นักพัฒนาอาสาสมัครได้รายงานช่องโหว่ด้านความปลอดภัย 4,962 รายการในโปรเจกต์ Bitcoin จำนวน 390 โปรเจกต์ภายในประมาณ 30 ชั่วโมง โดยจาก 391 โค้ดเบสที่ตรวจสอบ มีเพียงหนึ่งเดียวที่ไม่พบปัญหาใด ๆ
กลุ่มนี้เรียกตัวเองว่า Bitcoin Red Team พวกเขาจัดให้ 720 ในบรรดาช่องโหว่เหล่านั้นเป็นระดับสูงหรือวิกฤติ ขณะนี้มีเพียง 147 รายการเท่านั้นที่ถึงมือผู้ดูแลเพื่อแก้ไขปัญหาเหล่านั้น
ทุก 1 ใน 7 รายการที่ตรวจพบถือเป็นเรื่องร้ายแรง
การแบ่งแยกตามระดับความรุนแรงแคบกว่าตัวเลขรวมที่เห็น ผู้ตรวจสอบได้บันทึกรายการวิกฤติ 85 รายการ และระดับสูง 635 รายการ
ตัวเลขนี้คิดเป็น 14.5% ของทุกอย่างที่ถูกรายงาน ที่เหลืออยู่ในกลุ่มระดับกลาง ต่ำ หรือแจ้งเพื่อข้อมูลเท่านั้น ทั้งนี้ยังมีอีก 246 รายการที่ไม่มีป้ายกำกับระดับความรุนแรง
คุณภาพของหลักฐานก็หลากหลายเช่นกัน โดยประมาณ 21.4% มาพร้อมกับโค้ดตัวอย่างที่ใช้งานได้ และราว 91% มาจากการสแกนแบบอัตโนมัติ ขณะที่รายการที่ถูกปฏิเสธเป็นบวกปลอมมีเพียงแปดรายการเท่านั้น
ติดตามเราได้ที่ X เพื่อรับข่าวสารล่าสุดทันที
เพียงแค่หนึ่งชั่วโมงก่อให้เกิด 83% ของการค้นพบ
ช่วงเวลากว่า 30 ชั่วโมงนี้มีข้อแม้สำคัญ เพราะในหนึ่งชั่วโมงกลับมีการแจ้งค้นพบ 4,101 รายการ ซึ่งเป็นข้อมูลเก่าที่ถูกนำมารวม ไม่ใช่การสแกนแบบเรียลไทม์ โดย Rob Hamilton ประธานเจ้าหน้าที่บริหารของ AnchorWatch บริษัทประกัน Bitcoin ได้ตรวจสอบเองก่อนจะเริ่มแคมเปญอย่างเป็นทางการ
เขากล่าวว่าเขาใช้เงินไปกว่า 10,000 USD เพื่อตรวจสอบไลบรารี่มากกว่า 100 รายการ
หากนำข้อมูลชุดใหญ่นั้นออก การรายงานใหม่จะลดลงอย่างชัดเจน โดยช่วงเวลา 29 ชั่วโมงที่เหลือ มีการแจ้งค้นพบประมาณ 840 รายการ ซึ่งใกล้เคียงกับ 29 รายการต่อชั่วโมง มากกว่าค่าเฉลี่ย 166.3 ตามที่รายงาน
ข้อมูลชี้ว่าฮาร์ดแวร์วอลเล็ตปลอดภัยมากกว่า
การจำแนกหมวดหมู่ผลลัพธ์พบข้อสังเกตที่น่าสนใจ ฮาร์ดแวร์วอลเล็ตและเฟิร์มแวร์ ซึ่ง กลุ่ม Coldcard อยู่ในหมวดนี้ อยู่ในอันดับรองสุดท้ายของกลุ่มที่พบจุดบกพร่องร้ายแรงที่เพียง 9.6%
บางหมวดเจอสถานการณ์หนักกว่า กลุ่ม mining pools เจอที่ 21.7%, กลุ่ม infrastructure และ tooling ที่ 21.5% และกลุ่ม swaps กับ exchanges ที่ 20.9% ส่วนเครื่องมือ privacy ครองอันดับสูงสุดที่ 24% ถึงอย่างนั้น ผู้ตรวจสอบได้สำรวจเครื่องมือ privacy แค่สามตัวเท่านั้น
แต่ในทางกลับกัน crypto libraries เป็นหมวดที่มีปริมาณการตรวจสอบสูงสุด โดยสร้างผลการค้นพบบั๊กได้ 1,385 รายการ จากทั้งหมด 128 โปรเจกต์ คิดเป็นมากกว่าหนึ่งในสี่ของเนื้อหาทั้งหมด
Calle ฟิสิกส์นามแฝงผู้คิดค้นโปรโตคอล ecash ชื่อ Cashu กล่าวว่า ผู้ดูแลระบบกำลังยืนยันรายงานที่เลวร้ายที่สุด
รายงานสำคัญส่วนใหญ่ที่เราแจ้งไปจนถึงขณะนี้ เจ้าของโปรเจกต์จะยืนยันความถูกต้องได้อย่างรวดเร็ว เรารู้ว่าเราตรวจเจอปัญหาจริงแล้ว พวกเขา เขียนไว้
ทำไม Red Team ถึงก่อตั้งขึ้นหลังเหตุการณ์ Coldcard
การตรวจสอบครั้งใหญ่เริ่มขึ้นเพราะชิปตัวหนึ่งมีปัญหา Coinkite เปิดเผยในวันที่ 30 กรกฎาคม ว่าการสร้าง seed ในอุปกรณ์ Coldcard ที่ได้รับผลกระทบกลายเป็นการอิงกับซอฟต์แวร์ที่คาดเดาได้
ผลกระทบครั้งนี้รุนแรงมาก เพราะ secure element สุ่มค่าได้แค่ 32 บิต ทำให้ผู้โจมตีมีโอกาสเดาสำเร็จภายในประมาณ 4.3 พันล้านครั้ง
Galaxy Research ระบุว่าเงินที่ถูกขโมยยืนยันได้อยู่ที่ 1,596 Bitcoin (BTC) จากราว 7,300 address ณ วันที่ 4 ส.ค. โดยมีการคาดการณ์ว่า คลื่นโจมตีระลอกที่สี่ อาจทำให้ยอดรวมถึงเกือบ 130 ล้าน USD ทั้งนี้ Galaxy ย้ำว่ารายชื่อ address ของพวกเขายังไม่สมบูรณ์
ความวิตกกังวลเห็นได้จากข้อมูลบนเชน เมื่อมี address ที่ใช้งานพุ่งสูงสุดในรอบ 20 เดือน ขณะที่ผู้ถือ Bitcoin ในเกาหลีใต้ ส่วนใหญ่รอดพ้น ได้ เพราะที่นั่นนิยมใช้ seed จากการทอยลูกเต๋าเป็นหลัก
อย่างไรก็ตาม ปัญหาการสุ่มแบบอ่อนแอยังคงพบใน Bitcoin เสมอ ตัวอย่างคือบั๊ก Milk Sad ในปี 2023 ที่ทำให้ Libbitcoin Explorer สร้าง key จากค่าเวลานาฬิกา 32 บิต หรือเมื่อเดือนพฤษภาคมที่ผ่านมา ช่องโหว่ Ill Bloom ก็ทำให้สูญเงินจากกระเป๋าที่สร้างด้วยตัวสุ่ม JavaScript คุณภาพต่ำไปถึง 5.7 ล้าน USD
เงินทุนสนับสนุนตามหลังการค้นพบ
OpenSats ซึ่งเป็นองค์กรไม่แสวงผลกำไรที่สนับสนุนการพัฒนา Bitcoin ได้เปิดตัวโครงการ Code RED grant ในวันพฤหัสบดี โครงการนี้จะให้รางวัลแก่นักวิจัยที่เปิดเผยข้อบกพร่อง รวมถึงชำระเงินค่าใช้จ่ายด้านปัญญาประดิษฐ์ (AI) ที่เกิดจากการทำงานนี้ด้วย
ขณะเดียวกัน Bitcoin มีการซื้อขายใกล้ USD64,396 ในวันพฤหัสบดี โดยเพิ่มขึ้น 0.5% ในช่วง 24 ชั่วโมงที่ผ่านมา อย่างไรก็ตามการตรวจสอบนี้ยังไม่ได้ส่งผลต่อทิศทางของตลาด
อย่างไรก็ดี ตัวเลขเหล่านี้ยังคงต้องดูบริบทเพิ่มเติม เพราะว่าเป็นเพียงข้อค้นพบเท่านั้น ยังไม่ได้รับการยืนยันว่าเป็นช่องโหว่ที่ถูกนำไปใช้จริง ซึ่งส่วนใหญ่แล้วยังไม่เคยถูกใช้ประโยชน์ทางร้ายอย่างแน่นอน
แต่อย่างไรก็ดี จากหลักฐานที่มีอยู่ในขณะนี้ Coldcard ไม่ใช่กรณีล้มเหลวเพียงรายเดียว เพราะข้อมูลยังบ่งชี้ว่ากรณีถัดไปนั้นอาจจะไม่ได้เกิดขึ้นกับ hardware wallet
