จากกรณีฮาร์ดแวร์วอลเล็ต COLDCARD ซึ่งพบช่องโหว่ในกระบวนการสร้างตัวเลขสุ่มสำหรับ Seed Phrase โดยปัญหาดังกล่าวเชื่อมโยงกับเฟิร์มแวร์ที่เริ่มเผยแพร่ตั้งแต่ปี 2021 และเพิ่งถูกตรวจพบหลังเกิดความเสียหายกับผู้ใช้งานในช่วงไม่กี่วันที่ผ่านมานี้ ได้สร้างความตื่นตระหนกให้กับชุมชนคริปโทเคอร์เรนซีทั่วโลก โดยเฉพาะผู้ที่เก็บออมบิตคอยน์ในระยะยาว
ข่าวที่เกี่ยวข้อง : เหตุโจมตี Coldcard ลามกว่า 4,500 Address ความเสียหายพุ่งเกือบ 89 ล้านดอลลาร์
สำนักข่าว efinanceThai สัมภาษณ์พิเศษ “ปรมินทร์ อินโสม” ผู้ก่อตั้ง Satang Pro ซึ่งปัจจุบันเปลี่ยนชื่อเป็น orbix Trade หลังกลุ่มกสิกรไทยเข้าซื้อกิจการ เพื่อถอดมุมมองของผู้บุกเบิกวงการคริปโทฯ ในไทยและผู้เชี่ยวชาญด้านไซเบอร์ซีเคียวริตี้ ตั้งแต่กระบวนการพัฒนาซอฟต์แวร์ ความเสี่ยงของ Self-custody ไปจนถึงแนวทางบริหารความปลอดภัยของสินทรัพย์ดิจิทัล
“บั๊ก” หรือความผิดพลาดในกระบวนการพัฒนา?
เมื่อถามถึงความเป็นไปได้ที่ช่องโหว่ระดับนี้จะคงอยู่เป็นเวลานานถึง 5 ปีโดยไม่มีการตรวจพบ “ปรมินทร์” ตั้งข้อสังเกตว่า เหตุการณ์ดังกล่าวอาจไม่ได้เกิดจากความผิดพลาดของโค้ดเพียงจุดเดียว แต่อาจเชื่อมโยงกับกระบวนการพัฒนาซอฟต์แวร์โดยรวม ตั้งแต่การเปลี่ยนทีมพัฒนา การเลือกใช้ไลบรารีหรือระบบสุ่มตัวเลขที่ทดสอบบนซอฟต์แวร์ได้สะดวกกว่า ไปจนถึงข้อบกพร่องในขั้นตอนตรวจสอบโค้ดและความเปลี่ยนแปลงภายในระบบ
สำหรับสาเหตุของช่องโหว่นี้ที่บริษัทระบุว่าเป็น “บั๊ก” ปรมินทร์มองว่า คำอธิบายดังกล่าวอาจยังไม่เพียงพอต่อการตอบคำถามว่า เหตุใดการเปลี่ยนแปลงในกระบวนการสร้างตัวเลขสุ่มจึงไม่ถูกตรวจพบเป็นเวลานาน และเหตุใดระบบตรวจสอบภายในจึงไม่สามารถตรวจพบความผิดปกติดังกล่าวได้ตั้งแต่ต้น
Class Action อาจเกิดขึ้นได้ แต่การเรียกค่าเสียหายจริงไม่ง่าย
สำหรับประเด็นการฟ้องร้องแบบกลุ่ม หรือ Class Action สำหรับกลุ่มผู้เสียหายนั้น “ปรมินทร์” มองว่า หากเหตุการณ์ลักษณะนี้เกิดขึ้นภายใต้เขตอำนาจศาลอย่างสหรัฐฯ ก็มีความเป็นไปได้สูงที่จะนำไปสู่การรวมตัวฟ้องร้องของผู้เสียหาย
อย่างไรก็ตาม การดำเนินคดีจริงอาจมีความซับซ้อนมากกว่าที่เห็น โดยเฉพาะกรณีที่บริษัทผู้ขายสินค้า บริษัทผู้พัฒนาซอฟต์แวร์ และผู้ว่าจ้างทีมงานอยู่คนละนิติบุคคลหรือจดทะเบียนในคนละประเทศกัน ซึ่งผู้เสียหายจำเป็นต้องตรวจสอบทั้งเขตอำนาจศาล กฎหมายที่ใช้บังคับและเงื่อนไขว่าประเทศนั้นรองรับการฟ้องร้องแบบกลุ่มหรือไม่
นอกจากนี้ แม้ผู้เสียหายจะชนะคดี ความสามารถในการได้รับชดเชยจริงยังขึ้นอยู่กับทรัพย์สินของนิติบุคคล ขอบเขตความรับผิดตามกฎหมาย และโครงสร้างของบริษัทที่เกี่ยวข้อง ไม่ได้หมายความว่าจะได้รับคืนเต็มจำนวนตามความเสียหายที่เกิดขึ้นเสมอไป
คำแนะนำเร่งด่วนสำหรับผู้ที่อยู่ในกลุ่มเสี่ยง “ย้ายสินทรัพย์ออก”
สำหรับผู้ที่สร้าง Seed ผ่านอุปกรณ์หรือเฟิร์มแวร์ซึ่งอยู่ในกลุ่มเสี่ยง เขาแนะนำให้ย้ายสินทรัพย์ไปยัง Seed ชุดใหม่ที่สร้างจากระบบที่ไม่ได้รับผลกระทบ โดยไม่ควรรอเพียงการอัปเดตเฟิร์มแวร์ของอุปกรณ์เดิม
“คนใช้ ฮาร์ดแวร์วอลเล็ต ตัวนี้ อย่างแรกเลยครับ ย้ายออกแค่นั้นครับ ไปรอให้บริษัทแก้ แก้ไม่ได้อยู่แล้ว เพราะจุดเริ่มต้นมันมีช่องโหว่ ยังไงต้องย้ายหนีไปใช้อันอื่นที่ไม่ได้ใช้ซอฟต์แวร์ตัวนี้”
เหตุผลทางเทคนิคคือ ช่องโหว่นี้เกิดขึ้นที่ “จุดกำเนิดการสร้าง Seed” การอัปเดตเฟิร์มแวร์ช่วยแก้กระบวนการสร้าง Seed ใหม่ในอนาคต แต่ไม่สามารถทำให้ Seed เดิมที่สร้างจากระบบสุ่มซึ่งมีปัญหากลับมาปลอดภัยได้ ผู้ใช้งานในกลุ่มเสี่ยงจึงต้องสร้าง Seed ชุดใหม่และย้ายสินทรัพย์ออกจาก Address ที่ผูกกับ Seed เดิม
ความเสี่ยงจากระบบสุ่ม ไม่ใช่เรื่องใหม่ในโลกไซเบอร์
แม้ช่องโหว่ของระบบสุ่มตัวเลขในกรณี Coldcard จะสร้างความตกใจ แต่สำหรับในวงการ Cyber Security นี่ไม่ใช่ความเสี่ยงรูปแบบใหม่ แต่เป็นเคสคลาสสิก ที่มีมานานกว่า 20 ปีแล้ว เช่น กรณี Dual_EC_DRBG ในปี 2004 ที่หน่วยข่าวกรองสหรัฐ (NSA) แอบฝังช่องโหว่ไว้ในโค้ดสุ่มตัวเลข เพื่อให้สามารถแอบเจาะเข้าระบบทั่วโลกได้ ดังนั้น ช่องโหว่จากการสุ่มตัวเลขในครั้งนี้จึงไม่ใช่เทคนิคแปลกใหม่ แต่เป็นการซ้ำรอบรูปแบบความเสี่ยงเดิม
ความจริงที่โหดร้าย “โลกนี้ไม่มีอะไรปลอดภัย 100%”
เมื่อความเชื่อมั่นในอุปกรณ์ฮาร์ดแวร์ลดลง บางคนพยายามหันไปใช้วิธีสุ่ม Seed ทางกายภาพ เช่น “การทอยลูกเต๋า” ด้วยตัวเอง แต่เขามองว่าวิธีนี้ก็มีความเสี่ยงเช่นกัน ไม่ว่าจะเป็นกล้องวงจรปิด กล้องอินฟราเรด หรือแม้แต่ลูกเต๋าที่ซื้อมาอาจจะไม่ได้มาตรฐาน น้ำหนักไม่เท่ากัน ทำให้โอกาสออกแต่ละหน้าไม่เท่ากัน 100% และเอียงไปทางตัวเลขใดตัวเลขหนึ่งได้
กรณีนี้ทำให้คนเข้าใจความจริงมากขึ้นว่า ฮาร์ดแวร์วอลเล็ตไม่ได้เท่ากับปลอดภัย 100% เสมอไป คอนเซปต์ของวงการคริปโทฯ และโลกดิจิทัลคือ “แฮ็กได้แน่นอน มีแค่จะแฮ็กช้าหรือเร็วเท่านั้น” แนวคิดนี้มีมาตั้งแต่สมัยสงครามโลกครั้งที่ 2 แล้ว
ดังนั้น ผู้ใช้งานไม่ควรยึดติดกับ Seed หรือระบบเดิมโดยไม่ทบทวนความเสี่ยงเป็นเวลานาน โดยเฉพาะเมื่อมีข้อมูลว่ากระบวนการสร้างกุญแจอาจมีช่องโหว่ เขาย้ำเตือนให้ผู้ใช้งานไม่ประเมินระบบใดว่าปลอดภัยอย่างสมบูรณ์ โดยมองว่า
“เราต้องทำใจเลยครับว่า มันไม่มีอะไรปลอดภัย 100% หน้าที่ของเราคือต้องบริหารความเสี่ยงตรงนี้ให้ได้…คริปโทฯ ในโลกปัจจุบัน มันไม่มีคอนเซปต์ที่ว่าไม่มีใครแฮ็กได้ แฮ็กได้แน่นอน แต่จะช้าหรือจะเร็วแค่นั้น”
ภาพลวงตาของการกระจายความเสี่ยง และวิธีจัดการสินทรัพย์ที่ถูกต้อง
ในช่วงท้าย “ปรมินทร์” ได้ให้คำแนะนำเกี่ยวกับการบริหารสินทรัพย์ดิจิทัลว่า การกระจายความเสี่ยงเป็นเรื่องสำคัญ แต่ต้องทำอย่างเข้าใจ อย่างการฝากเงินไว้กับเว็บเทรด เขาชวนคิดว่าแม้เราจะกระจายสินทรัพย์ไว้กับ Exchange หลายแห่งแต่อาจไม่ได้หมายถึงการกระจายความเสี่ยงอย่างแท้จริงก็ได้ หากแพลตฟอร์มเหล่านั้นใช้ ผู้รับฝากสินทรัพย์รายเดียวกัน หรือกระจุกตัวอยู่กับผู้ให้บริการเพียงไม่กี่ราย เพราะปัญหาที่เกิดกับ Custodian รายหนึ่งอาจส่งผลกระทบต่อหลายแพลตฟอร์มพร้อมกันได้
สำหรับการเก็บสินทรัพย์ด้วยตัวเอง (Self-custody) เขาแนะนำให้พิจารณากระจายสินทรัพย์ระหว่างอุปกรณ์มากกว่าหนึ่งรูปแบบ และเลือกผลิตภัณฑ์ที่เปิดเผยซอร์สโค้ดของเฟิร์มแวร์และส่วนประกอบสำคัญให้ตรวจสอบได้ รวมถึงพิจารณาว่ากระบวนการสร้าง Seed อาศัยแหล่ง Entropy จากฮาร์ดแวร์หรือซอฟต์แวร์อย่างไร
กระตุ้นให้เกิดการศึกษาเชิงลึกด้วยตัวเอง
แทนที่จะเป็นข่าวร้ายเพียงอย่างเดียว เขามองว่า เหตุการณ์นี้เป็น “บทเรียนราคาแพง” ของวงการ ซึ่งอาจทำให้ผู้ถือสินทรัพย์ตื่นตัว และไม่พึ่งพาเพียงคำกล่าวอ้างด้านความปลอดภัยจากผู้ผลิต เชื่อว่าจากนี้ คนในวงการคริปโทฯ อาจไม่หยุดอยู่เพียงคำเคลมทางการตลาดแต่จะเริ่มศึกษาลึกลงไปว่า เฟิร์มแวร์และส่วนประกอบสำคัญของอุปกรณ์เปิดเผยซอร์สโค้ดให้ตรวจสอบได้หรือไม่ กระบวนการสร้าง Seed ใช้แหล่งความสุ่มจากฮาร์ดแวร์หรือซอฟต์แวร์และมีขั้นตอนตรวจสอบความปลอดภัยอย่างไร
ซึ่งจากมุมมองนี้ ผู้ใช้งานอาจต้องศึกษาให้มากขึ้น คำถามคือ เทคโนโลยีควรจะใช้งานง่ายสำหรับทุกคนไม่ใช่หรือ? เขาได้เปรียบเทียบกับพัฒนาการของแอปพลิเคชันอย่าง LINE ในอดีตพร้อมชี้ให้เห็นว่าการสร้างความปลอดภัยที่ยั่งยืน ต้องมาจากทั้งสองฝั่งร่วมกัน โดยฝั่งผู้พัฒนาและผู้ผลิตอุปกรณ์มีหน้าที่พัฒนาเทคโนโลยี ระบบ และหน้าตาโปรแกรมให้ ใช้งานง่ายและปลอดภัยยิ่งขึ้น ลดความยุ่งยากซับซ้อนของผู้ใช้งาน เหมือน LINE ที่พัฒนาจากการใช้ Username/Password มาเป็น Scan QR Code
ในขณะเดียวกันฝั่งผู้ใช้งาน จะอยู่นิ่งๆ โดยไม่เรียนรู้เลยไม่ได้ ต้องทำความเข้าใจความรู้พื้นฐานและรูปแบบความเสี่ยงของโลกดิจิทัลเพิ่มขึ้นอีกระดับหนึ่งด้วย เช่น ต้องรู้จักเลือกใช้อุปกรณ์ กระจายความเสี่ยง และดูแลสินทรัพย์ของตัวเองอย่างระมัดระวัง ไม่ผลักภาระไปให้ผู้ผลิตฝ่ายเดียว
“มันต้องมาด้วยกันทั้ง 2 ฝั่งครับ ฝั่งคริปโทฯ คนที่เขียนโปรแกรมต้องทำให้มันง่ายขึ้น แต่ในขณะเดียวกันคนที่ใช้งานก็ต้องเข้าใจพื้นฐานมันมากขึ้นด้วย เพื่อมาเจอกัน… มันจะไม่ใช่เหมือนกับว่า ฝ่ายหนึ่งอยู่กับที่ แล้วอีกฝ่ายหนึ่งต้องทำให้ทั้งหมด” ปรมินทร์ กล่าว
บทเรียนจากเหตุการณ์นี้สะท้อนว่า การใช้ฮาร์ดแวร์วอลเล็ตไม่ได้เท่ากับความปลอดภัย 100% หรือการฝากไว้ที่กระดานเทรดหลายแห่งแต่หากกระดานเทรดฝากสินทรัพย์ไว้กับคัสโตเดียนไม่กี่เจ้าอาจมองได้ว่าความเสี่ยงก็ยังคงกระจุก แต่ก็ไม่ได้หมายความว่าให้ถอดใจไปจากโลกสินทรัพย์ดิจิทัลเพียงแต่เราจะต้องเข้าใจว่าอะไรที่อยู่บนโลกดิจิทัลมันมีความเสี่ยงมากกว่าโลกกายภาพ และจากนี้ไป เชื่อว่าผู้ใช้งานจำเป็นต้องศึกษากระบวนการทำงานของอุปกรณ์ การกระจายความเสี่ยง และปรับตัวให้ทันกับรูปแบบการโจมตีในโลกดิจิทัลที่เปลี่ยนแปลงอยู่ตลอดเวลา
