เจาะลึกช่องโหว่ Coldcard: ทำไมกระเป๋าฮาร์ดแวร์ Bitcoin อาจไม่ปลอดภัยอย่างที่คิด

บทวิเคราะห์เชิงลึกจาก CryptoSlate โดย Liam "Akiba" Wright บรรณาธิการบริหาร ได้ย้อนสำรวจต้นตอทางเทคนิคของช่องโหว่ Coldcard อย่างละเอียด พร้อมชี้ประเด็นสำคัญว่า "ชะตากรรมของกระเป๋าเงินถูกกำหนดตั้งแต่จุดสร้าง ก่อนที่ PIN, แผ่นสำรองสแตนเลส, ถุงกันแกะ หรือ Air Gap จะช่วยอะไรได้ Seed ต้องเริ่มต้นจากความสุ่มที่แท้จริงก่อน" บทความนี้รวบรวมข้อมูลเชิงลึกที่ยังไม่เคยกล่าวถึงในรายงานก่อนหน้าของเรา ทั้งกลไกทางเทคนิคแบบละเอียด ตัวเลขความเสียหายจากหลายแหล่งข้อมูล และวิธีป้องกันตัวที่ผู้ใช้ทำได้จริง

🔍 ต้นตอทางเทคนิคแบบละเอียด

จุดเริ่มต้นของปัญหาคือการเปลี่ยนแปลงโค้ดเมื่อวันที่ 1 มีนาคม 2564 ที่ย้ายกระบวนการสร้าง Seed ไปยังไลบรารีใหม่ โดยเฟิร์มแวร์ตั้งค่า `MICROPY_HW_ENABLE_RNG` เป็นศูนย์ (ปิดใช้งาน) ทำให้ระบบต้อง Fallback ไปใช้ตัวสุ่มเลขแบบกำหนดได้ล่วงหน้า (Deterministic) ชื่อ Yasmarang ของ MicroPython แทนตัวสุ่มเลขจากชิปฮาร์ดแวร์ที่ตั้งใจไว้แต่แรก ปัญหานี้ติดมากับเฟิร์มแวร์เวอร์ชัน 4.0.0 ที่ปล่อยวันที่ 17 มีนาคม และเวอร์ชันถัดๆ มาจนกว่าจะมีแพตช์แก้ไข

📊 เอนโทรปีลดลงไปเท่าไหร่ในแต่ละรุ่น

ตามการวิเคราะห์เบื้องต้นของ Coinkite เอนโทรปี (ค่าความสุ่ม ยิ่งสูงยิ่งเดายาก) ที่แท้จริงลดลงไม่เท่ากันตามรุ่น: อุปกรณ์ Mk2/Mk3 เหลือเอนโทรปีจริงเพียงราว 40 บิตเท่านั้น ขณะที่ Mk4/Mk5 และรุ่น Q เหลือราว 72 บิต ซึ่งยังต่ำกว่ามาตรฐาน 128 บิตที่ควรจะเป็นมาก ด้านการวิเคราะห์แยกของ Block ยังระบุข้อจำกัดเพิ่มเติมที่ 2 ยกกำลัง 32 สำหรับอุปกรณ์รุ่นหลังในกรณีที่ทราบสถานะ Fallback และประวัติการเรียกใช้ฟังก์ชัน

🎯 ผู้โจมตีทำอย่างไร

วิธีการโจมตีทำได้เป็น 3 ขั้นตอน: (1) สร้าง Seed ที่เป็นไปได้จากขอบเขตเอนโทรปีที่ลดลงบนเครื่องคอมพิวเตอร์แยกต่างหาก (2) แปลง Seed ที่เป็นไปได้เหล่านั้นให้กลายเป็นที่อยู่ Bitcoin สาธารณะ (3) นำที่อยู่เหล่านั้นไปเทียบกับบัญชีแยกประเภทสาธารณะของ Bitcoin เพื่อหาที่อยู่ที่ตรงกันและมีเหรียญอยู่จริง กระบวนการนี้ทำได้แบบออฟไลน์ทั้งหมดโดยไม่ต้องแตะอุปกรณ์ของเหยื่อเลย

📦 รุ่น/เฟิร์มแวร์ที่ได้รับผลกระทบ

รุ่น Mk4 และ Mk5 ที่ใช้เฟิร์มแวร์ก่อนเวอร์ชันมาตรฐาน 5.6.0 หรือ Edge 6.6.0X, รุ่น Q ที่ใช้เฟิร์มแวร์ก่อนเวอร์ชันมาตรฐาน 1.5.0Q หรือ Edge 6.6.0QX ส่วนรุ่น Mk2 และ Mk3 คือเวอร์ชัน 4.0.1 ถึง 4.1.9 (ฝั่ง Block ระบุจุดเริ่มต้นที่เวอร์ชัน 4.0.0) ผู้เขียนบทความต้นฉบับแนะนำให้ผู้ใช้ที่ไม่แน่ใจขอบเขตที่แน่ชัด ให้ยึดตามแนวทางระมัดระวังไว้ก่อน

💰 ตัวเลขความเสียหายจากหลายแหล่งข้อมูล

รายงานนี้รวบรวมตัวเลขจากหลายฝ่าย: Galaxy Research ประเมินไว้เมื่อวันที่ 2 สิงหาคม ว่ามีเหรียญที่ถูกขโมยไปแล้ว 1,367.05 BTC จาก 4,585 ที่อยู่ ด้าน Bitcoin Optech ประเมินไว้ก่อนหน้าเมื่อวันที่ 31 กรกฎาคม ว่ามีเหรียญเสี่ยงกว่า 1,000 BTC ขณะที่ผู้ใช้ X ชื่อ Graham_Quantum รายงานว่ามีเหรียญ 18.25245043 BTC ถูกโยกออกจากกระเป๋าเมื่อวันที่ 29 กรกฎาคม ที่น่าสนใจคือ CryptoSlate เองยังติดตามพบว่ามีเหรียญ Bitcoin จาก UTXO อายุเก่าถูกโยกออกมาแล้วถึง 77,402 BTC หลังการเปิดเผยช่องโหว่ ซึ่งตัวเลขนี้สะท้อนการเคลื่อนย้ายเชิงป้องกันของผู้ใช้ ไม่ใช่ความเสียหายที่ยืนยันแล้วทั้งหมด แต่ก็ใหญ่พอที่จะบิดเบือนสัญญาณการวิเคราะห์เชิงเทคนิคที่นักลงทุนใช้กันอยู่

ทั้งนี้ ตัวเลขข้างต้นเป็นข้อมูล ณ วันที่ 2 สิงหาคม ก่อนที่ Bitcoinaddict.com จะรายงานว่าการโจมตีลุกลามต่อเนื่องเข้าสู่ระลอกที่ 4 จนยอดความเสียหายล่าสุดพุ่งขึ้นไปใกล้ 114 ล้านดอลลาร์ (ราว 1,816 BTC จากกว่า 5,200 ที่อยู่) แล้ว

⚠️ ทำไมอัปเดตเฟิร์มแวร์อย่างเดียวไม่พอ

นี่คือประเด็นที่สำคัญที่สุดของบทความ: การอัปเดตเป็นเฟิร์มแวร์ที่แก้ไขแล้วจะปกป้องเฉพาะ Seed ที่สร้างขึ้น *หลังจาก* อัปเดตเท่านั้น แต่ไม่สามารถเสริมความแข็งแรงให้ Seed เดิมที่สร้างไว้ก่อนหน้าได้แบบย้อนหลัง เพราะทุกที่อยู่ที่แตกแขนงมาจาก Seed ที่มีปัญหา ล้วนใช้รากลับความลับ (Root Secret) เดียวกันที่อ่อนแอเหมือนกันทั้งหมด ผู้ใช้จึงต้องสร้าง Seed ใหม่ทั้งหมดด้วยซอฟต์แวร์ที่แก้ไขแล้วและแหล่งความสุ่มที่เชื่อถือได้ แล้วโยกเงินไปยังกระเป๋าใหม่เท่านั้น

🎲 ทางแก้: ทอยลูกเต๋า 50-99 ครั้ง

ตามเอกสารของ Coldcard การทอยลูกเต๋า 6 หน้าที่เที่ยงตรงแต่ละครั้งให้ค่าเอนโทรปีราว 2.585 บิต เป้าหมายที่แนะนำคือ: **ทอย 50 ครั้ง** ให้เอนโทรปีดิบราว 129.25 บิต (เพียงพอสำหรับความปลอดภัยระดับ 128 บิตตามมาตรฐาน BIP-39) หรือ **ทอย 99 ครั้ง** ให้เอนโทรปีราว 255.91 บิต (เพียงพอสำหรับระดับ 256 บิต) โดยมาตรฐาน BIP-39 (ข้อเสนอปรับปรุง Bitcoin ที่กำหนดรูปแบบ Seed Phrase ที่ใช้กันทั่วไป) กำหนดไว้ว่า Seed Phrase 12 คำ = เอนโทรปี 128 บิต บวกเช็คซัม 4 บิต ส่วน Seed Phrase 24 คำ = เอนโทรปี 256 บิต บวกเช็คซัม 8 บิต โดยเช็คซัมมีไว้ตรวจจับการพิมพ์ผิดเท่านั้น ไม่ได้ช่วยเสริมความสุ่มที่อ่อนแอแต่อย่างใด

✅ เงื่อนไขการทอยลูกเต๋าที่ปลอดภัยจริง

บทความระบุเงื่อนไขสำคัญ 3 ข้อ: (1) ลูกเต๋าต้องเหมาะสมกับงานนี้จริงๆ (2) การทอยแต่ละครั้งต้องเป็นการทอยจริงและเป็นอิสระจากกัน (3) ลำดับผลลัพธ์ต้องเก็บเป็นความลับตลอดกระบวนการ ความเสี่ยงที่ทำลายความปลอดภัยได้แก่ การใช้ลำดับซ้ำแบบเดิม, การถ่ายรูปผลลัพธ์ไว้, การจดบันทึกไว้บนคลาวด์, และการพิมพ์ผลลัพธ์ลงในคอมพิวเตอร์ที่ต่ออินเทอร์เน็ต Coinkite ยังระบุด้วยว่าผู้ใช้จะไม่จำเป็นต้องย้าย Seed เลย ก็ต่อเมื่อสามารถยืนยันได้ว่า Seed สุดท้ายที่ใช้อยู่นั้นมาจากการทอยลูกเต๋าจริง อิสระ และเป็นส่วนตัวอย่างน้อย 50 ครั้งเท่านั้น หากไม่แน่ใจ แนะนำให้ย้ายไปเลยเพื่อความปลอดภัย

📚 บทเรียนจากอดีต: ปัญหา RNG ไม่ใช่เรื่องใหม่

บทความยังย้อนถึงเหตุการณ์ RNG บกพร่องในอดีตที่มีรูปแบบคล้ายกัน แต่เกิดผ่านช่องทางต่างกัน: ส่วนเสริมเบราว์เซอร์ Trust Wallet เมื่อปี 2566 ที่ Ledger Donjon เปิดเผยว่าบางเวอร์ชัน (0.0.172 ถึง 0.0.182) ใช้ Trust Wallet Core เวอร์ชันก่อน 3.1.1 ซึ่งมีเส้นทาง WebAssembly ที่สุ่มค่าเริ่มต้นด้วย Mersenne Twister แบบ 32 บิต ทำให้มีค่าเริ่มต้นที่เป็นไปได้เพียงราว 4,000 ล้านค่าเท่านั้น ทั้งที่ Mnemonic ที่ได้ดูปกติทุกประการ ถูกนำไปใช้โจมตีจริงในเดือนธันวาคม 2565 และมีนาคม 2566 ตามฐานข้อมูล National Vulnerability Database (CVE-2023-31290)

อีกกรณีคือคำสั่ง `bx seed` ในเครื่องมือ Libbitcoin Explorer 3.x หรือที่รู้จักในชื่อการเปิดเผย "Milk Sad" ซึ่งใช้ Mersenne Twister แบบ 32 บิตที่สุ่มค่าจากเวลา ทำให้ผู้โจมตีที่รู้ช่วงเวลาสร้างโดยประมาณสามารถไล่ค้นหาช่วงตัวเลขที่แคบลงมากได้ นักวิจัยพบกระเป๋าที่ใช้งานจริงกว่า 2,600 ใบอยู่ในช่วงที่ได้รับผลกระทบ ประเมินความเสียหายรวมกว่า 900,000 ดอลลาร์ในหลายบล็อกเชน ณ ราคาเดือนสิงหาคม 2566 โดยกว่า 2,550 ใบมีรูปแบบอัตโนมัติคล้ายกันจนอาจเป็นเจ้าของรายเดียวกัน

🔐 Passphrase กับ PIN ต่างกันอย่างไร

บทความยังอธิบายเพิ่มเติมว่า BIP-39 Passphrase (รหัสผ่านเสริมที่ต่อท้าย Seed Phrase) ที่แข็งแรงและไม่ซ้ำใคร จะสร้างชั้นป้องกันที่สองด้วยความลับอิสระอีกชุดที่ผู้โจมตีต้องค้นหาเพิ่มเติมหลังจากเจอ Mnemonic แล้ว แต่ก็มีข้อแลกเปลี่ยนคือหากสำรอง Passphrase ไว้ไม่ดี อาจทำให้เข้าถึงเงินตัวเองไม่ได้ เพราะ Passphrase ทุกรูปแบบแม้จะพิมพ์ผิดก็ยังสร้างกระเป๋าที่ดูใช้งานได้ตามปกติ ส่วน PIN ของอุปกรณ์นั้นทำหน้าที่คนละอย่างและไม่ได้ช่วยแก้ปัญหาเอนโทรปีที่อ่อนแอแต่อย่างใด

📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
👉 Coldcard ระลอก 4 เสียหายพุ่งใกล้ $114 ล้าน เผยบั๊กเฟิร์มแวร์ 5 ปี CEO ลั่น 'เสียใจสุดๆ'
👉 Jameson Lopp ชี้ ช่องโหว่ Coldcard แฉจุดอ่อน 'Don't Trust, Verify' ของ Bitcoin
👉 Coinkite เตือนด่วน! Coldcard Mk3 มีช่องโหว่ เงินหาย 594 BTC มูลค่า $38 ล้าน

🔗 อ้างอิงต้นฉบับ: CryptoSlate (เขียนโดย Liam "Akiba" Wright) / cryptoslate.com

💬 ความเห็นบรรณาธิการ Bitcoinaddict:
สิ่งที่ทำให้บทวิเคราะห์นี้มีคุณค่าคือการชี้ให้เห็นแพทเทิร์นที่ซ้ำกันในวงการ Hardware Wallet มาหลายปี ตั้งแต่ Trust Wallet ถึง Libbitcoin Explorer จนมาถึง Coldcard — ทุกครั้งปัญหาไม่ได้อยู่ที่การออกแบบระบบความปลอดภัยชั้นนอก (PIN, Air Gap, สำรองข้อมูล) แต่อยู่ที่รากฐานความสุ่มตั้งแต่จุดสร้าง Seed ซึ่งเป็นจุดที่ผู้ใช้ทั่วไปมองไม่เห็นและตรวจสอบเองไม่ได้เลย ข้อแนะนำเรื่องทอยลูกเต๋า 50-99 ครั้งอาจฟังดูโบราณเมื่อเทียบกับเทคโนโลยีชิปสุ่มเลขในปัจจุบัน แต่กลับเป็นวิธีที่พิสูจน์ได้ด้วยตาตัวเองและไม่ต้องเชื่อใจโค้ดของใครเลย ตรงกับหลักการ Don't Trust, Verify ที่ Jameson Lopp เคยพูดถึงไปก่อนหน้านี้พอดี

Tags / คีย์เวิร์ด SEO: Coldcard, Hardware Wallet, BIP-39, Seed Phrase, Entropy

— รายงานโดยทีมข่าว Bitcoinaddict.com