ช็อกวงการ! ช่องโหว่ไลบรารี C++ ทำกระเป๋าบิตคอยน์(BTC) กว่า 120,000 ใบเสี่ยงถูกแฮ็ก

ช่องโหว่ร้ายแรงในไลบรารีพัฒนา C++ ที่เกี่ยวข้องกับบิตคอยน์(BTC) เปิดเผยว่ามี *กระเป๋าเงินภายนอกกว่า 120,000 ใบ* ทั่วโลกที่เสี่ยงต่อการถูกแฮ็ก หลังพบการใช้วิธี *สร้างตัวเลขสุ่ม (Random Number Generation: RNG)* ที่ไม่ปลอดภัย ทำให้แฮ็กเกอร์สามารถเจาะหากุญแจส่วนตัวได้โดยง่าย

ปัญหานี้เกิดขึ้นในไลบรารี ‘Libbitcoin Explorer (bx)’ เวอร์ชัน 3.x ซึ่งเลือกใช้ *อัลกอริทึมสุ่ม Mersenne Twister-32* ที่อาศัยค่า seed เพียง 2³² ค่า และกำหนด seed จาก ‘เวลาในระบบ’ เพียงอย่างเดียว นี่จึงสร้างจุดอ่อนร้ายแรงด้านความสุ่ม โดยแฮ็กเกอร์สามารถประมวลผลค่า seed ทุกค่าภายในช่วงเวลาไม่กี่วันด้วยคอมพิวเตอร์ประสิทธิภาพสูง และทำให้สามารถเดากุญแจส่วนตัวของผู้ใช้ได้ในที่สุด

แม้จุดอ่อนนี้จะถูกเปิดเผยครั้งแรกในเหตุการณ์ที่เรียกว่า ‘Milk Sad’ เมื่อเดือนพฤศจิกายน 2023 แต่จนถึงปัจจุบัน ยังมีผู้ใช้จำนวนมากที่ไม่รู้ตัวว่ากระเป๋าเงินของตนยังคงตกอยู่ในความเสี่ยง โดยเฉพาะผู้ที่สร้างกระเป๋าเงินด้วย bx 3.x หรือแอปที่อิงจากไลบรารีดังกล่าว เช่น ทรัสต์วอลเล็ต ระหว่างช่วงปี 2017 ถึง 2023

กรณีนี้แสดงให้เห็นว่า *กระเป๋าเงินที่สร้างจากการสุ่มที่ไม่มีความปลอดภัยเพียงพอ ยังสามารถถูกขโมยบิตคอยน์(BTC) ได้อย่างง่ายดาย* ด้านบริษัทผู้ให้บริการฮาร์ดแวร์วอลเล็ตชื่อดัง ‘OneKey’ ได้ทวีตชี้แจงว่า “อุปกรณ์และซอฟต์แวร์ของเรามิได้ใช้ไลบรารีดังกล่าว จึงไม่เข้าข่ายกลุ่มเสี่ยง” เพื่อคลายความกังวลของผู้ใช้งาน

ทีมผู้เชี่ยวชาญแนะนำให้ผู้ใช้งานดำเนินการดังนี้

1. หากเคยสร้างกระเป๋าบิตคอยน์(BTC) ด้วยไลบรารีที่มีช่องโหว่ ควรย้ายสินทรัพย์ *ไปยังกระเป๋าที่ใช้ CSPRNG (เครื่องสร้างตัวเลขสุ่มที่ปลอดภัยแบบเข้ารหัส)* ทันที

2. สร้าง *seed phrase ใหม่* โดยใช้มาตรฐาน BIP39 เพื่อเพิ่มระดับความปลอดภัย

3. ตรวจสอบและอัปเดต *กระเป๋ากระดาษ (paper wallet) และฮาร์ดวอลเล็ต* ที่อาจได้รับผลกระทบให้ใช้ซอฟต์แวร์เวอร์ชันล่าสุด

เหตุการณ์นี้ถือเป็นบทเรียนสำคัญที่สะท้อนว่า ‘ความสมบูรณ์ของกระบวนการสร้างกระเป๋า’ อาจถูกทำลายลงได้ด้วยเพียงโค้ดผิดพลาดไม่กี่บรรทัด และเป็นการเตือนให้ *ทั้งผู้ใช้และนักพัฒนากระเป๋าเงินให้ความสำคัญกับความสุ่มและแบบจำลองความปลอดภัยมากยิ่งขึ้น*