Samson Mow แชร์ 5 ขั้นตอนเร่งด่วนสำหรับผู้ใช้ Coldcard ที่กำลังเผชิญกับการขาดทุน

Samson Mow ระบุแนวทางปฏิบัติเร่งด่วนสำหรับผู้ใช้ที่ได้รับผลกระทบ

Samson Mow ซีอีโอของ JAN3 ซึ่งเป็นผู้นำบริษัทเทคโนโลยีบิตคอยน์ที่มุ่งเร่งให้เกิด hyperbitcoinization ได้โพสต์คำแนะนำเชิงปฏิบัติ 5 ข้อบน X สำหรับผู้ใช้ที่ได้รับผลกระทบจากช่องโหว่ตัวสร้างเลขสุ่ม (RNG) ของ Coldcard เมื่อวันที่ 1 ส.ค. แนวทางของเขาเน้นการเก็บรักษาหลักฐาน การรายงานการโจรกรรม การเฝ้าดูความพยายามติดตามเงินที่ประสานกัน และการหลีกเลี่ยงกลโกงกู้คืน ขณะที่เหตุการณ์ดังกล่าวก่อให้เกิดความกังวลในวงกว้างขึ้นเกี่ยวกับความปลอดภัยของการดูแลสินทรัพย์ด้วยตนเอง (self-custody)

Mow เขียนว่า:

“ช่องโหว่ COLDCARD RNG อาจเลวร้ายยิ่งกว่าการแฮ็กตลาดแลกเปลี่ยน มันกระทบถึงแก่นของผู้ถือบิตคอยน์แบบอธิปไตย—มันเล่นงานคนที่ค้นคว้าทั้งหมด เข้าใจว่าทำไมการถือครองด้วยตนเองจึงสำคัญ และไม่ได้เก็บเหรียญไว้บนตลาดแลกเปลี่ยน”

คำแนะนำข้อแรกของเขาเรียกร้องให้เหยื่อบันทึกทุกอย่างที่ตนรู้ รวมถึงที่อยู่กระเป๋าเงิน วันที่ เวอร์ชันเฟิร์มแวร์ รายละเอียดธุรกรรม และข้อมูลอื่นใดที่อาจช่วยสร้างบันทึกเหตุการณ์อย่างละเอียด

Mow ยังสนับสนุนให้เหยื่อไปแจ้งความ เพราะจะทำให้เกิดบันทึกอย่างเป็นทางการ เขาแนะนำให้ติดต่อหน่วยอาชญากรรมไซเบอร์ พอร์ทัลรับแจ้งระดับประเทศ เช่น ศูนย์รับเรื่องร้องเรียนอาชญากรรมอินเทอร์เน็ต (Internet Crime Complaint Center) ของ FBI หรือหน่วยเฉพาะกิจด้านอาชญากรรมคริปโตเคอร์เรนซีเมื่อมีให้บริการ คำแนะนำข้อที่สามของเขาสั่งให้ผู้ใช้ที่ได้รับผลกระทบเฝ้าระวังความพยายามที่ประสานกันในการติดตามการเคลื่อนย้ายของเงินที่ถูกขโมย

เก็บรักษาหลักฐานและเพิกเฉยมิจฉาชีพอ้างกู้คืน

คำแนะนำสำคัญอีกข้อหนึ่งมุ่งเน้นการเก็บรักษาอุปกรณ์ Coldcard ที่ได้รับผลกระทบและวลีกู้คืน (seed phrase) แทนที่จะทำลายทิ้งหลังถูกขโมย Mow แนะนำให้เหยื่อเก็บอุปกรณ์ วลีกู้คืน และ PIN ไว้ โดยอธิบายว่าอาจจำเป็นต้องใช้พิสูจน์ความเป็นเจ้าของ หากบิตคอยน์ที่ถูกขโมยไปในท้ายที่สุดไปถึงตลาดแลกเปลี่ยนและถูกอายัด

เขายังส่งคำเตือนที่หนักแน่นที่สุดเกี่ยวกับมิจฉาชีพอ้างกู้คืน โดยกำชับให้เหยื่ออย่าแชร์ข้อมูลส่วนตัวหรือวลีกู้คืน และอย่าส่งเงินให้กับบุคคลที่อ้างว่าสามารถกู้คืนคริปโตเคอร์เรนซีที่ถูกขโมยได้ FBI ได้เตือนซ้ำแล้วซ้ำเล่าว่า ผู้ฉ้อโกงมักเล็งเป้าหมายเหยื่อของการโจรกรรมคริปโตเคอร์เรนซีครั้งก่อน โดยเสนอ “บริการกู้คืน” ปลอมที่เรียกเก็บเงินล่วงหน้าหรือขอข้อมูลกระเป๋าเงินที่อ่อนไหว

บทเรียนด้านความปลอดภัยไม่ได้จำกัดอยู่แค่ฮาร์ดแวร์วอลเล็ตตัวเดียว

แม้ Mow จะแสดงความเห็นใจต่อผู้ใช้ที่ได้รับผลกระทบ แต่เขายังโต้แย้งว่าเหตุการณ์นี้ตอกย้ำความสำคัญของการลด “จุดล้มเหลวเพียงจุดเดียว” (single point of failure) ในการถือบิตคอยน์ด้วยตนเอง โดยใช้ฮาร์ดแวร์จากผู้ผลิตหลายรายในรูปแบบมัลติซิกเนเจอร์ (multisignature) แทนการพึ่งผู้ผลิตรายเดียว

Mow เขียนว่า:

“การถือครองด้วยตนเองเป็นเรื่องยาก หากคุณสนับสนุนการถือครองด้วยตนเอง คุณก็ควรบอกผู้คนให้ใช้มัลติซิกแบบหลายผู้ผลิต (multi-vendor multisig) ด้วย ผมพูดเรื่องนี้มาหลายปีแล้ว การถือครองด้วยตนเองจะได้ผลก็ต่อเมื่อคุณทำในแบบที่ลดจุดล้มเหลวเพียงจุดเดียว อย่าไว้ใจผู้ผลิตรายเดียวสำหรับฮาร์ดแวร์ ให้สมมติว่าทุกคนเป็นฝ่ายตรงข้ามของคุณ”

เขายอมรับว่าการถือครองด้วยตนเองยังคงเป็นเรื่องท้าทายสำหรับผู้ใช้จำนวนมาก และกระตุ้นให้อุตสาหกรรมบิตคอยน์วิจารณ์ผู้ที่เลือกใช้ผู้ดูแลสินทรัพย์ กองทุน ETF หรือบริษัทคลังบิตคอยน์ให้น้อยลง Mow ยืนยันว่าไม่มีวิธี “ที่ถูกต้องเพียงหนึ่งเดียว” ในการถือบิตคอยน์ เพราะทุกวิธีการดูแลสินทรัพย์มีข้อแลกเปลี่ยน

Mow ยังขอให้ผู้ใช้ที่ได้รับผลกระทบอย่าตัดสินใจแบบหุนหันพลันแล่น และให้พูดคุยกับใครสักคนหากต้องการการสนับสนุน เขาระบุว่าผู้ถือบิตคอยน์จำนวนมากเคยสูญเสียเหรียญด้วยเหตุผลที่แตกต่างกัน และเน้นว่าสามารถเริ่มต้นใหม่ได้หลังความสูญเสีย

การตอบสนองของ Coinkite และผลกระทบยังคงดำเนินต่อไป

Coinkite บริษัทฮาร์ดแวร์ความปลอดภัยบิตคอยน์ที่ตั้งอยู่ในโตรอนโตซึ่งอยู่เบื้องหลังกระเป๋าเงิน Coldcard ออกประกาศคำแนะนำด้านความปลอดภัย โดยขอให้ผู้ใช้ของอุปกรณ์ที่ได้รับผลกระทบอัปเดตเป็นเฟิร์มแวร์ที่แก้ไขแล้ว ก่อนสร้าง seed ใหม่ และให้ย้ายเงินหาก seed ของตนถูกสร้างบนเวอร์ชันที่มีช่องโหว่ ประกาศดังกล่าวยังเตือนว่าการอัปเดตเฟิร์มแวร์ไม่ได้ซ่อมแซม seed ที่สร้างไว้ก่อนหน้านี้ และแนะนำให้ตรวจสอบแบ็กอัปและทำธุรกรรมทดสอบก่อนย้ายเงิน

รายงานก่อนหน้านี้ ได้ตรวจสอบว่ากระเป๋าเงิน Coldcard รุ่นใดมีแนวโน้มเผชิญความเสี่ยงมากที่สุด เมล็ด (seed) ที่มีช่องโหว่ถูกสร้างขึ้นอย่างไร และเงื่อนไขใดที่ทำให้ผู้ใช้ได้รับผลกระทบ นับจากนั้น ผลกระทบได้ขยายวงกว้างขึ้น ผู้ใช้ที่ได้รับผลกระทบกำลังพิจารณา การดำเนินคดีทางกฎหมายที่อาจเกิดขึ้นต่อ Coinkite ขณะที่ผู้โจมตีได้รับ ข้อความ onchain ที่ไม่ได้ร้องขอ ซึ่งเสนอให้บริการฟอกบิตคอยน์