ผู้บริหาร Ledger อย่าง Ian Rogers ระบุว่า กรณีขโมยคริปโตมูลค่า 116 ล้านดอลลาร์จากกระเป๋า Coldcard เป็นตัวอย่างว่าปัญหาการสุ่มค่าไม่ดี (weak randomness) สามารถถูก “ขยายพลัง” โดย AI ได้อย่างไร มากกว่าจะเป็นหลักฐานว่ากระเป๋าเงินฮาร์ดแวร์หรือการถือครองสินทรัพย์ด้วยตนเอง (self-custody) นั้นไม่ปลอดภัยโดยพื้นฐาน
ประเด็นสำคัญ
- ช่องโหว่ในขั้นตอนสร้างซีดของ Coldcard ทำให้เอนโทรปีที่แท้จริงลดลงเหลือราว 40 บิตในอุปกรณ์รุ่นเก่า และราว 72 บิตในรุ่นใหม่ที่ได้รับผลกระทบ
- TRM Labs ระบุว่าการโจมตีเป็นระลอกตั้งแต่ 30 ก.ค. ดูดเอา Bitcoin (BTC) ไปประมาณ 1,816 เหรียญ คิดเป็นมูลค่าราว 116 ล้านดอลลาร์
- Rogers ชี้ว่า AI ทำให้ต้นทุนการค้นหาช่องโหว่ลดลง และเอเจนต์อัตโนมัติก่อความเสี่ยงใหม่เมื่อเข้าถึงข้อมูลลับและข้อมูลรับรองต่าง ๆ
ช่องโหว่วอลเล็ต Bitcoin
สื่อมวลชนได้ รายงาน เมื่อวันที่ 12 ส.ค. ว่า Rogers ซึ่งดำรงตำแหน่ง Chief Human Agency Officer ของ Ledger ไม่เห็นด้วยกับมุมมองที่ว่ากรณีนี้เป็นหลักฐานว่ากระเป๋าเงินฮาร์ดแวร์มีจุดอ่อนเชิงโครงสร้าง เขากลับชี้นิ้วไปที่การออกแบบระบบสุ่มที่ไม่ดีพอ ประกอบกับเครื่องมือ AI ที่ช่วยให้ผู้โจมตีสแกนหาระบบที่เปราะบางได้อย่างมีประสิทธิภาพมากขึ้น
ผู้ผลิต Coldcard อย่าง Coinkite เปิดเผย ว่า ปัญหาเฟิร์มแวร์ที่ถูกใส่เข้ามาตั้งแต่ปี 2021 ทำให้กระบวนการสร้างซีดหันไปใช้ตัวสร้างเลขสุ่มแบบเทียมในซอฟต์แวร์ (PRNG) แทนเส้นทางฮาร์ดแวร์ที่ออกแบบไว้แต่แรก การประเมินเบื้องต้นชี้ว่าเอนโทรปีที่แท้จริงในอุปกรณ์ Mk2 และ Mk3 ที่ได้รับผลกระทบลดลงเหลือราว 40 บิต และประมาณ 72 บิตในรุ่นใหม่ที่ได้รับผลกระทบ
ฝั่ง TRM Labs รายงาน ว่ามีการโจมตีเป็น 4 ระลอก ดูดเหรียญ Bitcoin ไปราว 1,816 BTC จากมากกว่า 5,200 แอดเดรส มูลค่าความเสียหายรวมใกล้เคียง 116 ล้านดอลลาร์ ขณะที่ Ledger ย้ำ ว่าอุปกรณ์ของบริษัทใช้ฮาร์ดแวร์ true random number generator ภายใน Secure Element ที่ผ่านการรับรอง โดยไม่มีระบบสำรองเป็นซอฟต์แวร์
อ่านเพิ่มเติม: XRP ร่วงต่ำกว่า 1 ดอลลาร์ ขณะที่วาฬกวาดซื้อเพิ่ม 380 ล้านโทเคน
คำเตือนจาก Ian Rogers
Rogers ระบุว่า AI กำลังเปลี่ยนภูมิทัศน์ภัยคุกคามในสามมิติสำคัญ:
หนึ่ง มอบเครื่องมือวิเคราะห์หาช่องโหว่ที่ทรงพลังให้ผู้โจมตี
สอง เร่งความเร็ววงจรการพัฒนาซอฟต์แวร์
สาม เพิ่มจำนวนเอเจนต์ AI ที่มีสิทธิ์เข้าถึงระบบที่อ่อนไหว
ความเสี่ยงข้อที่สามไม่ได้จำกัดอยู่แค่กระเป๋าเงินคริปโต เพราะเอเจนต์ที่ทำงานในระดับองค์กรอาจต้องจัดการอีเมล ข้อมูลรับรองการเข้าใช้ระบบ ข้อมูลการชำระเงิน และการสื่อสารภายในองค์กร
เขาเปรียบเทียบการกำหนดสิทธิ์ให้เอเจนต์ AI ว่าเหมือนพ่อแม่ตัดสินใจว่าจะมอบกุญแจรถให้ลูกวัยรุ่นเมื่อใด โดยย้ำว่าควรกำหนดสิทธิ์ตาม “บริบท” เป็นกรณีไป ว่าเมื่อใดเอเจนต์จึงจะสามารถใช้สิทธิ์ที่อ่อนไหวได้ Ledger กำลังพัฒนาเครื่องมือที่แยกความสามารถในการสั่งการธุรกรรมของเอเจนต์ออกจากการถือครองกุญแจส่วนตัว (private keys) โดยตรง
“ไม่ว่าสินทรัพย์ของคุณจะถูกเก็บไว้ที่ไหน คุณควรให้ความสนใจกับมาตรการรักษาความปลอดภัยที่ปกป้องมันอยู่” Rogers ให้สัมภาษณ์กับ Bloomberg
Ledger เคยตั้งข้อสังเกตเรื่องเอนโทรปีต่ำมาก่อนแล้ว โดยทีมความปลอดภัย Donjon ของบริษัทเคยรายงานช่องโหว่ส่วนขยายเบราว์เซอร์ของ Trust Wallet ให้บริษัทเจ้าของทราบตั้งแต่เดือนพฤศจิกายน 2022 หลังพบว่าเอนโทรปีของซีดลดลงเหลือเพียง 32 บิต
อ่านต่อ: หัวหน้า Apple Pay Jennifer Bailey ประกาศเกษียณ หลังร่วมงานกับบริษัทมานาน 25 ปี
