Coldcard เผชิญคลื่นโจมตีแบบเป็นขบวนการรอบที่ 4—สูญ 388.9 BTC ภายใน 14 บล็อก

ผู้ใช้ Coldcard กำลังเผชิญการขโมยแบบเป็นขบวนการระลอกที่ 4 และความเสียหายรอบนี้ไม่ใช่ตัวเลขเล็กน้อยอีกต่อไป อเล็กซ์ ธอร์น (Alex Thorn) หัวหน้าฝ่ายวิจัยของ Galaxy Research ระบุว่าพบกิจกรรมอันตรายรอบใหม่ที่ดูดบิตคอยน์ราว 388.9 BTC จาก 462 ที่อยู่ผู้เสียหาย ภายในเวลาเพียง 14 บล็อก ระหว่างบล็อก 960,778 ถึง 960,792 ตามข้อมูล on-chain การโจมตีครั้งนี้ก่อให้เกิดธุรกรรม 218 รายการ โดยเงินถูกส่งไปรวมที่ปลายทาง 216 ที่อยู่ซึ่งไม่เคยพบมาก่อน ปริมาณธุรกรรมพุ่งขึ้นราว 45 เท่าเมื่อเทียบกับระดับก่อนเกิดเหตุ สะท้อนรูปแบบปฏิบัติการที่วางแผนและจัดโครงสร้างชัดเจน รายงานต้นทางยังระบุว่าเงินบางส่วนถูกติดตามไปยังที่อยู่ "second hop" แล้ว และยังมีธุรกรรมลักษณะใกล้เคียงกันค้างอยู่ใน mempool บ่งชี้ว่าการกวาดเงินยังไม่เสร็จสมบูรณ์ อีกจุดสำคัญคือพบการตั้งค่า opt-in สำหรับ Replace-by-Fee (RBF) บนธุรกรรมที่ยืนยันแล้วบางส่วน ซึ่งอาจเปิดช่องทางรอดแบบจำกัดให้ผู้เสียหายที่รู้ตัวเร็วและดำเนินการทันเวลา รายละเอียดของคลื่นโจมตีล่าสุด สิ่งที่ทำให้ระลอกนี้แตกต่างจากการขโมยแบบฉวยโอกาสคือความเร็วและการประสานงาน 462 ที่อยู่ถูกโจมตีในช่วงบล็อกที่กระชั้น เงินไหลออกไปยังปลายทางใหม่ทั้งหมด รูปแบบ "สร้างที่อยู่ใหม่-รวบยอดด้วยความเร็วสูง-ปริมาณสูงผิดปกติ" สอดคล้องกับการใช้สคริปต์เตรียมไว้มากกว่าการลงมือแบบแมนวล เหตุเกิดในช่วงสุดสัปดาห์ซึ่งผู้ใช้จำนวนมากอาจไม่ได้เฝ้าติดตาม Galaxy Research ระบุว่าเงินบางส่วนถูกย้ายต่อไปยังวอลเล็ต "second hop" แล้ว ทำให้การติดตามและโอกาสกู้คืนยากขึ้นหากไม่มีการแทรกแซงทันที แม้ RBF จะเป็นเหมือนเส้นชีวิต แต่ใช้ได้เฉพาะผู้ที่เห็นเหตุการณ์ระหว่างที่ธุรกรรมยัง "replaceable" ผู้ใช้ที่มีธุรกรรมขาออกแบบรอยืนยัน (pending/unconfirmed) และสามารถทำธุรกรรมแข่งขันไปยังที่อยู่ปลอดภัยด้วยค่าธรรมเนียมที่เหมาะสม อาจเร่งแซงได้ในบางกรณี แต่หน้าต่างเวลาสั้นและต้องมีความรู้ทางเทคนิค สำหรับผู้เสียหายส่วนใหญ่ เงินน่าจะถูกเคลื่อนย้ายออกไปแล้ว รูปแบบการขโมยแบบเป็นขบวนการที่เกิดซ้ำ กรณีนี้ไม่ใช่ครั้งแรกสำหรับเจ้าของ Coldcard Galaxy Research ระบุว่าคลื่นก่อนหน้าเคยตรวจพบแคมเปญโจมตี 3 ชุดที่พุ่งเป้ากับที่อยู่ที่สร้างจาก Coldcard รวมแล้วดูดเงินไป 1,367.05 BTC จาก 4,585 ที่อยู่ คิดเป็นมูลค่าราว 88.6 ล้านดอลลาร์ ณ เวลาที่เกิดเหตุการณ์ เหตุการณ์ก่อนหน้านี้ทำให้ Coldcard ยอมรับว่ามีช่องโหว่เฟิร์มแวร์ที่เปิดทางให้ผู้โจมตีสามารถคำนวณคีย์ส่วนตัวจาก seed ที่ถูกสร้างบนอุปกรณ์รุ่น/ชุดที่ได้รับผลกระทบ บริษัทหยุดการจัดส่งและทำลายอุปกรณ์ COLDCARD ที่ยังเหลือทั้งหมดซึ่งใช้เฟิร์มแวร์ที่มีช่องโหว่ โดยผลิตภัณฑ์ Satscard, Opendime และ Tapsigner ไม่ได้รับผลกระทบ Coldcard ออกเฟิร์มแวร์ที่แก้ไขแล้วเพื่อปกป้อง seed ที่สร้างใหม่ แต่การแก้ไขไม่ครอบคลุมย้อนหลัง หมายความว่า seed ใด ๆ ที่ถูกสร้างด้วยเฟิร์มแวร์ที่มีช่องโหว่ยังถือว่าถูกเจาะได้ คำแนะนำของบริษัทชัดเจน: สร้าง seed ใหม่บนเฟิร์มแวร์ที่แพตช์แล้ว และย้ายเงินทั้งหมดออกจาก seed เดิมทันที คลื่นโจมตีรอบที่ 4 สะท้อนว่าผู้ใช้จำนวนมากยังไม่ได้ดำเนินการ และผู้โจมตีกำลังใช้ "ความล่าช้า" นี้กวาดเงินอย่างเป็นระบบ ท่าทีของ Coldcard และแนวทางสำหรับผู้ใช้ การตัดสินใจหยุดส่งสินค้าและทำลายสต็อกของ Coldcard เป็นมาตรการที่รุนแรงแต่จำเป็น และเป็นสิ่งที่ผู้ผลิตฮาร์ดแวร์รายอื่นแทบไม่ทำอย่างเปิดเผย สิ่งนี้สะท้อนว่าช่องโหว่ไม่ใช่กรณีเชิงทฤษฎี การอัปเดตแพตช์ยังเผยให้เห็นแรงเสียดทานของการดูแลสินทรัพย์ด้วยตนเอง ผู้ใช้ต้องสร้าง seed phrase ใหม่ ซึ่งหมายถึงการเปลี่ยนที่อยู่ทั้งหมด และมักต้องปรับซอฟต์แวร์วอลเล็ตที่เชื่อมต่อ ระบบ multisig และกระบวนการสำรองข้อมูล การย้ายระบบไม่ใช่เรื่องง่าย และผู้ที่ชะลอจะถูก "ลงโทษ" ด้วยคลื่นโจมตีที่เกิดซ้ำ สำหรับผู้ที่ยังมีเงินค้างอยู่บน seed ที่เกิดจากเฟิร์มแวร์ที่มีช่องโหว่ Galaxy Research เน้นว่าต้องรีบย้ายออกจาก Coldcard ทันที ใช้ค่าธรรมเนียมสูงกว่าปกติเพื่อให้ธุรกรรมติดบล็อกเร็ว และใช้ประโยชน์จาก RBF หากวอลเล็ตรองรับ รูปแบบการกวาดเงินในคลื่นที่ 4 ชี้ว่าผู้โจมตีกำลังเฝ้าติดตามเครือข่ายเพื่อค้นหายอดคงเหลือที่ยังหลงเหลืออยู่ นัยต่อภาพรวมการเก็บคริปโตด้วยตนเอง (self-custody) เหตุการณ์ Coldcard ไม่ได้เป็นแค่บั๊กของฮาร์ดแวร์วอลเล็ต แต่สะท้อนความเสี่ยงด้านซัพพลายเชนและวงจรชีวิตผลิตภัณฑ์ที่มากับ self-custody ผู้ใช้ต้องเชื่อใจเฟิร์มแวร์จากผู้ผลิต และแม้จะมีขั้นตอนตรวจสอบแบบโอเพนซอร์ส ก็อาจถูกข้ามไปได้ เมื่อความผิดพลาดในการสร้าง seed ถูกปล่อยให้หลุดรอดเป็นเวลาหลายเดือน การแก้ไขภายหลังก็ยุ่งยากและใช้เวลานาน การที่เกิดคลื่นโจมตี 4 ระลอก แยกห่างกันเป็นเดือน ๆ บ่งชี้ว่าผู้โจมตีมีความอดทนและมีวิธีที่เชื่อถือได้ในการจับคู่ seed กับที่อยู่ อาจมาจากชุดข้อมูลที่รั่วไหลซึ่งเกี่ยวข้องกับช่วงที่การสุ่มตัวเลขอ่อนแอ ประเด็นที่ยังไม่ชัดคือผู้โจมตีถือรายการ seed ที่ถูกเจาะทั้งหมดหรือเพียงบางส่วน และมีช่องโหว่อื่นในเฟิร์มแวร์รุ่นก่อนหน้าที่ Coldcard ยังไม่เปิดเผยหรือไม่ ลักษณะการโจมตีที่ต่อเนื่องบ่งชี้ว่ารายการอาจมีขนาดใหญ่ และ 462 ที่อยู่ในรอบนี้อาจเป็นเพียงล็อตล่าสุด หากยังคงกวาดอย่างเป็นระบบ ความเสียหายรวมอาจเพิ่มสูงขึ้นอีก สำหรับตลาดฮาร์ดแวร์วอลเล็ตโดยรวม เหตุการณ์นี้เป็นสัญญาณเตือนว่าการตรวจสอบเฟิร์มแวร์และการเปิดเผยช่องโหว่อย่างโปร่งใสไม่ใช่ทางเลือก แต่เป็นแกนกลางของคำมั่นด้านความปลอดภัยของผลิตภัณฑ์