Galaxy Research ชี้ร่องรอยเหตุโจมตีกระเป๋า Bitcoin Coldcard มูลค่า 70 ล้านดอลลาร์ พบดูดเงินจาก 1,196 แอดเดรส

Galaxy Research รายงานว่าได้ระบุแอดเดรส Bitcoin ที่ถูกกวาดเงินออกไปจำนวน 1,196 แอดเดรส รวมมูลค่า 1,082.65 BTC คิดเป็นราว 70.2 ล้านดอลลาร์ ภายในช่วงเวลา 41 นาทีของวันที่ 30 กรกฎาคม รายงานระบุว่า ธุรกรรมเกิดขึ้นระหว่างเวลา 01:10:20 UTC ถึง 01:51:26 UTC ครอบคลุม 6 บล็อกของเครือข่าย ก่อนที่ Coinkite จะเปิดเผยต่อสาธารณะถึงช่องโหว่เฟิร์มแวร์ที่กระทบกระเป๋าฮาร์ดแวร์ Coldcard บางรุ่น นอกจากนี้ Galaxy Research ระบุว่าไม่พบธุรกรรมที่มีรูปแบบตรงกันเพิ่มเติมในช่วง 30 วันที่ผ่านมา รูปแบบธุรกรรมบนเชนชี้ไปที่ผู้ก่อเหตุรายเดียว Galaxy Research ระบุว่า ทุกธุรกรรมตั้งค่าค่าธรรมเนียมเครือข่ายเท่ากันที่ 30.0 sat/vB และไม่มีเอาต์พุตเงินทอน (change output) นักวิจัยมองว่าค่าธรรมเนียมที่ตายตัวดังกล่าวแตกต่างจากพฤติกรรมรวมเหรียญ (consolidation) ของ Bitcoin ตามปกติ และสะท้อนการทำงานของผู้ปฏิบัติการอัตโนมัติรายเดียว ในรายละเอียด แอดเดรสที่ถูกดูดเงินประกอบด้วย native SegWit จำนวน 1,183 แอดเดรส, แอดเดรสตามมาตรฐาน BIP49 จำนวน 7 แอดเดรส และ BIP44 จำนวน 6 แอดเดรส Galaxy Research ระบุว่าสัดส่วนดังกล่าวสอดคล้องกับการสแกนแบบอัตโนมัติผ่านหลายเส้นทางการสร้างแอดเดรส (derivation paths) นักวิจัยยังพบว่าธุรกรรมถูกส่งเป็นชุด ไม่ได้เกิดอย่างต่อเนื่อง โดยมี 3 บล็อกคั่นกลางที่ไม่พบกิจกรรมกวาดเงินภายในช่วง 41 นาทีดังกล่าว เงินที่ถูกขโมยถูกส่งไปรวมที่ 4 แอดเดรส และ Galaxy Research ระบุว่าเงินก้อนดังกล่าวยังไม่ถูกเคลื่อนย้ายตั้งแต่การรวมครั้งแรก บั๊กเฟิร์มแวร์ทำให้ Coinkite เร่งออกมาตรการฉุกเฉิน Coinkite เริ่มแจ้งเตือนผู้ใช้ถึงปัญหาที่กระทบ seed ที่สร้างบนอุปกรณ์ Coldcard Mk3 ซึ่งรันเฟิร์มแวร์เวอร์ชัน 4.0.1 ขึ้นไป ต่อมาบริษัทขยายคำแนะนำให้ครอบคลุมเฟิร์มแวร์บางเวอร์ชันของ Mk4, Mk5 และ Coldcard Q พร้อมปล่อยอัปเดตเฟิร์มแวร์ฉุกเฉิน Rodolfo Novak ซีอีโอของ Coinkite ออกมายอมรับความรับผิดชอบต่อบั๊กดังกล่าวและขอโทษผู้ใช้ พร้อมระบุว่ากระบวนการทบทวนของบริษัทไม่สามารถตรวจพบปัญหาก่อนปล่อยใช้งานได้ Novak ยังตั้งข้อสังเกตว่าเทคโนโลยีปัญญาประดิษฐ์อาจมีส่วนช่วยให้พบช่องโหว่นี้ โดยชี้ว่าการตรวจรีวิวโค้ดด้วย AI สามารถค้นหาจุดอ่อนของซอฟต์แวร์ได้รวดเร็วกว่าการตรวจแบบแมนนวล นักวิจัยเตือนยังมีโอกาสเกิดเหตุซ้ำ Galaxy Research ระบุว่าเหตุโจมตีในอนาคตยังมีความเป็นไปได้ หากผู้ใช้ยังคงเก็บเงินไว้ในแอดเดรส Coldcard แบบ single-signature ที่ได้รับผลกระทบ อย่างไรก็ดี บริษัทเน้นว่าเหตุการณ์ในอนาคตอาจไม่แสดงรูปแบบธุรกรรมบนเชนแบบเดียวกัน รูปแบบที่ตรวจพบในครั้งนี้เชื่อมโยงได้เฉพาะผู้โจมตีรายแรกเท่านั้น และไม่สามารถใช้ตรวจจับการขโมยในอนาคตได้ เพราะธุรกรรมอาจดูไม่ต่างจากการโอนกระเป๋าที่ถูกต้องตามปกติ บริษัทแนะนำให้ผู้ใช้ย้ายเงินไปยังบริการรับฝากที่เชื่อถือได้ หรือปรับใช้การถือครองแบบ multisignature ด้วยตนเอง ขณะที่ Coinkite แนะนำให้ติดตั้งเฟิร์มแวร์เวอร์ชันใหม่ สร้าง seed ใหม่ ทดสอบกระเป๋าด้วยการโอนจำนวนเล็กน้อย และเก็บแบ็กอัปเดิมไว้จนกว่าการย้ายข้อมูลจะเสร็จสิ้น