สรุปข่าว
- เหตุการณ์แฮก Coldcard ขยายวง หลังหลักฐานใหม่อาจเชื่อมโยงช่องโหว่ไปถึง Peter Gray ผู้ร่วมก่อตั้งและ CTO ของ Coinkite ทำให้ประเด็นเริ่มลุกลามไปสู่กระบวนการพัฒนาซอฟต์แวร์ของบริษัท
- ต้นเหตุของการโจมตีอาจย้อนกลับไปถึงปี 2021 เมื่อ Coldcard เปลี่ยนระบบสร้างค่าความสุ่ม ส่งผลให้ Seed Phrase มีความสุ่มต่ำกว่ามาตรฐาน และอาจถูกคำนวณย้อนกลับได้
- แม้ความเสียหายพุ่งเกิน 114 ล้านดอลลาร์ แต่ Bitcoin แทบไม่ตอบสนอง สะท้อนว่าตลาดมองเหตุการณ์นี้เป็นความเสี่ยงเฉพาะของผู้ผลิตฮาร์ดแวร์วอลเล็ต มากกว่าจะเป็นความเสี่ยงต่อเครือข่าย Bitcoin
แนวโน้มผลกระทบ: Neutral
James O’Beirne นักพัฒนา Bitcoin เปิดเผยหลักฐานใหม่ที่อาจเชื่อมโยง Peter Gray ซีทีโอของ Coinkite เข้ากับโค้ดต้นตอของช่องโหว่ในฮาร์ดแวร์วอลเล็ต Coldcard หลังพบว่า บัญชี GitHub นามแฝง “Switch” ใช้ลายเซ็นดิจิทัลชุดเดียวกัน ขณะที่นักวิจัยระบุว่า ปัญหาเกิดจากการเปลี่ยนระบบสร้าง Seed Phrase ตั้งแต่ปี 2021 จนเปิดช่องให้แฮกเกอร์ขโมย Bitcoin ไปแล้วกว่า 1,816 BTC หรือคิดเป็นความเสียหายมากกว่า 114 ล้านดอลลาร์
กลายเป็นประเด็นร้อนที่ทำเอาชาวคริปโทฯ ถึงกับตั้งคำถามว่า “นี่เรื่องจริงหรือเปล่า” เมื่อมีกระแสแฉว่า CTO ของบริษัทกระเป๋าฮาร์ดแวร์ชื่อดังอย่าง Coldcard อาจแอบสอดไส้โค้ดของตัวเองลงไปในระบบ
เรื่องราวเริ่มต้นขึ้นเมื่อมีการกล่าวหาว่า Peter Gray ผู้ดำรงตำแหน่ง CTO ของบริษัท ได้ใช้บัญชีอวตารเพื่อสวมรอยเป็นบุคคลภายนอก
พฤติกรรมดังกล่าวทำไปเพื่อหลอกให้ชุมชนนักพัฒนาเชื่อว่า โค้ดที่ถูกนำมาใช้งานใน Coldcard นั้นมาจากผู้ใช้งานทั่วไปที่หวังดีอยากมีส่วนร่วม แต่แท้จริงแล้วกลับเป็นฝีมือของเขาเองล้วน ๆ
จากข้อมูลที่ James O’Beirne นักพัฒนา Bitcoin นำมาแฉ ระบุว่าตัว CTO Coldcard ได้สร้างบัญชีปลอมชื่อ “switck” ขึ้นมาเพื่อเขียนชุดโค้ด (Library) สำเร็จรูป ปลอมตัวเป็นนักพัฒนาอิสระที่ปล่อยโค้ดให้คนอื่นนำไปใช้งานต่อ
ไม่จบแค่นั้น เขายังถูกกล่าวหาว่าใช้บัญชีปลอมอีกชื่อคือ “doc-hex” แกล้งทำเป็นคนเดินผ่านไปเจอโค้ดของ switck แล้วเกิดไอเดีย นำมาเสนอให้ดึงโค้ดชุดนี้เข้าไปใช้ในระบบของ Coldcard
และเรื่องนี้ปิดจบด้วยการที่ตัว Peter Gray ใช้บัญชีจริงของตัวเองในฐานะ CTO เข้ามากดตอบรับและอนุมัติโค้ดดังกล่าวเข้าสู่ระบบอย่างหน้าตาเฉย
สรุปคือ ทั้ง 3 บัญชีที่มีการโต้ตอบกันไปมา ถูกแฉว่าเป็นคน ๆ เดียวกัน ทั้งคนสร้างโค้ด คนนำเสนอ และคนอนุมัติ เรียกได้ว่าชงกินเองแบบครบจบ
แม้ตอนนี้จะยังไม่สามารถฟันธงได้ 100% ว่าฐานใหม่ที่นำมาแฉนี้มีมูลความจริงหรือไม่ แต่นักสืบไซเบอร์ที่ออกมาแฉก็ได้งัดหลักฐานเด็ดหลายชิ้นมาเชื่อมโยงให้เห็นภาพชัดเจนขึ้น ได้แก่
- ลายเซ็นดิจิทัล : ทุกการอัปเดตโค้ด (Commit) ใน Git จะมีลายเซ็นเฉพาะตัว ซึ่งพบว่าบัญชี switck และบัญชีจริงของ Peter Gray ดันใช้คีย์เดียวกันเป๊ะ ซึ่งเป็นสิ่งที่ปลอมแปลงได้ยากมาก
- สไตล์การเขียนโค้ด: พฤติกรรมการ Push โค้ด รวมถึงสไตล์การเขียนและจัดหน้า มีความคล้ายคลึงกันจนแทบจะเป็นคน ๆ เดียวกันเขียน
- ร่องรอยข้อมูลส่วนตัว: มีผู้ไปขุดพบว่าเบอร์โทรศัพท์ลงท้ายตรงกัน และข้อมูลโปรไฟล์อื่น ๆ ของทุกบัญชีต่างมีจุดเชื่อมโยงและรอยต่อถึงกันหมด
- ความเร็วในการอนุมัติโค้ด: ระยะเวลาที่บัญชีอวตารเสนอโค้ดเข้ามา จนถึงตอนที่บัญชีจริงกดตอบรับและ Merge ห่างกันเพียงไม่กี่นาที ราวกับนั่งถามเองตอบเองอยู่หน้าจอเดียว
หากบทสรุปของเรื่องนี้เป็นความจริง นี่จะถือเป็นเรื่องที่ร้ายแรงมากในวงการ Open-source และความปลอดภัยทางไซเบอร์
ที่มา:cryptopolitan
มุมมองผู้เขียน: หลักฐานชุดใหม่ทำให้เรื่องนี้ถูกตั้งคำถามถึงกระบวนการพัฒนาซอฟต์แวร์ของ Coinkite เพราะข้อมูลเริ่มชี้ว่า ต้นตอของช่องโหว่อาจอยู่ภายในมากกว่าการโจมตีจากภายนอก อย่างไรก็ตาม ทุกอย่างยังเป็นเพียงข้อสงสัยที่ต้องอาศัยหลักฐานเพิ่มเติม และคำชี้แจงอย่างเป็นทางการจาก Coinkite จะเป็นกุญแจสำคัญในการคลี่คลายข้อเท็จจริงของคดีนี้
