ผู้ผลิตฮาร์ดแวร์วอลเล็ตสัญชาติสวิสรายหนึ่ง Swiss hardware wallet maker เพิ่งมอบข่าวดีด้านความปลอดภัยที่หาได้ยากให้กับชุมชนบิตคอยน์ และจังหวะเวลาก็แทบจะไม่อาจสื่อความหมายได้ชัดเจนไปกว่านี้ BitBox เปิดเผยและแก้ไขช่องโหว่เฟิร์มแวร์ BitBox ที่อาจทำให้ผู้โจมตีหลอกให้ผู้ใช้ติดตั้งเฟิร์มแวร์อันตรายและดูดเงินออกไปได้ แต่บริษัทระบุว่าสามารถตรวจพบข้อบกพร่องนี้ได้ก่อนที่ใครจะสูญเสียแม้แต่ซาโตชิเดียว การเปิดเผยครั้งนี้เกิดขึ้นเพียงไม่กี่สัปดาห์หลังจากช่องโหว่เฟิร์มแวร์ที่มีลักษณะคล้ายกันในวอลเล็ตคู่แข่งอย่าง Coldcard กลายเป็นหนึ่งในการขโมยจากฮาร์ดแวร์วอลเล็ตที่ใหญ่ที่สุดเท่าที่เคยมีมา
Summary
ประเด็นสำคัญ
- BitBox แก้ไขช่องโหว่เฟิร์มแวร์ร้ายแรงที่อาจเปิดโอกาสให้ผู้โจมตีผลักดันเฟิร์มแวร์อันตรายและขโมยเงินได้ แต่รายงานว่าไม่มีเงินของผู้ใช้รายใดถูกขโมย
- ช่องโหว่นี้ส่งผลเฉพาะรุ่น Multi edition ของวอลเล็ต BitBox เท่านั้น; รุ่นที่รองรับเฉพาะ Bitcoin ไม่ได้รับผลกระทบ
- ผู้ใช้ BitBox เพียงแค่ต้องอัปเดตเฟิร์มแวร์ผ่าน BitBoxApp อย่างเป็นทางการ ไม่จำเป็นต้องย้ายเงินไปยังกระเป๋าใหม่
- Coinkite ผู้ผลิต Coldcard เผชิญวิกฤตที่ใหญ่กว่ามาก โดยมีบั๊กเฟิร์มแวร์ที่ย้อนไปถึงมีนาคม 2021 ถูกโทษว่าเป็นสาเหตุให้บิตคอยน์ถูกขโมยไปมากกว่า 115 ล้านดอลลาร์ ตามข้อมูลของ Galaxy Research
- ตามรายงานของ Decrypt, BitBox ให้เครดิตกับการทดสอบที่ใช้ AI ช่วย ซึ่งทำให้พบช่องโหว่เหล่านี้ก่อนที่จะถูกนำไปใช้โจมตี
BitBox แก้ไขช่องโหว่เฟิร์มแวร์ร้ายแรง
BitBox ระบุว่าพบและแก้ไข “ช่องโหว่ร้ายแรง” สองรายการในเฟิร์มแวร์ของฮาร์ดแวร์วอลเล็ตของตนก่อนที่ผู้โจมตีจะสามารถนำไปใช้กับผู้ใช้จริงได้ บริษัทสวิสแห่งนี้อธิบายรายละเอียดไว้ในบล็อกโพสต์ที่เผยแพร่เมื่อวันอังคาร โดยอธิบายทีละขั้นตอนว่าเกิดอะไรขึ้นและทำไมลูกค้าจึงไม่ควรตื่นตระหนก
รายละเอียดช่องโหว่และรุ่นที่ได้รับผลกระทบ
หนึ่งในช่องโหว่อาจเปิดโอกาสให้ผู้โจมตีชักจูงผู้ใช้ให้ติดตั้งเฟิร์มแวร์ที่ถูกดัดแปลง ซึ่งเปิดประตูสู่การขโมยเงิน อีกปัญหาหนึ่งเกี่ยวข้องกับการคอร์รัปชันของหน่วยความจำซึ่งในทางทฤษฎีอาจเปิดทางให้เกิดการรันโค้ดตามอำเภอใจ (arbitrary code execution) และการติดตั้งเฟิร์มแวร์อันตราย ซึ่งอีกครั้งทำให้เสี่ยงต่อการสูญเสียเงิน สิ่งสำคัญคือ BitBox ยืนยันว่าปัญหานี้ผูกกับรุ่น Multi edition ของอุปกรณ์เท่านั้น รุ่นที่รองรับเฉพาะ Bitcoin ไม่เคยมีโค้ดที่ได้รับผลกระทบอยู่เลย จึงไม่เคยถูกเปิดเผยต่อช่องโหว่เฟิร์มแวร์ BitBox นี้โดยเฉพาะ
ตามรายงานของ Decrypt, BitBox ชี้ให้เห็นว่าการทดสอบความปลอดภัยที่ใช้ AI ช่วยเป็นวิธีที่ช่วยให้พบข้อบกพร่องเหล่านี้ ซึ่งเป็นรายละเอียดที่ตอกย้ำว่าผู้ผลิตวอลเล็ตหันมาใช้เครื่องมืออัตโนมัติมากขึ้นเพื่อค้นหาบั๊กก่อนที่อาชญากรจะพบก่อน
คำแนะนำผู้ใช้เกี่ยวกับการอัปเดตเฟิร์มแวร์
BitBox สื่อสารกับฐานลูกค้าอย่างตรงไปตรงมา: ไม่มีหลักฐานว่าเงินถูกขโมย และไม่มีเหตุผลให้ตื่นตระหนก อย่างไรก็ตาม บริษัทกำลังเร่งเร้าให้ผู้ใช้ทุกคนอัปเดตเป็นเวอร์ชันเฟิร์มแวร์ล่าสุด ซึ่งระบุว่าสามารถแก้ไขปัญหาด้านความปลอดภัยทั้งหมดที่อธิบายไว้ในการเปิดเผยข้อมูล เส้นทางที่แนะนำทำได้ง่าย — ให้อัปเดตผ่าน BitBoxApp อย่างเป็นทางการ โดยควรกดตามพรอมต์ในแอปแทนการไปค้นหาไฟล์อัปเดตจากที่อื่น เพราะจะช่วยลดความเสี่ยงในการติดตั้งเวอร์ชันปลอมหรืออันตราย
ต่างจากวิกฤตที่เกิดกับเจ้าของ Coldcard ผู้ใช้ BitBox ไม่จำเป็นต้องย้ายเหรียญไปยังกระเป๋าใหม่หรือสร้าง seed phrase ชุดใหม่ การอัปเดตเฟิร์มแวร์เพียงพอแล้ว ความแตกต่างนี้มีความสำคัญอย่างมากสำหรับใครก็ตามที่พยายามประเมินว่าควรให้ความสำคัญกับข่าวนี้มากน้อยเพียงใด
บั๊กเฟิร์มแวร์ Coldcard ทำให้เกิดการขโมยบิตคอยน์ครั้งใหญ่
ฉากหลังของการประกาศของ BitBox คือเรื่องราวที่มืดมนกว่ามากซึ่งยังคงดำเนินอยู่ในโลกของ Coldcard บั๊กเฟิร์มแวร์ในอุปกรณ์ Coldcard ของ Coinkite ทำให้เกิดการสร้าง seed ที่อ่อนแอ และแฮ็กเกอร์ก็เปลี่ยนจุดอ่อนนั้นให้กลายเป็นหนึ่งในการโจมตีฮาร์ดแวร์วอลเล็ตที่มีค่าเสียหายสูงที่สุดในประวัติศาสตร์ของบิตคอยน์
ข้อบกพร่องในการสร้าง seed และไทม์ไลน์
ต้นตอของปัญหาย้อนกลับไปที่เฟิร์มแวร์เวอร์ชัน4.0.1 ซึ่ง Coinkite ปล่อยออกมาในมีนาคม 2021 การอัปเดตนั้นทำให้การสร้าง seed บนอุปกรณ์ Coldcard Mk3 เงียบ ๆ ถอยกลับไปใช้ตัวสร้างตัวเลขสุ่มเทียมด้วยซอฟต์แวร์ (pseudorandom) ที่อ่อนแอ แทนที่จะใช้ฮาร์ดแวร์ตัวสร้างตัวเลขสุ่มแท้จริงของอุปกรณ์ ตามรายงานของ crypto.news ช่องโหว่นี้เคยถูกรายงานให้ Coinkite ทราบโดยนักวิจัยในอดีตแล้ว หมายความว่า seed บางส่วนที่ได้รับผลกระทบอาจนั่งเปิดเผยตัวเองอยู่นานหลายปีก่อนที่ใครจะลงมือกับมัน
ความสุ่มที่อ่อนแอในการสร้าง seed เป็นปัญหาร้ายแรง เพราะมันทำให้ช่วงของกุญแจส่วนตัวที่ผู้โจมตีต้องเดาแคบลง Galaxy Research รายงานว่าการโจมตีจริงดำเนินไปอย่างรวดเร็ว: เมื่อวันที่ 30 กรกฎาคม ผู้โจมตีดูดบิตคอยน์ประมาณ 1,083 BTC จากมากกว่า 1,000 ที่อยู่ภายในเวลาเพียง 41 นาที โดยมีคลื่นการโอนเพิ่มเติมตามมาเมื่อเหตุการณ์ดำเนินต่อไปจนถึงช่วงกลางเดือนสิงหาคม
ผลกระทบและคำเตือนอย่างเป็นทางการ
Coinkite เตือนผู้ใช้ Coldcard เป็นครั้งแรกเมื่อ31 กรกฎาคม ว่าบั๊กนี้ทำให้แฮ็กเกอร์สามารถเดา seed phrase ของนักลงทุนได้โดยแทบจะตรง ๆ ยอดรวมเบื้องต้นจาก crypto.news ระบุว่าเงินที่ถูกขโมยอยู่ที่ราว 112 ล้านดอลลาร์ และตัวเลขนั้นยังคงเพิ่มขึ้นเมื่อมีอุปกรณ์ที่ได้รับผลกระทบถูกค้นพบมากขึ้น ตามตัวเลขล่าสุดของ Galaxy Research ที่อ้างโดย Bitcoin Magazine ยอดรวมที่ยืนยันแล้วได้ทะลุ115 ล้านดอลลาร์ในรูปของบิตคอยน์ที่ถูกขโมยไปแล้ว — และตัวเลขจริงอาจสูงกว่านี้ได้อีกในขณะที่การสืบสวนยังดำเนินต่อไป
ต่างจากการแก้ไขของ BitBox การอัปเดตเฟิร์มแวร์เพียงอย่างเดียวไม่สามารถปกป้องผู้ใช้ Coldcard ที่มี seed ถูกสร้างภายใต้ระบบที่มีข้อบกพร่องได้ Coinkite และชาวบิตคอยน์รายอื่น ๆ ได้กระตุ้นให้ผู้ใช้ที่ได้รับผลกระทบย้ายเงินไปยังกระเป๋าใหม่ทันที แทนที่จะเพียงแค่แพตช์และใช้ seed phrase เดิมต่อไป
การเปรียบเทียบความเสี่ยงด้านความปลอดภัยของฮาร์ดแวร์วอลเล็ตและการตอบสนอง
เมื่อวางเคียงกัน เหตุการณ์ทั้งสองนี้แสดงให้เห็นว่าช่องโหว่เฟิร์มแวร์สามารถเล่นบทบาทที่แตกต่างกันอย่างสิ้นเชิงได้เพียงใด ขึ้นอยู่กับว่ามันถูกค้นพบเมื่อใดและถูกจัดการอย่างไร ทำไมการเปรียบเทียบนี้จึงสำคัญ? เพราะมันขีดเส้นแบ่งที่ชัดเจนระหว่างเหตุการณ์เฉียดวิกฤตกับหายนะจริง ๆ ในโลกของการถือครองสินทรัพย์ด้วยตนเอง
ความแตกต่างด้านขอบเขตของช่องโหว่และวิธีแก้ไข
ช่องโหว่ของ BitBox นั้นร้ายแรงในทางทฤษฎี — การติดตั้งเฟิร์มแวร์ที่ผู้โจมตีควบคุมได้และการคอร์รัปชันของหน่วยความจำไม่ใช่บั๊กเล็กน้อย — แต่ถูกค้นพบและแพตช์ก่อนที่จะถูกนำไปใช้โจมตี และไม่เคยแตะกระบวนการสร้าง seed เองเลย ในทางตรงกันข้าม บั๊กของ Coldcard ทำให้ความสุ่มที่อยู่เบื้องหลังการสร้าง seed เสียหายเป็นเวลาหลายปีก่อนที่ใครจะหยุดการรั่วไหลได้ ซึ่งเป็นเหตุผลว่าทำไมการเยียวยาจึงต้องย้ายเงินทั้งหมด แทนที่จะเป็นเพียงการอัปเดตซอฟต์แวร์ง่าย ๆ
ผลกระทบต่อความปลอดภัยของบิตคอยน์และการถือครองด้วยตนเอง
สำหรับผู้ถือบิตคอยน์ทั่วไป บทเรียนไม่ใช่ว่าฮาร์ดแวร์วอลเล็ตไม่ปลอดภัย — แต่คือความสมบูรณ์ของเฟิร์มแวร์มีความสำคัญพอ ๆ กับความปลอดภัยทางกายภาพของอุปกรณ์เอง บั๊ก seed ของ Coldcard ที่ซ่อนตัวอยู่ตั้งแต่ปี 2021 แสดงให้เห็นว่าโค้ดที่ถูกมองข้ามเพียงบรรทัดเดียวสามารถแปลเปลี่ยนเป็นความสูญเสียระดับเก้าหลักได้ในที่สุด ขณะที่การตรวจพบอย่างรวดเร็วของ BitBox แสดงให้เห็นว่าความเสี่ยงในหมวดเดียวกันสามารถถูกทำให้เป็นกลางได้ก่อนที่จะทำให้ผู้ใช้ต้องสูญเสียอะไร ทั้งสองกรณีชี้ไปยังความจริงที่กว้างขึ้นเหมือนกัน: ความปลอดภัยของฮาร์ดแวร์วอลเล็ตขึ้นอยู่กับความเร็วที่ผู้ผลิตสามารถค้นหาและแก้ไขปัญหาเฟิร์มแวร์ได้มากขึ้นเรื่อย ๆ ไม่ได้ขึ้นอยู่กับแค่คริปโทกราฟีที่ฝังอยู่ในชิปเท่านั้น
ความแตกต่างนั้นน่าจะมีอิทธิพลต่อวิธีที่ตลาดมองผู้ผลิตวอลเล็ตในอนาคต โดยความเร็วในการตอบสนองและความโปร่งใสจะกลายเป็นสิ่งสำคัญต่อผู้ซื้อไม่แพ้สเปกฮาร์ดแวร์เอง
คำถามที่พบบ่อย
พบช่องโหว่อะไรในฮาร์ดแวร์วอลเล็ต BitBox?
BitBox ค้นพบช่องโหว่เฟิร์มแวร์ร้ายแรงในรุ่น Multi edition ที่อาจเปิดทางให้ติดตั้งเฟิร์มแวร์อันตรายซึ่งนำไปสู่การขโมยเงินได้
ผู้ใช้ BitBox ต้องย้ายเงินหลังพบช่องโหว่หรือไม่?
ไม่จำเป็น ผู้ใช้เพียงแค่ต้องอัปเดตเฟิร์มแวร์ผ่าน BitBoxApp อย่างเป็นทางการ ไม่จำเป็นต้องย้ายเงิน
เกิดอะไรขึ้นกับช่องโหว่ฮาร์ดแวร์วอลเล็ต Coldcard?
บั๊กเฟิร์มแวร์ใน Coldcard ตั้งแต่เวอร์ชัน 4.0.1 ทำให้การสร้าง seed อ่อนแอ เปิดโอกาสให้แฮ็กเกอร์ขโมยบิตคอยน์ไปมากกว่า 115 ล้านดอลลาร์
Coinkite ให้คำแนะนำอะไรกับผู้ใช้ Coldcard?
Coinkite แนะนำให้ผู้ใช้ Coldcard ย้ายเงินของตนทันทีเนื่องจากช่องโหว่ในการสร้าง seed
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”พบช่องโหว่อะไรในฮาร์ดแวร์วอลเล็ต BitBox?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”BitBox ค้นพบช่องโหว่เฟิร์มแวร์ร้ายแรงในรุ่น Multi edition ที่อาจเปิดทางให้ติดตั้งเฟิร์มแวร์อันตรายซึ่งนำไปสู่การขโมยเงินได้”}},{“@type”:”Question”,”name”:”ผู้ใช้ BitBox ต้องย้ายเงินหลังพบช่องโหว่หรือไม่?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ไม่จำเป็น ผู้ใช้เพียงแค่ต้องอัปเดตเฟิร์มแวร์ผ่าน BitBoxApp อย่างเป็นทางการ ไม่จำเป็นต้องย้ายเงิน”}},{“@type”:”Question”,”name”:”เกิดอะไรขึ้นกับช่องโหว่ฮาร์ดแวร์วอลเล็ต Coldcard?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”บั๊กเฟิร์มแวร์ใน Coldcard ตั้งแต่เวอร์ชัน 4.0.1 ทำให้การสร้าง seed อ่อนแอ เปิดโอกาสให้แฮ็กเกอร์ขโมยบิตคอยน์ไปมากกว่า 115 ล้านดอลลาร์”}},{“@type”:”Question”,”name”:”Coinkite ให้คำแนะนำอะไรกับผู้ใช้ Coldcard?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Coinkite แนะนำให้ผู้ใช้ Coldcard ย้ายเงินของตนทันทีเนื่องจากช่องโหว่ในการสร้าง seed”}}]}
บทความนี้จัดทำขึ้นโดยได้รับความช่วยเหลือจากปัญญาประดิษฐ์และผ่านการตรวจทานโดยทีมบรรณาธิการ
