ช่องโหว่วิกฤตบน Coldcard: บั๊กของเฟิร์มแวร์เปลี่ยนเอนโทรปีให้กลายเป็นภัยคุกคามต่อคีย์ส่วนตัว Bitcoin

การใช้ประโยชน์จากช่องโหว่ที่ร้ายแรงซึ่งส่งผลต่อกระเป๋าเงินฮาร์ดแวร์ Coldcard ที่พัฒนาโดย Coinkite Inc. ได้ถูกเปิดเผยเมื่อวันที่ 4 สิงหาคม 2026 ช่องโหว่ในเฟิร์มแวร์ ซึ่งเกี่ยวข้องกับการสร้างเอนโทรปีสำหรับคีย์ส่วนตัวของ Bitcoin ทำให้ผู้ใช้มีความเสี่ยงสูงขึ้นที่เงินทุนของตนจะถูกบุกรุก บั๊กนี้ซึ่งถูกเรียกว่า entropy time bomb เปลี่ยนจุดอ่อนทางอัลกอริทึมให้กลายเป็นภัยคุกคามที่เป็นรูปธรรมต่อกระเป๋าเงินแบบ self-custody Coinkite ได้เผยแพร่แพตช์ฉุกเฉินแล้ว แต่ผู้ใช้ได้รับการแนะนำให้อัปเดตอุปกรณ์โดยไม่ชักช้า สิ่งที่เกิดขึ้น ช่องโหว่นี้ส่งผลกระทบโดยเฉพาะกับรุ่น Coldcard Mk4 และ Coldcard Q ที่ทำงานด้วยเฟิร์มแวร์เวอร์ชันก่อน 5.0.9 บั๊กอยู่ในอัลกอริทึมการสร้างเอนโทรปี ซึ่งในบางสถานการณ์ไม่สามารถสร้างความสุ่มที่เพียงพอได้ จุดอ่อนนี้ทำให้ผู้โจมตีสามารถลดขอบเขตการค้นหาคีย์ส่วนตัว ซึ่งช่วยให้การโจมตีแบบ brute force หรือวิธีการเข้ารหัสขั้นสูงทำได้ง่ายขึ้น ยังไม่มีการยืนยันกรณีการใช้ประโยชน์จากช่องโหว่ในสภาพแวดล้อมจริงจนถึงปัจจุบัน แต่ Coinkite ระบุว่าช่องโหว่นี้มีความร้ายแรงเนื่องจากมีศักยภาพทำให้เงินทุนสูญหาย อุปกรณ์ Mk3 และเวอร์ชันเฟิร์มแวร์ก่อนหน้าไม่ได้รับผลกระทบจากช่องโหว่นี้ Coinkite ได้เผยแพร่แพตช์เมื่อวันที่ 4 สิงหาคม 2026 ซึ่งสามารถใช้งานได้ผ่านการอัปเดตเฟิร์มแวร์ ผู้ใช้ที่ได้รับผลกระทบขอแนะนำอย่างยิ่งให้ติดตั้งการอัปเดตนี้ทันทีเพื่อรักษาความปลอดภัยของคีย์ส่วนตัว ทำไมเรื่องนี้จึงสำคัญ กระเป๋าเงินฮาร์ดแวร์อย่าง Coldcard อาศัยส่วนประกอบที่ปลอดภัยในการสร้างและจัดเก็บคีย์ส่วนตัวแบบออฟไลน์ ช่องโหว่ในกระบวนการนี้ท้าทายข้อได้เปรียบหลักของอุปกรณ์ ซึ่งก็คือความปลอดภัย เอนโทรปี ซึ่งเป็นแหล่งที่มาของความสุ่มในการสร้างคีย์เหล่านี้ จะต้องคาดเดาไม่ได้ หากถูกบุกรุก แม้เพียงบางส่วน เงินทุนของผู้ใช้ก็จะตกอยู่ในความเสี่ยง เหตุการณ์นี้เตือนให้เห็นถึงความสำคัญของการตรวจสอบความปลอดภัยโดยหน่วยงานอิสระและการอัปเดตอย่างสม่ำเสมอสำหรับกระเป๋าเงินฮาร์ดแวร์ ในด้านภาคธุรกิจ ช่องโหว่นี้อาจกัดกร่อนความเชื่อมั่นของผู้ใช้ต่อโซลูชันการจัดเก็บแบบออฟไลน์ (cold storage) แม้ว่าจะมีชื่อเสียงด้านความปลอดภัยก็ตาม คู่แข่งอย่าง Ledger หรือ Trezor อาจเสริมกระบวนการทดสอบของตน หรือเผยแพร่รายงานการตรวจสอบเพิ่มเติมเพื่อสร้างความมั่นใจให้ลูกค้า ผู้ใช้อาจหันไปใช้โซลูชันแบบหลายลายเซ็น (multi-signature) หรือบริการดูแลสินทรัพย์ (custody) ระดับสถาบัน เพื่อลดความเสี่ยงของตนเอง ในด้านกฎระเบียบ ยังไม่คาดว่าจะมีผลกระทบโดยตรง แต่เหตุการณ์นี้อาจจุดประเด็นถกเถียงเกี่ยวกับความจำเป็นของมาตรฐานความปลอดภัยที่เข้มงวดยิ่งขึ้นสำหรับกระเป๋าเงินแบบจัดการด้วยตนเอง โดยเฉพาะในกรอบการคุ้มครองนักลงทุนคริปโตเคอร์เรนซี สิ่งที่ควรติดตาม การนำแพตช์ไปใช้ : อัตราการอัปเดตเฟิร์มแวร์ของผู้ใช้จะเป็นตัวชี้วัดสำคัญถึงความยืดหยุ่นของเครือข่าย Coldcard ต่อช่องโหว่นี้ ปฏิกิริยาของคู่แข่ง : Ledger, Trezor หรือผู้เล่นรายอื่นอาจเผยแพร่แถลงการณ์เพื่อสร้างความมั่นใจ หรือรายงานการตรวจสอบเพิ่มเติมเพื่อสร้างความแตกต่าง การเฝ้าระวังความเสี่ยง : ผู้ใช้ที่ยังไม่ได้อัปเดตอุปกรณ์ยังคงมีความเสี่ยง ขอแนะนำให้เฝ้าติดตามที่อยู่ที่เกี่ยวข้องกับ Coldcard ที่ยังไม่ได้อัปเดตอย่างใกล้ชิดยิ่งขึ้น ความโปร่งใสต่อผลกระทบที่แท้จริง : ยังไม่มีข้อมูลเกี่ยวกับจำนวนผู้ใช้ที่ได้รับผลกระทบหรือการสูญเสียเงินทุนที่อาจเกิดขึ้น และยังไม่มีการเผยแพร่รายละเอียดทางเทคนิคฉบับสมบูรณ์ของการโจมตี