Galaxy ระบุบิตคอยน์ราว 70 ล้านดอลลาร์ถูกดูดออกจากกระเป๋า Coldcard 1,196 ใบ ก่อนเปิดเผยช่องโหว่

กระเป๋าฮาร์ดแวร์ถูกมองว่าเป็นมาตรฐานทองคำของความปลอดภัยคริปโต เพราะแนวคิดหลักคือเก็บคีย์ส่วนตัวแบบออฟไลน์ให้ห่างจากแฮกเกอร์ ตลาดแลกเปลี่ยน และทุกสิ่งที่เชื่อมต่ออินเทอร์เน็ต แต่สำหรับผู้ใช้ Coldcard Mk3 บางส่วน ความเชื่อนี้กลับมีต้นทุนมหาศาล Galaxy Research รายงานว่าเมื่อวันที่ 30 ก.ค. 2026 ผู้โจมตีได้ดูดบิตคอยน์ออกไป 1,082.65 BTC คิดเป็นมูลค่าประมาณ 70.2 ล้านดอลลาร์ จากกระเป๋า 1,196 ใบ ภายในเวลาราว 41 นาที โดยเหตุการณ์เกิดขึ้นเพียงประมาณ 30 ชั่วโมงก่อนที่ Coinkite ผู้พัฒนา Coldcard จะเปิดเผยต่อสาธารณะถึงช่องโหว่ระดับวิกฤตในเฟิร์มแวร์ของอุปกรณ์ ต้นตอมาจากความบกพร่องในตัวสร้างเลขสุ่ม (RNG) ที่ฝังอยู่ในเฟิร์มแวร์ Coldcard Mk3 เวอร์ชัน 4.0.1 ถึง 5.0.3 ความเสี่ยงของข้อบกพร่องลักษณะนี้อยู่ที่กระบวนการสร้าง recovery seed ซึ่งเปรียบได้กับรหัสหลักของกระเป๋า หากเลขสุ่มไม่สุ่มจริง seed อาจคาดเดาได้ และเมื่อ seed คาดเดาได้ ผู้โจมตีก็สามารถคำนวณคีย์ส่วนตัวได้โดยไม่ต้องแตะอุปกรณ์ ทีมวิศวกรรมของ Block ระบุว่าสามารถยืนยันสาเหตุหลักของปัญหา RNG ได้ด้วยตนเอง และเผยแพร่รายงานเชิงเทคนิคในวันเดียวกับที่ Coinkite ออกประกาศด้านความปลอดภัย ทั้งสองการเปิดเผยเกิดขึ้นในวันที่ 30 ก.ค. 2026 ซึ่งเป็นวันที่กระเป๋าที่ได้รับผลกระทบถูกกวาดเงินออกไปแล้ว Coinkite ระบุว่าช่องโหว่ไม่ได้กระทบ Coldcard ทุกเครื่อง แต่จำกัดเฉพาะอุปกรณ์ที่ใช้เฟิร์มแวร์ในช่วงเวอร์ชันที่มีปัญหา บริษัทแนะนำให้ผู้ใช้ที่เข้าข่ายสร้าง recovery seed ใหม่ทั้งหมดทันทีและย้ายสินทรัพย์ออก พร้อมตรวจสอบเวอร์ชันเฟิร์มแวร์ของอุปกรณ์ สิ่งที่เด่นในเหตุโจมตีครั้งนี้คือความรวดเร็วและเป็นระบบ การกวาด 1,196 กระเป๋า มูลค่ารวมกว่า 70 ล้านดอลลาร์ภายใน 41 นาทีไม่ใช่งานที่ทำด้วยมือ แต่ต้องอาศัยระบบอัตโนมัติ การเตรียมข้อมูลล่วงหน้า และรายการที่อยู่เป้าหมายที่ระบุความเปราะบางไว้แล้ว ข้อมูลบนเชนชี้ว่ากระเป๋าต้นทางจำนวนมากนิ่งมานานก่อนถูกโจมตี สะท้อนว่าผู้เสียหายอาจเป็นผู้ถือระยะยาวที่ตั้งค่าอุปกรณ์มาหลายปีและแทบไม่เคลื่อนไหวสินทรัพย์เพราะเชื่อมั่นในฮาร์ดแวร์ หลังเริ่มโจมตี เงินที่ถูกขโมยถูกเร่งรวมไปยังที่อยู่น้อยลง โดยงานวิจัยของ Galaxy ระบุว่ามีที่อยู่หนึ่งรับบิตคอยน์ราว 594 BTC จากการกวาดครั้งนี้ ประเด็นที่สร้างคำถามมากที่สุดคือช่องว่างเวลา กระเป๋าถูกดูดเงินออกไปประมาณ 30 ชั่วโมงก่อน Coinkite เปิดเผยสาธารณะ ทำให้วงการความปลอดภัยต้องตั้งคำถามว่าใครรู้เรื่องช่องโหว่นี้ และรู้เมื่อใด เป็นไปได้ว่าผู้โจมตีค้นพบข้อบกพร่อง RNG ได้เองและลงมือก่อนที่ Coinkite หรือ Block จะเผยแพร่ผลการตรวจสอบ ทั้ง Coinkite และ Galaxy ไม่ได้กล่าวหาว่ามีการกระทำที่ไม่เหมาะสมในกระบวนการเปิดเผยช่องโหว่ โดยประกาศของ Coinkite มุ่งเน้นให้ผู้ใช้ดำเนินการทันที สร้าง seed ใหม่ และตรวจสอบเวอร์ชันเฟิร์มแวร์ สำหรับผู้ใช้กระเป๋าฮาร์ดแวร์ บทเรียนสำคัญคือการอัปเดตเฟิร์มแวร์ไม่ใช่เรื่องเล็กน้อย ข้อบกพร่องของ RNG ถือเป็นความเสี่ยงใกล้เคียงระดับหายนะ เพราะทำลายฐานรากของการสร้างคีย์ ผู้ใช้ควรรู้ว่าอุปกรณ์ของตนใช้เฟิร์มแวร์เวอร์ชันใด และติดตามประกาศด้านความปลอดภัยจากผู้ผลิตอย่างสม่ำเสมอ ขนาดและความเร็วของการดูดเงินมูลค่า 70.2 ล้านดอลลาร์ยังสะท้อนความซับซ้อนของผู้โจมตี ผู้ลงมือมีทั้งความเชี่ยวชาญพอจะใช้ประโยชน์จากช่องโหว่ RNG โครงสร้างพื้นฐานเพื่อกวาดพร้อมกันเกือบ 1,200 กระเป๋า และวินัยในการปฏิบัติการภายในช่วงเวลาก่อนการเปิดเผยต่อสาธารณะ