ยน Coinkite แนะนำให้สร้าง seed ใหม่บนอุปกรณ์ที่แพตช์แล้ว ตรวจสอบที่อยู่รับเงิน ส่งธุรกรรมทดสอบจำนวนเล็กน้อย และค่อยโอนยอดทั้งหมดหลังการทดสอบสำเร็จ วอลเล็ตที่สร้างโดยใช้การทอยลูกเต๋าแบบสุ่มยุติธรรมอย่างน้อย 50 ครั้งจะไม่เสี่ยงต่อปัญหา RNG นี้เพียงอย่างเดียว และการตั้ง BIP39 passphrase ที่แข็งแรงช่วยเพิ่มความปลอดภัยได้ แต่ Coinkite ยังแนะนำให้ย้ายเพราะวัสดุ seed เดิมยังอ่อนแอ หมายเหตุด้านการกู้คืนเพิ่มเติม ก่อนหน้านี้ Galaxy เคยชี้ว่า หากผู้ใช้พบธุรกรรมขโมยที่ยังไม่ถูกยืนยัน อาจมีโอกาสสั้นๆ ในการแทนที่ธุรกรรมนั้นด้วยกลไก Replace-by-Fee (RBF) แต่ใช้ได้เฉพาะก่อนธุรกรรมเดิมถูกขุดลงบล็อก และไม่รับประกันว่าจะกู้คืนได้ สรุป เหตุการณ์นี้ตอกย้ำว่าความผิดพลาดระดับเฟิร์มแวร์สามารถบั่นทอนความปลอดภัยของฮาร์ดแวร์วอลเล็ตได้ หากคุณใช้อุปกรณ์ Coldcard ควรตรวจสอบเวอร์ชันเฟิร์มแวร์ โดยถือว่า seed ที่สร้างบนเวอร์ชันที่มีช่องโหว่ถูกเปิดเผยแล้ว และย้ายเงินหลังอัปเดตตามแนวทางของ Coinkite เท่านั้น ขณะเดียวกัน Galaxy ยังคงทำแผนที่ข้อมูลบนเชนและประสานงานกับหน่วยงานบังคับใช้กฎหมายเพื่อระบุตำแหน่งที่อยู่ของผู้โจมตีและลดความเสียหายเพิ่มเติมระหว่างการสืบสวน