เอนโทรปีของกระเป๋า: เหตุการณ์ Coldcard สอนอะไรเราเกี่ยวกับความสุ่ม

เมื่อเวลา 01:31 UTC ของวันที่ 31 กรกฎาคม 2026 บิตคอยน์เริ่มไหลออกจากกระเป๋าที่เจ้าของไม่ได้ทำอะไรเลยแม้แต่น้อย พอถึงเวลา 01:56 — ยี่สิบห้านาทีต่อมา — บิตคอยน์ราว 594 BTC มูลค่าประมาณ 38 ล้านดอลลาร์ ถูกกวาดออกจากกระเป๋าแบบลายเซ็นเดียวราว 500 ใบ การวิเคราะห์ในภายหลังจาก Galaxy Research และรายงานของ Chainalysis เชื่อมโยงความเสียหายรวมได้สูงถึงราว 1,083 BTC กระจายอยู่ในที่อยู่ประมาณ 1,196 แห่ง ไม่มีใครถูกฟิชชิง ไม่มีใครติดตั้งมัลแวร์ ไม่มีใครอนุมัติธุรกรรม ลักษณะเดียวที่เหยื่อมีร่วมกันคือวันที่กระเป๋าของพวกเขาถูกสร้างขึ้น — เพราะสิ่งที่ล้มเหลวคือเอนโทรปีของกระเป๋า: ความสุ่มที่ใช้สร้าง seed phrase ซึ่งถูกตรึงไว้ตั้งแต่วินาทีแรกของชีวิตกระเป๋าใบนั้น

กระเป๋าเหล่านั้นถูกสร้างบนอุปกรณ์ฮาร์ดแวร์ Coldcard และข้อบกพร่องเบื้องหลังก็ฝังตัวอยู่ในเฟิร์มแวร์ที่จัดส่งจริงมานานกว่าห้าปี บทความนี้จะพาไปดูว่าเกิดอะไรขึ้น ทำไมบั๊กประเภทนี้จึงยังคงมองไม่เห็น มันบอกและไม่ได้บอกอะไรเกี่ยวกับกระเป๋าฮาร์ดแวร์ — และควรถามอะไรเกี่ยวกับความสุ่มของกระเป๋าทุกใบ รวมถึงของเราเองด้วย

ข้อบกพร่องจากปี 2021 ที่ถูกนำมาขึ้นเงินในปี 2026

ตามประกาศแจ้งเตือนของ Coinkite ข้อบกพร่องนี้เข้ามาอยู่ในเฟิร์มแวร์ Coldcard เวอร์ชัน 4.0.0 ซึ่งปล่อยออกมาในเดือนมีนาคม 2021 บนอุปกรณ์ที่ได้รับผลกระทบ การสร้าง seed ข้ามตัวสร้างเลขสุ่มแบบฮาร์ดแวร์ไป แล้วถอยกลับ (fallback) ไปใช้ข้อมูลกุญแจที่ seed มาจากข้อมูลชิปซึ่งไม่เป็นความลับ seed phrase แบบ BIP39 ควรจะเข้ารหัสเอนโทรปี 128 บิต — คิดเป็น seed ที่เป็นไปได้ 2¹²⁸ แบบ ซึ่งเป็นพื้นที่ที่ไม่มีผู้โจมตีคนใดไล่ค้นได้ แต่ seed ที่สร้างบนอุปกรณ์ Mk3 ที่ได้รับผลกระทบกลับมีเอนโทรปีจริงเพียงราว 40 บิต 2⁴⁰ คือตัวเลือกราว 1.1 ล้านล้านค่า — มหาศาลสำหรับมนุษย์ แต่ไล่ค้นได้ครบถ้วนสำหรับเครื่องจักร นี่คือช่องโหว่ Coldcard ที่อธิบายจบได้ในประโยคเดียว: อุปกรณ์เลิกใช้ความสุ่มของตัวเองไปอย่างเงียบ ๆ โดยไม่มีสิ่งใดที่มองเห็นได้บ่งบอกเลย

มีคนสองกลุ่มที่ไม่เคยตกอยู่ในความเสี่ยงเลย: ใครก็ตามที่สร้าง seed ของตนพร้อม passphrase แบบ BIP39 และใครก็ตามที่สร้างมันจากการทอยลูกเต๋า 50 ครั้งขึ้นไป Coinkite เปิดเผยปัญหาและปล่อยเฟิร์มแวร์ที่แก้ไขแล้ว — 5.6.0 สำหรับ Mk4 และ Mk5 และ 1.5.0Q สำหรับ Q ตลอดห้าปีที่คั่นกลางนั้น กระเป๋าที่ได้รับผลกระทบทำงานได้อย่างไร้ที่ติและดูเหมือนกระเป๋าที่ปลอดภัยทุกประการ ผู้ที่ลงมือกวาดเงินไม่จำเป็นต้องแตะต้องเหยื่อเลยแม้แต่น้อย: ไล่ค้นพื้นที่กุญแจที่อ่อนแอ อนุมาน (derive) ที่อยู่ จับคู่กับข้อมูลบนเชน แล้วเคลื่อนย้ายทุกอย่างในหน้าต่างเวลาเดียวนาน 25 นาที

การเสื่อมถอยของเอนโทรปีอย่างเงียบเชียบ: ทำไม seed จึงดูสุ่ม

ส่วนที่ชวนไม่สบายใจคือ ไม่มีอะไรใน seed ที่ได้รับผลกระทบที่เคยดูผิดปกติเลย seed ที่สร้างจากอินพุตที่คาดเดาได้เพียง 40 บิต ก็ยังออกมาเป็นคำ BIP39 สิบสองคำที่ธรรมดาสามัญทุกประการ พร้อม checksum ที่ถูกต้อง กระเป๋ายอมรับมัน อนุมานที่อยู่ ลงนามธุรกรรม ทุกหน้าจอแสดงผลตรงกับที่กระเป๋าที่แข็งแกร่งจะแสดงเป๊ะ ๆ

การทดสอบทางสถิติก็ช่วยอะไรไม่ได้เช่นกัน: ตัวสร้างแบบกำหนดได้ (deterministic) ที่ถูก seed ด้วยข้อมูลที่คาดเดาได้ ยังคงผลิตเอาต์พุตที่ผ่านการทดสอบความสุ่ม — บิตกระจายตัวได้ดี เพียงแต่ถูกดึงมาจากเซตของลำดับที่เป็นไปได้ซึ่งเล็กจนน่าหายนะ จุดอ่อนอาศัยอยู่ในคุณสมบัติที่ไม่มีเอาต์พุตใดเปิดเผยได้: seed อื่น ๆ อีกกี่แบบที่อาจถูกสร้างขึ้นมาแทนได้ มีเพียงโค้ดที่ใช้สร้างเท่านั้นที่ถือคำตอบนั้นอยู่

seed ที่อ่อนแอไม่ได้ดูอ่อนแอ ความแตกต่างระหว่าง 2¹²⁸ กับ 2⁴⁰ ดำรงอยู่เพียงในโค้ดที่สร้างคำเหล่านั้นขึ้นมาเท่านั้น

นี่คือเหตุผลที่บั๊กประเภทนี้คงอยู่ได้นานหลายปี และเป็นเหตุผลที่เหตุการณ์ Coldcard จัดอยู่ในตระกูลเดียวกับกรณีอื่น ๆ ทั้ง Milk Sad ในเครื่องมือ bx ของ Libbitcoin ตัวสร้าง MT19937 ของส่วนขยายเบราว์เซอร์ Trust Wallet, Cake Wallet, เครื่องมือสร้าง vanity address ชื่อ Profanity และ Randstorm ในกระเป๋าบนเบราว์เซอร์ยุคแรก ล้วนมีรูปร่างเดียวกัน: CSPRNG ถูกแทนที่ด้วยแหล่งที่คาดเดาได้อย่างเงียบ ๆ — ไม่มีข้อผิดพลาด ไม่มีคำเตือน ไม่มีความแตกต่างที่มองเห็นได้ จนกระทั่งมีใครสักคนไล่ค้นพื้นที่กุญแจ

บทเรียนที่ชวนอึดอัด

คำว่า “กระเป๋าฮาร์ดแวร์” เป็นชื่อเรียกรูปทรงของอุปกรณ์ ไม่ใช่หลักประกัน กระเป๋าที่ถูกกวาดเงินในวันที่ 31 กรกฎาคมถูกสร้างบนฮาร์ดแวร์ลงนามที่ออกแบบมาเพื่อการนี้โดยเฉพาะ — และนั่นไม่ใช่ชั้นที่ล้มเหลว สิ่งที่ตัดสินการอยู่รอดคือคุณสมบัติที่ถูกตรึงไว้ตั้งแต่หลายปีก่อน: seed ถูกสร้างขึ้นอย่างไรในวันที่กระเป๋าถูกสร้าง ทุกอย่างที่อยู่ปลายน้ำ — การเก็บรักษาแบบเย็น การลงนามแบบแยกช่องอากาศ (air-gapped) การตรวจสอบอย่างระมัดระวัง — ปกป้องกุญแจไม่ให้ถูกขโมย แต่ไม่มีข้อใดช่วยได้เลยหากกุญแจสามารถถูกสร้างขึ้นมาใหม่ได้

ข้อเท็จจริงที่ว่า Coinkite เปิดเผยข้อบกพร่องและปล่อยเฟิร์มแวร์ที่แก้ไขแล้วอย่างรวดเร็ว ก็สำคัญไม่แพ้กัน นี่ไม่ใช่เรื่องราวของผู้ผลิตที่สะเพร่า แต่เป็นโหมดความล้มเหลวที่วงการนี้ค้นพบซ้ำแล้วซ้ำเล่า ทั้งในฮาร์ดแวร์และซอฟต์แวร์ กระเป๋าใดก็ตาม — รวมถึงของเราด้วย — อยู่ห่างจากบั๊กประเภทเดียวกันนี้เพียงแค่ fallback เงียบครั้งเดียว คำถามที่ซื่อตรงจึงไม่ใช่ “ผู้ผลิตรายใดมีภูมิคุ้มกัน?” แต่คือ “กระเป๋าใบนี้จะล้มเหลวได้อย่างไร และจะมีใครสังเกตเห็นหรือไม่?”

ห้าคำถามที่ควรถามเกี่ยวกับความสุ่มของกระเป๋าทุกใบ

คุณไม่จำเป็นต้องเป็นนักวิทยาการเข้ารหัสลับเพื่อยกระดับมาตรฐาน คำถามห้าข้อนี้ช่วยคัดแยกกระเป๋าได้อย่างมีนัยสำคัญ:

1. แหล่งเอนโทรปีคืออะไร? seed ควรมาจาก CSPRNG ไม่ใช่จาก timestamp ตัวระบุอุปกรณ์ หรือสิ่งใดก็ตามที่คนนอกสามารถประกอบขึ้นใหม่ได้
2. จะเกิดอะไรขึ้นหากแหล่งนั้นล้มเหลว? คำตอบที่ยอมรับได้คือข้อผิดพลาดร้ายแรง (hard error) ที่หยุดการสร้างกระเป๋าทันที คำตอบที่ยอมรับไม่ได้คือตัวแทนเงียบ ๆ — fallback เงียบคือลักษณะนิยามของบั๊กประเภทนี้
3. เส้นทางการสร้างเป็นโอเพนซอร์สและตรวจสอบได้หรือไม่? เอนโทรปีที่อ่อนแอมองไม่เห็นในเอาต์พุต การรีวิวโค้ดจึงเป็นที่เดียวที่จะจับมันได้
4. กระเป๋ารองรับ passphrase แบบ BIP39 หรือไม่? passphrase เพิ่มข้อมูลลับที่ตัวสร้างของอุปกรณ์ไม่เคยแตะต้อง และนั่นคือเหตุผลที่ผู้ใช้ passphrase บน Coldcard ที่ได้รับผลกระทบไม่สูญเสียอะไรเลย
5. ในมัลติซิก กุญแจถูกสร้างบนอุปกรณ์ที่เป็นอิสระต่อกันหรือไม่? อุปกรณ์ที่เป็นอิสระหมายถึงความสุ่มที่เป็นอิสระ: ตัวสร้างที่บกพร่องหนึ่งตัวทำให้เสียหายเพียงกุญแจดอกเดียว ไม่ใช่ทั้งองค์ประชุม

Ownbit สร้างเอนโทรปีอย่างไร

คำถามเช่นนี้สมควรได้รับคำตอบที่เป็นรูปธรรมเกี่ยวกับผลิตภัณฑ์ของเราเอง การสร้าง mnemonic ของ Ownbit มีสองชั้น ที่ชั้นแอป generateMnemonicRandom(entropy, langIndex) เรียกใช้ generateMnemonic จากไลบรารี bip39 มาตรฐาน — เอนโทรปี 128 บิตโดยค่าเริ่มต้น พร้อมรองรับรายการคำ BIP39 แปดภาษา: อังกฤษ จีนตัวย่อและตัวเต็ม ญี่ปุ่น ฝรั่งเศส อิตาลี เกาหลี และสเปน ที่ชั้นไลบรารี randomBytes ของ bip39 ดึงค่าจาก crypto.getRandomValues — ซึ่งเป็น CSPRNG ของแพลตฟอร์ม

สิ่งที่สำคัญตรงนี้คือ จะเกิดอะไรขึ้นเมื่อแหล่งนั้นใช้งานไม่ได้: ไลบรารีจะโยนข้อผิดพลาด (throw an error) ออกมา มันไม่ไปปรึกษานาฬิกา ตัวระบุชิป หรือแหล่งสำรองใด ๆ — ไม่มีเส้นทาง fallback อยู่ในโค้ดเลย โหมดความล้มเหลวคือข้อผิดพลาดที่ส่งเสียงดังตอนสร้างกระเป๋า ไม่มีวันเป็น seed ที่อ่อนแอลงอย่างเงียบ ๆ คุณสมบัตินี้ — ล้มเหลวอย่างเสียงดัง ไม่มีวัน fallback — คือด้านกลับเป๊ะ ๆ ของข้อบกพร่องเบื้องหลังเหตุการณ์ Coldcard, Milk Sad และ Randstorm ที่การสร้างเดินหน้าต่อไปอย่างเงียบ ๆ จากแหล่งที่คาดเดาได้

เราจะไม่อ้างว่าสิ่งนี้ทำให้ Ownbit มีภูมิคุ้มกันต่อบั๊ก ไม่มีผู้ผลิตที่ซื่อตรงรายใดอ้างเช่นนั้นได้ แต่สิ่งที่มันตัดออกไปโดยการออกแบบ (by construction) คือรูปร่างความล้มเหลวแบบนี้: ไม่มีเส้นทางโค้ดใดที่กระเป๋า Ownbit จะสร้าง seed ที่อ่อนแอขึ้นมาอย่างเงียบ ๆ ได้ ส่วนที่เหลือของโมเดลอธิบายไว้ในหน้าความปลอดภัยของเรา

ทำไมกุญแจที่สร้างอย่างเป็นอิสระต่อกันจึงรอดพ้นบั๊กประเภทนี้

การกวาดเงินวันที่ 31 กรกฎาคมเล่นงานกระเป๋าแบบลายเซ็นเดียว: หนึ่ง seed หนึ่งลายเซ็น เงินหายไป — เป็นกรณีตามตำราของseed phrase ในฐานะจุดล้มเหลวเพียงจุดเดียว มัลติซิกเปลี่ยนเลขคณิตนี้ ในกระเป๋า MultiSig ของ Ownbit กุญแจทุกดอกคือ seed phrase มาตรฐานแบบ BIP39 ของตัวเอง สร้างขึ้นบนอุปกรณ์ของผู้เข้าร่วมคนนั้นเอง สมมติว่าอุปกรณ์เครื่องหนึ่งมีข้อบกพร่องประเภทนี้เป๊ะ ๆ ในกระเป๋าแบบ 2-of-3 ผู้โจมตีที่ไล่ค้นพื้นที่กุญแจที่อ่อนแอจะถือกุญแจได้เพียงดอกเดียว — ต่ำกว่า threshold ไม่มีอะไรเคลื่อนย้ายได้ กุญแจที่อ่อนแอกลายเป็นงานบำรุงรักษา — หมุนเวียนเปลี่ยนมันเสีย — แทนที่จะเป็นความสูญเสีย

การปกป้องมาจากความเป็นอิสระ ไม่ใช่จากคำว่า “มัลติซิก” กุญแจผู้ร่วมลงนามสามดอกที่สร้างบนอุปกรณ์รุ่นบกพร่องเดียวกันจะล้มเหลวไปด้วยกัน แต่กุญแจสามดอกที่เกิดบนอุปกรณ์ที่ต่างกันอย่างแท้จริง — โทรศัพท์ที่คุณใช้ประจำวัน, โทรศัพท์เครื่องสำรองที่เก็บออฟไลน์เป็นกระเป๋าเย็นลงนามผ่าน QR, อุปกรณ์ของสมาชิกในครอบครัว — ไม่มีตัวสร้างร่วมกัน จึงไม่มีบั๊กร่วมกัน ตรรกะเดียวกันอธิบายว่าทำไม passphrase แบบ BIP39 จึงช่วยผู้ใช้ Coldcard ที่ได้รับผลกระทบไว้ได้: passphrase คือข้อมูลลับที่ RNG ของอุปกรณ์ไม่เคยผลิตขึ้น การไล่ค้น seed 2⁴⁰ แบบจึงไม่เพียงพอที่จะใช้จ่ายเงินได้

หากคุณมี Coldcard ที่ได้รับผลกระทบ

สามขั้นตอน:

1. อัปเดตเฟิร์มแวร์ รุ่นที่แก้ไขแล้วซึ่งระบุในประกาศแจ้งเตือนของ Coinkite คือ 5.6.0 สำหรับ Mk4 และ Mk5 และ 1.5.0Q สำหรับ Q
2. ย้ายเงินไปยัง seed ใหม่ที่สร้างบนเฟิร์มแวร์ที่แก้ไขแล้ว การอัปเดตปกป้องเฉพาะ seed ในอนาคต แต่เสริมความแข็งแกร่งให้ seed ที่มีอยู่แล้วไม่ได้ seed ที่เกิดมาพร้อมเอนโทรปีราว 40 บิตจะยังไล่ค้นได้ตลอดไป — ปลดระวางมันโดยสิ้นเชิง อย่านำกลับมาใช้ซ้ำ และอย่าส่งเงินกลับไปยังที่อยู่ของมันอีก
3. อย่าพิมพ์ seed phrase ที่มีอยู่ลงในเว็บไซต์ใดก็ตามที่เสนอจะ “ตรวจสอบ” ว่ามันมีช่องโหว่หรือไม่ การป้อน seed ลงในสิ่งใดก็ตามที่ออนไลน์คือวิธีที่เงินส่วนที่เหลือถูกเอาไป เว็บ “ตัวตรวจสอบ” เป็นรูปแบบฟิชชิงที่เกิดขึ้นเป็นประจำหลังเหตุการณ์ทำนองนี้

คำถามที่พบบ่อย