วงการบิตคอยน์เผชิญแรงสั่นสะเทือน หลังมีการเปิดเผยช่องโหว่ด้านความปลอดภัยใน Hardware Wallet ยี่ห้อ Coldcard ซึ่งอาจส่งผลต่อการสร้าง Seed Phrase หรือกุญแจสำคัญในการเข้าถึงสินทรัพย์ดิจิทัล ทำให้ผู้ใช้งานบางรุ่นมีความเสี่ยงต่อการถูกคาดเดากุญแจและสูญเสียสินทรัพย์ได้ ส่งผลให้ 'พิริยะ สัมพันธารักษ์ หรืออาจารย์ตั๊ม' ประธานเจ้าหน้าที่บริหารและผู้ก่อตั้ง บริษัท ไรท์ชิฟท์ จำกัด ที่เคยแนะนำอุปกรณ์ดังกล่าวต้องออกมาขอโทษผู้ใช้งาน พร้อมเรียกร้องให้เร่งโอนย้ายสินทรัพย์ไปยังกระเป๋าใหม่โดยเร็ว เพื่อลดความเสี่ยงที่อาจเกิดขึ้น
นายพิริยะ สัมพันธารักษ์ หรืออาจารย์ตั๊ม ประธานเจ้าหน้าที่บริหารและผู้ก่อตั้ง บริษัท ไรท์ชิฟท์ จำกัด ซึ่งเป็นผู้เชี่ยวชาญด้านบิทคอยน์ชื่อดัง ได้ออกมาโพสเฟสบุคส่วนตัวชื่อ 'Piriya Sambandaraksa' ว่า หากท่านใดเลือกใช้ Coldcard จากคำแนะนำของผมในอดีต ในวันนี้ผมไม่สามารถแก้ไขความผิดพลาดที่เกิดขึ้นได้ นอกเหนือไปจากการกล่าวคำขอโทษอย่างที่สุดครับ
จริงอยู่ว่าที่ผ่านมาผมมักจะพูดเสมอว่าไม่แนะนำ Coldcard สำหรับคนทั่วไป เนื่องจากราคาสูง พังง่าย และใช้งานยาก แต่ตัวผมเองก็ตกหลุมพรางความเชื่อที่ว่ามันเป็นอุปกรณ์ที่มีระดับความปลอดภัยสูงสุด โดยไม่ได้ทำการศึกษาเชิงลึกเพื่อพิสูจน์ความเชื่อนั้นด้วยตัวเองอย่างถี่ถ้วนพอ
เหตุการณ์ที่เกิดขึ้นในครั้งนี้ร้ายแรงเกินกว่าครั้งไหน ๆ และผมขอกราบขอโทษผู้เสียหายทุกท่านจากใจจริงครับ
คำเตือนและสิ่งที่ต้องทำทันที
สำหรับผู้ที่ใช้งาน Coldcard (รุ่น Mk3, Mk4, Mk5 และ Q)
กลุ่มเสี่ยงสูงที่สุด: ผู้ที่ใช้ Mk3 และสร้าง Seed Phrase ด้วยตัวอุปกรณ์ผ่าน Firmware ตั้งแต่ เวอร์ชัน 4.0.1 ขึ้นไป (รวมถึงช่วงเวอร์ชัน 4.1.x ซึ่งเป็นช่วงที่มีการแก้ไขโค้ดเรื่อง Random Number Generator ตั้งแต่เดือนมีนาคม 2021)
รุ่นอื่น ๆ (Mk4, Mk5, Q): แม้ระบบ Secure Element จะช่วยบรรเทาความเสี่ยงได้บางส่วน แต่ Seed ที่สร้างก่อน Firmware ฉุกเฉินล่าสุดก็ยังได้รับผลกระทบเช่นกัน
แนวทางแก้ไข:
แจ้งเตือนทุกคนที่คุณรู้จัก ที่ใช้อุปกรณ์รุ่นดังกล่าว
หากมี Hardware Wallet ยี่ห้ออื่นที่ปลอดภัยอยู่แล้ว: ขอให้ตั้งสติ แล้วค่อย ๆ โอนย้ายสินทรัพย์ไปยัง Wallet ใหม่ทันที
หากยังหา Hardware Wallet ใหม่ที่ไม่ได้รับผลกระทบไม่ทัน: แม้จะเจ็บปวดใจที่ต้องพูดประโยคนี้ แต่ทางเลือกที่ปลอดภัยที่สุดในเวลานี้คือ การโอนย้ายสินทรัพย์ชั่วคราวเข้าไปยัง Exchange ที่ได้รับใบอนุญาตจาก ก.ล.ต. เพื่อเลี่ยงความเสี่ยงจากการถูกดักสุ่มกุญแจครับ
(หมายเหตุ: จากข้อมูลล่าสุด Hardware Wallet ยี่ห้ออื่น ๆ รวมถึง Foundation Passport ยังคงปลอดภัยครับ เนื่องจากไม่ได้ใช้ชุดโค้ดที่มีปัญหาดังกล่าว)
สิ่งที่เกิดขึ้นนับเป็นเหตุการณ์ที่เลวร้ายที่สุดครั้งหนึ่งของผู้ถือบิตคอยน์ และเป็นเครื่องเตือนใจครั้งใหญ่ให้เราต้องกลับมาทบทวนว่า หัวใจสำคัญอย่าง "Don't Trust, Verify" ของเราหล่นหายไปตั้งแต่เมื่อไหร่
อย่างไรก็ตาม ผมยังคงเชื่อมั่นในหลักการ Self-Custody หรือการถือกุญแจด้วยตัวเองอย่างไม่เปลี่ยนแปลง และขอแสดงความเสียใจกับผู้ได้รับผลกระทบทุกท่านอย่างสุดซึ้งครับ
นอกจากนี้อาจารย์ตั๊มได้โพสอีกว่า ถ้าคุณไม่ได้ใช้ Coldcard ไม่ต้องตื่นเต้นย้ายเงินไปกับเค้านะครับ ช่วงชุลมุนมิจฉาชีพพร้อมเยอะ อยู่นิ่ง ๆ
