กระเป๋าเงินฮาร์ดแวร์บิตคอยน์ช่วยสนับสนุนผู้ใช้ในช่วงวิกฤตของ Coldcard ได้อย่างไร

Bitcoin.com News ตรวจสอบว่าผู้ผลิตชั้นนำ 13 รายของอุปกรณ์สำคัญเหล่านี้สื่อสารบน X อย่างไร ซึ่งเป็นช่องทางโซเชียลมีเดียหลักสำหรับทุกสิ่งที่เกี่ยวข้องกับคริปโตแอสเซ็ต นับตั้งแต่วิกฤตปะทุขึ้น ช่วงปลายเดือนกรกฎาคมต่อเนื่องถึงเดือนสิงหาคม

ความเร็วและความชัดเจน

ทีมต่างๆ แตกต่างกันทั้งด้านความเร็ว ความชัดเจน ความเป็นประโยชน์ โทนการสื่อสาร ระดับการโอ้อวด และการติดตามประเด็นต่อเนื่องหรือไม่ในอีกหลายวันต่อมาและจนถึงตอนนี้หลายสัปดาห์แล้ว ตัวอย่างเช่น ผู้ผลิต Bitkey อย่าง Block ซึ่งตั้งอยู่ในสหรัฐฯ และเป็นส่วนหนึ่งของการสืบสวน Coldcard ระยะแรก เป็นหนึ่งในรายแรกๆ ที่เตือนผู้ใช้ของตนและชุมชนวงกว้างเกี่ยวกับช่องโหว่ และไม่นานก็มี Blockstream จากแคนาดา ผู้ผลิต Jade ตามมา ในขณะที่บางรายใช้เวลามากกว่าหนึ่งวันกว่าจะโพสต์บน X หนึ่งในผู้นำของอุตสาหกรรมอย่าง Ledger จากยุโรป แจ้งผู้ติดตามบน X หลังวิกฤตปะทุไปราว 14 ชั่วโมง

อย่างไรก็ตาม ผู้ที่ตอบสนองเร็วที่สุดไม่ได้ละเอียดที่สุดเสมอไป

โอกาสที่กว้างขึ้นสำหรับการดูแลสินทรัพย์ด้วยตนเอง

ไม่ว่าจะกรณีใด ในบรรดารูปแบบที่ปรากฏจากการสื่อสารของวอลเล็ตต่างๆ มีการเน้นอย่างมากว่า “เอนโทรปี” ถูกสร้างขึ้นอย่างไร เนื่องจากทีมต่างๆ พยายามแยกความแตกต่างของตนจาก Coldcard นอกจากนี้ บางทีมยังเน้นการรองรับเอนโทรปีที่ผู้ใช้สร้างเอง เพื่อเป็นวิธีลดการต้องเชื่อถือเครื่องกำเนิดตัวเลขสุ่ม (RNG) ของอุปกรณ์เอง

ยังมีแนวทางที่แตกต่างกันในการที่ผู้ผลิตอุปกรณ์แบบโคลสซอร์สและโอเพนซอร์สพยายามทำให้ผู้ใช้สบายใจ อุปกรณ์ที่มีความเป็นโอเพนซอร์สแข็งแรงกว่า (Passport Prime, Trezor, Bitbox, Keystone, Blockstream Jade) เน้นไปที่การตรวจสอบได้ ขณะที่ดีไซน์แบบโคลสซอร์สมากกว่า (Ledger, Tangem, Ngrave) เน้นการรับรองและการตรวจสอบ (audit) มากกว่า

นอกจากนี้ ไม่ใช่ทุกทีมที่จะพูดถึงการตั้งค่าแบบหลายลายเซ็น (multisig) ในฐานะการป้องกันเชิงโครงสร้าง โดยเฉพาะอย่างยิ่งสำหรับการตั้งค่าแบบหลายผู้ผลิต (multi-vendor) ขณะที่หลายบริษัทใช้โอกาสนี้ผลักดันแนวปฏิบัติที่ดีด้านการดูแลสินทรัพย์ด้วยตนเองในภาพรวม

การช่วยเหลือและการโอ้อวด

สำหรับการติดตามต่อเนื่อง Trezor, Bitkey, Bitbox และ Blockstream Jade โดดเด่นว่าเคลื่อนไหวมากกว่า โดยให้ข้อมูลเพิ่มเติม ขณะที่ Ledger, Tangem, Safepal และ Ngrave ค่อนข้างเคลื่อนไหวน้อยกว่าในด้านนั้น

อีกทั้งไม่ใช่ทุกทีมให้คำแนะนำเชิงปฏิบัติในการย้าย (migration) สำหรับผู้ใช้ที่ได้รับผลกระทบ โดย Foundation (ผู้ผลิต Passport Prime), Bitkey, Ellipal, Jade, Bitbox และ Trezor โดดเด่นด้านแนวทางที่นำไปใช้ได้จริง ขณะเดียวกัน Foundation และ Trezor ยังสื่อสารเกี่ยวกับมาตรการเสริมความแข็งแกร่งด้านความปลอดภัยเพิ่มเติมด้วย ส่วน Ngrave และ Ellipal ดูเหมือนจะใช้ถ้อยคำเชิงโปรโมตที่หนักที่สุด เช่น “ปลอดภัยที่สุดในโลก”, “ผู้นำด้าน air-gapped” เป็นต้น

ต่อไป มาดูการสื่อสารของแต่ละวอลเล็ตแบบรวดเร็ว โดยจัดอันดับตามโพสต์แรกบน X ระหว่างช่วงวิกฤต

ปฏิกิริยาของฮาร์ดแวร์วอลเล็ตบิตคอยน์ 13 อันดับแรกต่อวิกฤต Coldcard

Bitkey
30 ก.ค. 10:07 PM EDT
Bitkey และผู้ผลิตคือ Block มีบทบาทเชิงรุกตั้งแต่ช่วงต้นของวิกฤต Coldcard โดยทีมของ Block สืบสวนการขโมยอย่างอิสระและเผยแพร่การวิเคราะห์ทางเทคนิคอย่างละเอียด ยืนยันว่า Bitkey แบบไร้ seed ไม่ได้รับผลกระทบ นอกจากคำอธิบายที่ชัดเจนด้วยภาษาง่ายๆ และการเตือนว่า seed ของ Coldcard ที่มีช่องโหว่ยังคงถูกเจาะได้แม้ย้ายไปที่อื่นแล้ว ทีมยังแนะนำไม่ให้รีบตั้งค่าการดูแลสินทรัพย์ด้วยตนเองแบบใหม่อย่างเร่งด่วน FAQ ช่วงกลางเดือนสิงหาคมย้ำว่า Bitkey ไม่ได้รับผลกระทบ ไม่จำเป็นต้องดำเนินการใดๆ และอธิบายดีไซน์ multisig หลักแบบ 2-of-3 ต่อมา การสื่อสารเปลี่ยนไปเน้นการให้ความรู้เกี่ยวกับ multisig และการกู้คืนมากกว่าการส่งข้อความเกี่ยวกับวิกฤตซ้ำๆ

Blockstream Jade
30 ก.ค. 11:20 PM EDT
ทีมนี้ยืนยันในทันทีว่า seed phrase ของ Jade ถูกสร้างจากแหล่งเอนโทรปีอิสระหลายแหล่ง นอกจากนี้ยังเผยแพร่บล็อกโพสต์เชิงปฏิบัติที่สรุปกระบวนการย้าย 4 ขั้นตอนสำหรับผู้ใช้ Coldcard ที่ได้รับผลกระทบ ทีมอธิบายดีไซน์เอนโทรปีหลายแหล่งของ Jade และเน้นความเป็นโอเพนซอร์สเต็มรูปแบบ การสื่อสารต่อมามุ่งตอบคำถามผู้ใช้ อธิบายคุณสมบัติความปลอดภัยของวอลเล็ต และประกาศวิธีใหม่ในการสร้างเอนโทรปีแบบออฟไลน์

Passport Prime
30 ก.ค. 11:33 PM EDT
ผู้ผลิตวอลเล็ต Passport Prime ตอบกลับด้วยแถลงการณ์ว่าโมเดลทั้งหมดของตนสร้างเอนโทรปีที่ถูกต้องมาโดยตลอดและปลอดภัย จากนั้นตามด้วยโพสต์เชิงเทคนิคละเอียด อธิบายความล้มเหลวของ Coldcard และดีไซน์เอนโทรปีฮาร์ดแวร์หลายแหล่งของตน ทีมยังแชร์การทบทวนหลังเหตุการณ์เพิ่มเติมเกี่ยวกับสถาปัตยกรรมเอนโทรปีของตน มาตรการใหม่ที่ประกาศอย่างเฉพาะเจาะจงรวมถึงการเฝ้าติดตามสุขภาพเพิ่มเติมเพื่อป้องกัน seed เอนโทรปีต่ำจากความล้มเหลวของฮาร์ดแวร์ การปล่อยแอปทดสอบเอนโทรปีที่ผู้ใช้ใช้งานได้บน Passport Prime และแผนเผยแพร่รายงานการรีวิวโค้ดด้วย AI ในแต่ละการปล่อยซอฟต์แวร์

Trezor
31 ก.ค. 03:16 AM EDT
Trezor ยืนยันกับผู้ใช้ว่าเงินของพวกเขาปลอดภัย และไม่นานก็เสริมว่าใครก็ตามที่ย้าย seed ที่สร้างจาก Coldcard ไปไว้บน Trezor ยังคงมีความเสี่ยง คำเตือนเดียวกันนี้ปรากฏในวอลเล็ตอื่นๆ ส่วนใหญ่ด้วย ภายในไม่กี่วัน ทีมเผยแพร่การแจกแจงเชิงเทคนิคเกี่ยวกับดีไซน์เอนโทรปีของวอลเล็ต ต่อมา การสื่อสารดำเนินต่อเนื่องจนถึงกลางเดือนสิงหาคม โดยรวบรวมจุดยืนของตนและย้ำคำอธิบายเรื่องเอนโทรปี คำเตือนฟิชชิง และการกล่าวถึงความเป็นไปได้ในการเพิ่มการรองรับเอนโทรปีจากการทอยลูกเต๋า ขณะเดียวกัน ในวันที่ 13 ส.ค. Trezor เปิดเผยว่าเกือบ 14,000 ลูกค้าของตนได้รับผลกระทบ จากเหตุข้อมูลรั่วไหลที่ ShipMonk หนึ่งในผู้ให้บริการจัดส่งของ Trezor

Onekey
31 ก.ค. 04:24 AM EDT
หลังจากทำให้ผู้ใช้สบายใจว่าอุปกรณ์เหล่านี้ไม่ได้รับผลกระทบ OneKey อธิบายว่าเอนโทรปีถูกสร้างขึ้นทั้งหมดบนอุปกรณ์ โดยรวมแหล่งสุ่มอิสระเข้าด้วยกัน การสื่อสารติดตามผลย้ำประเด็นหลักเดิม รวมถึงแหล่งเอนโทรปีบนอุปกรณ์สองแหล่ง การรับรอง เฟิร์มแวร์โอเพนซอร์ส และการรีวิวโดยบริษัทด้านความปลอดภัยอย่างต่อเนื่อง พร้อมทั้งแชร์บทความที่ละเอียดขึ้น รวมถึงเรื่อง multisig หรือวิธียกระดับความปลอดภัยของ seed phrase

Bitbox
31 ก.ค. 04:52 AM EDT
ก่อนแถลงการณ์เชิงสาระครั้งแรกในวันที่ 31 ก.ค. ทีมได้ตอบในเธรดก่อนหน้านั้นแยกต่างหากแล้วว่าอุปกรณ์ของตนปลอดภัย BitBox ยังอธิบายว่า seed ของตนรวมเอนโทรปีอิสระ 5 แหล่ง การติดตามผลอธิบายแหล่งเอนโทรปีในกรอบแนวคิด defense-in-depth และชี้ไปที่เฟิร์มแวร์โอเพนซอร์ส การตรวจสอบภายในที่มี AI ช่วย บั๊กบาวน์ตี และการรองรับเอนโทรปีจากการทอยลูกเต๋าด้วยตนเอง BitBox ยังอธิบายข้อดีข้อเสียของการตั้งค่า multisig แยกต่างหากซึ่งไม่เกี่ยวข้องกับ Coldcard BitBox เปิดเผยและแพตช์บั๊กเฟิร์มแวร์ของตนเอง ยังไม่มีรายงานการถูกโจมตี

Keystone
31 ก.ค. 06:47 AM EDT
โพสต์ช่วงแรกของ Keystone กล่าวถึงการสร้างเอนโทรปีของตนโดยไม่กล่าวถึงวิกฤต Coldcard แต่ตามมาด้วยแถลงการณ์อีกฉบับในวันที่ 4 ส.ค. ยืนยันว่าการตรวจสอบภายในพบว่าอุปกรณ์ Keystone ทั้งหมดปลอดภัย ต่อมา ทีมอธิบายดีไซน์ของอุปกรณ์ โดยเน้นว่ากระบวนการสร้างถูกตรวจสอบแล้วในทุกขั้นตอน นอกจากนี้ยังเสนอทางเลือกเสริม 2 แบบ เช่น เพิ่ม BIP-39 passphrase หรือใช้ฟีเจอร์ทอยลูกเต๋าของอุปกรณ์ คำตอบติดตามผลจนถึงต้นเดือนสิงหาคมเน้นดีไซน์หลายแหล่งและตัวเลือกทอยลูกเต๋า/พาสเฟรส พร้อมทั้งชี้ผู้ใช้ไปยังเฟิร์มแวร์โอเพนซอร์สและรายงานการตรวจสอบสาธารณะเพื่อการตรวจสอบอย่างอิสระ

Ledger
31 ก.ค. 12:16 EDT
หลังข้อความเริ่มต้นว่า Ledger ไม่ได้รับผลกระทบจากปัญหา Coldcard โดยชี้ไปที่เครื่องกำเนิดเลขสุ่มแท้ที่ผ่านการรับรองซึ่งอยู่ใน secure element ของตน คำอธิบายที่ละเอียดขึ้นมาถึงในวันที่ 2 ส.ค. จาก CTO Charles Guillemet ในการติดตามผล ทีมมุ่งเน้นความแตกต่างของเทคโนโลยีของตน พร้อมให้คำแนะนำเกี่ยวกับ multisig เตือนว่ารูปแบบการดูแลสินทรัพย์ที่ซับซ้อนกว่าอาจเสี่ยงมากกว่า และเสนอแนวทางอื่นๆ เช่น Miniscript และ MuSig2 โปรโตคอลหลายลายเซ็นของบิตคอยน์แบบสองรอบ นอกจากนี้ ทีมยังแชร์ว่าพวกเขากำลังเตรียมรับมือการโจมตีด้านความปลอดภัยที่ถูกเร่งโดย AI อย่างไร แม้ Ledger เองจะไม่ประสบเหตุละเมิดความปลอดภัย แต่ลูกค้าของบริษัทได้รับผลกระทบจากการรั่วไหลของข้อมูลส่วนบุคคลสองครั้งที่เกิดจากเหตุการณ์ของบุคคลที่สาม

Tangem
31 ก.ค. 3:08 PM EDT
Tangem ก็รีบเน้นเช่นกันว่าอุปกรณ์แบบไร้ seed นี้ทำงานบนโค้ดที่แยกจาก Coldcard โดยสิ้นเชิง ต่อมาในเดือนสิงหาคม Tangem โต้แย้งว่าความปลอดภัยมาจากสถาปัตยกรรม การทดสอบ และการตรวจสอบอิสระ มากกว่าการเป็นโอเพนซอร์สเพียงอย่างเดียว นอกจากนี้ยังเผยแพร่คำอธิบายว่าทำไมมัลแวร์ที่เล็งเป้า seed ถึงใช้ไม่ได้ผลกับ Tangem ข้อความหลักของทีมในเวลาต่อมาจึงมุ่งไปที่สถาปัตยกรรมและการรับรอง

Ellipal
1 ส.ค. 07:21 EDT
นอกจากทำให้ผู้ใช้สบายใจ Ellipal ยังเชิญชวนให้ผู้ใช้ “ตรวจสอบ” แทนที่จะ “เชื่อใจ” เพียงอย่างเดียว เนื่องจากอุปกรณ์รองรับ seed ที่ผู้ใช้สร้างเอง นอกจากนี้ยังแชร์คำอธิบายวิธีตรวจสอบความสุ่มอย่างอิสระ สองวันต่อมาเสนอแจกของรางวัลเป็นเครื่องมือความปลอดภัยของ seed ในการติดตามผล ทีมเน้นคำอธิบายเชิงเทคนิค และในวันที่ 5 ส.ค. ได้เสนอเช็กลิสต์การย้ายสำหรับผู้ใช้ที่สร้าง seed บน Coldcard Ellipal ยังเคลื่อนไหวมากในการเตือนผู้ใช้เรื่องความพยายามฟิชชิง และถึงกับแชร์โพสต์ของคู่แข่งอย่าง Ledger เกี่ยวกับฮาร์ดแวร์โอเพนซอร์ส

Safepal
1 ส.ค. 2:14 PM EDT
SafePal ก็เน้นการสร้างความแตกต่างจาก Coldcard เช่นกัน โดยระบุว่าวอลเล็ตนี้ดึงเอนโทรปีในจังหวะที่สร้างวอลเล็ต แทนที่จะพึ่งพาชิปหรือแหล่งเดียว เช่นเดียวกับวอลเล็ตอื่นๆ หลายราย ยังเตือนเรื่องความพยายามฟิชชิง โพสต์และบล็อกวันที่ 1 ส.ค. โดยสาระแล้วคือการตอบสนองทั้งหมด โดยต่อมามีเพียงการแชร์โพสต์เกี่ยวกับ passphrase อย่างไรก็ตาม ในวันที่ 16 ส.ค. บริษัทเปิดเผยว่าเกือบ 40,000 ลูกค้าของตนได้รับผลกระทบ จากเหตุข้อมูลรั่วไหล

Ngrave
1 ส.ค. 3:43 PM EDT
Ngrave มุ่งเน้นกระบวนการสร้าง “Perfect Key” ที่รวมเทคนิคเข้ารหัสหลายอย่าง การสร้างแบบ air-gapped และลายนิ้วมือของผู้ใช้ ต่อมา ทีมยังคอยย้ำว่า การพึ่งพาแหล่งสร้างคีย์เพียงแหล่งเดียวคือ single point of failure และเชิญชวนผู้ใช้ให้ตรวจสอบดีไซน์ด้วยตนเอง นอกจากนี้ ทีมกล่าวว่าพวกเขากำลังใช้ “การประเมินด้านไซเบอร์ดีเฟนส์ที่มี LLM ช่วยหลายรูปแบบ โดยใช้โมเดลล้ำสมัยของโลกเพื่อปกป้องเงินของคุณ” และประกาศโครงการลบข้อมูลลูกค้าของตน

Keepkey
1 ส.ค. 4:25 PM EDT
KeepKey แชร์การแจกแจงเชิงเทคนิคจากนักพัฒนาของตน พร้อมลิงก์ไปยังบล็อกโพสต์ของ KeepKey ที่ครอบคลุมว่าใครมีความเสี่ยง ขั้นตอนการย้าย และเหตุผลที่ multisig แบบเป็น Coldcard ทั้งหมดไม่สามารถป้องกันความล้มเหลวประเภทนี้ได้ นี่เป็นโพสต์เดียวของ KeepKey หลังวิกฤต Coldcard เริ่มต้น เนื่องจากทีมนี้ไม่ได้เคลื่อนไหวบน X มากนัก

โดยสรุป วิกฤต Coldcard ไม่เพียงสอนบทเรียนด้านความปลอดภัยใหม่ๆ ให้ผู้ผลิตฮาร์ดแวร์วอลเล็ต แต่หวังว่าการสื่อสารของพวกเขาจะพัฒนาขึ้นไปอีกเมื่อ/หากเกิดวิกฤตครั้งถัดไป

Bitcoin.com News ได้ติดต่อทุกทีมเหล่านี้เพื่อขอความเห็น และจะเผยแพร่คำตอบของพวกเขาหากมีการตอบกลับ