อัปเดตเหตุแฮ็ก Coldcard: พบอย่างน้อย 15 กลุ่มผู้โจมตีฉวยช่องโหว่วอลเล็ต

Galaxy Digital ระบุว่า มีผู้โจมตีอย่างน้อย 15 กลุ่มที่อาศัยช่องโหว่ของฮาร์ดแวร์วอลเล็ต Coldcard เพื่อขโมยสินทรัพย์ หลังมีรายงานจากเหยื่อรายใหม่ทำให้พบความเสียหายที่ก่อนหน้านี้ยังไม่ถูกเชื่อมโยง โดย Alex Thorn หัวหน้าฝ่ายวิจัยของ Galaxy Digital กล่าวว่า ข้อมูลจากเหยื่อช่วยให้นักวิจัยเชื่อมโยงที่อยู่ Bitcoin เพิ่มเติมเข้ากับเหตุการณ์นี้ได้ หนึ่งในกรณีที่เปิดเผย เหยื่อที่สูญเสียไม่ถึง 1 BTC ช่วยให้นักวิจัยระบุตัวผู้โจมตีที่ดูดเงินรวม 12 BTC จาก 126 ที่อยู่ Bitcoin ได้ ความเสียหายในครั้งนี้ไม่เหมือนการเจาะระบบของเว็บเทรดแบบศูนย์กลาง เพราะเงินถูกย้ายออกจากวอลเล็ตจำนวนมากที่ผู้ใช้ถือครองและควบคุมกันคนละชุด ไปยังหลายที่อยู่ของผู้โจมตี ทำให้การตามรอยความเสียหายทั้งหมดทำได้ยาก หากเหยื่อไม่เปิดเผยที่อยู่วอลเล็ตและธุรกรรมที่เกี่ยวข้อง Galaxy Research ประเมินว่า Bitcoin ถูกขโมยไปราว 100 ล้านดอลลาร์สหรัฐ จากการโจมตีที่ยืนยันแล้ว 3 ระลอก และยังพบสัญญาณของระลอกที่ 4 ซึ่งอาจทำให้มูลค่าความเสียหายรวมขยับไปใกล้ 130 ล้านดอลลาร์สหรัฐ ทั้งนี้ "15 คลัสเตอร์ผู้โจมตี" ไม่ได้หมายความว่าเป็นบุคคลที่ทราบตัวตน 15 คนเสมอไป บางที่อยู่อาจอยู่ภายใต้การควบคุมของคนหรือกลุ่มเดียวกัน ขณะที่ผู้โจมตีบางรายอาจยังไม่ถูกค้นพบ ช่องโหว่ Coldcard ทำให้การสร้าง Seed อ่อนแอลง ช่องโหว่กระทบกระบวนการสร้างวลีสำหรับกู้คืน (recovery phrase) ของ Coldcard บางรุ่น โดยมีรายงานว่าเกิดจากความผิดพลาดในการผนวกรวมเฟิร์มแวร์ ทำให้อุปกรณ์ที่ได้รับผลกระทบไปพึ่งพาเครื่องกำเนิดเลขสุ่มเทียมแบบกำหนดแนวทางได้ (deterministic pseudorandom number generator) แทนเครื่องกำเนิดเลขสุ่มจากฮาร์ดแวร์ (hardware-based random number generator) ตามที่ออกแบบไว้ ส่งผลให้ "ความสุ่ม" ที่ใช้ปกป้องคีย์ส่วนตัวลดลง และเปิดช่องให้ผู้โจมตีค้นหา seed phrase ที่เป็นไปได้ได้จริงมากขึ้น Francesco ผู้ร่วมก่อตั้ง Castle Labs ระบุว่า Coldcard ที่ได้รับผลกระทบอาจสร้างคีย์ส่วนตัวด้วยเอนโทรปีประมาณ 40 บิต ขณะที่วลีกู้คืนแบบ 12 คำตามมาตรฐานโดยทั่วไปควรให้เอนโทรปี 128 บิต ประเด็นนี้ไม่ได้แปลว่าผู้โจมตีจะดึงคีย์ออกจากอุปกรณ์แบบ air-gapped ได้โดยตรง แนวทางโจมตีคือสร้างชุดวลีกู้คืนที่เป็นไปได้ แล้วเฝ้าติดตามที่อยู่ Bitcoin ที่เกี่ยวข้องเพื่อรอจังหวะที่มีเงินเข้า ผู้ใช้ที่สงสัยว่าวอลเล็ตของตนอาจได้รับผลกระทบถูกแนะนำให้อัปเดตเฟิร์มแวร์ สร้าง seed phrase ใหม่ทั้งหมด และย้าย Bitcoin ไปยังที่อยู่ที่ควบคุมโดยวอลเล็ตชุดใหม่ การนำวลีกู้คืนเดิมที่ได้รับผลกระทบไป import ในอุปกรณ์อื่นไม่ได้แก้จุดอ่อนที่ต้นเหตุ AI จะช่วยป้องกันเหตุ Coldcard ได้หรือไม่ เหตุการณ์นี้ยังจุดกระแสถกเถียงว่า การทดสอบความปลอดภัยด้วย AI อาจช่วยพบช่องโหว่ได้เร็วขึ้นหรือไม่ Haseeb Qureshi หุ้นส่วนผู้จัดการของ Dragonfly แสดงความคิดเห็นว่า การ "เสริมความแข็งแกร่งด้วย AI มูลค่าประมาณ 2 ดอลลาร์" อาจป้องกันความเสียหายได้ โดยอ้างถึงการทดลองที่ระบุว่าโมเดล AI สามารถค้นพบช่องโหว่เดิมได้ภายในไม่กี่นาที รวมถึงการทดสอบที่กล่าวว่าโมเดลโอเพนซอร์ส GLM 5.2 พบช่องโหว่ได้ราว 20 นาที แม้ไม่มีการเข้าถึงเว็บ ด้านผู้วิจารณ์ตั้งข้อสงสัยว่า การทดลองเหล่านี้พิสูจน์ได้จริงหรือไม่ว่า AI จะพบช่องโหว่ก่อนข้อมูลถูกเปิดเผยต่อสาธารณะ Tatsapat Saerejittima ผู้นำด้านข้อมูลของ Tokenomist ระบุว่า การทดสอบบางส่วนเกิดขึ้นหลังการเปิดเผยช่องโหว่ และขาดการทดสอบแบบ blind testing รวมถึงไม่มีระเบียบวิธีที่บันทึกไว้และการประเมินผลบวกลวง (false positives) อย่างครบถ้วน โดยสรุป AI อาจช่วยลดต้นทุนในการค้นหาช่องโหว่ได้ แต่ยังไม่สามารถทดแทนการตรวจสอบโดยหน่วยงานอิสระ (independent audits) และการทดสอบแบบ end-to-end ต่อวิธีที่ฮาร์ดแวร์วอลเล็ตสร้างและปกป้องคีย์ส่วนตัวได้