Galaxy Research ปรับเพิ่มประเมินความเสียหายกรณี Coldcard เป็นราว 70 ล้านดอลลาร์

Galaxy Research หน่วยงานวิจัยของ Galaxy Digital เปิดเผยการประเมินความเสียหายจากเหตุการณ์กระเป๋าเงินฮาร์ดแวร์ Coldcard ในวงกว้างขึ้น หลังตรวจพบที่อยู่ Bitcoin ที่ได้รับผลกระทบ 1,196 รายการ โดยในช่วงเวลา 41 นาที ที่อยู่นี้สูญเสียรวม 1,082.65 BTC หรือคิดเป็นมูลค่าประมาณ 70.2 ล้านดอลลาร์ ณ เวลาที่เกิดธุรกรรม Galaxy ระบุว่าการติดตามธุรกรรมครอบคลุมช่วงเวลา 1:10 น. ถึง 1:51 น. (UTC) วันที่ 30 กรกฎาคม บนบล็อก 960,183 ถึง 960,191 ซึ่งเกิดขึ้นราว 30 ชั่วโมงก่อนที่ Coldcard จะเผยแพร่คำแนะนำด้านความปลอดภัยครั้งแรกต่อสาธารณะ ทำให้ภาพรวมเหตุการณ์ชัดขึ้นว่าแฮกเกอร์อาจเริ่มเคลื่อนย้ายเงินทันทีหลังวอลเล็ตที่มีช่องโหว่สร้าง seed ประเด็นสำคัญที่ Galaxy Research สรุปไว้ ได้แก่ - พบที่อยู่ที่เชื่อมโยงกับเหตุการณ์ Coldcard จำนวน 1,196 รายการ และติดตามความเสียหาย 1,082.65 BTC ภายใน 41 นาที - กิจกรรมที่ตรวจพบเกิดขึ้นระหว่าง 1:10–1:51 น. (UTC) วันที่ 30 กรกฎาคม ในบล็อก 960,183–960,191 ก่อนคำแนะนำครั้งแรกของ Coldcard ราว 30 ชั่วโมง - การประเมินก่อนหน้าโดย Rob Hamilton ซีอีโอ AnchorWatch อยู่ในระดับต่ำกว่า โดยชี้ว่า 594.48 BTC เคลื่อนย้ายผ่านช่วงที่แคบกว่าในหน้าต่างเพียง 3 บล็อก - Galaxy ระบุว่าธุรกรรมมีรูปแบบ onchain เฉพาะ เช่น ค่าธรรมเนียมเท่ากันที่ 30 satoshis ต่อ virtual byte และไม่มี change outputs แต่เตือนว่าการกวาดรอบถัดไปอาจใช้รูปแบบต่างออกไป Galaxy Research ขยายแผนที่การโจมตี Galaxy ระบุว่าการเคลื่อนไหวของ Bitcoin ที่เกี่ยวข้องกับเหตุการณ์นี้กระจุกตัวเป็นการทำธุรกรรมเป็นชุดในวันที่ 30 กรกฎาคม โดยโฟกัสอยู่ที่ที่อยู่ที่เชื่อมโยงกับการถูกเจาะของ Coldcard และถูกกวาดเงินออกในช่วงเวลา 1:10–1:51 น. (UTC) ความเสียหายเกิดขึ้นในบล็อกช่วงสั้น ๆ ตั้งแต่ 960,183 ถึง 960,191 ซึ่งสะท้อนลักษณะการทำงานแบบอัตโนมัติและใช้โครงสร้างธุรกรรมซ้ำ ๆ มากกว่าการย้ายเงินแบบทำมือเป็นครั้งคราว ยอด 1,082.65 BTC ถูกประเมินมูลค่าประมาณ 70.2 ล้านดอลลาร์ ณ เวลาที่โอนออก อีกจุดที่น่าสนใจคือช่วงเวลาการกวาดเงินเริ่มขึ้นก่อนประกาศเตือนสาธารณะครั้งแรกของ Coldcard ราวหนึ่งวัน ชี้ว่าทรัพย์สินที่ถูกเจาะอาจถูกย้ายออกไปตั้งแต่ระยะแรก ขณะที่วงจรการตอบสนองล่าช้าตามหลังการกวาดครั้งแรก การจับคู่รูปแบบช่วยยืนยันธุรกรรมที่เกี่ยวข้อง—แต่มีข้อจำกัด ในบทวิเคราะห์ติดตามผล Galaxy ระบุว่าธุรกรรมที่ตรวจพบมี "ลายเซ็น" ร่วมกัน โดยใช้ค่าธรรมเนียม 30 satoshis ต่อ virtual byte เหมือนกันทั้งหมด และไม่มี change outputs คุณลักษณะนี้ช่วยให้นักสืบสวนสร้างกลุ่มธุรกรรมที่น่าจะเกี่ยวข้องกับวอลเล็ตได้แม่นขึ้น ลดความเสี่ยงการนำธุรกรรมที่ไม่เกี่ยวข้องมารวมผิด Galaxy เตือนด้วยว่า แม้รูปแบบดังกล่าวจะช่วยระบุการโจมตีรอบแรกได้ แต่การโจมตีรอบหลังต่อที่อยู่ที่สร้างจาก Coldcard อาจไม่คง "ลายนิ้วมือ" แบบเดิม หากผู้โจมตีเปลี่ยนค่าธรรมเนียมหรือพฤติกรรมของเอาต์พุต ยอดรวมความเสียหายที่อิงเพียงโครงสร้างธุรกรรมชุดเดียวอาจประเมินต่ำกว่าความจริง ตัวเลขก่อนหน้าต่ำกว่า เพราะอิงหน้าต่างที่แคบกว่า ก่อนที่ Galaxy จะขยายขอบเขตการติดตาม Rob Hamilton ซีอีโอและผู้ร่วมก่อตั้ง AnchorWatch ประเมินเบื้องต้นว่า 594.48 BTC (ราว 38 ล้านดอลลาร์ ณ เวลานั้น) เคลื่อนย้ายผ่าน 500 ธุรกรรมภายในหน้าต่างเพียง 3 บล็อก ตัวเลขดังกล่าวมาจากช่วงกิจกรรม onchain ที่แคบกว่า สะท้อนข้อจำกัดของการสืบค้นระยะแรกในเหตุการณ์ที่เคลื่อนไหวเร็ว การเพิ่มชุดข้อมูลของ Galaxy ทำให้ภาพรวมอัปเดตด้วยการขยายทั้งจำนวนที่อยู่และกรอบเวลาที่ติดตามรอบเหตุการณ์วันที่ 30 กรกฎาคม ส่งผลให้ยอด BTC ที่โยงกับการกวาดเงินเพิ่มขึ้นเกือบเท่าตัว ความแตกต่างของตัวเลขตอกย้ำโจทย์สำคัญในเหตุการณ์ระบบ self-custody คือการระบุขอบเขตทั้งหมดมักต้องใช้เวลาหลายวันในการไล่ร่องรอย ทำคลัสเตอร์ และตรวจสอบ โดยเฉพาะเมื่อผู้โจมตีใช้ตรรกะซ้ำ ๆ กับหลายธุรกรรมและหลายปลายทาง Coinkite ยอมรับบั๊กเฟิร์มแวร์ แนะนำย้าย seed Coinkite ผู้ผลิต Coldcard แสดงความรับผิดชอบต่อปัญหาต้นทาง โดย Rodolfo Novak ผู้ร่วมก่อตั้งโพสต์บน X เมื่อวันศุกร์ว่า บริษัทกำลังหาขอบเขตผลกระทบทั้งหมด และยืนยันว่าได้ปล่อย hotfix เพื่อยกเลิกเส้นทาง fallback ของซอฟต์แวร์ Novak เน้นข้อจำกัดของการแก้ไขว่า อัปเดตดังกล่าวไม่สามารถปกป้อง seed ที่ถูกสร้างขึ้นแล้วบนเฟิร์มแวร์ที่มีช่องโหว่ ดังนั้นผู้ใช้ที่สร้าง seed phrase ในช่วงที่ได้รับผลกระทบควรย้ายเงินไปยัง seed ใหม่ คำแนะนำนี้สอดคล้องกับความเสี่ยงหลักของกรณี seed ถูกกระทบ—เมื่อช่องโหว่เกี่ยวกับการสร้าง seed หรือเส้นทางการทำงานที่เกี่ยวข้อง การอัปเดตเฟิร์มแวร์เพียงอย่างเดียวไม่ช่วยทำให้กุญแจที่สร้างไปแล้วปลอดภัยย้อนหลังได้ แนวทางปฏิบัติที่จำเป็นคือย้ายสินทรัพย์ไปยังชุดกุญแจใหม่ ไม่ใช่แค่อัปเดตอุปกรณ์ สิ่งที่ควรติดตามต่อสำหรับผู้ได้รับผลกระทบ การระบุรูปแบบการกวาดเงินบนเชนช่วยให้ติดตามกิจกรรมที่เกี่ยวข้องได้เป็นระบบขึ้น แต่คำเตือนของ Galaxy ว่าการโจมตีในอนาคตอาจไม่ใช้ "ลายนิ้วมือ" เดิม บ่งชี้ว่าเหตุการณ์อาจยังมีพัฒนาการในรูปแบบที่ปรากฏบนเชน ผู้ใช้ที่กังวลว่าอาจสร้าง seed บนเฟิร์มแวร์ที่มีช่องโหว่ควรเร่งย้ายยอดคงเหลือที่เหลือไปยัง seed ใหม่ และเฝ้าติดตามการเคลื่อนไหวที่อาจเชื่อมโยงกับที่อยู่ที่เกี่ยวข้องกับตรรกะการกวาดเงินดังกล่าว บทความนี้เคยเผยแพร่ในชื่อ Coldcard Bitcoin Loss Estimate Up to $70M After Galaxy Review บน Crypto Breaking News