ถอดบทเรียน Coldcard กับบั๊กอายุ 5 ปีที่ดูดเงินไปแล้วกว่า 115 ล้านดอลลาร์

ประเด็นร้อนแรงบนโลกสินทรัพย์ดิจิทัลเวลานี้คือเรื่องราวของ Hardware Wallet ยี่ห้อ Coldcard ซึ่งได้ชื่อว่าเป็น ‘ตู้เซฟที่ปลอดภัยที่สุดของบิตคอยน์’ แต่ล่าสุดกลับกำลังถูกโจรกรรมครั้งใหญ่ โดยบิตคอยน์กว่า 1,800 BTC มูลค่าราว 115 ล้านดอลลาร์ ถูกดูดออกจากกระเป๋ากว่า 5,200 ใบ ทั้งที่กระเป๋าเหล่านั้นเก็บอยู่ในอุปกรณ์ที่ไม่เคยต่ออินเทอร์เน็ต บางใบอยู่ในตู้นิรภัยธนาคารด้วยซ้ำ

ประเด็นสำคัญ

บั๊กที่ซ่อนอยู่ภายใต้โค้ดตั้งแต่ 5 ปีก่อน
การโจมตีเปลี่ยนรูปแบบไป 4 ระลอก
ฝั่งบริษัทยอมรับผิด แต่แก้ย้อนหลังไม่ได้
ผู้ใช้ควรทำอย่างไร

สำนักข่าว Bloomberg เปิดเผยเรื่องราวของ โจนาธาน กูดแมน ชายชาวแคนาดาที่เก็บกุญแจบิตคอยน์ของเขาไว้ใน Coldcard ที่วางอยู่ในตู้นิรภัยธนาคาร ไม่เคยเสียบเข้าคอมพิวเตอร์ ไม่เคยเชื่อมต่ออินเทอร์เน็ต ตรงตามตำราความปลอดภัยทุกบรรทัดที่วงการคริปโตสอนกันมาสิบกว่าปี

หลังกระแสข่าวว่า Coldcard มีช่องโหว่ในอุปกรณ์รุ่นที่เขาใช้ เมื่อกูดแมนเปิดดูกระเป๋าเงินดิจิทัลของตัวเองกลับพบรายการถอนเงินต่อเนื่องภายในเวลาราว 7 นาที ทำให้บิตคอยน์ราว 18.25 BTC หรือราว 38 ล้านบาท ถูกขโมยออกไป

สิ่งที่เกิดขึ้นกับกูดแมนไม่ใช่การถูกแฮ็กในความหมายที่คนทั่วไปเข้าใจ ไม่มีใครแตะอุปกรณ์ของเขา ไม่มีอีเมลฟิชชิง ไม่มีมัลแวร์ ผู้โจมตีไม่จำเป็นต้องรู้ด้วยซ้ำว่าเขาเป็นใคร สิ่งที่พวกเขาทำคือ คำนวณกุญแจของเขาขึ้นมาใหม่จากศูนย์ ด้วยเครื่องคอมพิวเตอร์ทั่วไป

บั๊กที่ซ่อนอยู่ภายใต้โค้ดตั้งแต่ 5 ปีก่อน

ต้นตอของเรื่องคือโค้ดบรรทัดหนึ่งที่ถูกคอมมิตเมื่อวันที่ 1 มีนาคม 2021 และถูกส่งออกไปพร้อมเฟิร์มแวร์ Coldcard เวอร์ชัน 4.0.x ในเดือนเดียวกัน

หัวใจของกระเป๋าคริปโตทุกใบคือ seed phrase หรือชุดคำภาษาอังกฤษ 12 หรือ 24 คำ ที่เป็นรากของกุญแจส่วนตัวทั้งหมด ความปลอดภัยของมันตั้งอยู่บนสมมติฐานเดียวคือ ชุดคำนั้นต้องสุ่มจริง มาตรฐาน BIP-39 กำหนดให้มีความสุ่ม (entropy) ที่ระดับ 128 บิต ซึ่งเป็นตัวเลขที่ใหญ่เกินกว่าคอมพิวเตอร์ทั้งโลกรวมกันจะไล่เดาได้

แต่ตามรายงานทางวิศวกรรมของ Block Inc. บริษัทของแจ็ค ดอร์ซีย์ ซึ่งเป็นผู้ค้นพบและเปิดเผยช่องโหว่นี้ ข้อผิดพลาดในการเชื่อมต่อโค้ดทำให้กระบวนการสร้าง seed ถูกส่งไปยัง ตัวสร้างเลขสุ่มเทียมแบบซอฟต์แวร์ (PRNG) แทนที่จะเป็นชิปสร้างเลขสุ่มของฮาร์ดแวร์ STM32 ตามที่ออกแบบไว้ ผลลัพธ์คือค่าที่ได้ถูกกำหนดโดยตัวแปรที่คาดเดาได้ เช่น หมายเลขประจำเครื่อง (UID) สถานะตัวจับเวลา และประวัติการเรียกใช้ก่อนหน้า

ตัวเลขที่ตามมาคือหัวใจของหายนะครั้งนี้ Coinkite ยอมรับเองว่า seed ที่สร้างบนเครื่องรุ่น Mk3 มี entropy ใช้งานจริงเหลือราว 40 บิต ส่วนรุ่น Mk4, Mk5 และ Q ซึ่งมี secure element ช่วยเสริมความสุ่มบางส่วน เหลือราว 72 บิต

40 บิต หมายความว่าอะไร?

หมายความว่า จำนวนความเป็นไปได้ทั้งหมดอยู่ที่ประมาณ 1.1 ล้านล้านชุด ซึ่งฟังดูมหาศาลสำหรับมนุษย์ แต่สำหรับเครื่องคอมพิวเตอร์สมัยใหม่ นั่นคืองานที่ทำเสร็จได้ภายในสุดสัปดาห์เดียว ผู้โจมตีเพียงไล่สร้าง seed ที่เป็นไปได้ทั้งหมดแบบออฟไลน์ แปลงเป็นแอดเดรสบิตคอยน์ แล้วเทียบกับแอดเดรสที่มีเงินอยู่จริงบนบล็อกเชนสาธารณะ

“มันเปิดโปงความเชื่อผิดๆ ที่ว่าคริปโตของคุณอยู่ออฟไลน์” อาเนริน ฟลินน์ ซีอีโอบริษัทเทคโนโลยีความมั่นคงไซเบอร์ Failsafe กล่าว เขาอธิบายว่าอุปกรณ์มีหน้าที่แค่สร้างรหัสผ่านให้ ถ้าคณิตศาสตร์ที่อยู่ข้างใต้พัง รหัสผ่านนั้นก็ถูกย้อนรอยได้

การโจมตีเปลี่ยนรูปแบบไป 4 ระลอก

Galaxy Research เป็นผู้ทำแผนที่การโจมตีบนเชนอย่างละเอียดที่สุด และสิ่งที่พวกเขาพบคือรูปแบบที่เปลี่ยนไปเรื่อยๆ ในแต่ละระลอก

ระลอกที่ 1 (30 กรกฎาคม) ดูดบิตคอยน์ออกไป 1,082.65 BTC จาก 1,196 แอดเดรส ภายใน 41 นาที Chainalysis ซึ่งวิเคราะห์ชุดธุรกรรมคนละชุด ระบุว่าผู้โจมตีเลือกเจาะกระเป๋าใบใหญ่ก่อน โดยกวาดไปกว่า 30 ล้านดอลลาร์ในสิบนาทีแรก พฤติกรรมที่บ่งชี้ว่ารายชื่อกุญแจที่มีช่องโหว่ถูกไล่คำนวณเตรียมไว้ล่วงหน้าเงียบๆ ก่อนลงมือ

ระลอกที่ 2 Galaxy ไม่ได้เผยแพร่รายละเอียดแยก แต่จากยอดรวมสะสมสามารถอนุมานได้ว่าอยู่ที่ราว 76 BTC จากราว 1,477 แอดเดรส

ระลอกที่ 3 (31 กรกฎาคม – 1 สิงหาคม) มีอีก 207.73 BTC หายไปจาก 1,912 แอดเดรส เฉลี่ยแล้วเหลือแค่ราวหนึ่งในสิบเหรียญต่อเหยื่อหนึ่งราย

ระลอกที่ 4 (3 สิงหาคม) อเล็กซ์ ธอร์น หัวหน้าฝ่ายวิจัยของ Galaxy Digital โพสต์เตือนบน X ขณะที่ธุรกรรมยังค้างอยู่ใน mempool ซึ่งต่างจากสามระลอกแรกที่ถูกวิเคราะห์หลังเหตุการณ์จบไปแล้ว

ตัวเลขชุดแรกคือ 388.93 BTC จาก 218 ธุรกรรม 462 แอดเดรส ไปยังปลายทางที่เพิ่งสร้างใหม่ 216 แห่ง ภายในบล็อก 960,778 ถึง 960,792 กินเวลาราวสองชั่วโมงครึ่ง ก่อนจะปรับขึ้นเป็น 448.7 BTC จาก 709 แอดเดรส หลังหักรายการที่ตรวจสอบแล้วว่าไม่ใช่

สิ่งที่ธอร์นชี้ว่าสำคัญกว่าตัวเลขคืออัตราเร็ว เขาวัดได้ 13.8 ธุรกรรมต่อบล็อก เทียบกับ 0.3 ต่อบล็อกในช่วงควบคุมก่อนเกิดเหตุ สูงกว่าปกติราว 45 เท่า

ที่น่ากังวลกว่านั้นคือ ระลอก 4 ไม่มีกระเป๋ากลางสำหรับรวมเงินเลย เหยื่อทุกรายถูกจับคู่กับปลายทางใหม่แบบหนึ่งต่อหนึ่ง มีเพียงปลายทางเดียวเท่านั้นที่รับเงินสองครั้ง รูปแบบนี้ต่างจากระลอก 1 และ 2 อย่างสิ้นเชิง และใกล้เคียงระลอก 3 มากกว่า

จาก 4,585 แอดเดรสในสามระลอกแรก มีถึง 3,122 แอดเดรสที่สูญเสียน้อยกว่า 0.1 BTC ขณะที่ 288 แอดเดรสที่เสียมากกว่า 1 BTC รวมกันคิดเป็นราว 960 BTC ของยอดทั้งหมด

ฝั่งบริษัทยอมรับผิด แต่แก้ย้อนหลังไม่ได้

Coinkite ออกประกาศเตือนครั้งแรกในวันพฤหัสบดีที่ 30 กรกฎาคม โดยระบุว่าผู้ที่สร้าง seed บนเครื่อง Mk3 เวอร์ชัน 4.0.1 (มีนาคม 2021) หรือหลังจากนั้นควรถือว่าเงินของตนมีความเสี่ยง ก่อนขยายขอบเขตครอบคลุมรุ่น Mk4, Mk5 และ Q ในเวลาต่อมา และปล่อยเฟิร์มแวร์ฉุกเฉินสำหรับทุกรุ่นในวันที่ 31 กรกฎาคม

ขอบเขตที่ได้รับผลกระทบตามรายงานของ Block ครอบคลุม Mk2 และ Mk3 เวอร์ชัน 4.0.0 ถึง 4.1.9, Mk4 และ Mk5 ทุกเวอร์ชันก่อน 5.6.0 (Edge ก่อน 6.6.0X), และ Q ทุกเวอร์ชันก่อน 1.5.0Q (Edge ก่อน 6.6.0QX) ส่วน Mk1 อยู่นอกขอบเขต และผลิตภัณฑ์อื่นของบริษัทอย่าง TAPSIGNER, OPENDIME และ SATSCARD ใช้ฐานโค้ดคนละชุดจึงไม่ได้รับผลกระทบ

โรดอลโฟ โนวัค ซีอีโอของ Coinkite ออกมาขอโทษต่อสาธารณะในวันศุกร์ ระบุว่าบริษัทรับผิดชอบเต็มที่ต่อบั๊กเฟิร์มแวร์ครั้งนี้ และยอมรับว่ากระบวนการตรวจสอบภายในล้มเหลว บริษัทยังหยุดการจัดส่งและทำลายสต็อกอุปกรณ์ที่ยังมีช่องโหว่ทั้งหมด

ประเด็นที่โนวัคพูดถึงและควรค่าแก่การจับตาคือ เขาตั้งข้อสังเกตว่าช่องโหว่นี้อาจถูกค้นพบด้วยความช่วยเหลือของปัญญาประดิษฐ์ โดยเรียกเหตุการณ์นี้ว่าเป็น “ความจริงอันหนักหน่วงของยุค AI” และเตือนว่าการตรวจสอบโค้ดด้วย AI สามารถขุดบั๊กที่ซ่อนตัวมานานได้เร็วกว่าผู้เชี่ยวชาญด้านความปลอดภัยที่มีประสบการณ์

Galaxy ระบุว่าได้ส่งรายชื่อแอดเดรสต้องสงสัยของผู้โจมตีราว 600 แอดเดรสให้หน่วยงานสืบสวนกลาง บริษัทด้านคอมไพลแอนซ์ และเครือข่ายผู้สืบสวนไซเบอร์ข้ามอุตสาหกรรมแล้ว

ด้าน ฉางเผิง จ้าว ผู้ก่อตั้ง Binance ออกมาเตือนผู้ใช้อย่างตรงไปตรงมาว่าอย่าไว้ใจฮาร์ดแวร์วอลเล็ตแบบไร้เงื่อนไข ขณะที่นักวิเคราะห์เริ่มตั้งคำถามเปิดเผยว่าคาถา “not your keys, not your coins” จำเป็นต้องมีวรรคที่สองว่าด้วยที่มาของเฟิร์มแวร์และการตรวจสอบ entropy หรือไม่

ตัวเลขจาก TRM Labs ช่วยวางเรื่องนี้ในบริบทที่กว้างขึ้น รายงานที่เผยแพร่เมื่อเดือนก่อนระบุว่าครึ่งแรกของปี 2569 มูลค่าคริปโตที่ถูกขโมยรวม 972 ล้านดอลลาร์ น้อยกว่าครึ่งหนึ่งของ 2.3 พันล้านดอลลาร์ในครึ่งแรกของปี 2568 แต่ จำนวนครั้งของการโจมตีกลับเพิ่มเป็น 207 ครั้ง สูงที่สุดเท่าที่เคยบันทึกในรอบหกเดือนใดๆ

อารี เรดบอร์ด หัวหน้าฝ่ายนโยบายระดับโลกของ TRM ชี้ว่าการโจมตีที่โครงสร้างพื้นฐานและกุญแจคิดเป็นราว 15% ของจำนวนเหตุการณ์ แต่คิดเป็นถึง 76% ของมูลค่าความเสียหาย ซึ่ง “Coldcard แสดงให้เห็นว่า self-custody เป็นการย้ายความเสี่ยง ไม่ใช่การกำจัดความเสี่ยง”

ผู้ใช้ควรทำอย่างไร

คำแนะนำจากทั้ง Coinkite และ Galaxy Research ตรงกันคือ ใครก็ตามที่ยังถือเงินอยู่ในกระเป๋าแบบลายเซ็นเดียว (single-signature) ที่สร้าง seed บนเฟิร์มแวร์ที่ได้รับผลกระทบ โดยไม่ได้เพิ่ม entropy จากภายนอกหรือใช้ BIP-39 passphrase ที่แข็งแรง ควรดำเนินการตามลำดับนี้