ช่องโหว่ในเฟิร์มแวร์ของ Cold Card ส่งผลให้เกิดความเสียหายมูลค่า 1,140 ล้านวอน... ข้อจำกัดของกระเป๋าเงินแบบ Air Gap

กระเป๋าเงินแบบ Airgap เป็นฮาร์ดแวร์วอลเล็ตแบบไม่ฝากไว้กับผู้ให้บริการ (non-custodial) ที่ถูกตัดการเชื่อมต่อทางกายภาพจากทุกการสื่อสารไร้สาย รวมถึง Wi-Fi, Bluetooth และ NFC รวมถึงอินเทอร์เน็ต ข้อดีที่สำคัญที่สุดคือ เนื่องจากคีย์ส่วนตัวไม่ถูกเปิดเผยในสภาพแวดล้อมออนไลน์ พื้นที่โจมตีจากมัลแวร์หรือการแฮ็กจากระยะไกลจึงมีน้อยมาก ผู้ผลิตที่โดดเด่น ได้แก่ ELLIPAL ที่ใช้ QR code, Keystone, Foundation Devices (Passport), Blockstream (Jade) และ CoinKite ซึ่งผลิต Coldcard ในทางกลับกัน Ledger และ Trezor เชื่อมต่อผ่าน USB หรือ Bluetooth ดังนั้นจึงไม่ถือว่าเป็นกระเป๋าเงินแบบ Airgap อย่างแท้จริง Coldcard ซึ่งเปิดตัวในปี 2017 รองรับลายเซ็นแบบออฟไลน์โดยใช้ MicroSD card และ QR code และได้รับการยกย่องมาโดยตลอดว่าเป็นผลิตภัณฑ์ที่ให้ความสำคัญกับความปลอดภัยมากที่สุดในบรรดากระเป๋าเงินฮาร์ดแวร์ Bitcoin อย่างไรก็ตาม ในช่วงปลายเดือนกรกฎาคม 2026 ผู้ผลิต CoinKite ได้เปิดเผยว่า Coldcard บางรุ่นสร้างวลี seed (seed phrase) ในชุดตัวอักษรที่เล็กกว่าที่ออกแบบไว้มาก เนื่องมาจากข้อผิดพลาดในการสร้างเฟิร์มแวร์ที่เกิดขึ้นเมื่อมีนาคม 2021 ซึ่งหมายความว่าความสุ่มที่จำเป็นสำหรับการปกป้องคีย์ส่วนตัวลดลงอย่างมาก ทำให้ผู้โจมตีสามารถคาดเดาคีย์ส่วนตัวได้เร็วขึ้นโดยใช้ AI หรือซอฟต์แวร์เฉพาะ Galaxy Research วิเคราะห์ว่าการโจมตี Coldcard ครั้งนี้เกิดขึ้นเป็นหลายระลอก และความเสียหายที่สังเกตได้เพิ่มขึ้นจากประมาณ 8.8 ล้านดอลลาร์สหรัฐฯ เป็นเกือบ 114 ล้านดอลลาร์สหรัฐฯ ในเวลาเพียงไม่กี่วัน หลังจากที่นักวิจัยออกมาเตือน ผู้ใช้ Coldcard จำนวนมากได้ย้าย Bitcoin ออกจากที่อยู่เดิม อย่างไรก็ตาม ยังคงมีความกังวลว่าที่อยู่ที่มีช่องโหว่เหล่านี้อาจถูกโจมตีเพิ่มเติม เหตุการณ์นี้ไม่ได้เน้นถึงข้อจำกัดของวิธีการ Airgap เอง แต่เน้นถึงความเสี่ยงในห่วงโซ่อุปทาน (supply chain risk) ที่มีอยู่ในผลิตภัณฑ์ฮาร์ดแวร์วอลเล็ต แม้ว่ากระเป๋าเงินจะไม่เชื่อมต่อกับอินเทอร์เน็ต ผู้ใช้ยังคงต้องไว้วางใจในคุณภาพของเฟิร์มแวร์, กลไกการสร้างตัวเลขสุ่ม (random number generation), และแนวทางการพัฒนาซอฟต์แวร์ของผู้ผลิต Airgap เป็นชั้นการป้องกันที่สำคัญ แต่ไม่ได้เป็นการรับประกันว่าอุปกรณ์จะปราศจากช่องโหว่โดยสมบูรณ์ ผู้เชี่ยวชาญด้านความปลอดภัยย้ำซ้ำแล้วซ้ำอีกว่าผู้ถือครองสกุลเงินดิจิทัลควรหลีกเลี่ยงจุดที่อาจเกิดความล้มเหลวเพียงจุดเดียว นั่นคือ ไม่ควรเก็บสินทรัพย์ทั้งหมดไว้ในที่เดียว นอกจากนี้ ยังควรตระหนักถึงหลักการพื้นฐานในการจัดเก็บวลี recovery อย่างปลอดภัย ตรวจสอบประวัติการทำธุรกรรมก่อนลงนามทุกครั้ง และให้ความสำคัญกับความปลอดภัยของอุปกรณ์ทางกายภาพ.