สรุปข่าว
- COLDCARD ปล่อยเฟิร์มแวร์รุ่นใหม่ที่เพิ่มขั้นตอนในการสุ่มโดยผู้ใช้ต้องใส่ค่าความสุ่มจากภายนอกก่อนสร้าง Seed ใหม่ เช่น ทอยลูกเต๋าจริงอย่างน้อย 50 ครั้ง หรือกดปุ่มอย่างน้อย 65 ครั้งด้วยจังหวะที่คาดเดาไม่ได้ (COLDCARD)
- การเปลี่ยนแปลงเกิดขึ้นหลังช่องโหว่ด้านการสร้าง Seed ที่มีมาตั้งแต่ปี 2021 ถูกนำมาใช้โจมตีจริง ส่งผลให้ Bitcoin ถูกขโมยไปแล้วกว่า 1,700 BTC หรือมากกว่า $110 ล้าน ตามข้อมูลล่าสุดของ Galaxy Research (Galaxy)
- การอัปเดตเฟิร์มแวร์เพียงอย่างเดียวไม่สามารถทำให้ Seed เก่าปลอดภัยขึ้นได้ ผู้ที่สร้าง Seed ในช่วงที่ได้รับผลกระทบจำเป็นต้องสร้าง Seed ใหม่และย้าย Bitcoin ไปยัง wallet ใหม่ด้วยเช่นกัน (COLDCARD)
แนวโน้มผลกระทบต่อราคา: Neutral
ข่าวนี้แทบไม่มีผลโดยตรงต่อราคาของ Bitcoin เพราะเป็นประเด็นด้านความปลอดภัยของ Hardware Wallet รายหนึ่งมากกว่าปัญหาของเครือข่าย Bitcoin เอง แม้การขโมย Bitcoin จำนวนมากอาจสร้างแรงกดดันจากเหรียญที่ถูกเคลื่อนย้าย แต่ตลาดโดยรวมไม่ได้ตอบสนองรุนแรงต่อเหตุการณ์นี้ และ Galaxy Research ระบุว่าการโจมตีได้ชะลอลงแล้ว
COLDCARD บังคับเพิ่ม Entropy ก่อนสร้าง Seed
COLDCARD ได้ปรับกระบวนการสร้าง Seed ใหม่ หลังจากเกิดเหตุการณ์ช่องโหว่ครั้งใหญ่ โดยเฟิร์มแวร์ปัจจุบันสำหรับ Mk4/Mk5 คือ 5.6.1 และสำหรับ Coldcard Q คือ 1.5.1Q โดยระบบจะไม่สร้าง Seed ใหม่จนกว่าผู้ใช้จะเพิ่ม Entropy จากแหล่งภายนอกเสียก่อน
หนึ่งในวิธีที่ง่ายที่สุดคือ ทอยลูกเต๋า 6 หน้าอย่างน้อย 50 ครั้ง ซึ่งแต่ละครั้งจะเพิ่มความสุ่มประมาณ 2.585 bits หรือผู้ใช้สามารถเลือกวิธี กดปุ่มอย่างน้อย 65 ครั้ง โดยต้องมีจังหวะการกดที่คาดเดาไม่ได้
นอกจากนี้ COLDCARD ยังรองรับการ โยนเหรียญอย่างน้อย 128 ครั้ง เป็นอีกทางเลือกหนึ่งในการเพิ่ม Entropy ให้กับ Seed
หลักการสำคัญคือการนำความสุ่มที่เกิดจากมนุษย์และอุปกรณ์จริงเข้ามาผสมกับ Entropy จากตัวเครื่อง เพื่อเพิ่มความมั่นใจว่า Seed ที่สร้างขึ้นจะไม่พึ่งพาระบบสุ่มภายในอุปกรณ์เพียงแหล่งเดียว
ย้อนรอยช่องโหว่: จากบั๊กปี 2021 สู่การโจรกรรม Bitcoin หลายพันล้านบาท
มาตรการใหม่นี้เกิดขึ้นหลังพบว่าเฟิร์มแวร์ของ COLDCARD มีปัญหาเกี่ยวกับการสร้างค่าความสุ่มมาตั้งแต่ปี 2021 ทำให้ Seed ของกระเป๋าที่สร้างบนเฟิร์มแวร์ที่ได้รับผลกระทบมี Entropy ต่ำกว่าที่ควรจะเป็น และเปิดช่องให้ผู้โจมตีสามารถคำนวณหา Seed ที่เป็นไปได้โดยไม่จำเป็นต้องเข้าถึงอุปกรณ์ของเหยื่อทางกายภาพ
เหตุการณ์ดังกล่าวถูกนำไปใช้โจมตีจริงตั้งแต่วันที่ 30 กรกฎาคม 2026 โดย Galaxy Research ระบุว่ามี Bitcoin ถูกขโมยไปอย่างน้อย 1,778.84 BTC จากกว่า 8,600 Address คิดเป็นมูลค่าประมาณ $112.7 ล้าน ตามข้อมูลที่เผยแพร่ล่าสุดเมื่อวันที่ 14 สิงหาคม
ก่อนหน้านี้ตัวเลขความเสียหายเคยถูกประเมินไว้ต่ำกว่านี้มาก โดยในช่วงแรกพบการขโมยประมาณ 594 BTC ก่อนที่การตรวจสอบเพิ่มเติมจะพบเหยื่อและธุรกรรมเพิ่มขึ้นเรื่อย ๆ จนยอดความเสียหายขยายตัวอย่างรวดเร็ว
ที่สำคัญ เหตุการณ์นี้ไม่ได้เกิดจากผู้ใช้ดาวน์โหลดมัลแวร์หรือเผลอเปิดเผย Seed Phrase แต่เป็นปัญหาที่เกิดขึ้นตั้งแต่ กระบวนการสร้าง Seed ทำให้เหตุการณ์ดังกล่าวกลายเป็นหนึ่งในบทเรียนสำคัญของวงการดูแลสินทรัพย์ด้วยตนเอง
การที่ COLDCARD เพิ่มข้อบังคับให้ผู้ใช้ใส่ Entropy จากโลกจริงก่อนสร้าง Seed ถือเป็นการตอบสนองโดยตรงต่อบทเรียนจากช่องโหว่ครั้งใหญ่ที่ทำให้ Bitcoin ถูกขโมยไปแล้วมากกว่า 1,700 BTC มาตรการนี้ช่วยลดการพึ่งพาระบบสุ่มภายในเครื่อง และเพิ่มชั้นป้องกันอีกชั้นหนึ่งสำหรับ Seed ที่สร้างขึ้นใหม่
ส่วนตัวมองว่าเหตุการณ์นี้น่าจะเป็น จุดเปลี่ยนสำคัญของวงการ Hardware Wallet มากกว่าจะเป็นแค่ปัญหาของ COLDCARD เพราะมันเตือนผู้ใช้ว่า “Cold Storage” ไม่ได้หมายความว่าเงินจะปลอดภัยโดยอัตโนมัติ และสิ่งที่สำคัญที่สุดคือ Seed ถูกสร้างขึ้นมาอย่างไรตั้งแต่แรก อย่างไรก็ตาม สำหรับผู้ที่ใช้ COLDCARD อยู่ สิ่งที่ต้องทำไม่ใช่แค่กด Update แต่ต้องตรวจสอบว่า Seed ของตัวเองถูกสร้างในช่วงที่ได้รับผลกระทบหรือไม่ และหากใช่ การสร้าง Seed ใหม่และย้ายเงินคือขั้นตอนที่สำคัญกว่า
