Coinspect ได้เปิดเผยช่องโหว่ Ill Bloom ซึ่งเป็นข้อบกพร่องในกระเป๋าเงินคริปโตที่ส่งผลให้ระบบสร้างวลีการกู้คืนที่อ่อนแอบนหลายบล็อกเชน โดยผู้โจมตีได้ใช้ประโยชน์จากช่องโหว่นี้เมื่อวันที่ 27 พฤษภาคม จนดูดเงินออกไปจาก 431 กระเป๋าเงิน มูลค่าประมาณ 3.1 ล้าน USD
Coinspect ติดตามรอยของช่องโหว่นี้จนพบว่าเกิดจากตัวสร้างตัวเลขสุ่มเทียม (pseudorandom number generator) ที่ไม่ปลอดภัยขณะสร้างกระเป๋าเงิน โดยช่องโหว่นี้เกิดขึ้นบนหลายเครือข่าย เช่น บิทคอยน์ (BTC), อีเธอเรียม (ETH) และโซลานา (SOL)
Ill Bloom ส่งผลกระทบต่อกระเป๋าเงินคริปโตอย่างไร
ตามรายงานของ Coinspect ตัวสร้างตัวเลขที่มีข้อบกพร่องนี้สร้างวลีกู้คืนที่มีความแข็งแรงทางการเข้ารหัสน้อยกว่าปกติอย่างมาก ด้วยเหตุนี้ ผู้โจมตีจึงสามารถสร้างชุดวลีที่เป็นไปได้ทั้งหมดและกวาดเหรียญจากที่อยู่ที่มีเงินทุน
ทีมนักวิจัยได้ทดสอบโจมตีซ้ำตั้งแต่ต้นจนจบ โดยพวกเขาสร้างแอดเดรสทั้งหมดที่วลีอ่อนแอนำไปสู่ได้ ก่อนจะนำไปเทียบกับกระเป๋าที่มีเงินทุนในบล็อกเชนสาธารณะ ที่อยู่ที่ได้รับผลกระทบมีมาตั้งแต่ปี 2018 และส่วนใหญ่มาจากกระเป๋าเงินคริปโตบนมือถือที่ไม่ค่อยเป็นที่รู้จัก
ผู้ใช้งานจึงถูกขอให้ตรวจสอบที่อยู่กระเป๋าเงินของตนเองย้อนหลัง ในขณะที่ผู้ใช้กระเป๋าเงินฮาร์ดแวร์ยังไม่ได้รับผลกระทบ ปีนี้ Binance ก็ได้ออก ประกาศเตือนด้านความปลอดภัยบน iOS สำหรับผู้ใช้บนมือถือด้วย
การโจมตีพร้อมกันเมื่อ 27 พฤษภาคม ดูดเงินจาก 431 กระเป๋าเงิน
ตามการ วิเคราะห์ ของ Coinspect ชุดข้อมูลที่ตรวจสอบมีอยู่ 2,114 ที่อยู่ที่มีเงินทุนในเครือข่ายเช่น บิทคอยน์ อีเธอเรียม ทรอน รูทสต็อก และโพลิกอน เมื่อวันที่ 27 พฤษภาคม บัญชีที่ถูกดูดเงินออกได้ส่งยอดคงเหลือไปยังกระเป๋าเงินเก็บรวบรวมร่วมเพียงไม่กี่บัญชีภายในเวลาไม่กี่ชั่วโมง
บิทคอยน์ได้รับผลกระทบมากที่สุด มูลค่า 2.57 ล้าน USD และมีบัญชีเดียวที่สูญเงินไปกว่า 1.1 ล้าน USD ในอดีต ชุดกระเป๋าที่ถูกเปิดเผยนี้เคยมีเงินรวมสูงสุดถึง 12.56 ล้าน USD ในเดือนเมษายน 2022
บริษัทระบุว่า ตัวเลข 3.1 ล้าน USD เป็นเพียงขั้นต่ำเท่านั้น เพราะยังมีบัญชีที่ได้รับผลกระทบปรากฏเพิ่มขึ้นเรื่อย ๆ การโจมตีดังกล่าวยังส่งผลรวมกับ ยอดการขโมยคริปโต ที่มากในปีนี้ ซึ่งเฉพาะเดือนมกราคมก็พุ่งเกิน 400 ล้าน USD แล้ว
คีย์ที่ถูกแฮกสามารถดูดมูลค่าออกได้อย่างรวดเร็ว เช่นเดียวกับ คีย์ส่วนตัวถูกเจาะล่าสุดที่ Humanity Protocol ที่ผ่านมา นอกจากนี้ ยังมีเหตุการณ์ก่อนหน้านี้เช่น Milk Sad ซึ่งต่างเกิดจากจุดอ่อนของความสุ่มในระดับเดียวกัน
วิธีที่ผู้ใช้คริปโตสามารถปกป้องเงินทุนของตนเองได้
Coinspect ได้เผยแพร่ เครื่องมือสำหรับตรวจสอบ ซึ่งเปรียบเทียบที่อยู่สาธารณะกับชุดข้อมูลที่ทราบว่ามีความเสี่ยงอยู่แล้ว อย่างไรก็ตาม ผลลบไม่ได้รับประกันความปลอดภัย เพราะชุดข้อมูลนี้ยังไม่สมบูรณ์
หากพบว่ามีความตรงกัน ผู้ใช้งานแต่ละคนควรสร้างกระเป๋าคริปโตใหม่ทั้งหมด แล้วโอนเงินไปยังที่อยู่ใหม่ แต่หากนำวลีเก่าไปนำเข้าในแอปอื่น เงินของท่านก็ยังคงเสี่ยงอยู่เช่นเดิม
ในขณะเดียวกัน มิจฉาชีพต่างก็ฉวยโอกาสจากสถานการณ์เช่นนี้ เช่น กรณี airdrop ปลอมที่ดึงเงินผู้ใช้บน Hyperliquid เมื่อไม่นานมานี้ Coinspect ย้ำว่าทางบริษัทจะไม่ขอรับข้อมูลลับใด ๆ จากผู้ใช้
เราจะไม่มีวันขอวลี seed, คีย์ส่วนตัว, ลายเซ็น, การอนุมัติ หรือขอให้ผู้ใช้โอนเงินมาเพื่อกู้คืนหรือปกป้องกระเป๋าของท่าน
ในส่วนของผู้ให้บริการกระเป๋าคริปโตต่างก็ยังมุ่งเน้นมาตรฐานความปลอดภัยที่มากขึ้น เช่น มาตรฐาน Clear Signing แบบใหม่ของ Ethereum อย่างไรก็ตาม อีกไม่กี่วันข้างหน้าเราน่าจะทราบว่าแอปใดเป็นผู้สร้างวลีที่อ่อนแอเหล่านี้ ดังนั้นจนกว่าจะถึงเวลานั้น การย้ายคริปโตออกจากที่อยู่ที่ถูกเตือนไว้จึงเป็นวิธีแก้ที่เชื่อถือได้เพียงอย่างเดียว
