อดีตซีอีโอ Mt. Gox เปิดโปงอุปกรณ์สอดแนม Ledger

วงการคริปโตกำลังกลับมาให้ความสนใจกับความปลอดภัยของกระเป๋าเงินฮาร์ดแวร์อีกครั้ง หลังมีรายงานว่าอุปกรณ์ Ledger บางเครื่องถูกดัดแปลงด้วยชิ้นส่วนลับที่สามารถขโมยข้อมูลสำคัญของผู้ใช้งานได้ เหตุการณ์นี้ยิ่งน่าจับตาเมื่อผู้เปิดประเด็นคือ มาร์ก คาร์เปเลส อดีตซีอีโอของ Mt. Gox ซึ่งครั้งหนึ่งเคยเป็นบุคคลที่ถูกวิจารณ์อย่างหนักจากการล่มสลายของตลาดซื้อขายบิตคอยน์รายใหญ่

วันนี้ชื่อของเขากลับมาอยู่ในข่าวด้วยบทบาทที่แตกต่างออกไป นั่นคือ อดีตซีอีโอ Mt. Gox เปิดโปงอุปกรณ์สอดแนม Ledger และช่วยทำให้ผู้ใช้งานตระหนักถึงความเสี่ยงจากห่วงโซ่อุปทาน หรือ supply chain ที่อาจเกิดขึ้นได้ แม้อุปกรณ์จะถูกวางจำหน่ายในฐานะสินค้าที่ช่วยเพิ่มความปลอดภัยก็ตาม

อดีตซีอีโอ Mt. Gox เปิดโปงอุปกรณ์สอดแนม Ledger

Ledger ยืนยันว่าพบอุปกรณ์ของผู้ใช้รายหนึ่งมีฮาร์ดแวร์ที่ไม่ได้รับอนุญาตซ่อนอยู่ภายใน โดยอุปกรณ์ดังกล่าวเชื่อมโยงกับ CryptoBilis ซึ่งเคยเป็นตัวแทนจำหน่าย Ledger ที่ได้รับอนุญาตในเอเชียตะวันออกเฉียงใต้ เหตุการณ์เริ่มเป็นที่สนใจหลังมีรายงานว่าเงินคริปโตจากกระเป๋าหลายใบถูกโอนออกไปโดยไม่ได้รับอนุญาต

การสืบสวนบนบล็อกเชนโดย Bitquery ประเมินความเสียหายไว้ประมาณ 93.2 ล้านดอลลาร์จากกระเป๋า 315 ใบบนบล็อกเชน 6 เครือข่าย อย่างไรก็ตาม ตัวเลขดังกล่าวเป็นการประเมินจากหน่วยงานภายนอก ไม่ใช่ตัวเลขที่ Ledger ยืนยันอย่างเป็นทางการ นอกจากนี้ยังมีรายงานว่า Tether ระงับเหรียญ USDT ที่เกี่ยวข้องกับเหตุการณ์ได้ประมาณ 10 ล้านดอลลาร์

อดีตซีอีโอ Mt. Gox เปิดโปงอุปกรณ์สอดแนม Ledger ได้อย่างไร

คาร์เปเลสเริ่มตรวจสอบอุปกรณ์ Ledger ราคาถูกที่วางขายผ่านแพลตฟอร์มออนไลน์ หลังสงสัยว่าเครื่องที่มาจากแหล่งจำหน่ายที่ไม่น่าไว้วางใจอาจถูกแก้ไข เขาระบุว่าจากอุปกรณ์ที่สั่งซื้อมา มีบางเครื่องพบชิ้นส่วนเพิ่มเติมซึ่งมีลักษณะคล้ายอุปกรณ์สื่อสารผ่านเครือข่ายโทรศัพท์มือถือ

ตามข้อมูลจากการวิเคราะห์ อุปกรณ์แฝงดังกล่าวอาจอ่าน seed phrase ซึ่งเป็นชุดคำสำคัญสำหรับกู้คืนกระเป๋าเงิน ระหว่างที่ข้อมูลถูกส่งไปแสดงบนหน้าจอในขั้นตอนการตั้งค่า จากนั้นอาจส่งข้อมูลออกไปผ่านการเชื่อมต่อเซลลูลาร์ หากข้อสันนิษฐานนี้ถูกต้อง ผู้โจมตีก็อาจเข้าถึงทรัพย์สินในกระเป๋าได้ทันที หรือเก็บข้อมูลไว้แล้วรอขโมยในภายหลังก็ได้

จุดที่ทำให้หลายคนกังวลคือ มีการพบอุปกรณ์ลักษณะคล้ายกันจากแหล่งซื้อขายมากกว่าหนึ่งแห่ง ทั้งการประมูลในญี่ปุ่นและร้านค้าที่จัดส่งสินค้าจากมาเลเซีย แม้ยังไม่สามารถสรุปได้ว่ามีอุปกรณ์ถูกดัดแปลงจำนวนเท่าใด หรือผู้ใดอยู่เบื้องหลังการโจมตี

ความเสี่ยงจากการซื้อกระเป๋าเงินฮาร์ดแวร์

กระเป๋าเงินฮาร์ดแวร์มีจุดเด่นด้านการแยกกุญแจส่วนตัวออกจากคอมพิวเตอร์หรือโทรศัพท์ แต่ความปลอดภัยไม่ได้ขึ้นอยู่กับชิปและซอฟต์แวร์เพียงอย่างเดียว แหล่งที่มาของสินค้า กระบวนการขนส่ง บรรจุภัณฑ์ และนโยบายการรับคืนสินค้าล้วนมีความสำคัญ หากสินค้าถูกเปิด แกะ หรือเปลี่ยนชิ้นส่วนระหว่างทาง ผู้ใช้ก็อาจได้รับอุปกรณ์ที่ไม่ปลอดภัยโดยไม่รู้ตัว

• ซื้อจากเว็บไซต์ทางการหรือช่องทางที่ผู้ผลิตรับรองเท่านั้น
• หลีกเลี่ยงอุปกรณ์ราคาถูกผิดปกติจากผู้ขายที่ตรวจสอบประวัติไม่ได้
• ตรวจสอบซีล กล่อง และสภาพอุปกรณ์ก่อนเริ่มตั้งค่า
• อย่าใช้ seed phrase ที่ปรากฏอยู่แล้วในกล่องหรือถูกส่งมาให้ทางข้อความ
• เก็บ seed phrase แบบออฟไลน์ และไม่ถ่ายรูปหรือบันทึกไว้บนอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ต
• หากพบสายไฟ ชิ้นส่วน หรือพฤติกรรมผิดปกติ ควรหยุดใช้งานและติดต่อผู้ผลิตทันที

Ledger ระบุว่าจำนวนอุปกรณ์ที่ได้รับผลกระทบมีจำกัด และยังไม่มีข้อบ่งชี้ว่าอุปกรณ์ที่ซื้อจาก Ledger.com ถูกดัดแปลง บริษัทกำลังประสานงานกับหน่วยงานที่เกี่ยวข้อง พร้อมแจ้งเตือนตัวแทนจำหน่ายให้จัดหาสินค้าผ่านช่องทางที่ได้รับอนุญาต และไม่ควรนำสินค้าที่ถูกส่งคืนกลับมาวางขายใหม่

บทเรียนจากเหตุการณ์ Ledger และ Mt. Gox

เรื่องนี้ทำให้ภาพลักษณ์ของคาร์เปเลสเปลี่ยนไปในสายตาของผู้ใช้งานคริปโตบางส่วน แม้เขายังคงเกี่ยวข้องกับเหตุการณ์ Mt. Gox ที่ล่มสลายในปี 2014 และเคยถูกตัดสินว่ามีความผิดเรื่องการปลอมแปลงข้อมูล แต่การตรวจสอบอุปกรณ์จริงและการแจ้งเตือนสาธารณะอาจช่วยให้ชุมชนพบความเสี่ยงเร็วขึ้น

นักพัฒนาบิตคอยน์และผู้บริหารบริษัทกระเป๋าเงินหลายรายมองว่า เหตุการณ์นี้สะท้อนความสำคัญของการออกแบบที่ตรวจสอบได้ การใช้บรรจุภัณฑ์ป้องกันการแกะ และการเปิดเผยข้อมูลด้านความปลอดภัยอย่างโปร่งใส อย่างไรก็ตาม ผู้ใช้ควรระวังการสรุปเร็วเกินไป เพราะหลายประเด็นยังอยู่ระหว่างการตรวจสอบ และคำกล่าวอ้างบางส่วนยังไม่มีหลักฐานยืนยันจากผู้ผลิต

สิ่งที่น่ากังวลกว่าการโจมตีครั้งเดียวคือ การที่อุปกรณ์ซึ่งมี seed phrase อาจถูกโจมตีตั้งแต่ก่อนถึงมือผู้ใช้ หากผู้โจมตีเข้าถึงข้อมูลกู้คืนกระเป๋าได้แล้ว ต่อให้เจ้าของใช้งานอย่างระมัดระวังเพียงใด ทรัพย์สินก็ยังมีความเสี่ยง ดังนั้นผู้ถือครองคริปโตควรแบ่งเงินไว้หลายกระเป๋า ใช้กระเป๋าสำหรับเก็บเงินระยะยาวแยกจากกระเป๋าที่ใช้งานประจำ และตรวจสอบธุรกรรมทุกครั้งก่อนยืนยัน

ในมุมมองของผู้เขียน เหตุการณ์นี้ไม่ได้หมายความว่ากระเป๋าเงินฮาร์ดแวร์ทุกยี่ห้อไม่ปลอดภัย แต่เป็นเครื่องเตือนใจว่าไม่มีระบบใดปลอดภัยโดยอัตโนมัติ ความน่าเชื่อถือของแบรนด์ต้องมาพร้อมกับการตรวจสอบจากผู้ใช้และชุมชนด้วย หากกำลังจะซื้ออุปกรณ์ใหม่ อย่ามองเพียงส่วนลดหรือคำโฆษณา ให้ตรวจสอบแหล่งจำหน่าย ประวัติสินค้า และคำแนะนำด้านความปลอดภัยให้ครบถ้วนก่อนเริ่มโอนเงินจำนวนมาก

สรุป: ข่าว อดีตซีอีโอ Mt. Gox เปิดโปงอุปกรณ์สอดแนม Ledger แสดงให้เห็นว่าความปลอดภัยของคริปโตเริ่มตั้งแต่ขั้นตอนการซื้ออุปกรณ์ ผู้ใช้งานควรเลือกช่องทางที่เชื่อถือได้ ตรวจสอบความผิดปกติ และปกป้อง seed phrase อย่างเคร่งครัด เพราะความเสียหายจากกระเป๋าที่ถูกเจาะอาจไม่สามารถเรียกคืนได้

ที่มา – Mt. Gox’s Disgraced Ex-CEO Finds Redemption Exposing ‘Spy Implants’ in Ledger Devices