Bitcoin Red Team ตรวจเจอช่องโหว่ระดับวิกฤติ 85 จุด จากการสแกนโค้ดโอเพนซอร์ส 390 โปรเจกต์ด้วย AI

ปฏิบัติการนี้เกิดขึ้นจากการโจมตี Coldcard Wallet

แคมเปญนี้เป็นผลพวงโดยตรงจากการเจาะระบบ Coldcard hardware wallet ในเดือนกรกฎาคม 2026 รายละเอียดของเหตุการณ์มีดังนี้:

• ช่องโหว่: บั๊กในเฟิร์มแวร์ Coldcard เวอร์ชัน 4.0.0 (เปิดตัวมีนาคม 2021) ทำให้อุปกรณ์ข้ามการใช้ฮาร์ดแวร์สร้างตัวเลขสุ่มเฉพาะทางระหว่างการสร้าง seed phrase ส่งผลให้ seed phrase ของกระเป๋าเงินสามารถคาดเดาได้ ความแข็งแกร่งของคีย์ลดลงจาก 128 บิต เหลือเพียง 40 บิต
• การโจมตี: เริ่มตั้งแต่ 30 กรกฎาคม 2026 แฮกเกอร์ใช้ประโยชน์จากข้อบกพร่องนี้เพื่อดูดเงินจากกระเป๋าเงินนับพันใบ คลื่นแรกเจาะ 1,196 ที่อยู่ใน 41 นาที ขโมยไป 1,082.65 BTC (ประมาณ 70 ล้านดอลลาร์ในขณะนั้น)
• มูลค่าความเสียหายรวม: การโจมตีหลายระลอกทำให้ยอดรวมพุ่งเกิน 116 ล้านดอลลาร์ จากที่อยู่กว่า 5,200 แห่ง โดยบางประมาณการระบุว่าอาจสูงถึง 130 ล้านดอลลาร์ เมื่อการโจมตียังคงดำเนินต่อไป มีแฮกเกอร์มากถึงสิบกว่าคนที่เกี่ยวข้อง
• การตอบสนองของ Coinkite: บริษัทผู้ผลิต Coldcard เรียกร้องให้ผู้ใช้อัปเดตเฟิร์มแวร์และย้ายเงินออก แต่ความเสียหายส่วนใหญ่เกิดขึ้นแล้ว

เพื่อตอบสนองต่อเหตุการณ์นี้ Bitcoin Red Team จึงเปิดปฏิบัติการตรวจสอบเพื่อหาบั๊กที่เกี่ยวข้องกับเครื่องสร้างตัวเลขสุ่ม การเข้ารหัสที่อ่อนแอ และข้อบกพร่องเชิงระบบอื่น ๆ ก่อนที่แฮกเกอร์จะนำไปใช้ประโยชน์

ผลการตรวจสอบและวิธีการที่ใช้

ข้อค้นพบ

ปริมาณงานที่มหาศาล — เกือบ 5,000 รายงานภายในวันเดียว — ก่อให้เกิด ปัญหาในการจัดลำดับความสำคัญ ครั้งใหญ่สำหรับผู้ดูแลโค้ด มีเพียงประมาณหนึ่งในห้าของข้อค้นพบเท่านั้นที่ยืนยันได้ว่าสามารถทำซ้ำได้ แต่กลุ่มระบุว่าการรายงานปัญหาที่มีแนวโน้มว่าจะเป็นช่องโหว่นั้นเป็นสิ่งที่สมเหตุสมผล เมื่อเทียบกับความรุนแรงของเหตุการณ์ Coldcard

วิธีการ

• ทีมใช้ โมเดล AI แบบ open-weight เพื่อสแกนโค้ดเพื่อหารูปแบบช่องโหว่ที่ทราบกันดี จุดอ่อนด้านการเข้ารหัส และข้อผิดพลาดทางตรรกะ
• นักวิจัยมนุษย์จะเป็นผู้ควบคุม AI ตรวจสอบผลลัพธ์ และยื่นรายงานการเปิดเผยข้อมูลอย่างรับผิดชอบ
• กลุ่มมีแผนที่จะ เปิดเผยซอร์สโค้ดของชุดเครื่องมือความปลอดภัยบน AI เพื่อให้ชุมชนสามารถสแกนโค้ดแบบอัตโนมัติต่อไปได้
• พวกเขาให้ความสำคัญกับโค้ดของ wallet, ไลบรารีการเข้ารหัส และโปรเจกต์โครงสร้างพื้นฐานของ Bitcoin ซึ่งเป็นโค้ดประเภทที่หากมีข้อบกพร่องอาจนำไปสู่ความเสียหายระดับเดียวกับการแฮก Coldcard ได้

เหตุใด OpenAI จึงเพิกถอนสิทธิ์การเข้าถึงของหัวหน้านักวิจัยกลางโครงการ?

Rob Hamilton (ซีอีโอของ AnchorWatch และหัวหน้าทีมร่วมแคมเปญ) ได้ลงทะเบียนใน โปรแกรม "Trust Cyber" ของ OpenAI ซึ่งมอบสิทธิ์ API แบบอุดหนุนสำหรับนักวิจัยด้านความปลอดภัย ในวันที่ 8/9 สิงหาคม 2026 หลังจากที่เขาได้รวมโปรแกรมเข้ากับขั้นตอนการทำงานและยื่นรายงานการเปิดเผยข้อมูลที่ถูกต้องแล้ว OpenAI เพิกถอนสิทธิ์การเข้าถึงของเขาโดยไม่มีการอธิบาย

• Hamilton เปิดเผยต่อสาธารณะว่าเขาถูก "ปิดกั้นไม่ให้ทำการวิเคราะห์เพิ่มเติมในโค้ดเบสที่ฉันได้เปิดเผยอย่างรับผิดชอบไปแล้ว และได้รับการยืนยันว่าเป็นข้อค้นพบที่ถูกต้อง"
• การเพิกถอนสิทธิ์ครั้งนี้บีบให้ Bitcoin Red Team ต้องเปลี่ยนไปใช้ โมเดล AI ที่มีข้อจำกัดน้อยกว่า รวมถึง โมเดล open-weight ของจีน ซึ่งการเปลี่ยนแปลงนี้ถูกจับตามองและถูกวิพากษ์วิจารณ์อย่างกว้างขวางว่าเป็นอุปสรรคต่อการแข่งขันด้าน AI ของสหรัฐฯ ในงานวิจัยด้านความปลอดภัย
• OpenAI ยังไม่ได้เปิดเผยเหตุผลอย่างเป็นทางการ โดยคำถามที่พบบ่อยของโปรแกรม Researcher Access ระบุว่าเครดิตจะได้รับตามดุลยพินิจของบริษัทและสามารถเพิกถอนได้ แต่ยังไม่มีการอ้างถึงการละเมิดนโยบายเฉพาะใด ๆ ของ Hamilton