ข้อบกพร่องที่ซ่อนอยู่ในเฟิร์มแวร์ Coldcard มานานกว่าห้าปีเพิ่งทำให้เจ้าของสูญเสียบิตคอยน์ประมาณ 594 เหรียญ — คิดเป็นมูลค่าราว 38 ล้านดอลลาร์ — ไปให้กับผู้โจมตี การขโมยครั้งนี้ซึ่งถูกสืบย้อนกลับไปยัง ช่องโหว่ seed ของ Coinkite ที่เป็นหัวใจของฮาร์ดแวร์วอลเล็ต Mk3 เกิดขึ้นภายในเวลาไม่ถึง 30 นาที ตอนนี้ยังมีเงินอีกหลายล้านดอลลาร์ที่อาจยังคงถูกเก็บไว้ในวอลเล็ตที่ถูกเปิดช่องโหว่แบบเงียบๆ ด้วยจุดอ่อนเดียวกัน
Summary
ประเด็นสำคัญ
- ผู้โจมตีได้กวาดบิตคอยน์ไปประมาณ 594 BTC (~38 ล้านดอลลาร์) จากวอลเล็ตแบบลายเซ็นเดียวราว 500 ใบ ระหว่างเวลา 01:31 ถึง 01:56 UTC วันที่ 31 กรกฎาคม 2026 โดยอาศัยประโยชน์จากตัวสร้างเลขสุ่มที่เสียในเฟิร์มแวร์ Coldcard
- Coinkite ได้เตือนผู้ใช้ทุกคนที่สร้าง seed บน Mk3 ที่รันเฟิร์มแวร์ 4.0.1 หรือใหม่กว่า (ตั้งแต่มีนาคม 2021 เป็นต้นมา) ว่าเงินของพวกเขาอาจตกอยู่ในความเสี่ยง
- บั๊กนี้ยังส่งผลกระทบต่อ อุปกรณ์ Mk4 และ Mk5 ก่อนเฟิร์มแวร์ 5.6.0 และ อุปกรณ์ Q ก่อนเวอร์ชัน 1.5.0Q โดยลดเอนโทรปีของ seed จาก 128 บิต เหลือประมาณ 72 บิต
- TAPSIGNER, OPENDIME และ SATSCARD ได้รับการยืนยันว่าไม่ได้รับผลกระทบเนื่องจากใช้ codebase ที่แตกต่างกัน
- ผู้ใช้ที่เพิ่มการทอยลูกเต๋าแบบอิสระอย่างน้อย 50 ครั้งระหว่างการสร้าง seed ถือว่าได้รับการปกป้องแล้ว; ผู้ใช้รายอื่นทั้งหมดควรย้ายไปยัง seed ใหม่บนเฟิร์มแวร์ที่แก้ไขแล้วทันที
บั๊กเงียบในเฟิร์มแวร์กลายเป็นการขโมย 38 ล้านดอลลาร์ได้อย่างไร
การโจมตีเป็นไปอย่างเป็นระบบและรวดเร็ว ตามรายงานของ CoinDesk มีการเคลื่อนย้ายบิตคอยน์ 1,324 ก้อนแยกกัน ผ่าน 500 ธุรกรรม ภายในหน้าต่างสามบล็อก โดยมี 562 BTC ถูกรวมเข้าด้วยกันในที่อยู่เดียวซึ่งยังไม่เคยมีการเคลื่อนไหวตั้งแต่นั้นมา วอลเล็ตทุกใบที่ถูกดูดเงินเป็นวอลเล็ตแบบลายเซ็นเดียว แต่ละใบมีมากกว่า 0.15 BTC และหลายใบไม่ได้ถูกใช้งานมาหลายปี — เหรียญของพวกเขาครอบคลุมช่วงปี 2021 ถึง 2026 ซึ่งสอดคล้องกับไทม์ไลน์ของข้อบกพร่องแทบจะอย่างสมบูรณ์
สาเหตุรากฐานย้อนกลับไปยัง commit ลงวันที่ 1 มีนาคม 2021 ซึ่งถูกปล่อยในเฟิร์มแวร์ 4.0.0 ตามรายงานที่เผยแพร่โดยทีมวิศวกรรมและความปลอดภัย Bitcoin ของ Block การตั้งค่าการ build ตัวหนึ่งได้สั่งให้อุปกรณ์ข้ามการใช้ ตัวสร้างเลขสุ่มจากฮาร์ดแวร์ ของตัวเอง การตรวจสอบในไลบรารีสนับสนุนจากนั้นทดสอบเพียงแค่ว่าการตั้งค่านั้นมีอยู่หรือไม่ ไม่ได้ตรวจว่ามันถูกเปิดใช้งานจริงหรือเปล่า การสร้างกุญแจจึงตกลงไปใช้ตัวแทนซอฟต์แวร์พื้นฐานที่ seed มาจากหมายเลขซีเรียลของชิปและรีจิสเตอร์นาฬิกา — ซึ่งทั้งสองอย่างไม่ใช่ความลับ
หมายเลขซีเรียลเป็นเมทาดาทาจากโรงงานที่ตายตัว ค่าของนาฬิกาเป็นสถานะเวลา ซึ่งผู้โจมตีสามารถจำกัดช่วงหรือวัดได้โดยใช้อุปกรณ์ของตนเอง สิ่งที่ถูกออกแบบมาให้เป็น seed ที่ “เดาไม่ได้เลย” กลายเป็นสิ่งที่สามารถเดาได้ในทางปฏิบัติ Block ระบุว่าพวกเขาเผยแพร่ผลการค้นพบโดยที่ยังไม่ได้ยืนยันศักยภาพการโจมตีอย่างสมบูรณ์ เพราะการโจมตีกำลังเกิดขึ้นแล้วในขณะที่มีการเปิดเผยข้อมูล
ขอบเขตของปัญหากว้างกว่าตัว seed ของวอลเล็ต
การเปิดช่องโหว่ไม่ได้หยุดอยู่แค่ที่วลี seed Block ระบุว่าตัว ตัวสร้างเลขสุ่มที่เสียหายตัวเดียวกันนี้ได้สร้าง กุญแจส่วนตัวของกระดาษ Coldcard — ซึ่งเอาผลลัพธ์มาใช้เป็นกุญแจโดยตรงโดยไม่มีการดึงอนุพันธ์ต่อ — รวมถึงมาสก์สำหรับการแบ่ง seed กุญแจสำหรับโคลนเครื่อง และการโอน Key Teleport กล่าวอีกนัยหนึ่ง พื้นที่การโจมตูกว้างกว่าตัววอลเล็ตที่ถูกดูดเงินไปแล้ว
อุปกรณ์ใดได้รับผลกระทบ — และอุปกรณ์ใดไม่โดน
Coinkite ยืนยันว่าปัญหานี้มีอยู่ในเฟิร์มแวร์ Mk3 ทุกเวอร์ชันตั้งแต่ 4.0.1 เป็นต้นมา ผลกระทบต่อ Mk4, Mk5 และ Q ถูกอธิบายว่าเบากว่าแต่ก็ยังร้ายแรง: seed ที่สร้างบนอุปกรณ์เหล่านั้นก่อนเฟิร์มแวร์ที่แก้ไขแล้วจะมี เอนโทรปีประมาณ 72 บิต แทนที่จะเป็น 128 บิตตามที่คาดหวัง การลดลงนี้มีนัยสำคัญ — เอนโทรปี 72 บิตไม่ใช่สิ่งที่ไม่สามารถถูกเจาะได้ในทางทฤษฎีภายใต้การโจมตีแบบมุ่งเป้าอย่างต่อเนื่อง
มีสายผลิตภัณฑ์สามตัวที่ชัดเจนอย่างชัดแจ้ง: TAPSIGNER, OPENDIME และ SATSCARD ไม่ได้รับผลกระทบ เนื่องจากรันบน codebase ที่แตกต่างกันโดยสิ้นเชิง การวิเคราะห์เบื้องต้นของ Coinkite ยังระบุว่า Mk4, Q และ Mk5 ไม่ได้รับผลกระทบในลักษณะเดียวกับ Mk3 แม้ว่าข้อกำหนดเรื่องเวอร์ชันเฟิร์มแวร์ขั้นต่ำจะยังคงใช้บังคับก่อนการสร้าง seed ทดแทนใหม่บนอุปกรณ์เหล่านั้น
การเปิดช่องโหว่ขึ้นอยู่กับเวอร์ชันเฟิร์มแวร์ที่รันอยู่ในขณะที่วอลเล็ตถูกสร้างขึ้นครั้งแรกเป็นหลัก — ไม่ได้ขึ้นอยู่กับเวลาที่ซื้อฮาร์ดแวร์
ผู้ใช้ควรทำอะไรตอนนี้
บริษัทได้เผยแพร่แนวทางบรรเทาความเสี่ยงแบบละเอียดทีละขั้นตอนแล้ว เส้นทางข้างหน้าขึ้นอยู่กับว่า ผู้ใช้ถืออุปกรณ์ใดและทำอะไรในตอนที่สร้าง seed
หากคุณได้เพิ่มการทอยลูกเต๋าระหว่างการตั้งค่า
ผู้ใช้ที่ป้อนผลการทอยลูกเต๋าเมื่อสร้าง seed อาจปกป้องตัวเองโดยไม่รู้ตัว บนเฟิร์มแวร์ที่ได้รับผลกระทบ Coldcard จะทำการแฮชเอนโทรปีที่อุปกรณ์สร้างขึ้นรวมกับผลการทอยลูกเต๋าทุกครั้งที่ป้อนเข้าไป เกณฑ์มีความสำคัญดังนี้:
- การทอยแบบอิสระและเป็นส่วนตัว 50 ถึง 98 ครั้ง: อินพุตจากลูกเต๋าเพียงอย่างเดียวให้เอนโทรปีอย่างน้อย 128 บิต — seed ถือว่าปลอดภัยจากปัญหา RNG นี้
- การทอยแบบอิสระและเป็นส่วนตัว 99 ครั้งขึ้นไป: อินพุตจากลูกเต๋าให้เอนโทรปีประมาณ 256 บิต
- ทอยน้อยกว่า 50 ครั้ง หรือไม่แน่ใจ: ให้ปฏิบัติตามแนวทางการย้ายทันที
สิ่งนี้ใช้ได้เฉพาะกับ คำ seed สุดท้าย ที่แสดงหลังจากเพิ่มการทอยลูกเต๋าแล้วเท่านั้น หากมีความไม่แน่ใจเกี่ยวกับจำนวนครั้งที่ทอย ว่าการทอยเป็นส่วนตัวหรือไม่ หรือใช้ชุดคำใด การย้ายถือเป็นทางเลือกเดียวที่ปลอดภัย
หากคุณใช้ BIP-39 passphrase
BIP-39 passphrase ที่แข็งแรงและไม่ซ้ำใคร จะเพิ่มชั้นการป้องกันอิสระอีกชั้นหนึ่งบน seed ที่ถูกประนีประนอม การป้องกันนี้มีอยู่จริงแต่มีเงื่อนไข: passphrase ที่สั้น ธรรมดา มีรูปแบบ หรือใช้ซ้ำอาจถูกเดาได้ และไม่ควรถูกมองว่าเป็นการป้องกันที่เพียงพอ Coinkite ระบุอย่างชัดเจนว่าผู้ใช้ที่มี passphrase ที่แข็งแรงก็ควร ย้ายไปยัง seed ที่สร้างใหม่ โดยเร็วที่สุดเท่าที่ทำได้ และไม่ควรป้อน passphrase บนเว็บไซต์หรืออุปกรณ์ที่ไม่น่าเชื่อถือใดๆ
สำหรับผู้ใช้ที่มีตัวเลือกเพียง Mk3 เท่านั้น
Coinkite ได้จัดเตรียม เส้นทางชั่วคราว ไว้ให้ ผู้ใช้สามารถสร้างวอลเล็ตที่ป้องกันด้วย passphrase บน Mk3 และย้ายเงินจากวอลเล็ตเดิมเข้าไปในนั้น โดยถือว่าเป็นมาตรการชั่วคราว แนวทางของบริษัทอธิบายขั้นตอนต่างๆ ได้แก่ การป้อน passphrase ที่ยาว สุ่ม และไม่ซ้ำกันบนตัวอุปกรณ์เอง (ไม่ใช่บนคอมพิวเตอร์หรือโทรศัพท์) การสำรองข้อมูล passphrase แยกจากคำ seed การยืนยันลายนิ้วมือวอลเล็ต (XFP) ก่อนทำธุรกรรมใดๆ และการส่งจำนวนเงินทดสอบเล็กน้อยก่อนย้ายส่วนที่เหลือ
ยังมีทางเลือกขั้นสูงอีกทางหนึ่ง: บน Mk3 ที่ว่างเปล่าซึ่งรัน เฟิร์มแวร์ 4.1.9 ผู้ใช้สามารถไปที่ Import Existing > Dice Rolls และป้อนผลการทอยลูกเต๋าหกหน้าที่ยุติธรรมอย่างน้อย 99 ครั้ง เส้นทางนี้จะทำการแฮชลำดับการทอยโดยตรงโดยไม่ใช้ตัวสร้างเลขสุ่มที่เสียของอุปกรณ์ Coinkite เน้นว่านี่เป็นขั้นตอนระดับสูง — การย้ายด้วยอุปกรณ์เดียวต้องสลับไปมาระหว่าง seed เก่าและใหม่อย่างปลอดภัย และลำดับการทอยลูกเต๋าต้องถูกปฏิบัติเสมือนเป็นกุญแจลับ: ห้ามถ่ายรูป เก็บแบบดิจิทัล หรือป้อนลงในคอมพิวเตอร์ที่เชื่อมต่อเครือข่าย
สำหรับผู้ใช้ Mk4, Mk5 และ Q
ก่อนสร้าง seed ทดแทนใดๆ บนอุปกรณ์เหล่านี้ ผู้ใช้ ต้องอัปเกรดก่อน: Mk4 และ Mk5 ไปยังเฟิร์มแวร์เวอร์ชัน 5.6.0 หรือใหม่กว่า และ Q ไปยังเวอร์ชัน 1.5.0Q หรือใหม่กว่า หลังจากยืนยันแล้วว่าได้ติดตั้งเฟิร์มแวร์ที่แก้ไขแล้วเท่านั้น จึงค่อยสร้าง seed ใหม่ ขั้นตอนนี้เกี่ยวข้องกับการบันทึกและตรวจสอบการสำรองข้อมูลก่อนฝากเงินใดๆ การยืนยันที่อยู่รับบนตัวอุปกรณ์ การส่งธุรกรรมทดสอบจำนวนเล็กน้อย และเก็บสำรองเก่าไว้จนกว่าจะยืนยันว่าการย้ายเสร็จสมบูรณ์ทั้งหมด
เหตุใดเรื่องนี้จึงใหญ่กว่าการขโมยครั้งเดียว
การดูดเงิน 38 ล้านดอลลาร์เป็นเรื่องน่าตกใจในตัวมันเอง แต่ผลกระทบในวงกว้างนั้นลึกซึ้งกว่านั้น ฮาร์ดแวร์วอลเล็ตสำหรับเก็บแบบเย็นมีอยู่ก็เพราะมันควรจะเป็นแนวป้องกันสุดท้าย — แยกจากเครือข่าย ออฟไลน์ และมั่นคงทางคริปโตกราฟี ข้อบกพร่องที่ลดเอนโทรปีของ seed จาก 128 บิตเหลือ 72 บิตด้วยการข้ามตัวสร้างเลขสุ่มจากฮาร์ดแวร์อย่างเงียบๆ ไม่ได้คุกคามแค่สายผลิตภัณฑ์เดียว แต่มันบ่อนทำลายสมมติฐานพื้นฐานที่ว่าการสร้างกุญแจแบบออฟไลน์นั้นปลอดภัยกว่าทางเลือกที่เป็นซอฟต์แวร์โดยเนื้อแท้
Block เปิดเผยผลการค้นพบต่อ Coinkite ซึ่งทีมของ Coinkite ได้ยอมรับแล้ว ทั้งสองบริษัทอธิบายว่าการวิเคราะห์ของตนยังเป็นเพียงเบื้องต้น การที่ทั้งสององค์กรเลือกเผยแพร่ก่อนจะทดสอบอย่างสมบูรณ์ — ก็เพราะการโจมตีกำลังเกิดขึ้นแล้ว — สะท้อนถึงการตัดสินใจที่คำนวณแล้วในการให้ความสำคัญกับการเตือนผู้ใช้เหนือไทม์ไลน์การเปิดเผยช่องโหว่แบบรับผิดชอบตามปกติ Coinkite ยืนยันว่าการสืบสวนยังดำเนินอยู่และระบุว่าจะมีรายละเอียดเพิ่มเติมตามมา สำหรับผู้ใช้ที่ได้รับผลกระทบ หน้าต่างเวลาสำหรับการย้ายอย่างใจเย็นและรอบคอบเปิดอยู่ในตอนนี้ แต่ก็อาจไม่เปิดอยู่อย่างไม่มีกำหนด
คำถามที่พบบ่อย
อุปกรณ์ Coinkite ใดบ้างที่ได้รับผลกระทบจากช่องโหว่เอนโทรปีของ seed?
อุปกรณ์ Mk3 ที่รันเฟิร์มแวร์เวอร์ชัน 4.0.1 หรือใหม่กว่าจะได้รับผลกระทบ เช่นเดียวกับอุปกรณ์ Mk4 และ Mk5 ก่อนเฟิร์มแวร์เวอร์ชัน 5.6.0 และอุปกรณ์ Q ก่อนเวอร์ชัน 1.5.0Q Mk3 เป็นรุ่นที่ได้รับผลกระทบรุนแรงที่สุด TAPSIGNER, OPENDIME และ SATSCARD ไม่ได้รับผลกระทบ
ผู้ใช้จะปกป้องเงินของตนได้อย่างไรหากเคยใช้อุปกรณ์ที่ได้รับผลกระทบ?
ผู้ใช้ควรย้ายเงินไปยัง seed ใหม่ที่สร้างบนอุปกรณ์ที่รันเฟิร์มแวร์ที่แก้ไขแล้ว ก่อนทำเช่นนั้นบน Mk4, Mk5 หรือ Q ให้ทำการอัปเกรดไปยังเวอร์ชันเฟิร์มแวร์ที่ต้องการก่อน เป็นมาตรการชั่วคราว การใช้ BIP-39 passphrase ที่แข็งแรงและไม่ซ้ำกันจะเพิ่มชั้นการป้องกันอิสระอีกชั้นหนึ่ง ผู้ใช้ที่เพิ่มการทอยลูกเต๋าแบบอิสระอย่างน้อย 50 ครั้งระหว่างการสร้าง seed เดิมถือว่าปลอดภัยจากปัญหา RNG เฉพาะนี้
อุปกรณ์ cold wallet ของ Coinkite ทั้งหมดได้รับผลกระทบจากช่องโหว่นี้หรือไม่?
ไม่ใช่ TAPSIGNER, OPENDIME และ SATSCARD ไม่ได้รับผลกระทบ เพราะรันบน codebase ที่แตกต่างจากอุปกรณ์ตระกูล Mk
แนวทางที่แนะนำสำหรับผู้ใช้ที่เข้าถึงได้เพียงอุปกรณ์ Mk3 มีอะไรบ้าง?
ผู้ใช้ระดับสูงสามารถสร้าง seed แบบใช้ลูกเต๋าอย่างเดียวบนเฟิร์มแวร์ Mk3 4.1.9 ได้โดยเลือก Import Existing > Dice Rolls และป้อนผลการทอยลูกเต๋าอย่างน้อย 99 ครั้ง วิธีนี้จะข้ามการใช้ RNG ที่เสียหายโดยสิ้นเชิง สำหรับผู้ใช้ที่ไม่เชี่ยวชาญ การใช้ BIP-39 passphrase ที่แข็งแรงและไม่ซ้ำกัน และย้ายเงินไปยังวอลเล็ตที่ป้องกันด้วย passphrase ถือเป็นขั้นตอนชั่วคราวที่แนะนำก่อนจะย้ายไปยัง seed ใหม่บนอุปกรณ์ที่ได้รับการแก้ไขแล้ว
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”อุปกรณ์ Coinkite ใดบ้างที่ได้รับผลกระทบจากช่องโหว่เอนโทรปีของ seed?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”อุปกรณ์ Mk3 ที่รันเฟิร์มแวร์เวอร์ชัน 4.0.1 หรือใหม่กว่าจะได้รับผลกระทบ เช่นเดียวกับอุปกรณ์ Mk4 และ Mk5 ก่อนเฟิร์มแวร์เวอร์ชัน 5.6.0 และอุปกรณ์ Q ก่อนเวอร์ชัน 1.5.0Q Mk3 เป็นรุ่นที่ได้รับผลกระทบรุนแรงที่สุด TAPSIGNER, OPENDIME และ SATSCARD ไม่ได้รับผลกระทบ.”}},{“@type”:”Question”,”name”:”ผู้ใช้จะปกป้องเงินของตนได้อย่างไรหากเคยใช้อุปกรณ์ที่ได้รับผลกระทบ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ผู้ใช้ควรย้ายเงินไปยัง seed ใหม่ที่สร้างบนอุปกรณ์ที่รันเฟิร์มแวร์ที่แก้ไขแล้ว ก่อนทำเช่นนั้นบน Mk4, Mk5 หรือ Q ให้ทำการอัปเกรดไปยังเวอร์ชันเฟิร์มแวร์ที่ต้องการก่อน เป็นมาตรการชั่วคราว การใช้ BIP-39 passphrase ที่แข็งแรงและไม่ซ้ำกันจะเพิ่มชั้นการป้องกันอิสระอีกชั้นหนึ่ง ผู้ใช้ที่เพิ่มการทอยลูกเต๋าแบบอิสระอย่างน้อย 50 ครั้งระหว่างการสร้าง seed เดิมถือว่าปลอดภัยจากปัญหา RNG เฉพาะนี้.”}},{“@type”:”Question”,”name”:”อุปกรณ์ cold wallet ของ Coinkite ทั้งหมดได้รับผลกระทบจากช่องโหว่นี้หรือไม่?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ไม่ใช่ TAPSIGNER, OPENDIME และ SATSCARD ไม่ได้รับผลกระทบ เพราะรันบน codebase ที่แตกต่างจากอุปกรณ์ตระกูล Mk.”}},{“@type”:”Question”,”name”:”แนวทางที่แนะนำสำหรับผู้ใช้ที่เข้าถึงได้เพียงอุปกรณ์ Mk3 มีอะไรบ้าง?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ผู้ใช้ระดับสูงสามารถสร้าง seed แบบใช้ลูกเต๋าอย่างเดียวบนเฟิร์มแวร์ Mk3 4.1.9 ได้โดยเลือก Import Existing > Dice Rolls และป้อนผลการทอยลูกเต๋าอย่างน้อย 99 ครั้ง วิธีนี้จะข้ามการใช้ RNG ที่เสียหายโดยสิ้นเชิง สำหรับผู้ใช้ที่ไม่เชี่ยวชาญ การใช้ BIP-39 passphrase ที่แข็งแรงและไม่ซ้ำกัน และย้ายเงินไปยังวอลเล็ตที่ป้องกันด้วย passphrase ถือเป็นขั้นตอนชั่วคราวที่แนะนำก่อนจะย้ายไปยัง seed ใหม่บนอุปกรณ์ที่ได้รับการแก้ไขแล้ว.”}}]}
บทความนี้จัดทำขึ้นโดยได้รับความช่วยเหลือจากปัญญาประดิษฐ์และผ่านการตรวจทานโดยทีมบรรณาธิการแล้ว
