คำเตือน Coldcard Mk3 ตามมาหลังจากการกวาด Bitcoin มูลค่า 38 ล้านดอลลาร์ แต่สาเหตุยังไม่ได้รับการยืนยัน

ทำไม Coinkite จึงออกคำเตือนเกี่ยวกับ Coldcard?

Coinkite ได้เผยแพร่ คำแนะนำด้านความปลอดภัยของ Coldcard เมื่อวันที่ 30 กรกฎาคม โดยเตือนผู้ใช้ที่สร้าง seed กระเป๋าเงินบนเฟิร์มแวร์ที่ได้รับผลกระทบให้ย้ายเงินทุนไปยัง seed ที่สร้างขึ้นใหม่

ปัญหานี้ส่งผลกระทบต่อเฟิร์มแวร์ Coldcard Mk3 ทุกเวอร์ชันตั้งแต่ 4.0.1 เป็นต้นไป คำแนะนำปัจจุบันของบริษัทครอบคลุมถึง seed ที่สร้างขึ้นบนอุปกรณ์ Mk4 และ Mk5 ก่อนเฟิร์มแวร์เวอร์ชัน 5.6.0 รวมถึงอุปกรณ์ Q ก่อนเวอร์ชัน 1.5.0Q

สำหรับเวอร์ชัน Mk4, Mk5 และ Q ที่ได้รับผลกระทบ Coinkite ระบุว่า seed ที่สร้างขึ้นมีค่า entropy ประมาณ 72 บิต แทนที่จะเป็น 128 บิตตามที่คาดไว้ Entropy หมายถึงความสุ่มที่ใช้ในการสร้าง seed ของกระเป๋าเงิน ค่า entropy ที่ต่ำลงอาจลดจำนวนชุดค่าผสมของ seed ที่เป็นไปได้ และทำให้กระเป๋าเงินที่ได้รับผลกระทบถูกโจมตีได้ง่ายขึ้น

Coinkite ระบุว่าการสืบสวนยังคงดำเนินอยู่ และจะมีการเผยแพร่การตรวจสอบทางเทคนิคอย่างเป็นทางการในภายหลัง

เกิดอะไรขึ้นกับการโอนย้าย BTC จำนวน 594 เหรียญ?

คำเตือนดังกล่าวปรากฏขึ้นในขณะที่นักวิจัยด้านความปลอดภัยของ Bitcoin กำลังตรวจสอบการโอนย้ายที่ไม่สามารถอธิบายได้ ซึ่งเกี่ยวข้องกับ BTC จำนวน 594.48 เหรียญ จากที่อยู่แบบลายเซ็นเดียว (single-signature)

ตามรายงานของ Cointelegraph เกี่ยวกับการระบายเงินจากกระเป๋า Bitcoin ผลลัพธ์ธุรกรรมที่ยังไม่ได้ใช้ (UTXO) จำนวน 1,324 รายการถูกโอนผ่านธุรกรรม 500 รายการภายในช่วงเวลาสามบล็อก ต่อมา BTC ประมาณ 562 เหรียญถูกรวมเข้าเป็นที่อยู่อื่น

นักวิจัยเสนอว่าความสุ่มที่อ่อนแอระหว่างการสร้างกระเป๋าเงินอาจเป็นคำอธิบายที่เป็นไปได้ประการหนึ่ง อย่างไรก็ตาม สิ่งนี้ยังคงเป็นสมมติฐาน ยังไม่มีรายงานสาธารณะใดที่แสดงให้เห็นว่าคีย์ส่วนตัวที่ได้รับผลกระทบถูกสร้างขึ้นอย่างไร อุปกรณ์หรือซอฟต์แวร์ใดเป็นผู้สร้าง หรือปัญหาการสร้าง seed ของ Coldcard มีส่วนเกี่ยวข้องหรือไม่

ดังนั้น คำเตือนของ Coldcard และการโอนย้าย BTC จำนวน 594 เหรียญควรถือว่ามีความสัมพันธ์กันในแง่ของเวลา แต่ยังไม่ได้พิสูจน์ว่ามีสาเหตุเดียวกัน การสืบสวนแยกต่างหากของ crypto.news ก็สรุปผลเช่นเดียวกัน

ผู้ใช้ Coldcard ที่ได้รับผลกระทบควรทำอย่างไร?

Coinkite แนะนำให้ผู้ใช้ที่ได้รับผลกระทบสร้าง seed ใหม่บนอุปกรณ์ที่รันเฟิร์มแวร์ที่แก้ไขแล้ว บันทึกและยืนยันการสำรองข้อมูลใหม่ และยืนยันที่อยู่รับโดยตรงบนหน้าจอฮาร์ดแวร์วอลเล็ท

ผู้ใช้ควรส่งธุรกรรมทดสอบขนาดเล็กก่อน และยืนยันว่ากระเป๋าเงินใหม่ทำงานได้ก่อนที่จะโอนยอดคงเหลือที่เหลืออยู่ ควรเก็บรักษาการสำรองข้อมูล seed เก่าไว้จนกว่ากระบวนการย้ายทั้งหมดจะเสร็จสมบูรณ์และได้รับการยืนยันแล้ว

รหัสผ่าน BIP-39 ที่แข็งแกร่งและไม่ซ้ำใครสามารถเพิ่มชั้นการป้องกันอิสระได้ แต่แตกต่างจาก PIN ของอุปกรณ์ Coldcard Coinkite ยังคงแนะนำให้ย้ายไปยัง seed ที่สร้างขึ้นใหม่ แม้ว่าจะมีการใช้รหัสผ่านแล้วก็ตาม

ผู้ใช้ไม่ควรป้อนคำ seed ของกระเป๋าเงินหรือรหัสผ่านลงในเว็บไซต์ แบบฟอร์มออนไลน์ หรืออุปกรณ์ที่ไม่น่าเชื่อถือ การเร่งรีบในการย้ายข้อมูลฉุกเฉินอาจสร้างความเสี่ยงเพิ่มเติม รวมถึงการส่งเงินทุนไปยังที่อยู่ซึ่งบันทึกไว้ไม่ถูกต้อง

สิ่งนี้หมายความว่า Bitcoin ถูกแฮ็กหรือไม่?

หลักฐานที่มีอยู่ไม่ได้บ่งชี้ถึงความล้มเหลวของบล็อกเชน Bitcoin กฎฉันทามติ หรือโปรโตคอลการเข้ารหัส

การสืบสวนเกี่ยวข้องกับวิธีที่ซอฟต์แวร์หรือฮาร์ดแวร์กระเป๋าเงินแต่ละรายการสร้างคีย์ส่วนตัว Bitcoin สามารถดำเนินการประมวลผลธุรกรรมที่ถูกต้องต่อไปได้ แม้ว่าคีย์ส่วนตัวของผู้ใช้จะถูกเปิดเผยหรือสร้างขึ้นด้วยความสุ่มที่ไม่เพียงพอ

อย่างไรก็ตาม เหตุการณ์นี้ก่อให้เกิดคำถามในวงกว้างเกี่ยวกับมาตรฐานการถือครองด้วยตนเอง (self-custody) ของ Bitcoin ผู้ให้บริการกระเป๋าเงินอาจเผชิญกับแรงกดดันมากขึ้นในการเปิดเผยแหล่งที่มาของ entropy ตรวจสอบโค้ดการสร้าง seed ให้สามารถสร้างเฟิร์มแวร์ซ้ำได้ (reproducible builds) และเผยแพร่คำแนะนำเกี่ยวกับเวอร์ชันที่ได้รับผลกระทบอย่างชัดเจนมากขึ้นเมื่อพบช่องโหว่

สำหรับผู้ใช้ที่ถือยอดเงินที่มีความหมาย รหัสผ่านที่แข็งแกร่งกว่า การจัดเตรียมแบบหลายลายเซ็น (multisignature) ที่ออกแบบมาอย่างรอบคอบ และขั้นตอนการกู้คืนที่ชัดเจน อาจช่วยลดการพึ่งพาอุปกรณ์เดียวหรือกระบวนการสร้างคีย์เดียว เป้าหมายไม่ใช่เพื่อทำให้การถือครองด้วยตนเองซับซ้อนขึ้น แต่เพื่อให้สมมติฐานด้านความปลอดภัยที่สำคัญเข้าใจและตรวจสอบได้ง่ายขึ้น

ติดตามตลาด Bitcoin บน MEXC

การสืบสวนกระเป๋าสตางค์เป็นเหตุการณ์ด้านความปลอดภัยของการถือครอง และไม่ได้เป็นการยืนยันความล้มเหลวของเครือข่ายพื้นฐานของ Bitcoin หรือทำนายทิศทางราคา BTC เฉพาะเจาะจง

ผู้เข้าร่วมตลาดสามารถติดตาม ราคา Bitcoin แบบเรียลไทม์และข้อมูลตลาด เข้าถึง ตลาดสปอต BTC/USDT หรือสำรวจ สัญญาอนุพันธ์ถาวร BTCUSDT บน MEXC

การซื้อขายสปอตให้การสัมผัสตลาด BTC โดยตรงบนแพลตฟอร์ม ในขณะที่สัญญาอนุพันธ์ถาวรอนุญาตให้ผู้ใช้เปิดสถานะซื้อ (long) หรือขาย (short) ได้โดยไม่ต้องถือ Bitcoin โดยตรง สัญญาอนุพันธ์เกี่ยวข้องกับความเสี่ยงจากเลเวอเรจ การชำระบัญชี (liquidation) และอัตราเงินทุน (funding-rate) และอาจไม่เหมาะสำหรับผู้ใช้ที่ไม่มีประสบการณ์ การซื้อขายผ่านแลกเปลี่ยนก็ไม่แทนที่แผนการถือครองด้วยตนเองและการสำรองข้อมูลกระเป๋าเงินที่เป็นอิสระ

บทสรุป

คำแนะนำของ Coldcard แสดงให้เห็นว่าปัญหาการสร้าง seed ของกระเป๋าเงินสามารถสร้างความเสี่ยงร้ายแรงได้ แม้ในขณะที่เครือข่าย Bitcoin ยังคงทำงานปกติ

ในปัจจุบัน การโอนย้าย BTC จำนวน 594.48 เหรียญยังคงไม่สามารถอธิบายได้ และยังไม่มีการยืนยันความเชื่อมโยงกับ Coldcard ลำดับความสำคัญทันทีคือให้ผู้ใช้ที่ได้รับผลกระทบปฏิบัติตามคำแนะนำการย้ายข้อมูลอย่างเป็นทางการอย่างระมัดระวัง คำถามในระยะยาวคือผู้ผลิตกระเป๋าเงินและระบบนิเวศ Bitcoin ในวงกว้างจะนำมาตรฐานที่เข้มงวดมากขึ้นสำหรับความโปร่งใสของ entropy การตรวจสอบความปลอดภัย และขั้นตอนการย้ายข้อมูลฉุกเฉินมาใช้หรือไม่