ช่องโหว่ความปลอดภัย Coldcard ถูกโยงเหตุขโมยบิตคอยน์กว่า 100 ล้านดอลลาร์ จุดชนวนความกังวลทั้งอุตสาหกรรม

แทบไม่มีใครคาดคิดว่า “ช่องโหว่เมื่อ 5 ปีก่อน” จะกลายเป็นต้นตอของเหตุขโมยบิตคอยน์ครั้งใหญ่ที่สุดของปีนี้ วันที่ 30 กรกฎาคม ตรวจพบความผิดปกติจากการที่บิตคอยน์จำนวนมากถูกดึงไปรวมศูนย์อย่างรวดเร็วจากหลายร้อยแอดเดรส ก่อนที่การโจมตีจะลุกลามเมื่อผู้ไม่หวังดีไล่สแกนแอดเดรสอีกหลายพันรายการ และกวาดไปเกือบ 2,000 BTC คิดเป็นมูลค่าหลายร้อยล้านดอลลาร์สหรัฐ สาเหตุถูกชี้ไปที่บั๊กในกระบวนการสร้างเมมนีมอนิก (mnemonic) ของกระเป๋าฮาร์ดแวร์ Coldcard ซึ่งเกี่ยวข้องกับปัญหา “สุ่มไม่สุ่มจริง” (random number อ่อนแอ) ทำให้ค่าที่ควรสุ่มมีความคาดเดาได้ แม้ Coldcard จะไม่ได้เป็นที่แพร่หลายในจีนจนช่วงแรกไม่ค่อยถูกพูดถึง แต่ในต่างประเทศที่แบรนด์นี้เป็นที่รู้จัก เหตุการณ์ได้สร้างแรงสั่นสะเทือนอย่างหนัก และหลังสถานการณ์ยืดเยื้อหลายวัน ความตื่นตระหนกแตะระดับสูงสุด วันที่ 31 กรกฎาคม ปริมาณการโอนบิตคอยน์ขนาดต่ำกว่า 1 BTC รวมทั้งวันพุ่งแตะ 39,600 BTC สูงสุดนับตั้งแต่เหตุล่มสลายของ FTX ในปี 2022 แหล่งข่าวระบุว่า ช่องโหว่นี้มีความเป็นไปได้ที่จะถูกค้นพบและนำไปใช้โดยโมเดล AI คล้ายกับแรงกระแทกที่เคยเกิดกับ Zcash ซึ่งราคาปรับลง 50% ภายในวันเดียว รอบนี้ถูกมองว่ารุนแรงกว่า แม้ข้อมูลตลาดอาจยังไม่สะท้อนเต็มที่ แต่ผลกระทบหลักอยู่ที่ “ความเชื่อมั่น” ซึ่งแทบประเมินเป็นตัวเลขไม่ได้ เพื่อสำรวจมุมมองจากแนวหน้า BlockBeats ได้พูดคุยกับ Yu Xian (Cosine) ผู้ก่อตั้ง SlowMist ซึ่งกำลังช่วยเหลือผู้เสียหายบางส่วนและติดตามเหตุการณ์อย่างใกล้ชิด โดย Yu Xian มองว่า ความเสียหายครั้งนี้ลึกกว่าตัวเลข เพราะกระทบถึงแกนกลางของชุมชนผู้ศรัทธาในบิตคอยน์ BlockBeats: Coldcard ได้ว่าจ้างบริษัทความปลอดภัยมาช่วยติดตามสินทรัพย์หรือยัง และในเมื่อบิตคอยน์ที่ถูกขโมยมีมูลค่าเกิน 100 ล้านดอลลาร์ โอกาสกู้คืนมีมากน้อยแค่ไหน? Cosine: ตอนนี้ยังไม่ชัดว่าเป็นกลุ่มแฮกเกอร์ใด ต้องดูวิธีการย้ายเหรียญต่อจากนี้เพื่อระบุต้นตอ หากท้ายที่สุดยืนยันว่าเป็นกลุ่มที่มีรัฐหนุนหลัง (เช่น แฮกเกอร์เกาหลีเหนือ) โอกาสกู้คืนจะยากมาก ฝั่งทีมทางการยังมีเพียงประกาศคำแนะนำด้านความปลอดภัย และยังไม่เห็นการดึงทีมความปลอดภัยเข้ามาช่วย ขณะเดียวกัน ผู้เสียหายที่ใช้ Coldcard บางรายติดต่อมาที่เราเพื่อขอความช่วยเหลือในการติดตามและกู้คืน BlockBeats: จากรายละเอียดที่มีอยู่ เหตุเกิดจาก “ความสุ่มไม่สุ่ม” ซึ่งอุตสาหกรรมคริปโตเคยเจอปัญหาเรื่อง random number แทบทุกปี ทำไมครั้งนี้ถึงดูรุนแรงเป็นพิเศษ? Cosine: ถ้ามองแค่จำนวนและมูลค่า การหายไปหลักพัน BTC ไม่ใช่สถิติใหญ่ที่สุดในประวัติศาสตร์ เมื่อก่อนมีกรณี Mt. Gox, BitFinex หรือพูลของ LBank ที่เสียหายระดับแสนถึงล้าน BTC หรือแค่การแฮกบริดจ์ครั้งเดียวก็อาจมากกว่านี้ได้อยู่แล้ว แต่แก่นของเรื่องคือ Coldcard มีชื่อเสียงดีมาก เป็นโอเพนซอร์ส โปร่งใส เรียบง่าย และเป็นที่นิยมในหมู่ Bitcoin OGs และผู้ศรัทธามายาวนาน เมื่อของที่ดู “สมบูรณ์แบบ” พัง มันกระแทกแรงกับผู้ใช้กลุ่มที่ภักดีที่สุด รากปัญหาคือ entropy ไม่เพียงพออย่างรุนแรงตอนสร้างเมมนีมอนิก ทำให้ความสุ่มของ seed ต่ำกว่าที่ควร จนแฮกเกอร์สามารถ brute force หา collision แล้วกู้เมมนีมอนิกของผู้ใช้ได้ นี่คือช่องโหว่พื้นฐานที่สุดและสำคัญที่สุดของการปกป้องสินทรัพย์คริปโต สิ่งที่น่าขำที่สุดคือ ในยุคที่โมเดล AI แกร่งขึ้นมาก ทั้ง Coldcard และชุมชนผู้ศรัทธาไม่ได้ถอยกลับมาทบทวนโค้ดด้วย AI แต่แฮกเกอร์ทำ เพราะถ้าโฟกัสเฉพาะช่องโหว่ด้านความสุ่มของ mnemonic seed โมเดลสมัยใหม่สามารถช่วยชี้และตรวจจับได้ไม่ยาก ดังนั้นเรื่องนี้จึงกลายเป็นประเด็นใหญ่ เพราะมันกระทบกลุ่มแกนหลัก BlockBeats: ถ้าอย่างนั้น เหตุครั้งนี้จะส่งผลไกลต่ออุตสาหกรรมคริปโตหรือไม่? Cosine: เมื่อกระเป๋าฮาร์ดแวร์สายกี๊กที่เป็นโอเพนซอร์สและถูกยกให้ “เพอร์เฟกต์” มีปัญหา ความเชื่อมั่นต่อผลิตภัณฑ์แนวเดียวกันจะสั่นคลอน ผู้ใช้จะเริ่มตั้งคำถามว่า กระเป๋าที่ใช้อยู่ปลอดภัยจริงไหม เมมนีมอนิกที่สร้างในอนาคตยังไว้ใจได้แค่ไหน BlockBeats: คุณแนะนำให้โปรเจกต์คริปโตใช้เครื่องมือ AI สแกนโค้ดเพื่อหาช่องโหว่หรือไม่ และ SlowMist ทำอย่างไร? Cosine: แนะนำให้ทำ ผลกระทบของ AI ต่ออุตสาหกรรมความปลอดภัยใหญ่กว่าที่คนทั่วไปคิด แฮกเกอร์แทบไม่มีข้อจำกัด สามารถตั้งใจสร้างโมเดลให้แรงได้ ขณะที่ฝ่ายป้องกันถูกจำกัดด้วยสิทธิการเข้าถึงโมเดล ทรัพยากรคอมพิวต์ นโยบายการกรอง และข้อจำกัดอื่นๆ เราไม่ได้ตรวจซอร์สโค้ดของบล็อกเชนสาธารณะอย่าง Bitcoin หรือ Ethereum เพราะทรัพยากรจำกัด จึงต้องจัดลำดับความสำคัญไปที่ลูกค้าหลัก เพื่อช่วยลดความเสี่ยงในยุค AI แต่จากการใช้ AI ทบทวนโปรเจกต์เก่า เราพบประเด็นจำนวนมากที่เคยมองข้าม และผลลัพธ์ถือว่าดีมาก BlockBeats: คำถามในมุมมองที่มืดกว่านั้นคือ เมื่อโมเดลเก่งขึ้น ความไม่ไว้วางใจต่อเทคโนโลยีคริปโตรุ่นแรกจะเพิ่มขึ้นหรือไม่ เช่น Zcash เคยโดนกระทบคล้ายกัน? Cosine: แน่นอน ความปลอดภัยไม่มีทาง 100% การโจมตีและการป้องกันจะยกระดับแข่งกันตลอด แฮกเกอร์มีแรงจูงใจและศักยภาพในการใช้ AI มากกว่า เพราะเจาะสำเร็จก็เปลี่ยนเป็นเงินได้ทันที ผลตอบแทนสูงมาก ส่วนฝ่ายป้องกันติดกระบวนการและทรัพยากรจำกัด ภายใต้ความไม่สมดุลนี้ เหตุการณ์ที่ใหญ่กว่าสเกลเดิมเป็นสิ่งหลีกเลี่ยงยาก ความเสียหายอาจพุ่งถึงระดับพันล้านดอลลาร์ และในอนาคตก็เป็นไปได้ที่แม้แต่โค้ดของ Bitcoin เองอาจถูกพบช่องโหว่ อย่างไรก็ตาม ผมไม่ถึงกับมองโลกในแง่ร้ายต่อความสามารถของอุตสาหกรรมในการรับมือ เพราะเกมรุก-รับจะอยู่คู่กัน และระบบคริปโตกราฟีจะยิ่งแข็งแรงขึ้นตามเวลา BlockBeats: เริ่มมีเสียงยก “ข้อดีของศูนย์ซื้อขายแบบรวมศูนย์” ว่าปลอดภัยกว่า คุณมองอย่างไร? Cosine: ศูนย์ซื้อขายรายใหญ่บางแห่งลงทุนด้านความปลอดภัยพื้นฐานอย่างจริงจัง และมีความสามารถในการรับมือเมื่อเกิดปัญหา เว้นแต่วิกฤตร้ายแรงมาก ผู้ใช้ส่วนใหญ่จัดการเรื่องซับซ้อนอย่างเมมนีมอนิกและมัลติซิกได้ยาก แต่ก่อนมักเลือกกระเป๋าตามคำบอกต่อหรือคำแนะนำจากคนรอบตัว เหตุครั้งนี้ทำให้คนเห็นว่า แม้กระเป๋าที่เชื่อถือกันแพร่หลายก็ยังมีช่องโหว่ได้ จึงมีคนรู้สึกว่าเก็บสินทรัพย์ไว้กับศูนย์ซื้อขายที่มีชื่อเสียงและระบบดีอาจอุ่นใจกว่า ซึ่งเป็นมุมมองที่เข้าใจได้ BlockBeats: สำหรับผู้ใช้ทั่วไปที่ไม่ถนัดเทคโนโลยีหรือไม่สามารถตรวจโค้ดกระเป๋าเอง ควรป้องกันตัวอย่างไรจากเหตุแบบ Coldcard? Cosine: ข้อแรก แนะนำให้ใช้ passphrase คู่กับเมมนีมอนิกเสมอ เป็นรหัสชั้นที่สองที่ช่วยเพิ่มความปลอดภัยอย่างมาก ดีกว่าไม่ตั้ง passphrase เลย ใช้ passphrase อย่างน้อย 8 ตัวอักษรและมีความซับซ้อนระดับหนึ่ง แต่ต้องแน่ใจว่าไม่ลืม กระเป๋าฮาร์ดแวร์หลักๆ ส่วนใหญ่รองรับฟีเจอร์นี้แล้ว แม้เกิดเหตุคล้ายกันอีก แฮกเกอร์มักโฟกัสย้ายเหรียญจากแอดเดรสที่ไม่มี passphrase ก่อน ทำให้สินทรัพย์หลักของคุณได้รับการคุ้มครองมากขึ้น ตัวอย่างเช่น สามารถแยกไว้จำนวนเล็กในแอดเดรสปกติ (ไม่มี passphrase) และเก็บก้อนใหญ่ไว้ในแอดเดรสที่มี passphrase หากเงินก้อนเล็กถูกขโมย จะเป็นสัญญาณว่า seed อาจรั่ว ขณะที่ต้นทุนในการ brute force passphrase สูง จะช่วยซื้อเวลาให้คุณ สำหรับผู้ใช้ที่ไม่คุ้นอุตสาหกรรมเลย การใช้บริการสถาบันแบบรวมศูนย์และพึ่งพาการช่วยเหลือเมื่อมีปัญหาอาจเหมาะสมกว่า นอกจากนี้ มีคำแนะนำทั่วไป 3 ข้อสำหรับทุกคน: · ตรวจทานสินทรัพย์: ประเมินว่าความทรงจำตอนสร้างกระเป๋าไม่ชัดเจนหรือไม่ หรือ seed phrase อาจเคยถูกเปิดเผย หากมีความไม่แน่ใจ ให้พิจารณาเปลี่ยนวิธีเก็บรักษา · ตั้งสติ: อย่ารีบจนเผลอไปโหลดกระเป๋าปลอมหรือโดนฟิชชิ่ง · คิดแบบแยกส่วน: นำสินทรัพย์ที่ไม่แน่ใจไปไว้บนอุปกรณ์แยก (แม้เป็นเครื่องที่ตัดการเชื่อมต่ออินเทอร์เน็ตได้) อย่าปะปนรวมกัน วิธีนี้ปลอดภัยกว่าการคิดว่าไม่มีอะไรเกิดขึ้น ทำตามแนวทางนี้สามารถลดความเสี่ยงทั่วไปได้มากกว่า 90%