Galaxy ชี้ตัวผู้โจมตีอย่างน้อย 15 รายจากช่องโหว่ Coldcard คาดมูลค่าความเสียหายรวมใกล้ 130 ล้านดอลลาร์

สรุปย่อ: Galaxy ระบุผู้โจมตีอย่างน้อย 15 ราย หลังมีเหยื่อรายใหม่ทยอยเปิดเผยข้อมูล ทำให้พบการขโมยผ่าน Coldcard ที่ก่อนหน้านี้ไม่ถูกมองเห็น รวมถึงกรณีดึง 12 BTC ออกจาก 126 แอดเดรส ความเสียหายที่ยืนยันแล้วอยู่ราว 100 ล้านดอลลาร์จาก 3 ระลอกโจมตี และอาจมีระลอกที่ 4 ซึ่งหากยืนยันได้จะดันยอดรวมใกล้ 130 ล้านดอลลาร์ในรูปบิตคอยน์ นักวิจัยถกเถียงกันว่า AI ราคาถูกสามารถช่วยตรวจพบช่องโหว่ได้ตั้งแต่ต้นหรือไม่ แต่เห็นพ้องว่าการที่เอนโทรปีถูกลดลงเหลือ 40 บิต ทำให้ seed ของวอลเล็ตที่ได้รับผลกระทบถูกโจมตีได้ง่ายขึ้นโดยผู้เล่นหลายรายแบบแยกกัน Galaxy Digital ระบุว่าพบผู้โจมตีอย่างน้อย 15 รายที่ฉวยโอกาสจากช่องโหว่ของ Coldcard โดยอาศัยรายงานเหยื่อที่เข้ามาหลังเหตุการณ์ถูกเปิดเผยสู่สาธารณะ Alex Thorn กล่าวว่า การเปิดเผยข้อมูลรายบุคคลช่วยให้นักวิเคราะห์ติดป้ายจำแนกผู้โจมตีที่เดิมอาจไม่ถูกพบ เพราะกรณีนี้ไม่ใช่การเจาะศูนย์กลางแบบแพลตฟอร์มซื้อขาย แต่เป็นการนำ seed ที่ถูกทำให้คาดเดาได้ไปใช้โจมตีแบบกระจายตัว รายงานใหม่สะท้อนภาพว่าเป็นแคมเปญที่แตกเป็นส่วน ๆ มากกว่าปฏิบัติการขโมยที่ประสานกันครั้งเดียว ตัวอย่างหนึ่ง เหยื่อที่แจ้งว่าถูกขโมยน้อยกว่า 1 BTC กลับช่วยให้นักวิจัยเชื่อมโยงไปถึงการโจมตีที่ดึง 12 BTC ออกจาก 126 แอดเดรส ชี้ว่าคำร้องเรียนเล็ก ๆ อาจเปิดโปงรูปแบบที่กว้างกว่ามาก ด้านการประเมินความเสียหาย Galaxy ระบุว่าความเสียหายที่ “ยืนยันแล้ว” ใกล้ 100 ล้านดอลลาร์จาก 3 ระลอกโจมตี และกำลังติดตามระลอกที่ 4 ซึ่งอาจทำให้ยอดรวมแตะราว 130 ล้านดอลลาร์ในบิตคอยน์ การที่ตัวเลขยังขยับขึ้นสะท้อนว่าเหตุการณ์ยังอยู่ในช่วงประกอบภาพและตรวจสอบรายละเอียด มากกว่าจะสรุปได้ว่าถูกควบคุมหรือเข้าใจครบถ้วน ต่างจากการแฮ็กแพลตฟอร์มซื้อขายที่มีจุดรั่วไหลชัดเจนเพียงจุดเดียว กรณี seed ของวอลเล็ตที่ถูกทำให้คาดเดาได้เปิดทางให้ผู้โจมตีหลายกลุ่มนำไปใช้ได้อย่างอิสระ ทำให้การระบุตัวผู้ก่อเหตุ การนับจำนวนเหยื่อ และการคำนวณความเสียหายรวมทำได้ยากผิดปกติ ประเด็นนี้ยังจุดคำถามใหม่ว่า self-custody จะปกป้องผู้ใช้ได้มากแค่ไหน หาก “ความลับ” ที่สร้างโดยฮาร์ดแวร์เองกลับกลายเป็นสิ่งคาดเดาได้ การถกเถียงทางเทคนิคหันไปโฟกัสว่าปัญหาเฟิร์มแวร์สามารถถูกค้นพบด้วย AI ในต้นทุนต่ำเพียงใด Haseeb Qureshi หุ้นส่วนผู้จัดการของ Dragonfly ให้ความเห็นว่าการ “เสริมความแข็งแกร่งด้วย AI” มูลค่าราว 2 ดอลลาร์อาจป้องกันเหตุการณ์ได้ โดยอ้างการทดสอบที่ระบุว่าโมเดลสามารถทำซ้ำช่องโหว่ได้ภายในไม่กี่นาที ข้ออ้างดังกล่าวยังเป็นที่โต้แย้ง เพราะหลายเดโมเกิดขึ้นหลังช่องโหว่ถูกเผยแพร่แล้ว นักวิจัยรายหนึ่งเตือนว่าการทดสอบเหล่านั้นขาดเงื่อนไขแบบ blind ไม่มีวิธีการที่บันทึกชัดเจน และไม่มีการวิเคราะห์ false positive ขณะที่มีรายงานว่าโมเดลโอเพนซอร์สบางตัวพบปัญหาได้ภายใน 20 นาทีโดยไม่เข้าถึงเว็บ ทำให้ข้อถกเถียงเรื่องความเป็นไปได้ของการตรวจพบก่อนเปิดเผย (pre-disclosure) ยังร้อนแรง Castle Labs ระบุว่าบั๊กลดเอนโทรปีของคีย์ส่วนตัว Coldcard ลงมาเหลือราว 40 บิต ต่ำกว่ามาตรฐานที่เชื่อมโยงกับ seed 12 คำซึ่งโดยทั่วไปอยู่ที่ 128 บิต การยุบตัวของเอนโทรปีระดับนี้ทำให้การ brute-force ทำได้ง่ายขึ้น และอาจอธิบายได้ว่าทำไมจึงมีผู้โจมตีหลายรายเข้าร่วมได้ เหตุการณ์นี้สะท้อนความล้มเหลวด้านการทดสอบ เพราะคำสัญญาความปลอดภัยของฮาร์ดแวร์วอลเล็ตไปผูกอยู่กับเอนโทรปีที่ถูกเฟิร์มแวร์ทำให้อ่อนลงโดยไม่ชัดเจน เมื่อ AI ลดต้นทุนการรีวิวโค้ดทั้งฝั่งผู้ป้องกันและอาชญากร โจทย์ที่ยังไม่คลี่คลายคือผู้ผลิตวอลเล็ตจะทำให้กระบวนการปล่อยเวอร์ชันแข็งแกร่งพอหรือไม่ ก่อนที่เครื่องมืออัตโนมัติจะเปลี่ยนความผิดพลาดเชิงการใช้งานที่ดูเล็กน้อยให้กลายเป็นโอกาสโจรกรรมในสเกลใหญ่จากแอดเดรสบิตคอยน์ที่นิ่งเงียบมานาน