Right Shift

ตอบสั้นๆ จากกรณีช่องโหว่ COLDCARD

1. ช่องโหว่นี้คืออะไร? ตอบ: ปัญหาที่กำลังเกิดขึ้นอยู่ตอนนี้เกิดจากฟังก์ชันสร้างเลขสุ่ม (Random Number Generator: RNG) คุณภาพต่ำ ทำให้ผู้โจมตีสามารถสร้าง seed phrase ของคุณขึ้นมาใหม่และเอาเหรียญไปได้ ไม่ใช่การที่ตัวอุปกรณ์ส่ง seed ออกมาจากตัวมัน

2. อุปกรณ์รุ่นไหนเสี่ยงบ้าง ตอบ: ฮาร์ดแวร์วอลเล็ตที่ได้รับผลกระทบ ได้แก่ COLDCARD Mk3, Mk4, Mk5, Q เท่านั้น

• ผลิตภัณฑ์อื่นของบริษัท Coinkite อย่างเช่น Opendime ไม่ได้รับผลกระทบจากเรื่องนี้
• ฮาร์ดแวร์วอลเล็ตแบรนด์อื่น ไม่ว่าจะเป็น Trezor, Ledger, Blockstream Jade, Onekey, ฯลฯ ก็ไม่ได้รับผลกระทบจากเรื่องนี้ [ลิงก์แถลงการณ์จากแต่ละแบรนด์จะแนบในคอมเมนต์]
• Software/App Wallet เช่น BlueWallet, Sparrow Wallet, Nunchuk, Wasabi Wallet, ฯลฯ ก็ไม่ได้รับผลกระทบจากเรื่องนี้

3. ฉันควรทำอย่างไรในสถานการณ์นี้?

• //⚠️ถ้าไม่ได้ใช้ COLDCARD ที่มีปัญหา ไม่จำเป็นต้องตื่นตระหนก ไม่จำเป็นต้อง action อะไรในสถานการณ์นี้ หากรู้สึกว่าอยากเสริมความปลอดภัยให้กับการ self-custody ของตัวเองให้ทำอย่างค่อยเป็นค่อยไปและมั่นใจ อย่าลนลาน
• ถ้าใช้ COLDCARD ที่มีปัญหา ให้อ่านและดำเนินการตามคำแนะนำด้านล่าง หลายกรณีเป็นกรณีความเสี่ยงสูงที่ต้องดำเนินการอย่างเร่งด่วน แต่ //⚠️ต้องมีสติและรอบคอบอย่างยิ่ง เพราะหากทำพลาดคุณอาจสูญเสียเหรียญทั้งหมดเองจากความผิดพลาดระหว่างกระบวนการแก้ไขปัญหา
• //⚠️พึงระมัดระวังการติดต่อต่างๆ สถานการณ์แบบนี้คือสถานการณ์ที่มิจฉาชีพจะฉวยโอกาสหลอกลวงผู้คน ห้ามทำตามคำแนะนำที่ไม่เข้าใจ กดลิงก์จากผู้ที่เราไม่รู้จัก ดาวน์โหลดหรือติดตั้งซอฟต์แวร์ที่ใครบอกให้เราทำโดยไม่เข้าใจ

4. สำหรับผู้ที่สร้าง seed phrase ด้วย COLDCARD รุ่นที่มีปัญหา โดยเฉพาะหากใช้ seed phrase นั้นเก็บเหรียญด้วยวิธี single-sig (วิธีธรรมดาทั่วไป)

• หากคุณสร้าง seed phrase ด้วย COLDCARD ที่มีปัญหาโดยไม่ได้ใช้ฟังก์ชันทอยลูกเต๋าและไม่ใช้ passphrase ในการเก็บเหรียญ เหรียญของคุณตกอยู่ในอันตรายเร่งด่วน ถ้าเหรียญยังไม่หาย //🚨ให้ย้ายเหรียญไปยังที่ที่ปลอดภัยกว่าทันที
• หากคุณสร้าง seed phrase ด้วย COLDCARD ที่มีปัญหา แต่ทอยลูกเต๋าเพิ่ม entropy 99 ครั้งขึ้นไป seed phrase นั้นมีความปลอดภัยตามมาตรฐาน สามารถใช้งานต่อได้ (ถ้ากล้า) แต่หากต่ำกว่า 99 ครั้ง seed phrase ของคุณปลอดภัยกว่า แต่ก็ยังปลอดภัยต่ำกว่ามาตรฐาน //⚠️ควรพิจารณาย้ายเหรียญไปยัง seed phrase ที่ปลอดภัยกว่าอย่างค่อยเป็นค่อยไป
• หากคุณสร้าง seed phrase ด้วย COLDCARD ที่มีปัญหา แต่ใช้ passphrase ร่วมด้วยในการเก็บเหรียญ สิ่งที่ปกป้องเหรียญของคุณมีเพียงแต่ passphrase แล้ว ถือว่าปลอดภัยต่ำกว่ามาตรฐาน //⚠️ควรพิจารณาย้ายเหรียญไปยัง seed phrase ที่ปลอดภัยกว่าอย่างค่อยเป็นค่อยไป
• หากคุณสร้าง seed phrase ด้วย COLDCARD ที่มีปัญหา แต่นำ seed phrase นั้นไป import/recover ในอุปกรณ์ตัวอื่น ปัญหาความปลอดภัยนี้จะตามไปด้วย โดยไม่สนว่าตอนนี้คุณใช้งานผ่านอุปกรณ์อะไร //🚨อ่าน 3 ข้อด้านบน ดูว่าตัวเองเข้าข่ายไหนแล้วดำเนินการตามนั้น
• กลับกัน หากคุณสร้าง seed phrase ด้วยอุปกรณ์อื่นแล้วนำมา import/recover ใช้งานใน COLDCARD รุ่นที่มีปัญหา เหรียญของคุณไม่ได้รับผลกระทบจากเรื่องนี้ //🕊️จะสร้างกระเป๋าใหม่เพื่อความสบายใจก็ได้แต่ไม่ต้องรีบ

5. สำหรับผู้ที่ใช้ seed phrase ที่ได้รับผลกระทบจากปัญหานี้มาทำกระเป๋า multisig (m-of-n)

• หากคุณใช้ seed phrase ที่มีปัญหาน้อยกว่าจำนวน m: ไม่มีปัญหา แต่เนื่องจากอาจมี seed phrase ถูกเข้าถึงแล้วบางส่วน //⚠️ควรพิจารณาสร้าง multisig wallet ใหม่ด้วย seed phrase ชุดที่ปลอดภัยทั้งหมดแล้วย้ายเหรียญไปเพื่อที่จะใช้งานต่อได้อย่างสบายใจในระยะยาว
• หากคุณใช้ seed phrase ที่มีปัญหามากกว่าจำนวน m แต่น้อยกว่า n: ก) ถ้าคุณใช้ address เดิมรับเงินซ้ำ และเคยมีการโอนเหรียญออกจาก address นั้นบ้างแล้ว เหรียญที่เหลือคาอยู่ใน address นั้นตกอยู่ในอันตรายเร่งด่วน //🚨ย้ายเหรียญออกจาก address นั้นออกทันที ข) ถ้าคุณไม่เคยใช้ address รับเงินซ้ำ หรือรับเงินซ้ำใน address เดิมแต่ไม่เคยโอนออก เหรียญของคุณยังปลอดภัย แต่เพื่อหลีกเลี่ยงการดักโจมตี //⚠️เมื่อจะโอนเหรียญออก ให้โอนทีเดียวหมดจากแต่ละ address อย่าเหลือเหรียญคาไว้ใน address เก่า - และให้ส่งธุรกรรมไปยังนักขุดโดยตรงโดยไม่ผ่าน mempool สาธารณะ เช่น ส่งให้ MARA pool ผ่านช่องทาง Slipstream
• หากคุณใช้ seed phrase ที่มีปัญหาทั้งหมด n ตัว: ก) หากคุณเคยโอนเหรียญออกจาก address ใดๆ ของกระเป่านี้แล้วแม้แต่ครั้งเดียว เหรียญ "ทั้งหมด" ในกระเป๋านี้ในทุก address ตกอยู่ในความเสี่ยงทั้งหมด //🚨ย้ายเหรียญจากวอลเล็ตนี้ทั้งหมดไปยังที่ที่ปลอดภัยกว่าทันที ข) หากคุณไม่เคยโอนออกจากกระเป๋านี้เลยแม้แต่ครั้งเดียว ตั้งแต่สร้างกระเป๋ามาก็รับเหรียญอย่างเดิยว เหรียญของคุณยังปลอดภัยจนกว่าคุณจะ broadcast ธุรกรรม //⚠️เมื่อจะโอนเหรียญออก ให้โอนทีเดียวหมดทั้งกระเป๋าไปยังที่ปลอดภัย - และให้ส่งธุรกรรมไปยังนักขุดโดยตรงโดยไม่ผ่าน mempool สาธารณะ เช่น ส่งให้ MARA pool ผ่านช่องทาง Slipstream
• อ่านรายละเอียดเพิ่มเติมเรื่องนี้ในโพสต์ของเพจ "ขิงว่านะ" ในคอมเมนต์

6. ฉันจะย้ายเหรียญไปยังที่ปลอดภัยได้อย่างไร?

• ฝากเหรียญกลับเข้า Exchange ที่ไว้ใจได้ แล้วค่อยถอนออกมาใหม่ในวันที่คุณสร้างกระเป๋า self-custody ใหม่ที่ปลอดภัย (แต่ไม่แนะนำ หากเหรียญของคุณเพิ่งผ่านการ Coinjoin มา)
• (ถ้ายังกล้า) ใช้ COLDCARD ที่คุณมี สร้าง seed phrase ใหม่ที่ปลอดภัย ด้วยการอัพเดทเฟิร์มแวร์ใหม่ล่าสุดก่อน และ/หรือ ใช้ฟังก์ชันทอยลูกเต๋า 99 ครั้งขึ้นไป และ/หรือ ใส่ passphrase ที่แข็งแรงเพียงพอ และต้องจด/จำ ให้ถูกต้องทุกตัวอักษร
• (ถ้ามั่นใจว่าคอมพิวเตอร์/โทรศัพท์ปลอดภัยจริงๆ) สร้าง seed phrase ด้วย hot wallet เช่น Sparrow Wallet / BlueWallt / Nunchuk แล้วย้ายเหรียญไปไว้ในนั้นชั่วคราวจนกว่าจะมี cold wallet ใหม่ที่ปลอดภัยให้ใช้
• สร้าง seed phrase ด้วยฮาร์ดแวร์วอลเล็ตแบรนด์อื่นที่ไม่ได้รับผลกระทบ

7. ฉันยังควร self-custody อยู่หรือไม่? ตอบ: หลักการคือการเปรียบเทียบความมั่นใจของตัวคุณเองระหว่างเก็บเอง กับฝากเค้าไว้ ว่าคุณมั่นใจวิธีไหนมากกว่ากัน ให้เลือกใช้วิธีนั้น หากกรณีที่เกิดขึ้นสะกิดให้คุณรู้ตัวว่ามีเรื่องสำคัญอีกหลายเรื่องที่คุณยังไม่รู้ จากที่เคยมั่นใจเปลี่ยนเป็นไม่มั่นใจ กินไม่ได้นอนไม่หลับตลอดสองคืนที่ผ่านมา ไม่ใช่เรื่องผิดหากคุณจะประเมินใหม่และฝากบิตคอยน์ทั้งหมดหรือบางส่วนกลับไปไว้ในมือของผู้ให้บริการ

อย่างไรก็ตาม กรณีนี้ไม่ได้กระทบพื้นฐานของบิ๓ค๐ยน์ และไม่ได้เปลี่ยนแปลง trade-off ที่ว่าในการฝากตัวกลางเราจำเป็นต้องไว้วางใจบุคคลที่สาม - มีความเสี่ยงจากการจำกัดการใช้งาน ยึด หรืออายัด - ต้องแลกความเป็นส่วนตัว ผมยังคงสนับสนุนให้ทุกคนศึกษาและฝึกฝนการ self-custody เพื่อเข้าถึงคุณสมบัติของการเป็นเจ้าของอย่างแท้จริง - มีอิสระในการใช้งาน - และรักษาความเป็นส่วนตัว และในขณะเดียวกัน จำกัดความเสี่ยงจากการสูญเสียสินทรัพย์จากการเก็บรักษาไม่ถูกวิธี

บิตคอยน์มอบทางเลือกนั้นให้เรา และเราสามารถเลือกวิธีไหนที่เหมาะกับเราก็ได้ หากเรามีสติ มีวิจารณญาณ และความรู้ความเข้าใจที่ถูกต้อง ขอให้ทุกคนปลอดภัยครับ อาจารย์ขิง สิรภพ นิลบดี

#COLDCARD #HardwareWallet #Bitcoin #Siamstr