แฮ็ก Coldcard เปิดโปงช่องโหว่เฟิร์มแวร์ยาว 5 ปี สูญบิตคอยน์กว่า 100 ล้านดอลลาร์

Cory Klippsten ซีอีโอของ Swan เล่าว่า ระหว่างไปร่วมงานแต่งที่ปารีส เขาเริ่มได้รับข้อความขอความช่วยเหลือเข้ามาอย่างต่อเนื่อง "เป็นสุดสัปดาห์ที่โหดร้ายสำหรับหลายคนที่เสียบิตคอยน์" เขากล่าว พร้อมระบุว่าเคยส่งข้อความตอนตี 4 เพื่อช่วยผู้ใช้ฝั่งเวลาแปซิฟิกย้ายเหรียญไปยังที่ปลอดภัย เหตุการณ์เกิดขึ้นเมื่อวันพฤหัสบดีที่ผ่านมา หลังผู้โจมตีเริ่มดูดบิตคอยน์ออกจากฮาร์ดแวร์วอลเล็ต Coldcard จำนวนมาก โดยอาศัยช่องโหว่ในเฟิร์มแวร์ที่ไม่ถูกตรวจพบมานานถึง 5 ปี จุดบกพร่องมาจากการอัปเดตเฟิร์มแวร์เดือนมีนาคม 2021 ของวอลเล็ตที่ผลิตโดย Coinkite ทำให้ private key ของผู้ใช้มีความปลอดภัยต่ำกว่าที่ควรจะเป็น Galaxy Research ระบุว่า การโจมตีเกิดขึ้นรวม 3 ระลอก ก่อนจะกวาดบิตคอยน์เกือบ 1,600 BTC มูลค่ากว่า 100 ล้านดอลลาร์ ออกจากราว 7,300 แอดเดรส Swan ซึ่งเป็นแพลตฟอร์มในสหรัฐฯ ที่ช่วยลูกค้าซื้อ ถือครอง และทำ self-custody บิตคอยน์ ได้หยุดการถอนสำหรับลูกค้าที่มีความเสี่ยง ส่งคำเตือนผ่านแอป และเปิดทีมช่วยย้ายระบบให้กว้างเกินฐานผู้ใช้ของตนเอง "ทีมของเราวางทุกอย่างแล้วเริ่มโทรหาลูกค้า จากนั้นก็เปิดให้ใครก็ตามที่ต้องการความช่วยเหลือ ไม่ว่าจะเคยเป็นลูกค้า Swan หรือไม่" Klippsten กล่าว หนึ่งสัปดาห์หลังเหตุการณ์ บิตคอยน์ที่ถูกขโมยไปเกือบ 90% ยังไม่ถูกเคลื่อนย้ายบนเชน โดยมีการแชร์แอดเดรสของผู้โจมตีที่ยืนยันแล้วให้หน่วยงานบังคับใช้กฎหมายของรัฐบาลกลางสหรัฐฯ ขณะที่ Coinkite ซึ่งมีสำนักงานใหญ่ในโตรอนโตได้ออกแพตช์ให้ทุกไลน์อุปกรณ์ที่ได้รับผลกระทบแล้ว ทีมอาสาสมัครที่ได้รับทุนจาก OpenSats สแกนมากกว่า 150 รีโพซิทอรีโอเพนซอร์ส และไม่พบหลักฐานว่าปัญหาลุกลามไปไกลกว่ากลุ่ม Coldcard ช่องโหว่นี้ทำให้บางส่วนของอุตสาหกรรมตั้งคำถามต่อคุณค่าของการทำ self-custody โดยเสนอว่านักลงทุนอาจพิจารณาซื้อบิตคอยน์ผ่านผลิตภัณฑ์อย่างกองทุน ETF แทนการถือเอง Klippsten มองต่างออกไป เขาระบุว่าลูกค้าไม่ได้ถอยจาก self-custody แต่กำลังมองหาวิธีทำให้บิตคอยน์ "เข้าถึงยากขึ้น" "ตอนนี้ผู้คนกำลังย้ายเข้า Swan Vault" เขากล่าวถึงผลิตภัณฑ์แบบ multisig ร่วมกันของบริษัท ซึ่งออกแบบมาให้ไม่มีอุปกรณ์ชิ้นเดียวที่สามารถทำให้เงินของผู้ใช้ตกอยู่ในความเสี่ยงได้ "แทนที่จะทิ้ง self-custody หลายคนกำลังอัปเกรดมัน" สำหรับบทสรุปของสัปดาห์นี้ เขามองอย่างระมัดระวังแต่ยังมีความหวัง "มันเลวร้ายที่ผู้คนเสียเหรียญ ทั้งที่ทำทุกอย่างถูกต้องตามที่คนดังในวงการหลายคนแนะนำ แต่บิตคอยน์มีความแข็งแกร่งจากแรงกดดัน และเครื่องมือก็แข็งแรงขึ้นแทบทุกชั่วโมง เหตุการณ์นี้อาจกลายเป็นสิ่งที่ดีที่สุดที่เคยเกิดขึ้นกับ self-custody ก็ได้"