ข่าว 
ข้อมูลเหรียญ 
แนะนำสื่อ 
เลดเจอร์ (Ledger) ออกมาปฏิเสธข้อกล่าวหาของ TestMachine เกี่ยวกับช่องโหว่ความปลอดภัยในแอปอีเธอเรียม(ETH) บนกระเป๋าฮาร์ดแวร์ของบริษัท พร้อมยืนยันว่าได้แก้ไขปัญหาดังกล่าวเรียบร้อยแล้ว ทำให้ข้อพิพาทด้านความปลอดภัยกลายเป็นประเด็นเรื่องขั้นตอนการเปิดเผยข้อมูลแทน
AMBCrypto รายงานเมื่อวันที่ 23 (เวลาท้องถิ่น) ว่า ชาร์ลส์ กีเยเมต์ (Charles Guillemet) ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยี (CTO) ของเลดเจอร์ ออกมาชี้แจงผ่านโพสต์สาธารณะว่าปัญหาที่ถูกกล่าวถึงนั้นได้รับการแก้ไขไปแล้ว โดยบันทึกการเปลี่ยนแปลงในที่เก็บโค้ด app-ethereum ของเลดเจอร์ระบุว่าแอปอีเธอเรียมเวอร์ชัน 1.22.2 เผยแพร่เมื่อวันที่ 12 และรายการแก้ไขระบุไว้ว่า ‘Security issues’
ก่อนหน้านี้เวอร์ชัน 1.22.0 มีการเพิ่มฟีเจอร์ ‘Clear-signing gating support’ เข้ามาแล้ว โดยข้อพิพาทครั้งนี้เริ่มต้นจากคำถามที่ว่ารายละเอียดธุรกรรมที่แสดงบนหน้าจอกระเป๋าฮาร์ดแวร์อาจไม่ตรงกับข้อมูลที่ถูกลงนามจริงหรือไม่
เอกสารสนับสนุนของเลดเจอร์แยกแยะระหว่าง ‘Clear Signing’ และ ‘Blind Signing’ ไว้ในการตั้งค่าแอปอีเธอเรียม พร้อมระบุว่าการลงนามที่ผู้ใช้ไม่สามารถอ่านรายละเอียดธุรกรรมได้อย่างชัดเจนถือเป็นความเสี่ยง
การทำ Clear Signing คือขั้นตอนที่ผู้ใช้อ่านและอนุมัติรายละเอียดธุรกรรมบนหน้าจอของอุปกรณ์เอง ความน่าเชื่อถือของกระเป๋าฮาร์ดแวร์จึงตั้งอยู่บนหลักการที่ว่าผู้ใช้ต้องตรวจสอบข้อมูลที่แสดงบนหน้าจอของตัวเครื่องโดยตรง ไม่ใช่ผ่านหน้าจอภายนอกอื่นใด
ฝั่ง TestMachine อ้างว่าเครื่องมือ Azimuth ของบริษัทสแกนพบปัญหาในแอปอีเธอเรียมของเลดเจอร์ และได้ทดสอบยืนยันบนอุปกรณ์ Ledger Flex มีรายงานว่าบริษัทปฏิเสธค่าตอบแทนจากโครงการบั๊กบาวน์ตี้ และเผยแพร่กระทู้สาธารณะเกี่ยวกับเรื่องนี้ด้วย
อย่างไรก็ตาม คำอธิบายที่ว่าอุปกรณ์รุ่น Nano X, Nano S Plus, Stax และ Apex ได้รับผลกระทบไปด้วยนั้นเป็นคำกล่าวอ้างฝ่าย TestMachine เท่านั้น ไม่ใช่ขอบเขตผลกระทบที่เลดเจอร์ยืนยันอย่างเป็นทางการ
กีเยเมต์กล่าวว่า “มีการสร้างความหวาดกลัวขึ้นเพื่อดึงความสนใจ” พร้อมวิจารณ์ว่า TestMachine ติดต่อโครงการบั๊กบาวน์ตี้ของเลดเจอร์หลังจากที่มีการเผยแพร่เวอร์ชันแก้ไขไปแล้ว และการเผยแพร่กระทู้สาธารณะทำให้ดูเหมือนว่าปัญหายังไม่ได้รับการแก้ไข คำวิจารณ์นี้ชี้ให้เห็นว่าประเด็นที่เลดเจอร์ให้ความสำคัญคือจังหวะเวลาของการเปิดเผยข้อมูล มากกว่าตัวช่องโหว่เอง
สิ่งที่เลดเจอร์มีปัญหาด้วยไม่ใช่การชี้ช่องโหว่ในตัวเอง แต่เป็นขั้นตอน ‘การเปิดเผยอย่างรับผิดชอบ’ (responsible disclosure) ซึ่งในวงการความปลอดภัยไซเบอร์มักมีลำดับขั้นตอนคือ แจ้งช่องโหว่ ตรวจสอบซ้ำให้เกิดผลจริง เผยแพร่การแก้ไข แล้วจึงเปิดเผยต่อสาธารณะ เพื่อลดความเสียหายต่อผู้ใช้และโอกาสถูกนำไปใช้โจมตีจริง
นโยบายบั๊กบาวน์ตี้ของทีม Ledger Donjon ก็ตั้งอยู่บนหลักการเปิดเผยช่องโหว่แบบมีการประสานงานเช่นกัน โดยกรณีช่องโหว่ในตัวอุปกรณ์หรือแอปแบบฝังตัว นโยบายกำหนดให้ต้องมีหลักฐานพิสูจน์แนวคิด (PoC) ที่ทำซ้ำได้จริงผ่านคำสั่ง APDU บนอุปกรณ์จริงหรือระบบจำลอง
ส่วนกรณีปัญหาเกี่ยวกับหน้าจอแสดงผลหรือ Clear Signing นโยบายเดียวกันระบุว่าต้องแสดงให้เห็นว่าหน้าจออุปกรณ์แสดงข้อมูลที่ผิดพลาดหรือทำให้เข้าใจผิดโดยไม่มีการแจ้งเตือน และมีข้อกำหนดด้วยว่าจะไม่รับรายงานที่สร้างขึ้นโดยเครื่องมืออัตโนมัติหรือระบบ AI เป็นหลัก
TestMachine แนะนำตัวเองว่า Azimuth เป็นเครื่องมือสำหรับวิเคราะห์ช่องโหว่สมาร์ตคอนแทร็กต์และสร้างหลักฐานพิสูจน์แนวคิดสำหรับการโจมตีที่ตรวจสอบได้ ทำให้ประเด็นครั้งนี้ไม่ได้จบแค่ข้อพิพาทเรื่องบั๊กในแอปกระเป๋าเงินธรรมดา แต่ขยายไปถึงคำถามว่าจะนำผลการวิเคราะห์ความปลอดภัยที่ใช้ AI มาปรับให้เข้ากับขั้นตอนเปิดเผยช่องโหว่ของระบบนิเวศกระเป๋าฮาร์ดแวร์ได้อย่างไร
ในวงการความปลอดภัยสินทรัพย์ดิจิทัล กระแสที่เครื่องมือ AI ช่วยลดต้นทุนการตรวจหาช่องโหว่กลายเป็นประเด็นถกเถียงมาก่อนหน้านี้แล้ว โดยก่อนหน้านี้ TokenPost เคยรายงานกรณีข้อพิพาทช่องโหว่ของ Coldcard ที่ลุกลามไปสู่การแข่งขันด้านต้นทุนตรวจสอบความปลอดภัยด้วย AIมาแล้วเช่นกัน
เอกสารสำหรับนักพัฒนาของเลดเจอร์อธิบายมาตรฐาน ERC-7730 ว่าเป็นแนวทางทำให้การแสดงรายละเอียดธุรกรรมระหว่างกระเป๋าเงินกับดีแอปอ่านเข้าใจง่ายและเป็นมาตรฐานเดียวกัน ข้อพิพาทครั้งนี้สะท้อนว่าแม้กระบวนการมาตรฐาน Clear Signing จะเดินหน้าไปพร้อมกัน แต่การนำไปใช้จริงในแอป การแสดงผลบนหน้าจอ และขั้นตอนการรายงานปัญหาก็ยังต้องสอดคล้องกันด้วย
จากข้อมูลที่เปิดเผยต่อสาธารณะในขณะนี้ ยังไม่มีกรณียืนยันได้ว่ามีเงินทุนถูกขโมยจริงจากช่องโหว่นี้โดยเฉพาะ และเนื่องจากเลดเจอร์ยังไม่ได้ออกประกาศแยกต่างหากเพื่อสรุปเงื่อนไขการโจมตีและรุ่นอุปกรณ์ที่ได้รับผลกระทบอย่างละเอียด ขอบเขตความเสี่ยงที่แท้จริงจึงต้องรอความชัดเจนจากเอกสารทางเทคนิคหรือประกาศเพิ่มเติมในระยะต่อไป
ความคิดเห็น 0