ช่องโหว่การสร้าง Seed ของ Coldcard ทำให้ BTC 2,055 เหรียญเสี่ยงสูญหาย มูลค่า 130 ล้านดอลลาร์ กระทบกว่า 7,700 แอดเดรส

การประเมินของ Galaxy Research ที่บัญชีวิเคราะห์ Lookonchain อ้างอิง ระบุว่าความเสียหายที่เชื่อมโยงกับเหตุโจมตี Coldcard เพิ่มขึ้นเป็นราว 2,055 Bitcoin (BTC) หรือประมาณ 130 ล้านดอลลาร์สหรัฐ กระจายอยู่ในแอดเดรสผู้เสียหายมากกว่า 7,700 แอดเดรส หลังพบพฤติกรรมกวาดเหรียญบนเชนหลายระลอก ซึ่งถูกโยงกับช่องโหว่การสร้าง seed ในอุปกรณ์ของ Coinkite บริษัทจากแคนาดา ต้นตอปัญหามาจากเฟิร์มแวร์เดือนมีนาคม 2021 ที่ทำให้กระบวนการสร้าง seed ไปใช้งานซอฟต์แวร์ตัวสร้างเลขสุ่มเทียมแบบกำหนดผลล่วงหน้า (PRNG) แทนการใช้ฮาร์ดแวร์ตัวสร้างเลขสุ่ม (RNG) บนชิป STM32 โดยการตั้งค่าผลิตจริงกำหนด macro "hardwareRNG" เป็นศูนย์ ขณะที่ไลบรารี libngu ตรวจเพียงว่ามี macro นี้อยู่หรือไม่ ไม่ได้ตรวจว่าเปิดใช้งานหรือเปล่า จึงทำให้บิลด์ไปผูกกับโหมดสำรอง Yasmarang ของ MicroPython รายงานของ Block อธิบายว่าโหมดสำรองของ MicroPython ถูกตั้งค่าเริ่มต้นจากรหัสระบุเฉพาะของชิป (UID) และรีจิสเตอร์ตัวจับเวลา และหลังเริ่มต้นแล้วไม่ได้เก็บเอนโทรปีใหม่เพิ่ม หากผู้โจมตีสามารถระบุหรือจำกัดกรอบข้อมูลของอุปกรณ์ได้มากพอ เช่น UID สถานะตัวจับเวลา และประวัติการเรียก RNG ก่อนหน้า ก็อาจสร้างสตรีมเอาต์พุตที่เป็นไปได้แบบออฟไลน์ จากนั้นคำนวณคีย์/แอดเดรสและเทียบกับข้อมูลบล็อกเชนสาธารณะเพื่อค้นหาเป้าหมาย Coldcard ออกประกาศเตือนความปลอดภัยเมื่อ 31 กรกฎาคม 2026 โดยระบุแนวทางหลักคือ: ผู้ใช้รุ่น Mk3 ที่สร้าง seed บนเวอร์ชัน 4.0.1+ โดยไม่ได้ใช้การทอยลูกเต๋าแบบส่วนตัวและอิสระอย่างน้อย 50 ครั้ง ควรเริ่มย้ายสินทรัพย์อย่างระมัดระวังทันที ส่วนรุ่น Mk4/Mk5 ที่ต่ำกว่า 5.6.0 หรือรุ่น Q ที่ต่ำกว่า 1.5.0Q ให้ทำการอัปเดตก่อน จากนั้นสร้าง seed ใหม่ แล้วค่อยย้ายเหรียญ Coinkite ประเมินเอนโทรปีที่ใช้งานได้จริงของ seed ที่ได้รับผลกระทบไว้ราว 40 บิตบนฮาร์ดแวร์ Mk3 และราว 72 บิตบน Mk4, Mk5 และ Q เทียบกับ 128 บิตของ seed มาตรฐาน BIP39 แบบ 12 คำ โดยต้นทุนจริงในการทำซ้ำ seed ยังขึ้นอยู่กับข้อมูล UID ที่หาได้ จังหวะบูต ประวัติการเรียก RNG และต้นทุนการไล่คีย์ตามที่ Block ระบุ เหตุการณ์นี้ตอกย้ำความสำคัญของความปลอดภัยกระบวนการสร้าง seed และการตรวจสอบช่องโหว่สำคัญในรีโปซิทอรีโอเพ่นซอร์สที่ใช้กับฮาร์ดแวร์เข้ารหัส Coinkite ได้ปล่อยเฟิร์มแวร์ฉุกเฉินสำหรับรุ่นและสายการปล่อยที่ได้รับผลกระทบเมื่อ 31 กรกฎาคม แต่การติดตั้งเฟิร์มแวร์ใหม่ไม่สามารถแก้ seed เดิมที่อ่อนแอได้ บริษัทแนะนำให้ผู้ที่มี seed เสี่ยงสร้าง seed ใหม่บนเฟิร์มแวร์ที่แพตช์แล้วและย้ายเหรียญออก การกู้คืน seed เดิมจะทำให้ความเสี่ยงยังคงอยู่ ด้านการติดตามบนเชน การวิเคราะห์ช่องโหว่ PRNG ของ Coldcard พบการกวาดเหรียญระลอกแรกเมื่อ 30 กรกฎาคม โดยถูกดึงออกไป 1,082.65 BTC จาก 1,196 แอดเดรส ภายใน 41 นาที เฉลี่ยเกือบ 1 BTC ต่อแอดเดรส ต่อมา Lookonchain โพสต์เมื่อ 4 สิงหาคม 2026 โดยอ้าง Galaxy Research ว่าความเสียหายรวมอาจแตะ 2,055 BTC และกระทบมากกว่า 7,700 แอดเดรส การติดตามเพิ่มเติมที่ CoinDesk รายงานระบุว่ามีระลอกที่สามซึ่งน่าสงสัย กวาดออกไปราว 208 BTC จาก 1,912 แอดเดรส หรือมากกว่า 0.1 BTC ต่อผู้เสียหายเล็กน้อย โดยธุรกรรมระลอกหลังมีการรวมเหยื่อเฉลี่ย 6 รายต่อการกวาดหนึ่งครั้ง โอนเหรียญของแต่ละรายไปยังปลายทางแยกกัน และใช้เอาต์พุตแบบ pay-to-witness-scripthash (P2WSH) แทนเอาต์พุตแบบคีย์เดียวที่ใช้ในระลอกก่อน Galaxy Research ระบุว่ามั่นใจว่าภายในแต่ละระลอกเป็นการทำงานของผู้ปฏิบัติการรายเดียว แต่เตือนว่าข้อมูลบนเชนไม่สามารถชี้ชัดได้ว่าเป็นผู้โจมตีคนเดียวกันทั้งสามระลอกหรือไม่ อีกทั้งยังไม่ได้ยืนยันเชิงคำนวณว่าทุกแอดเดรสที่ระบุถูกสร้างจากเอนโทรปีที่อ่อนของ Coldcard ทั้งหมด โดย Galaxy รายงานว่าได้ส่งข้อมูลราว 600 แอดเดรสที่สงสัยว่าอยู่ภายใต้การควบคุมของผู้โจมตีให้หน่วยงานสืบสวนของรัฐบาลกลาง บริษัทด้านคอมพลายแอนซ์ และทีมสืบสวนความปลอดภัยไซเบอร์แล้ว