ในคดีขโมย Coldcard ที่แนวหน้าถึงได้รู้ว่า ทำไมผลกระทบครั้งนี้ถึงใหญ่กว่าที่เห็นในข้อมูลมากนัก
ไม่มีใครคาดคิดว่าช่องโหว่เมื่อ 5 ปีก่อน จะกลายเป็นคดีขโมย比特币ครั้งใหญ่ที่สุดในปีนี้
เมื่อวันที่ 30 กรกฎาคม มีผู้พบความผิดปกติ เริ่มจากมี比特币หลายร้อยเหรียญถูกโอนรวมจากที่อยู่หลายร้อยแห่งในช่วงเวลาสั้นๆ จากนั้นขอบเขตการโจมตีก็ขยายตัวอย่างรวดเร็ว ผู้โจมตีสแกนที่อยู่比特币หลายพันแห่ง และขโมยไปเกือบ 2,000 เหรียญ มูลค่ากว่าหลายร้อยล้านดอลลาร์
สาเหตุของปัญหาถูกตรวจพบอย่างรวดเร็ว คือกระเป๋าฮาร์ดแวร์ชื่อ Coldcard มีบั๊กในกระบวนการสร้าง助记词 เป็นปัญหาเรื่องความสุ่มที่อ่อนแอ กล่าวคือตัวเลขสุ่มไม่สุ่มจริง และสามารถคาดเดาได้
เนื่องจาก Coldcard มีผู้ใช้ในจีนไม่มาก ตอนแรกจึงไม่มีใครให้ความสนใจมากนัก แต่ในต่างประเทศกลับระเบิดขึ้น เพราะ Coldcard เป็นที่รู้จักอย่างมากในต่างประเทศ หลังจากผ่านไปหลายวัน ความตื่นตระหนกก็ถึงขีดสุด เมื่อวันที่ 31 กรกฎาคม ยอดโอนรวมต่อรายการที่ต่ำกว่า 1 BTC สูงถึง 39,600 BTC ซึ่งเป็นระดับสูงสุดนับตั้งแต่ FTX ล่มสลายในปี 2022
ครั้งนี้มีโอกาสสูงที่โมเดล AI จะเป็นผู้ค้นพบช่องโหว่และโจมตี เช่นเดียวกับผลกระทบที่ Zcash ลดลงครึ่งหนึ่งในวันเดียวเมื่อครั้งก่อน ครั้งนี้ดูเหมือนจะรุนแรงกว่า ตัวเลขไม่สามารถแสดงให้เห็นได้ ผลกระทบส่วนใหญ่อยู่ที่ความเชื่อมั่น ซึ่งไม่สามารถวัดเป็นตัวเลขได้
เพื่อทำความเข้าใจมุมมองและการวิเคราะห์ผลกระทบของเหตุการณ์ Coldcard ในแนวหน้า 律动 BlockBeats ได้ติดต่อ Yu Xian ผู้ก่อตั้ง SlowMist มีเหยื่อบางรายมอบหมายให้ SlowMist ช่วยเหลือ และ SlowMist ก็ติดตามเหตุการณ์ Coldcard ตลอดกระบวนการ ในสายตาของ Yu Xian ผลกระทบของคดีขโมยครั้งนี้ลึกซึ้งมาก เพราะมันกระทบต่อกลุ่มผู้ศรัทธาหลักของ比特币
律动 BlockBeats: ตอนนี้ Coldcard ได้ติดต่อบริษัทความปลอดภัยเพื่อช่วยกู้คืนทรัพย์สินหรือไม่? มูลค่าของ比特币ที่ถูกขโมยตอนนี้เกินร้อยล้านแล้ว โอกาสที่จะกู้คืนได้มีมากแค่ไหน?
Yu Xian: ตอนนี้ยังไม่แน่ใจว่าเป็นแก๊งแฮกเกอร์กลุ่มไหน ต้องดูจากวิธีการโอนเงินในภายหลังเพื่อระบุ หากสุดท้ายยืนยันว่าเป็นองค์กรแฮกเกอร์ระดับรัฐ (เช่นแฮกเกอร์เกาหลีเหนือ) ก็ยากที่จะกู้คืนได้
ทางฝั่งทางการนอกจากออกประกาศความปลอดภัยแล้ว ยังไม่เห็นว่าพวกเขาติดต่อทีมความปลอดภัยเข้ามาเกี่ยวข้อง ตอนนี้มีเหยื่อที่ถูกขโมยจาก Coldcard บางรายติดต่อเราเพื่อขอให้ช่วยกู้คืนทรัพย์สิน
律动 BlockBeats: จากสาเหตุการถูกขโมยในครั้งนี้ พูดง่ายๆ คือตัวเลขสุ่มไม่สุ่มอีกต่อไป ในความทรงจำของฉัน ปัญหาเรื่องตัวเลขสุ่มในอุตสาหกรรมคริปโตเกิดขึ้นเกือบทุกปีในประวัติศาสตร์ ทำไมครั้งนี้ถึงดูรุนแรงมาก?
โคไซน์: เมื่อพิจารณาจากจำนวนและมูลค่าเพียงอย่างเดียว เหรียญ比特币หลายพันเหรียญไม่ได้ถือว่าใหญ่ที่สุดในประวัติศาสตร์ เหตุการณ์ก่อนหน้านี้อย่าง Mt. Gox, BitFinex, การโจรกรรมจาก矿池 LuBian ฯลฯ ต่างก็สูญเสีย比特币เป็นแสนหรือหลายแสนเหรียญ หรือแม้แต่สะพานเชื่อมใดๆ ที่ถูกโจมตีก็อาจมีมูลค่ามากกว่าครั้งนี้
แต่ปัญหาอยู่ที่ว่า Coldcard มีชื่อเสียงที่ดีมาก พวกเขาเปิดเผยซอร์สโค้ด โปร่งใส เรียบง่ายแบบนักเทคโนโลยี และเป็นเครื่องมือที่ผู้ใช้งาน OG และผู้ศรัทธาใน比特币ใช้กันมานาน การที่สิ่งที่ดูสมบูรณ์แบบเช่นนี้เกิดปัญหาขึ้น ย่อมสร้างความเสียหายอย่างหนักต่อกลุ่มผู้ใช้งานที่มั่นคงที่สุดกลุ่มนั้น
ในขณะเดียวกัน แก่นแท้ของปัญหาครั้งนี้คือค่าเอนโทรปีไม่เพียงพออย่างรุนแรงในระหว่างการสร้าง助记词 ส่งผลให้ความสุ่มของซีดที่สร้างขึ้นอ่อนแอกว่าที่คาดไว้มาก แฮกเกอร์สามารถใช้การคำนวณแบบ brute-force เพื่อชนะคู่กับ助记词ของผู้ใช้ได้ นี่คือปัญหาพื้นฐานที่สุดและร้ายแรงที่สุดในความปลอดภัยของสินทรัพย์เข้ารหัส
ผมคิดว่าสิ่งที่ไร้สาระที่สุดคือ ตอนนี้โมเดล AI ที่แข็งแกร่งออกมาแล้ว แต่ทั้ง Coldcard และผู้ศรัทธาใน比特币กลับไม่มีใครหันกลับไปดูโค้ด ใช้ AI ตรวจสอบ一遍 กลับกลายเป็นว่าแฮกเกอร์เป็นคนหันกลับไปดู เพราะหากมุ่งเน้นเฉพาะความเสี่ยงของช่องโหว่ที่เกี่ยวข้องกับความสุ่มของ助记词 AI ในปัจจุบันสามารถตรวจจับและค้นพบได้ง่ายมาก
ดังนั้นเหตุการณ์นี้จึงกลายเป็นเรื่องใหญ่ เพราะมันกระทบต่อกลุ่มผู้ศรัทธาหลักที่สุด
律动 BlockBeats: ดังนั้นจากมุมมองที่คุณเพิ่งกล่าวไป การถูกโจมตีครั้งนี้ส่งผลกระทบต่ออุตสาหกรรมคริปโตอย่างลึกซึ้งหรือไม่?
โคไซน์: กระเป๋าฮาร์ดแวร์แบบนักเทคโนโลยีที่เปิดเผยซอร์สโค้ดและมีประวัติยาวนาน เกิดปัญหาขึ้นในขณะที่ทุกคนคิดว่ามัน "สมบูรณ์แบบ" จะกระทบความเชื่อมั่นของชุมชนทั้งหมดต่อผลิตภัณฑ์ที่คล้ายคลึงกันอย่างรุนแรง ผู้ใช้จะเริ่มสงสัยว่า กระเป๋าที่ฉันใช้อยู่จะมีปัญหาหรือไม่? 助记词ที่สร้างขึ้นในอนาคตจะปลอดภัยหรือไม่?
律动 BlockBeats: คุณจะแนะนำให้โปรเจกต์คริปโตในตอนนี้ใช้ AI ตรวจสอบโค้ดด้วยตัวเองเพื่อหาช่องโหว่หรือไม่? หรือตอนนี้ SlowMist ทำอย่างไรอยู่?
โคไซน์: ผมจะแนะนำให้ทำเช่นนั้น
ผลกระทบของ AI ต่ออุตสาหกรรมความปลอดภัยโดยรวมนั้นยิ่งใหญ่กว่าที่สาธารณชนรับรู้ในปัจจุบันมาก แฮกเกอร์แทบไม่มีข้อจำกัดใดๆ พวกเขาสามารถสร้างโมเดลที่ทรงพลังได้ตามเป้าหมาย ขณะที่ฝ่ายป้องกันกลับถูกจำกัดด้วยคุณสมบัติการใช้งานโมเดล กำลังประมวลผล การตรวจสอบ ฯลฯ มากมาย
เราไม่ได้ตรวจสอบซอร์สโค้ดของ公链อย่าง比特币หรือ以太坊 เพราะทรัพยากรมีจำกัด เราจะให้ความสำคัญกับลูกค้าคนสำคัญก่อน เพื่อให้แน่ใจว่าความเสี่ยงในการเกิดปัญหาของพวกเขาในยุค AI ต่ำลง เราใช้ AI ย้อนกลับไปดูโปรเจกต์ในอดีต และพบปัญหาที่ไม่เคยสังเกตเห็นมาก่อนหลายจุด ผลลัพธ์ดีมาก
律動 BlockBeats：這會引申出另一個比較悲觀的問題，當模型越來越強，大家對早期加密技術的不信任度會不會加劇，比如之前的 Zcash 也有類似的影響？
โคไซน์：แน่นอนว่าจะเป็นเช่นนั้น ความปลอดภัยไม่สามารถทำได้ 100% ตลอดไป การโจมตีและการป้องกันมีการยกระดับการต่อสู้กันอยู่เสมอ และแรงจูงใจรวมถึงความสามารถในการลงมือของแฮกเกอร์ที่ใช้ AI นั้นเหนือกว่าฝ่ายป้องกันมาก เพราะแค่เจาะสำเร็จก็แปลงเป็นเงินได้ทันที ความคุ้มค่าสูงมาก ในขณะที่ฝ่ายป้องกันถูกจำกัดด้วยกระบวนการและทรัพยากรต่างๆ
ภายใต้ความไม่สมดุลนี้ จะต้องเกิดเหตุการณ์ด้านความปลอดภัยที่มีขนาด远超ที่เคยมีมาแน่นอน อาจถึงระดับหลายหมื่นล้านดอลลาร์สหรัฐ และแม้แต่โค้ดของ Bitcoin เองก็อาจถูกพบปัญหาข้อบกพร่องในอนาคต
อย่างไรก็ตาม โดยรวมแล้ว ผมไม่มองในแง่ร้ายต่อการรับมือภัยคุกคามเหล่านี้ของอุตสาหกรรม การต่อสู้ระหว่างการโจมตีและการป้องกันมีอยู่ตลอดไป และเหตุการณ์ด้านคริปโตจะต้องแข็งแกร่งขึ้นเรื่อยๆ อย่างแน่นอน
律動 BlockBeats：มีมุมมองเริ่มเปลี่ยนไปชี้ว่าข้อดีของแพลตฟอร์มเทรดแบบรวมศูนย์ 認為ศูนย์กลางการเทรดปลอดภัยกว่า คุณคิดเห็นอย่างไร？
โคไซน์：แพลตฟอร์มเทรดแบบรวมศูนย์ระดับท็อปไม่กี่แห่งมีการลงทุนด้านความปลอดภัยพื้นฐานที่ดีมากจริงๆ แม้เกิดปัญหาก็มีความสามารถในการรองรับความเสียหายได้ในระดับหนึ่ง เว้นแต่จะเป็นเหตุการณ์ภัยพิบัติระดับ超級
ผู้ใช้ส่วนใหญ่จริงๆ แล้วยากที่จะจัดการกับเรื่อง hardcore อย่าง助記詞 หรือ多簽 ได้ด้วยตัวเอง เดิมทีมักจะเลือกกระเป๋าเงินจากชื่อเสียงและการแนะนำของคนรอบข้าง แต่เหตุการณ์ครั้งนี้ทำให้ทุกคนพบว่า แม้แต่กระเป๋าเงินที่ทุกคนยอมรับว่าดีก็อาจมีข้อบกพร่องแฝงได้ ดังนั้นผู้ใช้บางส่วนจึงรู้สึกว่าการนำสินทรัพย์กลับไปไว้ที่ศูนย์แลกเปลี่ยนแบบรวมศูนย์ที่มีความแข็งแกร่งพอสมควรจะสบายใจกว่า ความคิดแบบนี้เข้าใจได้
律動 BlockBeats：สำหรับผู้ใช้ทั่วไปที่ไม่เข้าใจเทคโนโลยีและไม่อ่านโค้ดของกระเป๋าเงิน ควรป้องกันเหตุการณ์แบบ Coldcard อย่างไร？
โคไซน์：首先 แนะนำให้ผู้ใช้ทุกคนใช้ passphrase ของ助記詞 ซึ่งเข้าใจได้ว่าเป็นการเพิ่มรหัสผ่านอีกชั้นให้กับ助記詞 ดีกว่าการไม่เพิ่มมากนัก ใส่ passphrase ที่เริ่มจาก 8 หลักขึ้นไปและซับซ้อนพอสมควร โดยมีเงื่อนไขว่าตัวเองต้องไม่ลืม ตอนนี้กระเป๋าเงินฮาร์ดแวร์主流ทุกรุ่นรองรับ
แม้จะเกิดเหตุการณ์คล้ายๆ กันอีก แฮกเกอร์จะ優先โอนเงินที่ไม่มี passphrase ก่อน สินทรัพย์หลักของคุณจะได้มีเวลาบัฟเฟอร์มากพอ ตัวอย่างเช่น ใส่เงินส่วนเล็กน้อยไว้ในที่อยู่ปกติที่ไม่มี passphrase และเงินก้อนใหญ่ไว้ในที่อยู่ที่เพิ่ม passphrase เมื่อเงินก้อนเล็กถูกโอนออกไป ก็แสดงว่าช助記詞 รั่วไหลแล้ว และการที่แฮกเกอร์จะถอดรหัส passphrase มีต้นทุนสูงมาก ซึ่งจะช่วยให้คุณมีเวลาเตรียมการ
สำหรับผู้ใช้ทั่วไปที่ไม่เข้าใจวงการนี้เลย การใช้บริการจากศูนย์กลางที่มีความน่าเชื่อถือเป็นทางเลือกที่ดีที่สุด หากมีปัญหาก็ให้พวกเขารับผิดชอบดูแลให้
นอกจากนี้ ยังมีคำแนะนำทั่วไปสามข้อสำหรับผู้เล่นทุกคน:
· จัดระเบียบทรัพย์สิน: ใช้เวลาตรวจสอบว่าความทรงจำเกี่ยวกับการสร้างกระเป๋าเงินของคุณยังชัดเจนหรือไม่ หรืออาจมีการรั่วไหลของรหัสช่วยจำ (seed phrase) หากมีความไม่แน่นอนใดๆ ก็ควรพิจารณาเปลี่ยนวิธีการเก็บรักษา
· รักษาความสงบ: อย่ารีบร้อนจนเผลอเข้าไปในกระเป๋าเงินปลอมหรือตกเป็นเหยื่อของการฟิชชิ่ง
· แนวคิดการแยกเก็บ: วางทรัพย์สินที่ไม่แน่ใจไว้ในอุปกรณ์แยกต่างหาก (อาจตัดการเชื่อมต่ออินเทอร์เน็ตก็ได้) อย่ารวมไว้ด้วยกัน ซึ่งปลอดภัยกว่าการคิดว่าไม่มีปัญหามากนัก
หากทำตามนี้ได้ ความเสี่ยงทั่วไปกว่า 90% ก็จะถูกป้องกันได้อย่างมีประสิทธิภาพ
ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:
กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats
กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App
บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia
