Coinkite เตือนผู้ใช้ Coldcard Mk3 เสี่ยงสูญเงิน หลังถูกกวาด 594 BTC จาก 500 แอดเดรส

Coinkite บริษัทจากแคนาดาผู้พัฒนากระเป๋าเงินฮาร์ดแวร์ Coldcard ออกประกาศเตือนว่าเงินบิตคอยน์ของผู้ใช้อาจตกอยู่ในความเสี่ยง หาก seed ของกระเป๋าถูกสร้างด้วยเฟิร์มแวร์บางเวอร์ชันที่ได้รับผลกระทบ โดยระบุว่าปัญหานี้ครอบคลุมเฟิร์มแวร์ของ Mk3 ทุกรีลีสนับตั้งแต่เวอร์ชัน 4.0.1 ที่ปล่อยในเดือนมีนาคม 2021 และเกี่ยวข้องกับ entropy ที่อุปกรณ์สร้างขึ้นระหว่างกระบวนการสร้าง seed Coinkite ระบุเพิ่มเติมว่า seed ที่สร้างบน Mk4 และ Mk5 ก่อนเฟิร์มแวร์เวอร์ชัน 5.6.0 รวมถึงรุ่น Q ก่อนเวอร์ชัน 1.5.0Q ก็อยู่ในข่ายเช่นกัน แม้ผลกระทบต่อรุ่นเหล่านี้จะ "เบากว่า" เมื่อเทียบกับ Mk3 แต่ยังถือว่าร้ายแรง โดย seed ที่ได้รับผลกระทบมี entropy ราว 72 บิต แทนที่จะเป็น 128 บิตตามที่ควรจะเป็น บริษัทระบุว่า TAPSIGNER, OPENDIME และ SATSCARD ไม่ได้รับผลกระทบ เนื่องจากใช้โค้ดเบสคนละชุด พร้อมแนะนำให้ผู้ที่เข้าข่ายย้ายเงินไปยัง seed ใหม่ที่สร้างบนอุปกรณ์ที่ไม่ได้รับผลกระทบ โดยผู้ใช้ Mk4 และ Mk5 ควรอัปเกรดเป็นเฟิร์มแวร์ 5.6.0 หรือใหม่กว่า ก่อนสร้าง seed ทดแทน ส่วนผู้ใช้ Q ควรติดตั้ง 1.5.0Q หรือใหม่กว่า แนวทางปฏิบัติที่บริษัทแนะนำ ได้แก่ สำรองและตรวจสอบ seed ใหม่ ยืนยันแอดเดรสรับ (receive address) ใหม่บนตัวอุปกรณ์ ส่งธุรกรรมทดสอบจำนวนเล็กน้อยก่อน แล้วจึงค่อยโอนย้ายเงินส่วนที่เหลือทั้งหมด หากผู้ใช้มีทางเลือกเป็น Mk3 เท่านั้น บริษัทเสนอให้ใช้ BIP39 passphrase ที่แข็งแรงและไม่ซ้ำชั่วคราว พร้อมตรวจสอบ wallet fingerprint และ receive address อย่างรอบคอบ ประกาศเตือนดังกล่าวเกิดขึ้นหลังมีรายงานหลายกรณีเมื่อวันที่ 30 กรกฎาคมว่า บิตคอยน์ถูกดูดออกจากกระเป๋า Coldcard โดย Atlas21 รายงานว่ามีปฏิบัติการแบบอัตโนมัติที่กวาด 500 แอดเดรสแบบซิงเกิลซิกเนเจอร์ (single-signature) ภายใน 4 บล็อกต่อเนื่อง ตั้งแต่บล็อก 960188 ถึง 960191 ธุรกรรมดังกล่าวย้าย 1,324 UTXOs รวม 594.5 BTC คิดเป็นมูลค่าประมาณ 38 ล้านดอลลาร์ตามราคาปัจจุบัน หลักฐานบ่งชี้ไปที่คีย์ส่วนตัวที่อ่อนแอซึ่งถูกสร้างขึ้นตั้งแต่ตอนตั้งค่ากระเป๋า โดยไม่พบกระเป๋าแบบ multisig หรือ Taproot อยู่ในกลุ่มผู้เสียหาย Atlas21 ระบุว่าค่าความเสียหายมัธยฐานอยู่ที่ 0.41 BTC และมีผู้เสียหาย 110 รายที่สูญมากกว่า 1 BTC ขณะที่ความเสียหายสูงสุดอยู่ที่ 29.9 BTC และปฏิบัติการดังกล่าวเสียค่าธรรมเนียมธุรกรรมราว 0.044 BTC Atlas21 ระบุว่า สัญญาณเตือนสาธารณะครั้งแรกมาจากผู้เสียหายรายหนึ่งบน Reddit ซึ่งระบุว่า Coldcard ของตนสร้าง seed phrase แบบ 24 คำในปี 2021 และไม่เคยนำ seed ไปกรอกบนคอมพิวเตอร์ แม้เกิดการดูดเงินครั้งใหญ่ แต่ราคาบิตคอยน์แทบไม่สะเทือน โดยยังซื้อขายใกล้ระดับ 64,000 ดอลลาร์