จากกรณีโจรกรรมระยะไกลมูลค่า 70 ล้านดอลลาร์ของ Coldcard ดูว่า HSM ปกป้องสินทรัพย์ระดับสถาบันได้อย่างไร
- มุมมองหลัก: ปลายเดือนกรกฎาคม 2026 ฮาร์ดแวร์วอลเล็ต比特币Coldcard เนื่องจากความผิดพลาดในการกำหนดค่าการสร้างในอัปเดตเฟิร์มแวร์ปี 2021 ทำให้ตัวสร้างตัวเลขสุ่มถูกลดระดับเป็นอัลกอริทึมสุ่มเทียมซอฟต์แวร์ เอนโทรปีของคีย์ส่วนตัวยุบตัวจาก 2^256 เหลือประมาณ 2^32 ถูกแฮกเกอร์โจมตีแบบ brute force แบบออฟไลน์ภายใน 41 นาที ขโมย比特币มากกว่า 1,080 เหรียญจากวอลเล็ต 1,196 ราย ความเสียหายสูงถึง 70-88.6 ล้านดอลลาร์
- องค์ประกอบสำคัญ:
- เฟิร์มแวร์ที่บกพร่องของ Coldcard ข้ามฮาร์ดแวร์ตัวสร้างตัวเลขสุ่มจริง (TRNG) โดยไม่ได้ตั้งใจในตอนที่สร้างตัวเลขสุ่มราก และถอยกลับไปใช้ตัวสร้างตัวเลขสุ่มเทียมซอฟต์แวร์ (PRNG) ที่พึ่งพาหมายเลขซีเรียลของอุปกรณ์และรีจิสเตอร์เวลา ทำให้เอนโทรปียุบตัวเหลือความเป็นไปได้ประมาณ 4 พันล้านแบบ
- แฮกเกอร์ไม่จำเป็นต้องสัมผัสอุปกรณ์ทางกายภาพ ผ่านการ brute force แบบออฟไลน์จำนวน 4 พันล้านชุดคำช่วยจำ เพื่อสร้างที่อยู่สาธารณะและเปรียบเทียบกับบัญชีแยกประเภทบนเชน เมื่อจับคู่สำเร็จก็จะ broadcast ธุรกรรมบนเชนเพื่อโอนย้ายสินทรัพย์จากวอลเล็ตออฟไลน์เป็นชุด
- การ复盘เหตุการณ์อ้างอิงกรณีประวัติศาสตร์: ช่องโหว่หมายเลขสวย Profanity สูญเสีย 160 ล้านดอลลาร์ เหมือง Lubian ถูกโจรกรรมเพราะตัวเลขสุ่มอ่อนแอ ทำให้比特币 127,000 เหรียญถูกขโมย เน้นว่าการขาดเอนโทรปีของอัลกอริทึมเป็นภัยคุกคามที่ซ่อนเร้นและร้ายแรงที่สุดในโลกคริปโต
- บทความเปรียบเทียบความแตกต่างด้านความปลอดภัยระหว่าง cold wallet ระดับผู้บริโภคและ HSM ระดับสถาบัน: ชุดคำช่วยจำของระดับผู้บริโภคสามารถส่งออกเพื่อสำรองข้อมูล เผชิญความเสี่ยงจากการรั่วไหลจากการสัมผัสทางกายภาพ; คีย์ส่วนตัวของ Thales HSM ระดับสถาบันถูก标记อย่างเข้มงวดว่าไม่สามารถส่งออกได้ เซ็นชื่อแบบปิดภายในชิป รองรับการป้องกันการงัดแงะทางกายภาพและกลไกการทำลายตัวเอง
- Cactus Custody ใช้สถาปัตยกรรมหลายลายเซ็นและ TRNG อิสระในการสร้างคีย์ส่วนตัว (เป็นไปตามมาตรฐาน FIPS 140-2/3 และ NIST SP 800-90) ไม่ใช้สถาปัตยกรรมการกระจายจาก seed หลัก กำจัดความเสี่ยงจุดเดียวและความเสี่ยงแบบเป็นชุด
- บทส่งท้ายชี้ให้เห็นว่าการดูแลสินทรัพย์ดิจิทัลต้องมีการป้องกันเชิงลึก ลายเซ็นหลายชั้น และการกระจายความเสี่ยง เน้นว่าเมื่อวิธีการโจมตีพัฒนาไปสู่การระเบิดพลังคำนวณแบบออฟไลน์ cold wallet ระดับผู้บริโภคจึงยากที่จะรับมือกับความท้าทายในการจัดการสินทรัพย์จำนวนมาก
ปลายเดือนกรกฎาคม 2026 อุตสาหกรรมคริปโตต้องเผชิญกับเหตุการณ์แฮกที่สั่นคลอนความเชื่อมั่นด้านความปลอดภัยของสาธารณชนครั้งใหญ่: Coldcard กระเป๋าฮาร์ดแวร์ Bitcoin ชื่อดังที่โฆษณาว่า "แยกเด็ดขาดจากโลกภายนอก ถอดรหัสไม่ได้" ถูกโจมตีแบบกวาดล้างเป็นวงกว้าง
ภายในเวลาเพียง 41 นาที ผู้โจมตีสามารถโอน Bitcoin ออกจากที่อยู่ Coldcard จำนวน 1,196 วอลเล็ตได้โดยตรง มูลค่ากว่า 1,080 BTC คิดเป็นความเสียหายสูงถึง 70 ถึง 88.6 ล้านดอลลาร์สหรัฐ สิ่งที่น่าตกใจยิ่งกว่าคือ ผู้โจมตีไม่เคยสัมผัสอุปกรณ์ใด ๆ ทางกายภาพแม้แต่เครื่องเดียว และวอลเล็ตที่ถูกขโมยหลายใบถูกเก็บไว้แบบออฟไลน์ในตู้นิรภัยมานานหลายปีแล้วด้วยซ้ำ
การออฟไลน์ไม่ได้หมายความว่าปลอดภัยอย่างสมบูรณ์แบบ
กรณีศึกษาอันเจ็บปวดนี้พิสูจน์ให้เห็นอีกครั้งว่า แนวป้องกันชั้นต่ำสุดของความปลอดภัยสินทรัพย์ดิจิทัล ไม่ได้ขึ้นอยู่กับว่าอุปกรณ์เชื่อมต่ออินเทอร์เน็ตหรือไม่ หากแต่ขึ้นอยู่กับว่าความสุ่มทางกายภาพ (Entropy) ของคีย์ส่วนตัว ณ เวลาที่สร้างนั้นแข็งแกร่งพอหรือไม่ รวมถึงว่าคีย์นั้นมีการแยกป้องกันด้วยฮาร์ดแวร์ระดับสถาบันการเงินในระหว่างการจัดเก็บและอนุมัติหรือไม่
หนึ่ง การย้อนรอยเหตุการณ์: "การเจาะระบบออฟไลน์ 41 นาที" ที่เกิดจากความบกพร่องในการกำหนดค่าของเฟิร์มแวร์
นักลงทุนจำนวนมากเชื่ออย่างสุ่มสี่สุ่มห้าว่า "ตราบใดที่คีย์ส่วนตัวถูกเก็บไว้ในอุปกรณ์ฮาร์ดแวร์ออฟไลน์ สินทรัพย์ก็ปลอดภัยแน่นอน" แต่ต้นตอของเหตุการณ์ Coldcard คือ ชะตากรรมของคีย์ส่วนตัวถูกกำหนดไว้ตั้งแต่ช่วงเริ่มต้นของการสร้างมันแล้ว
จากการตรวจสอบอย่างละเอียดโดยทีมวิศวกรของ Block และหน่วยงานความปลอดภัยบนเชน พบว่าช่องโหว่ดังกล่าวเกิดจากข้อผิดพลาดในตรรกะการกำหนดค่าการสร้าง (Build Configuration) ในการอัปเดตเฟิร์มแวร์ Coldcard เมื่อเดือนมีนาคม 2021 [1]:
- การลดระดับของตัวสร้างเลขสุ่ม (RNG): ตรรกะพื้นฐานของการสร้างคีย์ส่วนตัวในฮาร์ดแวร์วอลเล็ตคือการแยกสัญญาณรบกวนทางกายภาพเพื่อสร้างตัวเลขสุ่มเที่ยงแท้ (TRNG) ที่มีค่าเอนโทรปีสูง แต่เฟิร์มแวร์ที่บกพร่องของ Coldcard ได้ข้ามฮาร์ดแวร์ตัวสร้างเลขสุ่มโดยไม่ได้ตั้งใจในระหว่างการสร้าง Seed และถอยกลับ (Fallback) ไปใช้ซอฟต์แวร์ตัวสร้างเลขสุ่มเทียม (PRNG) ที่คำนวณจากโค้ดเฟิร์มแวร์
- การยุบตัวของเอนโทรปี (Entropy Collapse): อัลกอริธึมสุ่มเทียมอาศัยเพียงหมายเลขซีเรียลคงที่ของอุปกรณ์และรีจิสเตอร์เวลาการเริ่มต้นระบบ ทำให้พื้นที่การสร้างคีย์ส่วนตัวที่ควรจะมีถึง 2^{256} (เท่าระดับเม็ดทรายทั่วจักรวาล เป็นจำนวนทางดาราศาสตร์ที่ไม่สามารถนับถัวได้) ยุบตัวลงเหลือเพียงประมาณ 2^{32} (ประมาณ 4 พันล้านความเป็นไปได้)
- การถึกแบบออฟไลน์และการคำนวณกวาดล้างทั่วทั้งเครือข่าย: สำหรับแฮกเกอร์ พื้นที่การแก้ปัญหาเปลี่ยนจาก "การเข็มหาในมหาสมุทร" เป็น "การนับถัวง่าย ๆ เพียงไม่กี่พันล้านครั้ง" ผู้โจมตีเพียงแค่รันการคำนวณแบบออฟไลน์อย่างรวดเร็วผ่านชุดคำ 4 พันล้านชุดนี้บนอุปกรณ์ประมวลผลของตนเอง จากนั้นก็สร้างที่อยู่สาธารณะที่เกี่ยวข้องและเปรียบเทียบกับบัญชีแยกประเภทบล็อกเชน เมื่อจับคู่ได้ก็สามารถออกอากาศธุรกรรมบนเชนได้โดยตรง และโอนสินทรัพย์จากวอลเล็ตออฟไลน์ออกไปได้ในคราวเดียว
เช่นเดียวกันกับเหตุการณ์ช่องโหว่ Profanity หมายเลขสวย ที่สูญเสีย 160 ล้านดอลลาร์ [2] และเหตุการณ์ในประวัติศาสตร์ที่ Lubian Mining Pool ถูกเจาะเพราะตัวเลขสุ่มอ่อนแอ ส่งผลให้ BTC 127,000 เหรียญ (ประมาณ 15,000 ล้านดอลลาร์) ถูกขโมย [3] — การขาดแคลนค่าเอนโทรปีของอัลกอริธึมคือพิษที่ร้ายแรงที่สุดและแฝงตัวเงียบที่สุดในโลกคริปโต
สอง จุดเริ่มต้นของชีวิตคีย์ส่วนตัว: จากตัวเลขสุ่มเที่ยงแท้สู่ความปลอดภัยตั้งแต่ต้นทาง
ในศาสตร์การเข้ารหัส ตัวเลขสุ่มคือรากฐานของกฎความปลอดภัยทั้งหมด คีย์ส่วนตัวของบล็อกเชนถูกสร้างขึ้นจากชุดคำ (Seed Phrase) และชุดคำนั้นขึ้นอยู่กับค่าเอนโทรปีของตัวเลขสุ่มที่ถูกสร้างขึ้นในตอนแรกทั้งหมด
อัลกอริธึมสุ่มเทียมของซอฟต์แวร์ทั่วไป (PRNG) คำนวณจากสูตรทางคณิตศาสตร์แบบกำหนดตายตัว ตราบใดที่รู้ค่าเริ่มต้นหรือตัวแปรเริ่มต้น "ลำดับตัวเลขสุ่ม" ที่สร้างขึ้นมาก็สามารถคาดการณ์ได้อย่างสมบูรณ์ ในทางตรงกันข้าม ความปลอดภัยที่แท้จริงต้องพึ่งพาตัวสร้างเลขสุ่มเที่ยงแท้ (TRNG) ซึ่งจับสัญญาณรบกวนทางกายภาพที่ไม่อาจคาดเดาได้ในโลกแห่งความเป็นจริง เช่น สัญญาณรบกวนควอนตัมระดับจุลภาค สัญญาณรบกวนความร้อนในวงจร หรือการสลายตัวของอะตอม เพื่อสกัด "เอนโทรปีทางกายภาพ" บริสุทธิ์
กระบวนทัศน์การสร้างคีย์ส่วนตัวของ HSM
เพื่อกำจัดความเสี่ยงการยุบตัวของเอนโทรปีจากข้อบกพร่องในการคำนวณเชิงตรรกะตั้งแต่ต้นทางกายภาพ Cactus Custody ปฏิเสธการใช้โมเดลสุ่มเทียมของซอฟต์แวร์ใด ๆ ทั้งสิ้น
ในสถาปัตยกรรมของ Cactus Custody คีย์ส่วนตัวและ Seed จะถูกสร้างขึ้นภายในฮาร์ดแวร์โมดูลความปลอดภัย (HSM) โดยตรง ซึ่งผ่านการรับรองระดับความปลอดภัยสูงสุด HSM มีตัวสร้างเอนโทรปีทางกายภาพระดับอุตสาหกรรม (TRNG) ในตัว ซึ่งสร้างตัวเลขสุ่มเที่ยงแท้ที่ไร้รูปแบบและคาดเดาไม่ได้จากสัญญาณรบกวนความร้อนในระดับกายภาพ เพื่อให้แน่ใจว่าพื้นที่การสร้างคีย์ส่วนตัวมีความแข็งแกร่งทางการเข้ารหัสอย่างสมบูรณ์ และปิดกั้นความเป็นไปได้ใด ๆ ในการเจาะแบบออฟไลน์หรือการคำนวณย้อนกลับจากพื้นฐานทางคณิตศาสตร์
สาม กระบวนทัศน์การเก็บรักษาคีย์: กระเป๋าเย็นระดับผู้บริโภค vs. ฐานฮาร์ดแวร์ HSM ระดับสถาบัน
นอกจากปัญหาเอนโทรปีในช่วงการสร้าง กระเป๋าฮาร์ดแวร์ระดับผู้บริโภคและ托管ระดับสถาบันยังมีความแตกต่างกันโดยสิ้นเชิงในเชิงโครงสร้างของกลไกการจัดเก็บข้อมูล
ข้อจำกัดโดยธรรมชาติของกระเป๋าฮาร์ดแวร์ระดับผู้บริโภค
หน้าที่หลักของกระเป๋าฮาร์ดแวร์ระดับผู้บริโภคทั่วไป (เช่น Ledger, Trezor หรือ Coldcard) คือการป้องกันไม่ให้คีย์ส่วนตัวถูกขโมยโดยตรงจากมัลแวร์บนคอมพิวเตอร์ที่เชื่อมต่ออินเทอร์เน็ต อย่างไรก็ตาม เพื่อความสะดวกในการสำรองข้อมูลและการย้ายกระเป๋าของผู้ใช้ทั่วไป คีย์ส่วนตัวและชุดคำ 12/24 คำในอุปกรณ์เหล่านี้โดยพื้นฐานแล้วสามารถส่งออกหรือสำรองลงบนสื่อกระดาษได้ เมื่อชุดคำถูกคัดลอกออกมา รั่วไหลจากการถ่ายภาพ หรือถูกสัมผัสทางกายภาพ แฮกเกอร์ก็สามารถทำสำเนาคีย์ส่วนตัวนั้นขึ้นบนอุปกรณ์ใดก็ได้
การป้องกันทางกายภาพด้วย HSM ระดับสถาบันการเงิน
ในฐานะผู้ให้บริการดูแลรักษาสินทรัพย์ดิจิทัลระดับสถาบันมืออาชีพ Cactus Custody นำฮาร์ดแวร์โมดูลความปลอดภัย (HSM) ของ Thales ซึ่งใช้กันทั่วไปในสถาบันการเงินระดับโลกและธนาคารกลางมาใช้เป็นแนวป้องกันชั้นล่าง
【กระเป๋าเย็นระดับผู้บริโภค】
การสร้างคีย์ส่วนตัว ──► เก็บในชิประดับผู้บริโภค ──► ชุดคำสามารถส่งออก/สำรองได้ ──► เผชิญความเสี่ยงการรั่วไหลจากการสัมผัสทางกายภาพ/การถึก
【สถาปัตยกรรม HSM ระดับสถาบันของ Cactus Custody】
การสร้างตัวเลขสุ่มเที่ยงแท้จาก TRNG ──► ล็อกอยู่ภายใน Thales HSM ──► ตั้งค่าเป็น "ไม่สามารถส่งออกได้" อย่างเข้มงวด ──► การแยกชิ้นส่วนทางกายภาพจะทำลายตัวเอง
- ไม่สามารถส่งออกได้: ใน Thales HSM ของ Cactus Custody คีย์ส่วนตัวถูกสร้างขึ้นภายในชิป จากนั้นจะถูกตั้งค่าเป็น "ไม่สามารถส่งออกได้" อย่างบังคับ ตั้งแต่เกิดจนถึงการใช้งาน คีย์ส่วนตัวไม่สามารถออกจากขอบเขตความปลอดภัยของ HSM ได้ตลอดอายุการใช้งาน
- การลงนามแบบปิดภายในชิป: ธุรกรรมทั้งหมดจะถูกลงนามภายในพื้นที่ปลอดภัยของ HSM โดยสิ่งที่ถูกออกอากาศออกไปภายนอกมีเพียงผลลัพธ์การลงนามที่ถูกต้องตามกฎหมายเท่านั้น ไม่ว่าผู้โจมตีจะพยายามผ่านเครือข่ายระยะไกลหรือการแยกข้อมูลจากเฟิร์มแวร์ ก็ไม่สามารถเข้าถึงตัวคีย์ส่วนตัวได้
- การป้องกันการงัดแงะและการทำลายตัวเองทางกายภาพ: Thales HSM มีระบบเปลือกป้องกันทางกายภาพระดับกองทัพ การพยายามโจมตี HSM ผ่านการแยกชิ้นส่วนทางกายภาพ การสแกนด้วยไมโครโพรบ หรือการโจมตีด้วยสภาพแวดล้อมที่ผิดปกติใด ๆ จะกระตุ้นวงจรป้องกันทางกายภาพทันที ล้างข้อมูลและทำลายคีย์ทั้งหมดที่เก็บอยู่ในชิปโดยอัตโนมัติ เพื่อขจัดการขโมยคีย์ในระดับกายภาพทุกรูปแบบ
- สถาปัตยกรรมลายเซ็นหลายชั้น (Multi-Signature): ใช้สถาปัตยกรรมการกำกับแบบหลายลายเซ็น คีย์ส่วนตัวเพียงใบเดียวไม่สามารถโอนเงินในคลังเย็นได้ตามลำพัง ตัดการตัดสินใจจากจุดเดียวออกไป ลดความเสี่ยงจากจุดล้มเหลวเดียวและการกระทำที่ไม่ชอบภายในองค์กรลงอย่างมาก
- การสร้างคีย์ส่วนตัวแบบสุ่ม: คีย์ส่วนตัวของแต่ละที่อยู่ถูกสร้างขึ้นอย่างอิสระโดยตัวสร้างเลขสุ่มเที่ยงแท้จากฮาร์ดแวร์ (TRNG) ในชิป HSM ซึ่งเป็นไปตามมาตรฐาน FIPS 140-2/3 และ NIST SP 800-90 และไม่ใช้สถาปัตยกรรมการสร้างจาก Seed หลัก (เช่น BIP32/44 HD Wallet) คีย์แต่ละใบไม่มีความสัมพันธ์ทางคณิตศาสตร์ระหว่างกัน ตัดความเสี่ยงแบบ "จุดเดียวพัง ทั้งหมดล่ม" และกำจัดจุดล้มเหลวเดียวจากราก
บทสรุป
ดังที่ Bruce Schneier ผู้เชี่ยวชาญด้านการเข้ารหัสชื่อดังกล่าวไว้ "ความปลอดภัยคือกระบวนการ ไม่ใช่ผลิตภัณฑ์" สำหรับการดูแลรักษาสินทรัพย์ดิจิทัล กระเป๋าใบเดียวหรือเทคโนโลยีเดียวไม่สามารถครอบจักรวาลได้ การป้องกันเชิงลึก ลายเซ็นหลายชั้น และการกระจายความเสี่ยงต่างหากคือจุดจบที่แท้จริงของความปลอดภัย
จากเหตุการณ์โจมตีแบบ Blind Signing (เช่น เหตุการณ์ Bybit มูลค่า 1.5 พันล้านดอลลาร์) ไปจนถึงเหตุการณ์การยุบตัวของเอนโทรปี Coldcard ข้อเท็จจริงได้พิสูจน์ซ้ำแล้วซ้ำเล่า: เมื่อกลยุทธ์ของผู้โจมตีวิวัฒนาการไปสู่การถึกพลังคำนวณแบบออฟไลน์ การวางยาพิษในซัพพลายเชน และวิศวกรรมสังคมระดับสูง การพึ่งพากระเป๋าเย็นระดับผู้บริโภคเพื่อจัดการสินทรัพย์มูลค่าสูงนั้นไม่สามารถรับมือกับความท้าทายด้านความปลอดภัยในปัจจุบันได้อีกต่อไป
การจัดการสินทรัพย์ดิจิทัลกำลังเร่งเข้าสู่ยุคของสถาบันอย่างรวดเร็ว Cactus Custody จะยังคงใช้ฮาร์ดแวร์ HSM ทางกายภาพเป็นฐาน ผนวกกับกรอบทรัสต์ที่ปฏิบัติตามกฎหมาย และระบบตรวจสอบคู่ SOC/ISO เพื่อมอบเกราะป้องกันสินทรัพย์ระดับสูงสุดที่ไม่มีใครสั่นคลอนให้แก่สถาบัน Web3 กองทุน และลูกค้าที่มีความมั่งคั่งสูงทั่วโลก
เอกสารอ้างอิง:
【1】Block: https://engineering.block.xyz/blog/predictable-rng-fallback-and-32-bit-reseed-in-coldcard-firmware
【2】1inch: https://1inch.com/blog/post/a-vulnerability-disclosed-in-profanity-an-ethereum-vanity-address-tool
【3】Arkham: https://info.arkm.com/research/us-government-btc-seizure-lubian-chen-zhi-pig-butchering
