Ledger และ Trezor ยืนยันกับผู้ใช้ว่าทรัพย์สินยังปลอดภัย หลังเกิดเหตุ ช่องโหว่เฟิร์มแวร์ในวอลเล็ตคู่แข่ง Coldcard เปิดช่องให้คนร้ายขโมย Bitcoin (BTC) มูลค่า 70 ล้านดอลลาร์ได้ภายในเวลาเพียง 41 นาที
ประเด็นสำคัญ
- Ledger, Trezor, Bitkey, Jade และ Tangem ย้ำว่าช่องโหว่เฟิร์มแวร์ Coldcard ไม่เกี่ยวข้องหรือส่งผลถึงอุปกรณ์ของตน
- แฮกเกอร์กวาด 1,082.65 BTC จาก 1,196 แอดเดรสเมื่อ 30 ก.ค. เกือบเท่าตัวจากยอดที่ประเมินครั้งแรก
- มุมมองเชิงบวกต่อบิตคอยน์ในโซเชียลร่วงต่ำสุดเป็นประวัติการณ์ ขณะที่กองทุน ETF บิตคอยน์สpot ไหลออก 265.4 ล้านดอลลาร์ในวันที่ 31 ก.ค.
Ledger และ Trezor ปฏิเสธโยงกับบั๊ก Coldcard
Ledger ระบุว่า ไม่ได้รับผลกระทบจากคำเตือนเกี่ยวกับ Coldcard Mk3 โดยชี้จุดแข็งที่ตัวสร้างตัวเลขสุ่ม (random number generator) ที่ผ่านการรับรองซึ่งฝังอยู่ในชิป secure element
ด้าน Trezor ชี้แจงกับลูกค้าเมื่อวันศุกร์ว่า ต้นตอปัญหาอยู่ที่เฟิร์มแวร์แบบคัสตอมของ Coinkite เอง ซึ่ง Trezor ไม่ได้ใช้ร่วมด้วย Bitkey, Jade และ Tangem ก็เร่งออกมายืนยันความปลอดภัยให้ผู้ใช้ภายในเวลาไม่กี่ชั่วโมงเช่นกัน
อย่างไรก็ดี Trezor แนบคำเตือนสำคัญมาด้วย หากใครเคยสร้าง seed บน Coldcard รุ่นที่มีปัญหา แล้วภายหลังนำ seed นั้นไปกู้คืน (restore) บนฮาร์ดแวร์วอลเล็ตยี่ห้ออื่น ความเสี่ยงยังตามไปด้วย เพราะ “ความสุ่มที่อ่อนแอ” ถูกฝังอยู่ในตัว seed นั้นแล้ว
อ่านเพิ่มเติม: โครงสร้างพื้นฐาน AI เกมเสี่ยงใหม่ของเจ้าหนี้เงินด่วน ทุ่ม 1 พันล้านดอลลาร์หวังยึดหัวหาดดาต้าเซ็นเตอร์
ความเชื่อมั่นบิตคอยน์ดิ่งแตะจุดต่ำสุด
Galaxy Research เชื่อมโยงเหตุการณ์การกวาดเหรียญเข้ากับหน้าต่างเวลา 41 นาทีช่วงเช้ามืดวันที่ 30 ก.ค. ที่ทำให้ 1,082.65 BTC จาก 1,196 แอดเดรสถูกดูดออกไป ตัวเลขนี้สูงกว่ารายงานรอบแรกที่ 594 BTC เกือบหนึ่งเท่าตัว ขณะที่ Santiment บันทึกอัตราส่วนคอมเมนต์เชิงบวกต่อเชิงลบเกี่ยวกับบิตคอยน์ที่ 0.58 ต่ำสุดตั้งแต่เก็บสถิติ
แรงขายในตลาดสะท้อนตามบรรยากาศเชิงลบทันที
กองทุน ETF บิตคอยน์แบบสปอตในสหรัฐฯ ไหลออกรวม 265.4 ล้านดอลลาร์ในวันที่ 31 ก.ค. ยุติช่วงไหลเข้า 2 วันก่อนหน้า โดยกองทุน IBIT ของ BlackRock คิดเป็น 122.7 ล้านดอลลาร์ และ FBTC ของ Fidelity ตามมาที่ 54.8 ล้านดอลลาร์ ด้านราคา Bitcoin เองทรงตัวบริเวณ 63,000 ดอลลาร์ นับตั้งแต่ร่วงเกือบ 3% เมื่อวันศุกร์
Ido Ben-Natan ซีอีโอบริษัทความปลอดภัย Blockaid ชี้ว่า ความสูญเสียในคริปโตปี 2026 ส่วนใหญ่มาจาก “กุญแจถูกเจาะ” มากกว่าสัญญาอัจฉริยะเสียหาย ขณะที่ Joe Burnett แห่ง Strive เขียนว่า เหตุครั้งนี้อาจพลิกโฉมวิธีที่นักลงทุนมองเรื่องการถือครองสินทรัพย์เอง (self-custody) ไปโดยถาวร
ไทม์ไลน์ช่องโหว่เฟิร์มแวร์ Coldcard
ช่องโหว่นี้ซ่อนตัวอยู่นานถึงห้าปี ก่อนถูกเปิดโปง วิศวกรของ Block ย้อนรอยไปพบว่าต้นตอมาจากโค้ดคอมมิตลงวันที่ 1 มี.ค. 2021 ซึ่งถูกรวมอยู่ในเฟิร์มแวร์เวอร์ชัน 4.0.0 และแอบเปลี่ยนกระบวนการสร้าง seed ไปใช้ตัวแทนแบบซอฟต์แวร์แทนฮาร์ดแวร์
ผลคือระดับ entropy ที่แท้จริงบนอุปกรณ์ Mk3 ลดเหลือราว 40 บิต จากมาตรฐานที่ seed หนึ่งชุดควรมี 128 บิต
Coinkite ออกคำเตือนสาธารณะครั้งแรกประมาณ 30 ชั่วโมงหลังเริ่มการกวาดเหรียญ ครอบคลุมเฉพาะเครื่อง Mk3 ก่อนจะขยายคำเตือนไปยังรุ่น Mk4, Mk5 และ Q ในเวลาต่อมา
แค่ลงแพตช์อย่างเดียวไม่เพียงพอ เพราะ seed ที่สร้างบนเฟิร์มแวร์ที่มีปัญหานั้น “ถูกเดาง่าย” อยู่แล้ว และไม่สามารถทำให้กลับมาสุ่มสมบูรณ์ได้
อ่านต่อ: ข่าวลือ iPhone พับได้เริ่มชัด: ราคา 2,500 ดอลลาร์ ไม่มี Face ID ไม่มีเลนส์เทเลโฟโต้