แฮกเกอร์ Coldcard เริ่มขยับเงิน 10% สลับ BTC เป็น ETH ผ่าน THORChain

แฮกเกอร์เบื้องหลังช่องโหว่ฮาร์ดแวร์วอลเล็ต Coldcard ของบริษัท Coinkite เริ่มเคลื่อนย้ายเงินที่ขโมยไปแล้ว โดยนำ Bitcoin ราว 10% ของยอดความเสียหายทั้งหมด 1,789 BTC จาก 8,865 ที่อยู่ (มูลค่าราว 114.7 ล้านดอลลาร์ ณ เวลาที่ถูกขโมย) ไปสลับเป็น Ethereum ผ่านโปรโตคอล THORChain นับเป็นการเคลื่อนไหวบนบล็อกเชนครั้งแรกจากที่อยู่ชุดแรกที่ถูกขโมยไป นับตั้งแต่เกิดการโจมตีเมื่อปลายเดือนกรกฎาคมที่ผ่านมา ขณะที่เงินอีกราว 90% ยังคงอยู่นิ่งไม่ถูกแตะต้อง

เส้นทางเงินที่เริ่มขยับผ่าน THORChain

อเล็กซ์ ธอร์น (Alex Thorn) หัวหน้าฝ่ายวิจัยของ Galaxy Research ระบุว่าตรวจพบเงินราว 20.5 BTC จากที่อยู่ในการโจมตีระลอกที่สาม ถูกส่งผ่านกระเป๋าหลายใบก่อนไปถึง THORChain ซึ่งเป็นโปรโตคอลที่ให้ผู้ใช้แลกเปลี่ยนสินทรัพย์ต้นทางระหว่างบล็อกเชนต่างๆ ได้โดยไม่ต้องผ่านศูนย์ซื้อขายแบบรวมศูนย์ ธอร์นระบุว่าผู้โจมตีเจอปัญหาทางเทคนิคระหว่างแลกเหรียญ เพราะ THORChain ปฏิเสธคืนเงินธุรกรรมบางส่วนซ้ำแล้วซ้ำเล่า ทำให้ต้องส่งธุรกรรมใหม่วนซ้ำหลายรอบ ทีมนักวิเคราะห์ตามรอยเงินที่แลกเปลี่ยนสำเร็จไปจนถึงที่อยู่ Ethereum แห่งใหม่ และได้แชร์ข้อมูลนี้ให้กับหน่วยงานบังคับใช้กฎหมายและบริษัทคริปโตต่างๆ แล้ว

ย้อนต้นตอช่องโหว่ Coldcard

ช่องโหว่นี้เกิดจากเฟิร์มแวร์เก่าอายุกว่า 5 ปีของ Coldcard ที่ยังใช้งานอยู่บนอุปกรณ์บางรุ่น โดยเฟิร์มแวร์รุ่นตั้งแต่เดือนมีนาคม 2021 มีจุดบกพร่องที่ทำให้ขั้นตอนการสร้างซีดวลี (Seed Phrase คือชุดคำที่ใช้กู้คืนกระเป๋าเงินคริปโต) ไปพึ่งพาตัวสุ่มเลขแบบซอฟต์แวร์ที่คาดเดาได้ แทนที่จะใช้ตัวสุ่มเลขจากชิปฮาร์ดแวร์ตามที่ออกแบบไว้ ทำให้ผู้ที่รู้ช่องโหว่นี้และมีกำลังประมวลผลเพียงพอ สามารถไล่คำนวณหาคีย์ที่เป็นไปได้แบบออฟไลน์จนเจอของจริงได้ การโจมตีเริ่มตั้งแต่วันที่ 30 กรกฎาคมที่ผ่านมา แล้วขยายวงเป็นหลายระลอกต่อเนื่องจนยอดความเสียหายรวมพุ่งขึ้นเรื่อยๆ ตามที่ Galaxy Research ติดตามและรายงานเป็นระยะ

ก่อนหน้านี้เคยผ่านมิกเซอร์มาแล้วบางส่วน

ก่อนรอบการแลกผ่าน THORChain ครั้งนี้ เคยมีรายงานจากบริษัทตรวจสอบความปลอดภัย CertiK เมื่อเดือนสิงหาคมที่ผ่านมาว่า มีการส่ง Bitcoin 64 เหรียญ และ Ether 200 เหรียญ เข้าสู่บริการมิกเซอร์คริปโต (Mixer บริการที่ปนเงินจากหลายกระเป๋าเข้าด้วยกันเพื่อลบล้างเส้นทางการตามรอย) ลักษณะเดียวกับ Tornado Cash แต่เป็นเงินจากที่อยู่คนละชุดกับรอบล่าสุดนี้

📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:เหตุการณ์นี้สืบเนื่องจากรายงานตัวเลขความเสียหายล่าสุดที่เราเคยลงไว้ก่อนหน้านี้
👉 Galaxy Research เผยเหยื่อ Coldcard สูญ 1,789 BTC แต่เงิน 87% ยังไม่ขยับ

🔗 อ้างอิงต้นฉบับ: Cointelegraph, crypto.news, Cryptonomist

💬 ความเห็นบรรณาธิการ Bitcoinaddict: การที่แฮกเกอร์เริ่มขยับเงินหลังจากนิ่งเงียบมานานเกือบ 3 สัปดาห์ อาจเป็นสัญญาณว่ากำลังเตรียมแปลงสินทรัพย์เป็นเงินสดหรือกระจายความเสี่ยงเพิ่มเติม แม้จะใช้ THORChain ที่ไม่ผ่านศูนย์กลาง แต่การที่นักวิเคราะห์อย่าง Galaxy Research ยังตามรอยเส้นทางเงินได้ ก็สะท้อนว่าการฟอกเงินคริปโตขนาดใหญ่ไม่ได้ปิดร่องรอยได้สมบูรณ์เสมอไป ผู้ถือกระเป๋าฮาร์ดแวร์ทุกยี่ห้อควรตรวจสอบเวอร์ชันเฟิร์มแวร์ของตัวเองอย่างสม่ำเสมอ และอัปเดตทันทีเมื่อผู้ผลิตออกแพตช์ด้านความปลอดภัย

— รายงานโดยทีมข่าว Bitcoinaddict.com