Not your keys, not your coins.
แต่เมื่อผู้ถือกุญแจเองยังตกเป็นเหยื่อ ความเชื่อนี้กำลังถูกท้าทาย
ส่งท้ายเดือนกรกฎาคม กับเหตุการณ์สะเทือนขวัญวงการบิตคอยน์เนอร์ทั่วโลก เมื่อการจัดเก็บเหรียญด้วยวิธีที่เชื่อกันว่า “ปลอดภัยที่สุด” กลับถูกล้วงตับ สร้างความเสียหายและสั่นสะเทือนขวัญให้กับผู้คนในวงการบิตคอยน์และคริปโทฯ นับได้ว่าเป็นอีกหนึ่งเหตุการณ์ใหญ่ที่จะต้องจารึกไว้ในประวัติศาสตร์
เพราะหากเป็นเพียง “วิกฤตราคา” ไม่ว่าจะตกต่ำเพียงใด นักลงทุนจำนวนมากโดยเฉพาะผู้ที่เชื่อมั่นในบิตคอยน์ยังพออดทนและผ่านพ้นไปได้ในแต่ละวัฏจักร ในขณะที่การเผชิญกับวิกฤตลักษณะนี้ กลับทำให้หลายคนกังวลจนแทบนอนไม่หลับ
ที่น่าตกใจก็คือ ไม่ใช่เพราะพวกเขาสะเพร่าในการจัดเก็บเหรียญแต่อย่างใด ตรงกันข้าม หลายคนเชื่อมั่นว่าตนเองได้เลือกวิธีจัดเก็บสินทรัพย์ดิจิทัลที่ปลอดภัยที่สุดแล้ว นั่นคือการใช้ฮาร์ดแวร์วอลเล็ตเก็บกุญแจส่วนตัว หรือ Private Key ไว้ภายในอุปกรณ์ โดยไม่เปิดเผยกุญแจออกสู่อินเทอร์เน็ต ซึ่งเป็นรูปแบบหนึ่งของ Self-custody
วิธีนี้แตกต่างจากการซื้อและฝากสินทรัพย์ดิจิทัลไว้กับกระดานเทรด เพราะในกรณีดังกล่าว กระดานเทรดจะเป็นผู้ถือและดูแล Private Key แทน ผู้ใช้งานมีเพียงบัญชี รหัสผ่าน และช่องทางยืนยันตัวตนสำหรับเข้าถึงแอปพลิเคชัน แต่ไม่ได้ถือ Private Key ของสินทรัพย์นั้นด้วยตัวเอง
โดยฮาร์ดแวร์วอลเล็ต ที่กลายเป็นศูนย์กลางของความกังวลในวงการบิตคอยน์ครั้งนี้ คือแบรนด์ “COLDCARD” ซึ่งผลิตโดยบริษัท Coinkite และได้รับการยอมรับในหมู่บิตคอยเนอร์จำนวนไม่น้อยว่า เป็นหนึ่งในฮาร์ดแวร์วอลเล็ตที่มีความปลอดภัยสูงที่สุดในตลาด
‘DECODED’ ในตอนนี้จะพาชาวคริปโทฯ ไปย้อนดูไทม์ไลน์ของเหตุการณ์ช่องโหว่ ‘COLDCARD’
ใครจะไปคาดคิดว่าความเสียหายที่เป็นข่าวในวันนี้ มีต้นตอมาจากเมื่อ 5 ปีก่อน โดยเมื่อวันที่ 1 มีนาคม 2021 บริษัท Coinkite ได้อัปเดตโค้ดระบบเพื่อนำไลบรารีใหม่มาใช้งาน แต่ทว่าในการปรับปรุงครั้งนั้นกลับมีข้อผิดพลาดทางเทคนิคหรือบั๊กซ่อนอยู่โดยไม่มีใครทันสังเกต
ส่งผลให้เฟิร์มแวร์เวอร์ชัน 4.0.0 และ 4.0.1 ที่ปล่อยใช้งานช่วงปลายมีนาคม 2021 แทนที่ระบบจะใช้ “ชิปสุ่มฮาร์ดแวร์จริง” ของตัวเครื่องแต่กลับไปใช้ “ระบบสุ่มจำลองทางซอฟต์แวร์” แทน ซึ่งเจ้าระบบสุ่มจำลองนี้สร้าง Seed Phrase (ชุดคำกู้คืน 12 หรือ 24 คำ) ที่ “เดาได้ง่าย” และอ่อนเกินกว่ามาตรฐานที่ควรจะเป็น แต่ทว่า..ตลอด 5 ปีทีผ่านมากลับไม่มีใครรู้ถึงความเสี่ยงในจุดนี้
พูดง่ายๆ ก็คือ โจรสามารถสุ่มหา Seed Phrase ได้อย่างง่าย เพราะด้วยการอัปเดตโค้ดในครั้งนั้นมีบั๊ก จากเดิมจำนวน Seed ที่เป็นไปได้จะมีมหาศาลจนแทบไม่สามารถคำนวณได้ กลายเป็นว่าลดลงเหลือเพียงประมาณ 4.29 พันล้านรูปแบบ แม้จะดูเหมือนเยอะมากสำหรับมนุษย์ แต่สำหรับระบบคอมพิวเตอร์ถือว่าน้อยมาก โจรจึงสามารถสุ่มคำนวณรหัสจากภายนอก แล้วนำไปเช็คกับข้อมูลบนบล็อกเชนเมื่อพบว่าตรงกับกระเป๋าใบไหนก็โอนเงินออกได้ทันที
นั่นหมายความว่า จากเหตุการณ์นี้ ต่อให้อุปกรณ์ของผู้เสียหายจะปิดเครื่องเก็บอยู่ในตู้เซฟบนอีกทวีปหนึ่ง ก็ไม่รอดจากช่องโหว่นี้!
**ไทม์ไลน์
เหตุการณ์เริ่มขึ้นเมื่อวันที่ 29 กรกฎาคม 2026 มีสิ่งผิดสังเกตพบรายการโอนย้ายบิตคอยน์โดยไม่ได้รับอนุญาตออกจากกระเป๋าเงิน Coldcard ที่สร้างด้วยเฟิร์มแวร์ที่มีปัญหา
ต่อมาวันที่ 30 กรกฎาคม 2026 ในช่วงเช้าตรู่ เกิดเหตุการณ์กวาดโอนย้ายบิตคอยน์ระลอกใหญ่จากกระเป๋าเงินหลายร้อยแห่งในระยะเวลาอันสั้น ผู้โจมตีใช้เวลาเพียง 41 นาที ในการกวาดล้างบิตคอยน์ออกจากกระเป๋าเงินเป้าหมายถึง 1,196 แห่ง
นอกจากนี้ เริ่มมีผู้ใช้งานบน Reddit ได้โพสต์กระทู้ตื่นตระหนกแจ้งเตือนในคอมมูนิตี้หลังพบว่ากระเป๋าเงินที่อยู่นิ่งมานานโดนสูบเงินทั้งหมด ขณะที่ทีมวิจัยความปลอดภัยของ Block และนักวิจัยอิสระ ร่วมกันสืบสวนบนบล็อกเชนและตรวจพบช่องโหว่รุนแรงในระบบสร้างตัวเลขสุ่ม (RNG) ของ Coldcard
ในที่สุด Coinkite ก็ออกประกาศเตือนเป็นครั้งแรก โดยเผยแพร่ Security Advisory ยอมรับปัญหาการสร้าง Seed บน Coldcard Mk3 เวอร์ชัน 4.0.1 ขึ้นไป
วันที่ 31 กรกฎาคม 2026 บริษัท Coinkite ปล่อยเฟิร์มแวร์แก้ไขฉุกเฉิน โดยออกเฟิร์มแวร์เวอร์ชันแก้ไขสำหรับอุปกรณ์ทุกรุ่น ได้แก่ v4.2.0 (สำหรับ Mk2/Mk3), v5.6.0 (สำหรับ Mk4/Mk5) และ v1.5.0Q (สำหรับ Q) จากนั้นได้ขยายคำเตือนไปยังรุ่นใหม่อีก Coinkite อัปเดตข้อมูลว่า อุปกรณ์รุ่นใหม่อย่าง Mk4, Mk5 และ Q ก็ได้รับผลกระทบเช่นกัน
วันที่ 1 สิงหาคม 2026 บริษัท Coinkite อัปเดตประกาศเตือนให้ผู้ใช้งานเร่งสร้าง Seed ชุดใหม่และย้ายสินทรัพย์ทันที ในขณะที่ยอดรายงานความเสียหายจากผู้เสียหายบนสื่อสังคมออนไลน์ยังคงเพิ่มขึ้นอย่างต่อเนื่อง
**สรุปยอดและลักษณะความเสียหาย
ความเสียหายในรายงานระลอกแรก พบว่ามีการโอนย้ายประมาณ 594 BTC มูลค่าราว 38 ล้านดอลลาร์ จากกระเป๋าเงินประมาณ 500 แห่งไปยังที่อยู่ของผู้โจมตีภายในเวลาไม่กี่นาที
ต่อมา “Galaxy Research” รายงานว่า ผู้โจมตีกวาดล้างที่อยู่เป้าหมายรวม 1,196 แห่ง ได้สำเร็จภายใน 41 นาที คิดเป็นจำนวน 1,082.65 BTC มูลค่าประมาณ 70.2 ล้านดอลลาร์ ณ ขณะนั้น
ยอดความเสียหายสะสมรวมล่าสุด ณ ขณะรายงาน ยอดรวมการโจรกรรมพุ่งสูงขึ้นเกิน 1,300 BTC มูลค่ารวมกว่า 85 ล้านดอลลาร์ และยังไม่มีใครทราบได้ว่าจะจบลงที่เท่าใด สามารถติดตามข้อมูลได้ที่นี่ https://coldcard-watch.vercel.app/
สินทรัพย์ส่วนใหญ่ถูกดูดออกจากกระเป๋าเงินประเภท Single-Signature ที่ไม่ได้ตั้ง Passphrase เสริม และเป็นกระเป๋าเงินที่ถูกสร้างทิ้งไว้ตั้งแต่ปี 2021 โดยมียอดเงินเฉลี่ยอยู่ที่ประมาณ 0.15 ถึง 0.26 BTC ต่อกระเป๋า
**สะเทือนขวัญวงการบิตคอยน์
หลังเกิดเหตุการณ์ดังกล่าว เรียกได้ว่าสะเทือนขวัญวงการบิตคอยน์ในไทยมากพอสมควร ถึงขนาดที่ อ.ตั๊ม พิริยะ สัมพันธารักษ์ ผู้เชี่ยวชาญด้านบิตคอยน์และเป็นหนึ่งในบิตคอยเนอร์ยุคบุกเบิกในไทยต้องรีบออกมา Live เฉพาะกิจค่ำวานนี้ (1 สิงหาคม)เพราะมองว่าเป็นเรื่องสำคัญเร่งด่วน ที่จะต้องออกมาเตือนถึงความเสี่ยงแก่ชุมชนบิตคอยน์ชาวไทย
ทั้งนี้ อ.ตั๊ม พิริยะ คือหนึ่งในผู้ใช้งาน ไม่ใช่ผู้เสียหายจากเหตุการณ์และไม่ได้มีความเกี่ยวข้องกับบริษัทผู้ผลิตแต่อย่างใด แต่ก็ได้ออกมายืดอกยอมรับความผิดพลาดของตนเอง ที่ในอดีตได้เคยแนะนำฮาร์ดแวร์วอลเล็ตยี่ห้อดังกล่าว โดยได้โพสต์กล่าวขอโทษบนเฟซบุ๊กส่วนตัว หากมีผู้ใช้แบรนด์นี้ตามคำแนะนำของตนเองและเกิดความเสียหาย
ขณะที่ คลิป Live เฉพาะกิจความยาว 10 นาทีนั้น อ.ตั๊ม อธิบายว่า ผู้โจมตีไม่ได้แฮ็ก อุปกรณ์ COLDCARD โดยตรงแต่ใช้ช่องโหว่ในกระบวนการสร้าง Seed ซึ่งมีความสุ่มต่ำ จนสามารถคำนวณหากุญแจที่เป็นไปได้ง่ายกว่าปกติ และเมื่อสุ่มเจอกุญแจก็โอน Bitcoin ออกจาก Address ที่ได้รับผลกระทบ พร้อมกับแนะนำ ผู้ที่ใช้ COLDCARD และสร้าง Seed จากตัวอุปกรณ์เอง ควรถือว่ามีความเสี่ยงให้โอนออก แม้ขณะนี้สินทรัพย์จะยังไม่สูญหายก็ตาม
พร้อมกับแนะนำว่า ในห้วงเวลานี้หากยังไม่มีวอลเล็ตใหม่หรือยี่ห้ออื่น การโอนกลับไปใน Exchange ที่ได้รับคำรับรองโดย ก.ล.ต.ในเวลานี้ ก็ไม่ใช่ไอเดียที่แย่เลย แม้จะเป็นคำพูดที่เจ็บปวดมาก (เพราะบิตคอยเนอร์จะเชื่อมั่นในเรื่องจัดเก็บเหรียญเอง มากกว่าการฝากไว้กับตัวกลาง) และในอนาคตเมื่อได้ฮาร์ดแวร์วอลเล็ตที่ปลอดภัยก็ค่อยโอนกลับมาเก็บเอง โดย อ.ตั๊มยืนยันว่าส่วนตัวยังคงเชื่อมั่นใน Self-custody
อย่างไรก็ตาม สำหรับผู้ที่ใช้ COLDCARD แต่ไม่ได้ให้ตัวอุปกรณ์สร้าง Seed เช่น สร้าง Seed เองจากการทอยลูกเต๋า โยนเหรียญ หรือใช้แหล่ง Entropy อื่นด้วย อ.ตั๊มมองว่าไม่ได้อยู่ในกลุ่มความเสี่ยงที่เกิดขึ้นครั้งนี้
อีกประเด็นที่น่าสนใจคือ อ.ตั๊ม ชวนคิดถึงบทบาทของ AI ที่สามารถค้นหาช่องโหว่ในซอฟต์แวร์ได้ไวกว่ามนุษย์ แม้ยังไม่มีข้อยืนยันว่า AI เป็นผู้ค้นพบช่องโหว่ของ COLDCARD โดยตรง แต่เหตุการณ์นี้สะท้อนว่าในยุคที่เครื่องมือวิเคราะห์มีประสิทธิภาพสูงขึ้น ไม่มีระบบใดควรถูกมองว่าปลอดภัยโดยไม่ต้องผ่านการตรวจสอบอย่างต่อเนื่อง
พร้อมย้ำว่า สำหรับผู้ที่ไม่ได้ใช้ Coldcard ก็ไม่จำเป็นต้องรีบตื่นตระหนกหรือย้ายเงินตามกระแส เพราะในช่วงที่สถานการณ์กำลังชุลมุน มิจฉาชีพมักฉวยโอกาสเข้ามาหลอกลวง จึงควรอยู่นิ่ง ๆ และตรวจสอบข้อมูลให้รอบคอบก่อนดำเนินการใด ๆ
ส่วนประเด็นที่ว่า บริษัทผู้ผลิตเครื่องดังกล่าวควรต้องรับผิดชอบต่อเหตุการณ์นี้หรือไม่ อ.ตั๊ม ตอบในคอมเมนต์ใต้โพสต์สั้นๆ กับผู้ติดตามว่า อย่างน้อยบริษัทอาจต้องเผชิญกับ คดีฟ้องร้องแบบกลุ่ม (Class Action Lawsuit) พร้อมกับยอมรับว่าเหตุการณ์ครั้งนี้ถือว่า “หนัก” เพราะเป็นการสั่นคลอนความเชื่อมั่นของผู้ใช้งานอย่างรุนแรง และมองว่าเป็นความผิดพลาดครั้งใหญ่ที่สุดเท่าที่เคยเกิดขึ้น
**บทสรุป
เหตุการณ์ COLDCARD ไม่ได้หมายความว่าแนวคิด “Not your keys, not your coins” หมดความหมาย เพราะแก่นสำคัญของหลักการนี้ยังเหมือนเดิม คือหากเราไม่ได้ถือ Private Key เอง เราก็ไม่ได้มีอำนาจควบคุมสินทรัพย์อย่างแท้จริง
แต่กรณีที่เกิดขึ้นทำให้เราเห็น “ความเสี่ยงใหม่” เพิ่มขึ้น จากเดิมที่เราอาจเคยเชื่อว่า ซื้อฮาร์ดแวร์วอลเล็ตมาเก็บเองก็ปลอดภัยแล้ว ยี่ห้อนี้ บริษัทนี้โอเคแล้ว แต่วันนี้เราได้เรียนรู้เพิ่มขึ้นอีกว่า ก่อนที่เราจะได้ Private Key มาใช้งาน จะต้องผ่านกระบวนการสร้าง Seed เสียก่อน และคำถามสำคัญคือ กระบวนการสร้าง Seed นั้นปลอดภัยจริงหรือไม่
หากไม่ใช่ Maximalist จริง ๆ ก็คงไม่ถึงขั้นไปทอยลูกเต๋าเพื่อสร้าง Seed เอง แต่ทางเลือกหนึ่งที่พอเป็นไปได้สำหรับคนทั่วไป อาจเป็นการกระจายความเสี่ยง โดยไม่เก็บเหรียญทั้งหมดไว้ในแหล่งเดียวไม่ว่าจะเป็นการเก็บแบบ Self-custody หรือการเก็บไว้ที่ตัวกลางก็ตาม.
References : bitcoinops.org Engineering.block efin.finance/th coldcard.com Blog.coinkite reddit.com youtube.com
