ช่องโหว่เฟิร์มแวร์ Coldcard ถูกโจมตี ดูดบิตคอยน์ 1,367 BTC มูลค่าราว 89 ล้านดอลลาร์

เหตุโจมตี Coldcard ครั้งนี้เผยจุดบกพร่องระดับวิกฤตในฮาร์ดแวร์วอลเล็ตที่ผู้ใช้บิตคอยน์จำนวนมากไว้วางใจ โดยผู้โจมตีอาศัยช่องโหว่การสร้าง "seed" ในเฟิร์มแวร์บางรุ่น ทำให้คีย์ถูกสร้างด้วยความสุ่มไม่เพียงพอ และสามารถถอดรหัสคีย์ส่วนตัวแบบออฟไลน์ได้ ก่อนกวาดเหรียญออกจากกระเป๋าผู้ใช้จำนวนมาก รวมราว 1,367 BTC หรือประมาณ 89 ล้านดอลลาร์ จาก 4,585 แอดเดรส จุดสำคัญคือเหตุการณ์นี้ไม่ใช่ฟิชชิง ไม่ใช่การแฮ็กเว็บเทรด และไม่ต้องเข้าถึงอุปกรณ์ Coldcard ของเหยื่อโดยตรง แต่เป็นการเจาะที่ "กระบวนการสร้างคีย์ภายในเครื่อง" ตั้งแต่ตอนผู้ใช้เริ่มต้นตั้งค่า seed ทำให้ความเสียหายรุนแรงเป็นพิเศษ เพราะผลิตภัณฑ์ที่ตั้งใจแยกคีย์ออกจากออนไลน์กลับสร้างคีย์ที่คาดเดาได้ ความเสียหาย: ถูกดูดใน 3 ระลอก รวม 1,367 BTC วันที่ 30 ก.ค. 2026 การโจมตีเริ่มขึ้นเมื่อผู้ไม่ทราบฝ่ายเริ่มโอนบิตคอยน์ออกจากวอลเล็ตที่เกี่ยวข้องกับ Coldcard - ระลอกที่ 1 (30 ก.ค. 2026 ประมาณ 12:00 UTC): ถูกกวาด 594 BTC มูลค่าประมาณ 38 ล้านดอลลาร์ จากราว 500 วอลเล็ต ภายใน 25 นาที โดยเล็ง "กระเป๋ามูลค่าสูง" ก่อน Chainalysis ระบุว่าผู้โจมตีเก็บได้มากกว่า 30 ล้านดอลลาร์ใน 10 นาทีแรก และมีวอลเล็ตหนึ่งสูญราว 1.8 ล้านดอลลาร์ - ระลอกที่ 2 (30 ก.ค. 2026): ความเสียหายเพิ่มเป็น 1,082 BTC มูลค่าราว 70 ล้านดอลลาร์ ครอบคลุม 1,196 แอดเดรส ภายใน 41 นาที - ระลอกที่ 3 (1–2 ส.ค. 2026): ยอดรวมแตะ 1,367 BTC มูลค่าราว 89 ล้านดอลลาร์ ครอบคลุม 4,585 แอดเดรส รูปแบบการกวาดเหรียญบ่งชี้ว่าผู้โจมตีคัดเลือกเป้าหมายไว้ล่วงหน้าและลงมือเป็นลำดับ ขณะที่การกวาดต่อเนื่องเกือบ 30 ชั่วโมงก่อน Coinkite จะออกคำเตือนสาธารณะครั้งแรก ต่อมา Galaxy Research ระบุแอดเดรสต้องสงสัยของผู้โจมตีราว 600 รายการและส่งต่อให้หน่วยงานที่เกี่ยวข้อง โดยพบว่าระลอก 1 และ 2 มีแพตเทิร์นการปฏิบัติการคล้ายกัน ส่วนระลอก 3 ใช้วิธีรวบรวมเงินที่ต่างออกไป ไทม์ไลน์ช่องโหว่เฟิร์มแวร์ - 1 มี.ค. 2021: มีการคอมมิตโค้ดเปลี่ยนการสร้าง seed จาก ckcc.rng_bytes (อาศัยฮาร์ดแวร์ RNG) ไปเป็น ngu.random.bytes (ซอฟต์แวร์ PRNG) - 17 มี.ค. 2021: เฟิร์มแวร์ v4.0.0 เริ่มปล่อยพร้อมโค้ดที่ผิดพลาด ส่งผลให้ seed ของ Mk2 และ Mk3 ที่สร้างตั้งแต่จุดนี้มีเอนโทรปีราว 40 บิต - 2021–2026: บั๊กคงอยู่ราว 5 ปี ผ่านการอัปเดต การรีวิว และการตรวจแบบ AI-assisted แต่ไม่ถูกจับได้ - 30–31 ก.ค. 2026: Coinkite ออกคำแนะนำความปลอดภัยและปล่อยเฟิร์มแวร์แก้ไข พร้อมแนะนำให้ย้ายเงินไป seed ใหม่ - 31 ก.ค. 2026: Block (บริษัทของ Jack Dorsey) เผยบทวิเคราะห์เทคนิคอิสระเกี่ยวกับช่องโหว่ RNG - 1 ส.ค. 2026: Coinkite อัปเดตคำแนะนำ ระบุว่ารุ่น Mk4, Mk5 และ Q ก็มีเอนโทรปีลดลงเช่นกัน - 2–3 ส.ค. 2026: Galaxy Research ส่งรายชื่อแอดเดรสต้องสงสัยให้หน่วยงานรัฐ ทีมคอมพลายแอนซ์ และทีมไซเบอร์ บั๊กเกิดจากอะไร: เปลี่ยน RNG หนึ่งบรรทัด แต่หลุดรอด 5 ปี เดิมทีเฟิร์มแวร์จะดึงความสุ่มจากฮาร์ดแวร์ random-number generator ภายในชิป STM32 แต่การปรับโค้ดเมื่อ 1 มี.ค. 2021 เปลี่ยนไปใช้ PRNG แบบซอฟต์แวร์ที่อาศัยอินพุตเชิงกำหนด เช่น serial number ของเครื่อง ค่าเวลา (timer) ภายใน และประวัติการเรียก RNG ก่อนหน้า จากนั้นนำไปผ่าน SHA256d การแฮชช่วย "สลับ" ข้อมูลที่มีอยู่ แต่สร้างความสุ่มใหม่ไม่ได้ หากจุดเริ่มมีความเป็นไปได้เพียง 2^40 ชุด ผลลัพธ์ก็ยังจำกัดอยู่ที่ 2^40 ทำให้ Mk2/Mk3 มีเอนโทรปีราว 40 บิต ส่วน Mk4/Mk5/Q มีอินพุตจาก secure element เพิ่ม ทำให้เอนโทรปีโดยนัยราว 72 บิต แต่ก็ยังต่ำกว่าระดับ 128 บิตที่โดยทั่วไปคาดหวังสำหรับการสร้าง seed ของบิตคอยน์ Zach Herbert ซีอีโอ Foundation Devices ระบุว่าบั๊กน่าจะหลุดเข้ามาในช่วงเขียนเฟิร์มแวร์ใหม่ครั้งใหญ่เดือน มี.ค. 2021 เพื่อเปลี่ยนไลบรารีคริปโตและจัดการประเด็นลิขสิทธิ์ มากกว่าจะเป็นการตัดสินใจด้านความปลอดภัยโดยตรง ถึงอย่างนั้นโค้ดที่ผิดพลาดก็ถูกใช้งานจริงต่อเนื่องหลายปี ผู้โจมตีทำได้อย่างไร: brute force seed เอนโทรปี 40 บิต ผู้โจมตีไม่จำเป็นต้องขโมยอุปกรณ์หรือเชื่อมต่อระยะไกล แต่ประเมินตัวแปรสำคัญบางส่วนได้ เช่น UID ของอุปกรณ์ สถานะเวลา และลำดับการเรียก RNG ก่อนหน้า จากนั้นจำลองสตรีมเอาต์พุต seed ที่เป็นไปได้ทั้งหมดแบบออฟไลน์ แปลง seed ผู้ต้องสงสัยไปเป็นแอดเดรสบิตคอยน์ แล้วเทียบกับข้อมูลบนบล็อกเชน เมื่อ seed มีเอนโทรปีราว 40 บิต ชุดความเป็นไปได้อยู่ระดับประมาณหนึ่งล้านล้านแบบ ซึ่งแม้ดูมากแต่ยังอยู่ในขอบเขตที่ฮาร์ดแวร์สมัยใหม่สามารถค้นหาได้ในเวลาที่ใช้งานจริง โดยเฉพาะเมื่อผู้โจมตีจำกัดเป้าหมายไปที่ seed ที่น่าจะถูกสร้างในช่วงปี 2021–2026 เมื่อพบ seed ที่ตรงกับแอดเดรสซึ่งมีบิตคอยน์ ก็สามารถควบคุม private key และกวาดเงินได้ทันที Galaxy Research มองว่าระลอก 1 และ 2 อาจเป็นผู้ปฏิบัติการรายเดียวกัน แต่ระลอก 3 มีพฤติกรรม on-chain ต่างออกไป จึงอาจเป็นอีกกลุ่มที่ค้นพบช่องโหว่แล้วลงมือเองในภายหลัง สำหรับ Mk4/Mk5/Q แม้เอนโทรปีสูงกว่า (~72 บิต) แต่ Block ระบุโครงสร้างบางส่วนเป็น "fail-open" ที่เสี่ยง เพราะภายใต้เงื่อนไขบูตบางแบบอาจลดพื้นที่ค้นหาเหลือ 2^32 ค่าได้ แม้ยังไม่พบการโจมตีวงกว้างจากจุดนี้ ใครบ้างที่ได้รับผลกระทบ: ขึ้นกับเฟิร์มแวร์ตอนสร้าง seed ความเสี่ยงไม่ได้ขึ้นกับเฟิร์มแวร์ปัจจุบัน แต่ขึ้นกับ "เวอร์ชันเฟิร์มแวร์ตอนที่คุณสร้าง seed ครั้งแรก" หากสร้าง seed บนเฟิร์มแวร์ที่มีช่องโหว่ ต่อให้อัปเดตภายหลังก็ยังถือว่า seed เดิมอ่อนแอ เพราะจุดอ่อนถูกฝังอยู่ใน seed ที่สร้างไปแล้ว การอัปเดตช่วยป้องกันเฉพาะการสร้าง seed ใหม่ในอนาคต ไม่ได้ซ่อม seed เก่า สรุปรุ่นที่ได้รับผลกระทบ (ตามคำแนะนำของ Coinkite) - Mk2 / Mk3: เฟิร์มแวร์ v4.0.0 / v4.0.1 ถึง v4.1.9 เอนโทรปี ~40 บิต แก้ไขใน v4.2.0+ ความเสี่ยงสูงสุด และถูกโจมตีจริงแล้ว - Mk4 / Mk5: ก่อน v5.6.0 (สาย standard) / ก่อน v6.6.0X (สาย Edge) เอนโทรปี ~72 บิต แก้ไขใน v5.6.0+ / v6.6.0X+ ยังไม่พบการโจมตีวงกว้าง แต่ความสุ่มยังต่ำกว่ามาตรฐานที่คาดหวัง - Q: ก่อน v1.5.0Q (สาย standard) / ก่อน v6.6.0QX (สาย Edge) เอนโทรปี ~72 บิต แก้ไขใน v1.5.0Q+ / v6.6.0QX+ ความเสี่ยงคงเหลือใกล้เคียง Mk4/Mk5 ผู้ใช้ที่ตอนตั้งค่า seed ได้เพิ่มเอนโทรปีภายนอกด้วยการทอยลูกเต๋าอย่างเป็นอิสระและเป็นความลับอย่างน้อย 50 ครั้ง จะช่วยชดเชยจุดอ่อนของ RNG ในเครื่องได้ ทำให้ความเสี่ยงจากช่องโหว่นี้ต่ำมาก ส่วน BIP39 passphrase ที่แข็งแรงช่วยลดโอกาส brute force ได้ แต่ไม่ได้ "ซ่อม" seed ที่อ่อนแอ Coinkite จึงยังแนะนำให้ย้ายเงินหาก seed ถูกสร้างบนเฟิร์มแวร์ที่ได้รับผลกระทบ คำแนะนำการประเมินความเสี่ยงและสิ่งที่ควรทำ - สร้าง seed ก่อนการเปลี่ยนเฟิร์มแวร์เดือน มี.ค. 2021: โดยทั่วไปไม่กระทบจากบั๊กนี้ - สร้าง seed บนเฟิร์มแวร์ที่มีช่องโหว่ และมีทอยลูกเต๋าอย่างน้อย 50 ครั้ง: ความเสี่ยงต่ำ ควรตรวจบันทึกการตั้งค่าและทำตามแนวทางทางการ - สร้าง seed บนเฟิร์มแวร์ที่มีช่องโหว่ โดยไม่ได้เพิ่มเอนโทรปีด้วยลูกเต๋า: ให้ถือว่า seed ถูกเปิดเผย อัปเดตเฟิร์มแวร์ สร้าง seed ใหม่ แล้วย้ายเงิน - ใช้ BIP39 passphrase ที่แข็งแรง: ความเสี่ยงลดลง แต่ seed ฐานยังอ่อนแอ ควรย้ายเงินไป seed ใหม่ - Multisig ที่มีคีย์จาก Coldcard ที่ได้รับผลกระทบ: ความเสี่ยงขึ้นกับ threshold และนโยบายการเซ็น ต้องหมุนเวียน (rotate) คีย์ที่ได้รับผลกระทบทั้งหมดและทบทวนนโยบาย multisig Coinkite ระบุว่าเหตุนี้ไม่กระทบฮาร์ดแวร์วอลเล็ตทุกราย โดย Trezor, Ledger และ Block (Bitkey) ยืนยันว่าใช้ระบบสร้างเอนโทรปีคนละแบบ การตอบสนองของ Coinkite Coinkite ออกคำแนะนำความปลอดภัยครั้งแรกในวันที่ 30 และ 31 ก.ค. หลังการกวาดเริ่มขึ้นราว 30 ชั่วโมง พร้อมปล่อยเฟิร์มแวร์แก้ไขให้ทุกรุ่นที่เกี่ยวข้อง ได้แก่ v4.2.0 (Mk3), v5.6.0 (Mk4/Mk5) และ v1.5.0Q (Q) รวมถึงเผยบทวิเคราะห์เทคนิคและคู่มือย้ายเงิน ต่อมาเมื่อ 1 ส.ค. มีการยอมรับขอบเขตที่กว้างขึ้นว่ารุ่นใหม่ก็มีเอนโทรปีลดลง ขณะเดียวกันก็มีเสียงวิจารณ์เรื่องบั๊กคงอยู่ 5 ปีทั้งที่มีการทบทวนหลายรอบและมีการตรวจแบบ AI-assisted ก่อนเกิดเหตุไม่นาน อีกทั้งการเตือนต่อสาธารณะล่าช้าจนทำให้ผู้ใช้จำนวนหนึ่งไม่มีข้อมูลทันเวลา Kevin Loaec นักวิจัยความปลอดภัยจาก Wizardsardine ยังเตือนว่าผู้ใช้ควรมอง multisig ที่มีคีย์จาก Coldcard ที่ได้รับผลกระทบว่า "เปิดเผยแล้ว" ซึ่งในคำแนะนำของ Coinkite ยังครอบคลุมไม่ครบถ้วน วิธีย้ายเงิน: ต้องสร้าง seed ใหม่ ไม่ใช่แค่อัปเดตเฟิร์มแวร์ การอัปเดตเฟิร์มแวร์อย่างเดียวไม่ทำให้วอลเล็ตเดิมปลอดภัย เพราะ seed ที่อ่อนแอถูกสร้างไปแล้ว ผู้ใช้ต้องสร้าง seed ใหม่และย้ายบิตคอยน์ไปยังแอดเดรสที่สร้างจาก seed ใหม่ โดยแนวทางที่ Coinkite และคู่มือของ Shinobi (Bitcoin Magazine) แนะนำ มีสาระสำคัญดังนี้ 1) อัปเดตเฟิร์มแวร์: ติดตั้งเวอร์ชันล่าสุดที่แก้ไขแล้วให้ตรงรุ่น และตรวจสอบว่าไฟล์มาจากเว็บไซต์ทางการของ Coinkite 2) สร้าง seed ใหม่ทั้งหมด: สร้างบนอุปกรณ์ที่อัปเดตแล้ว ไม่ใช่นำ seed เดิมมา restore/นำเข้า และควรพิจารณาทอยลูกเต๋าอย่างน้อย 50 ครั้งเพื่อเพิ่มเอนโทรปี 3) ตรวจสอบแบ็กอัป seed: จดคำครบถ้วนตามลำดับ ทำขั้นตอน verify บนอุปกรณ์ และตรวจให้แน่ใจว่าแอดเดรสรับเงินที่ซอฟต์แวร์แสดงตรงกับบนหน้าจอ Coldcard 4) ย้ายบิตคอยน์ทั้งหมด: โอนยอด BTC ทั้งหมดจาก seed เดิมไปยังแอดเดรสจาก seed ใหม่ ตรวจปลายทางและรายละเอียดธุรกรรมบน Coldcard ก่อนเซ็น 5) ยืนยันการย้ายสำเร็จ: ตรวจบนบล็อกเอ็กซ์พลอเรอร์ให้ธุรกรรมคอนเฟิร์ม ตรวจว่าแอดเดรสเดิมไม่เหลือยอด และวอลเล็ตใหม่แสดงยอดครบ 6) ทำลายแบ็กอัป seed เดิมอย่างปลอดภัย: ทำหลังจากยืนยันทุกธุรกรรมเสร็จและเข้าถึงวอลเล็ตใหม่ได้แล้วเท่านั้น ลบสำเนาทั้งทางกายภาพและดิจิทัลของ seed ที่ถูกมองว่าเสี่ยง ผู้ใช้ควรคำนึงถึงค่าธรรมเนียม on-chain และไม่ตั้งค่าธรรมเนียมต่ำเกินไปในช่วงย้ายแบบเร่งด่วน ส่วนผู้ใช้ multisig ต้องหมุนเวียนคีย์ที่ได้รับผลกระทบทุกรายการ ทบทวน threshold และตรวจสอบการตั้งค่าใหม่ก่อนย้ายเงินก้อนใหญ่ นัยต่อการถือครองเอง (self-custody) เหตุนี้ตอกย้ำว่า self-custody ต้องพึ่งพา 2 เงื่อนไขพร้อมกัน: ผู้ใช้ต้องเป็นเจ้าของคีย์ และวอลเล็ตต้องสร้างคีย์ด้วยความสุ่มคุณภาพสูง เหตุ Coldcard เป็นตัวอย่างว่าถึงผู้ใช้ถือคีย์เอง ก็ยังสูญเงินได้หากกระบวนการสร้างคีย์คาดเดาได้ นอกจากนี้ยังถูกยกเป็นความล้มเหลวของ PRNG ครั้งใหญ่ลำดับที่สามในช่วงไม่กี่ปี ต่อจาก Milk Sad (2023) และ Ill Bloom (2026) ประเด็นโอเพ่นซอร์สก็ถูกหยิบยกขึ้นมาอีกครั้ง แม้เฟิร์มแวร์ Coldcard เปิดเผยซอร์สให้ตรวจได้ แต่บั๊กก็ยังหลุดรอดถึง 5 ปี แสดงว่าการเปิดซอร์สไม่เท่ากับปลอดภัยโดยอัตโนมัติ แต่อย่างน้อยเป็นเงื่อนไขให้ชุมชนตรวจสอบได้จริง ขณะเดียวกัน CoinDesk รายงานว่าความเสี่ยงเชิงปฏิบัติการแบบนี้อาจผลักบางส่วนไปเลือก Bitcoin ETF ซึ่งแลกความเสี่ยงการจัดการคีย์กับการพึ่งพาผู้รับฝากทรัพย์สินภายใต้กำกับ Blockaid ระบุว่าครึ่งแรกปี 2026 ความเสียหายคริปโตจำนวนมากมาจากคีย์ถูกเจาะและความล้มเหลวด้านโอเปอเรชัน มากกว่าการโจมตีสมาร์ตคอนแทรกต์ ซึ่งเข้ากับกรณีนี้ที่โจมตี "การสร้างคีย์" ไม่ใช่ตัวบิตคอยน์เอง Cold storage ยังเหมาะสำหรับผู้ถือระยะยาวส่วนใหญ่ แต่ "เย็น" ไม่ได้แปลว่า "พลาดไม่ได้" หมายเหตุ: เนื้อหานี้จัดทำเพื่อให้ข้อมูลและการศึกษา ไม่ใช่คำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือความปลอดภัย โปรดศึกษาด้วยตนเองก่อนตัดสินใจเกี่ยวกับคริปโต คำถามพบบ่อยเกี่ยวกับเหตุโจมตี Coldcard - Coldcard ของฉันเสี่ยงหรือไม่? หากคุณสร้าง seed บน Mk2 หรือ Mk3 ด้วยเฟิร์มแวร์ v4.0.0 ถึง v4.1.9 และไม่ได้เพิ่มเอนโทรปีจากการทอยลูกเต๋าอย่างเพียงพอ มีความเสี่ยงสูง Mk4/Mk5/Q ที่สร้าง seed ก่อนแพตช์มีเอนโทรปีราว 72 บิต ยังไม่ยืนยันการถูกโจมตีวงกว้าง แต่ต่ำกว่ามาตรฐาน 128 บิต ควรอัปเดต สร้าง seed ใหม่ และย้ายเงินทั้งหมด - อัปเดตเฟิร์มแวร์แล้วจบไหม? ไม่จบ แพตช์ช่วยเฉพาะการสร้าง seed ในอนาคต seed เดิมที่สร้างด้วยเอนโทรปีอ่อนแอยังไม่ถูกซ่อม ต้องสร้าง seed ใหม่บนเฟิร์มแวร์ที่แก้แล้วและโอนเงินออกจากแอดเดรสเดิม - Ledger และ Trezor กระทบไหม? ไม่กระทบ Ledger, Trezor และ Block (Bitkey) ระบุว่าใช้วิธีสร้างเอนโทรปีคนละระบบ จึงไม่ได้รับผลจากช่องโหว่นี้ - ขโมยไปเท่าไร? ณ 2 ส.ค. 2026 ถูกขโมยราว 1,367 BTC มูลค่าประมาณ 89 ล้านดอลลาร์ ใน 3 ระลอก ครอบคลุม 4,585 แอดเดรส คดียังอยู่ระหว่างตรวจสอบ ตัวเลขอาจเปลี่ยนได้ - รู้ตัวผู้โจมตีหรือยัง? ยังไม่ทราบตัวตน Galaxy Research เชื่อว่าระลอก 1 และ 2 อาจเป็นรายเดียวกัน แต่ระลอก 3 มีพฤติกรรม on-chain ต่างออกไป อาจเป็นอีกกลุ่ม และมีการรายงานแอดเดรสต้องสงสัยราว 600 รายการให้ผู้ตรวจสอบแล้ว - ทอยลูกเต๋าช่วยป้องกันได้ไหม? ได้ หากคุณทอยลูกเต๋าอย่างเป็นอิสระและเป็นความลับอย่างน้อย 50 ครั้งตอนสร้าง seed เอนโทรปีภายนอกจะช่วยลดผลกระทบจาก RNG ที่ผิดพลาด โดย Coinkite ระบุว่าผู้ใช้ที่ทำขั้นตอนนี้ถูกต้องมีความเสี่ยงต่ำมากจากช่องโหว่นี้