Ledger ราคาถูกเกือบครึ่ง แต่มีอุปกรณ์แอบฝังดูดเงินผ่านร้าน CryptoBilis

ยอดคริปโตที่สงสัยว่าถูกขโมยเกิน 86 ล้านดอลลาร์ เป็นประมาณการของนักสืบ Specter แปลว่าเงินที่เสี่ยงสูญหายมีมูลค่าหลายสิบล้านดอลลาร์ แต่ Ledger ยังไม่ยืนยันยอดนี้ (Decrypt) บริษัทผู้ผลิตกระเป๋าคริปโตยืนยันเมื่อ 10 ต.ค. ว่าพบอุปกรณ์แอบฝังในเครื่องที่ขายผ่าน CryptoBilis อย่างน้อยหนึ่งเครื่อง (CoinDesk)

เครื่องที่ถูกดัดแปลงมีรายงานว่าขายราคาเกือบครึ่งของของเดิม แปลว่าผู้ซื้อจ่ายค่าเครื่องน้อยลงมาก แต่รับความเสี่ยงที่มองจากราคาขายไม่เห็น (BleepingComputer) สำหรับคนที่เลือกอุปกรณ์นี้เพื่อเก็บเงินให้ปลอดภัย เรื่องสำคัญจึงเริ่มตั้งแต่ร้านที่ส่งของมา ผมจะเล่าเฉพาะข้อมูลในรายงานที่ให้มา ยังไม่ได้ตรวจเครื่องจริงเองครับ

สรุป 30 วินาที: เกิดอะไรขึ้น

Ledger ทำ hardware wallet หรืออุปกรณ์เก็บข้อมูลลับที่ใช้ควบคุมและอนุมัติการโอนคริปโต โดยข้อมูลลับนี้เรียกว่า private key (BleepingComputer) ข่าวนี้เกี่ยวกับอุปกรณ์ที่ผ่าน CryptoBilis ร้านในมาเลเซียซึ่งให้บริการในเอเชียตะวันออกเฉียงใต้ ไม่ได้หมายความว่าเครื่องทุกเครื่องของ Ledger ถูกดัดแปลง (CoinDesk)

เมื่อ 9 ต.ค. Ledger เริ่มสอบสวนรายงานเงินหาย พร้อมขอให้ CryptoBilis หยุดขายและส่งเครื่อง (BleepingComputer) ต่อมาบริษัทระบุว่าเคสเงินไหลออกที่ยืนยันแล้วทั้งหมดเกี่ยวข้องกับเครื่องจากร้านนี้ และ CryptoBilis ยืนยันว่าหยุดขายกระเป๋าฮาร์ดแวร์แล้ว (Decrypt)

คำแนะนำเร่งด่วนของ Ledger คือ ถ้าซื้อจาก CryptoBilis แล้วยังไม่ตั้งค่า อย่าเริ่มตั้งค่า (CoinDesk) ถ้าตั้งค่าแล้ว บริษัทให้ย้ายทรัพย์สินไปเครื่องใหม่จาก Ledger โดยใช้ seed ใหม่ ซึ่งหมายถึงชุดคำลับสำหรับกู้คืนกระเป๋าชุดใหม่ (Decrypt) ซื้อเครื่องใหม่อย่างเดียวจึงยังไม่ตรงกับคำแนะนำ ต้องเปลี่ยนชุดคำลับด้วยครับ

ทำไมเรื่องนี้เกี่ยวกับคุณ

CoinDesk ระบุพื้นที่ดำเนินงานของ CryptoBilis ว่ามีอินโดนีเซีย มาเลเซีย และฟิลิปปินส์ (CoinDesk) แหล่งที่อ่านไม่ได้ยืนยันผู้เสียหายในไทย จึงยังกล่าวไม่ได้ว่าคนไทยถูกดูดเงินในเหตุนี้ แต่คนไทยที่กำลังซื้อผ่านร้านต่างประเทศควรตรวจชื่อผู้ขายของคำสั่งซื้อให้ชัด

ถ้าคุณเลือกซื้อผ่าน Shopee, Lazada หรือ Facebook Marketplace ให้ใช้ข่าวนี้เป็นเหตุผลกลับไปตรวจร้าน โดยไม่ได้กล่าวหาว่าแพลตฟอร์มเหล่านี้เกี่ยวข้องกับเหตุการณ์ ทางเลือกที่ควรใช้คือร้านทางการหรือผู้ขายที่ตรวจชื่อได้จากรายชื่อของผู้ผลิต ตามคำเตือนของ Ledger ให้หลีกเลี่ยงผู้ขายที่ไม่ได้รับอนุญาต (BleepingComputer) อย่าอาศัยชื่อแบรนด์ในหัวประกาศขายแทนการตรวจตัวร้าน

การตรวจเส้นทางซื้อมีเหตุผลมากกว่าแค่กลัวของปลอม เพราะ Tibane Labs พบตัวอย่างดัดแปลงที่ซื้อผ่าน Amazon Japan และ Yahoo! Auctions ในญี่ปุ่น (BleepingComputer) ตัวอย่างจาก Amazon Japan มาจากผู้ขายในจีนและส่งจากมาเลเซียตามรายงานเดียวกัน ข้อมูลนี้เป็นผลตรวจตัวอย่างของนักวิจัย ไม่ได้ยืนยันว่าเคสเหล่านั้นทั้งหมดเป็นของ CryptoBilis

ถ้าเครื่องดูเป็นของแท้ แล้วเงินยังหายได้อย่างไร? คำตอบอยู่ที่สิ่งที่ถูกเพิ่มเข้าไปในเครื่อง ไม่ได้อยู่ที่ชื่อร้านออนไลน์เพียงอย่างเดียวครับ

ทำงานยังไง

Recovery phrase คือชุดคำลับที่ใช้กู้คืนกระเป๋า โดยรายงานนี้กล่าวถึงการขโมยชุดคำดังกล่าวผ่านอุปกรณ์ที่แอบติดตั้งในเครื่อง (Crypto Briefing) สิ่งที่นักวิจัยเรียกว่า implant จึงหมายถึงฮาร์ดแวร์ที่ถูกเพิ่มโดยไม่ได้รับอนุญาต ไม่ใช่เพียงข้อความหลอกให้คลิกลิงก์ (BleepingComputer)

Mark Karpelès อธิบายว่าอุปกรณ์แอบฝังจับข้อมูลที่แสดงบนจอและการกดปุ่ม เพื่อระบุชุดคำกู้คืน (BleepingComputer) จากนั้นส่งข้อมูลผ่าน LTE ซึ่งเป็นเครือข่ายมือถือ โดยใช้ eSIM หรือซิมที่อยู่ในรูปชิ้นส่วนอิเล็กทรอนิกส์ (BleepingComputer) อธิบายแค่นี้ก็พอเห็นความเสี่ยง โดยไม่ต้องรู้วิธีประกอบอุปกรณ์ของคนร้าย

Tibane Labs ยืนยันข้อค้นพบของ Karpelès และรายงานว่าพบรูปแบบอุปกรณ์แอบฝังที่แตกต่างกัน (BleepingComputer) บริษัท Ledger ยืนยันการดัดแปลงทางกายภาพแล้ว แต่ยังไม่เปิดรายละเอียดแน่ชัดว่าเกิดขึ้นเมื่อใดหรือขั้นตอนไหน (BleepingComputer) ต้องแยกผลตรวจตัวอย่างของนักวิจัยออกจากขอบเขตที่บริษัทยืนยัน

ลองนึกถึงการ ซื้อตู้เซฟมือสองราคาถูกที่โจรแอบฝังกล้องไว้ในฝาตู้ ครับ ตัวล็อกอาจทำงานตามปกติ แต่ตอนคุณตั้งรหัส กล้องกลับเห็นสิ่งที่ควรมีคุณรู้คนเดียว อุปมานี้อธิบายว่าทำไมการตรวจส่วนหลักของเครื่องอาจไม่ครอบคลุมสิ่งที่ถูกเพิ่มภายหลัง

จุดหักมุม: ผ่านการตรวจของแท้ก็ยังไม่จบ

Ledger มี Genuine Check หรือกระบวนการตรวจว่าอุปกรณ์เป็นของแท้ แต่บริษัทเตือนว่ามันตรวจไม่พบอุปกรณ์แอบฝังที่เพิ่มเข้ามา หาก Secure Element ยังอยู่ครบ (BleepingComputer) Secure Element คือชิปความปลอดภัยส่วนหลักของเครื่อง การตรวจผ่านจึงมีขอบเขตของมันครับ

แต่สิ่งที่ต้องระวังคือการตีความผลตรวจให้กว้างเกินไป ของแท้กับของที่ไม่เคยถูกดัดแปลง เป็นสิ่งที่ต้องตรวจคนละประเด็น ตามข้อจำกัดที่ Ledger แจ้งไว้ (BleepingComputer) อย่าใช้ผลผ่าน Genuine Check เป็นเหตุให้ข้ามคำเตือนสำหรับเครื่องจาก CryptoBilis

เรื่องเงิน / ผลกระทบ

ตัวเลขในพาดหัว Decrypt อยู่ที่ประมาณ 87 ล้านดอลลาร์ โดยยังเป็นยอดสงสัย แปลว่าขนาดความเสียหายที่ข่าวกำลังพูดถึงยังไม่ใช่ยอดปิดบัญชีของ Ledger (Decrypt) ในเนื้อหาข่าวเดียวกัน Specter ประเมินยอดเกิน 86 ล้านดอลลาร์ แปลว่าแม้แต่ตัวเลขที่หยิบไปเล่าก็ต้องระบุที่มาและสถานะทุกครั้ง (Decrypt)

Crypto Briefing รายงานว่า Tether บริษัทผู้ออกเหรียญ USDT อายัดเงินที่เกี่ยวข้องได้ประมาณ 10 ล้านดอลลาร์ แปลว่ามีเงินบางส่วนถูกหยุดไว้ แต่ยังไม่ครอบคลุมยอดเสียหายประมาณการทั้งหมด (Crypto Briefing) การอายัดก็ไม่ควรถูกอ่านเป็นคำรับประกันว่าผู้เสียหายทุกคนได้รับเงินคืนแล้ว แหล่งที่อ่านยังไม่ได้ให้ข้อสรุปเช่นนั้น

สำหรับคนที่ซื้อมาเก็บเงินส่วนตัว ค่าเครื่องเป็นเพียงค่าใช้จ่ายตอนเริ่มต้น ข่าวนี้ชี้ให้ตรวจความเสี่ยงของทรัพย์สินที่กำลังจะใส่เข้าไปด้วย ตามคำแนะนำ Ledger ให้เปลี่ยนทั้งเครื่องและ seed สำหรับผู้ที่ตั้งค่าเครื่องจากร้านนี้แล้ว (CoinDesk) คริปโตเป็นสินทรัพย์ความเสี่ยงสูงอยู่แล้ว ประโยคนี้เป็นข้อเตือนทั่วไป ไม่ใช่คำแนะนำซื้อหรือขาย

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

ยอดเงินยังไม่ตรงกัน CoinDesk อ้างประมาณการนักวิจัยที่ 86–93 ล้านดอลลาร์ แปลว่าเป็นช่วงประเมินที่ยังไม่ใช่ยอดยืนยันของบริษัท (CoinDesk) Crypto Briefing ให้ช่วงประมาณการ 72–93.2 ล้านดอลลาร์ แปลว่าขอบล่างและขอบบนต่างจากอีกสำนัก (Crypto Briefing) แหล่งที่มีไม่ได้อธิบายวิธีคำนวณจนเทียบกันได้ จึงไม่ควรเลือกตัวเลขใดเป็นยอดจริง

จำนวนกระเป๋าก็ต่างกัน CoinDesk รายงานประมาณการมากกว่า 300 กระเป๋า แปลว่าเป็นจำนวนที่นักวิจัยนับ ไม่ใช่จำนวนเครื่องที่ Ledger ยืนยัน (CoinDesk) Crypto Briefing ให้ประมาณการ 311–315 กระเป๋า แปลว่าขอบเขตการนับแคบกว่าในรายงานนั้น (Crypto Briefing) ส่วน YFarmX อ้างว่าส่งรายชื่อมากกว่า 450 กระเป๋าให้ Ledger แปลว่าเป็นข้อค้นพบอีกชุดที่ Decrypt ระบุว่ายังไม่ได้ตรวจยืนยันอย่างอิสระ (Decrypt)

เสียงที่สนับสนุนขอบเขตจำกัด คือ Ledger ซึ่งยืนยันว่าเคสที่ตรวจยืนยันแล้วโยง CryptoBilis และระบบภายในกับช่องทางขายตรงไม่ได้รับผลกระทบ (CoinDesk) Crypto Briefing ก็แยกระหว่างช่องทางของบริษัทกับผู้จัดจำหน่ายที่เกี่ยวข้อง ตามข้อมูลที่มีขณะรายงาน (Crypto Briefing) นี่เป็นขอบเขตหลักฐานปัจจุบัน ไม่ใช่คำยืนยันผลสอบสวนล่วงหน้า

เสียงที่เรียกร้องให้ขยายการตอบสนอง คือผู้ใช้ X ชื่อ Johannes ซึ่งอ้างว่าพบเครื่องดัดแปลงจากร้านในยุโรปและขอให้เรียกคืนสินค้า (Decrypt) Decrypt ระบุชัดว่าข้อกล่าวอ้างนี้ยังไม่ได้ตรวจยืนยันอย่างอิสระ จึงยังนับเป็นเคสยุโรปที่ยืนยันแล้วไม่ได้ เสียงค้านนี้ควรรับรู้พร้อมสถานะหลักฐาน ไม่ควรนำไปขยายแผนที่ผู้เสียหายทันที

สถานะร้านใช้คำต่างกัน Decrypt ระบุว่า CryptoBilis หยุดขายกระเป๋าฮาร์ดแวร์ทั้งหมด ขณะที่ Crypto Briefing ใช้คำว่าหยุดดำเนินงานระหว่างสอบสวน (Decrypt, Crypto Briefing) จึงสรุปได้เรื่องหยุดขาย แต่ยังไม่ควรเติมว่าร้านปิดถาวร ส่วนข้อสงสัยเรื่องเปลี่ยนเจ้าของร้านยังเป็นเรื่องไม่ยืนยันตามรายงาน (CoinDesk)

เวลาที่เครื่องถูกดัดแปลง จำนวนเครื่องทั้งหมด และตัวตนผู้กระทำยังไม่มีข้อสรุปในแหล่งที่อ่าน (BleepingComputer) ผมจึงไม่ระบุรุ่นทั้งหมดที่เสี่ยง หรือแต่งรายชื่อร้านในไทยเพิ่มจากข้อมูลนี้ วันที่ยืนยันอุปกรณ์แอบฝังคือ 10 ต.ค. และวันที่อัปเดตขอบเขตเคสคือ 11 ต.ค. ตาม CoinDesk เป็นคนละขั้นของการสอบสวน (CoinDesk)

แล้วเราควรทำอะไร

คนทั่วไปที่ซื้อจาก CryptoBilis

1. ตรวจคำสั่งซื้อให้แน่ก่อนเริ่มใช้ ถ้าผู้ขายคือ CryptoBilis และเครื่องยังไม่ตั้งค่า ให้หยุดตามคำแนะนำ Ledger ไม่ต้องเปิดตั้งค่าเพื่อพิสูจน์ว่าใช้งานได้ (CoinDesk)
2. ถ้าตั้งค่าแล้ว ให้ใช้เครื่องใหม่และชุดคำกู้คืนใหม่ Ledger แนะนำเครื่องที่ซื้อจากบริษัทโดยตรง อย่านำชุดคำเดิมกลับมาใช้เป็นคำตอบเรื่องความปลอดภัย เพราะคำแนะนำระบุว่าต้องเป็น seed ใหม่ (Decrypt)
3. ติดต่อฝ่ายช่วยเหลือทางการและแจ้งเจ้าหน้าที่ในพื้นที่ CoinDesk รายงานว่า Ledger ขอให้ผู้ได้รับผลกระทบทำทั้งสองอย่าง แนะนำให้เก็บหลักฐานคำสั่งซื้อและเหตุการณ์ไว้ประกอบการติดต่อ โดยไม่แนบชุดคำกู้คืน (CoinDesk)

คนที่กำลังเลือกซื้อผ่านร้านออนไลน์

1. ตรวจรายชื่อร้านกับผู้ผลิต ใช้ร้านทางการหรือผู้ขายที่ตรวจสอบการได้รับอนุญาตได้ โดยยึดคำเตือน Ledger เรื่องผู้ขายนอกช่องทางที่อนุญาต (BleepingComputer) ราคาในประกาศและชื่อแพลตฟอร์มไม่ควรเป็นหลักฐานเพียงอย่างเดียว
2. ตรวจสภาพบรรจุภัณฑ์ก่อนใช้งาน ให้เป็นขั้นตอนระวังเบื้องต้น แต่ไม่ใช้กล่องที่ดูเรียบร้อยลบล้างข้อสงสัย เพราะ Crypto Briefing อธิบายความเสี่ยงจากการเปิด ดัดแปลง และปิดกล่องกลับระหว่างทาง (Crypto Briefing) อย่าใช้ชุดคำกู้คืนที่ผู้ขายตั้งไว้ให้ล่วงหน้า และยึดหลักสร้างชุดคำใหม่จากคำแนะนำ Ledger (CoinDesk)
3. ไม่ส่งชุดคำลับให้คนที่ทักมาช่วย Ledger ระบุว่าจะไม่โทร ไม่ส่งข้อความส่วนตัว และไม่ขอชุดคำกู้คืนจากคุณ (Decrypt) ถ้ามีคนอ้างว่าต้องขอคำลับเพื่อตรวจหรือช่วยคืนเงิน ให้หยุดสนทนาแล้วติดต่อช่องทางทางการเอง

ทีม IT และร้านที่ดูแลอุปกรณ์ให้คนอื่น

1. แยกเครื่องตามแหล่งซื้อ แนะนำให้ตรวจเอกสารจัดซื้อก่อนนำเครื่องไปตั้งค่าให้พนักงานหรือลูกค้า เครื่องจาก CryptoBilis ที่ยังไม่ใช้ต้องหยุดตามคำแนะนำเดียวกับผู้ซื้อทั่วไป (CoinDesk)
2. ไม่เอาสินค้าคืนกลับเข้าสต็อกขาย Ledger ย้ำข้อห้ามนี้กับผู้จัดจำหน่ายและร้านที่ได้รับอนุญาต พร้อมให้รับสินค้าจากช่องทางที่อนุญาตเท่านั้น (BleepingComputer) ข้อนี้เกี่ยวกับกระบวนการรับของ ไม่ใช่แค่การตรวจซอฟต์แวร์
3. อธิบายขอบเขต Genuine Check ให้ผู้ใช้งานเข้าใจ อย่ารับรองว่าไม่มีการดัดแปลงเพียงเพราะตรวจของแท้ผ่าน ข้อจำกัดเรื่องอุปกรณ์แอบฝังเป็นสิ่งที่ Ledger แจ้งไว้โดยตรง (BleepingComputer)

ผมมองว่า…

ผมมองว่าเรื่องนี้ ไม่ใช่การแข่งขันว่าใครซื้อเครื่องได้ถูกที่สุด แต่คือการตรวจว่าเครื่องเดินทางผ่านมือใครก่อนถือข้อมูลลับของเรา ผลตรวจของแท้ยังมีประโยชน์ แต่ต้องใช้พร้อมความเข้าใจว่าตรวจอะไรได้บ้าง การเลือกร้านจึงเป็นส่วนหนึ่งของการดูแลเงิน ไม่ใช่รายละเอียดที่คิดทีหลังเมื่อโอนทรัพย์สินเข้าไปแล้ว

ผมมองว่าการย้ายด้วยชุดคำใหม่เป็นใจความที่ต้องจำให้แม่นกว่ายอดเสียหายในพาดหัว ตัวเลขอาจเปลี่ยนเมื่อสอบสวนเพิ่ม แต่ผู้ซื้อทำตามคำแนะนำที่ประกาศแล้วได้ทันที ส่วนผู้ซื้อจากร้านอื่นควรตรวจแหล่งที่มาอย่างมีเหตุผล โดยไม่กล่าวหาว่าทุกร้านมีเครื่องดัดแปลงจากหลักฐานที่ยังไม่ครบ

ปิดท้าย: สิ่งที่ต้องจับตา

ความปลอดภัยของกระเป๋าคริปโตเริ่มตั้งแต่การรับเครื่องมาจากแหล่งที่ตรวจสอบได้ จับตาว่าการสอบสวนจะขยายขอบเขตจากข้อมูลที่ Ledger อัปเดตเมื่อ 11 ต.ค. หรือไม่ และบริษัทจะปรับการควบคุมร้านตัวแทนอย่างไรตามที่ประกาศว่ากำลังทบทวน (CoinDesk) อีกเรื่องคือยอดเสียหายที่ยืนยันได้และการคืนทรัพย์สิน ซึ่ง Crypto Briefing ระบุว่ายังต้องติดตามผลการสอบสวนกับการติดตามเงินต่อ (Crypto Briefing)

ถ้าคุณเคยซื้อกระเป๋าฮาร์ดแวร์ ตอนเลือกซื้อคุณตรวจชื่อร้านกับผู้ผลิต หรือดูเพียงราคาและคะแนนรีวิวครับ?

Recap

• เกิดอะไรขึ้น: Ledger ยืนยันอุปกรณ์แอบฝัง และเคสเงินหายที่ยืนยันแล้วโยงเครื่องจาก CryptoBilis
• ตัวเลขที่ต้องจำ: ยอดเกิน 86 ล้านดอลลาร์เป็นประมาณการของ Specter แปลว่า Ledger ยังไม่ยืนยันยอดเสียหายนี้
• ใครเห็นต่าง: Ledger ระบุขอบเขตเคสที่ยืนยันแล้ว ส่วน Johannes ขอให้เรียกคืนโดยอ้างเครื่องในยุโรปที่ยังไม่ยืนยันอย่างอิสระ
• ข้อมูลขัดกัน: สำนักข่าวให้ช่วงประมาณการยอดเงินและจำนวนกระเป๋าต่างกัน ห้ามนำไปนับเป็นจำนวนเครื่องที่บริษัทยืนยัน
• ยังไม่รู้อะไร: จำนวนเครื่องทั้งหมด จุดที่ถูกดัดแปลง และผู้กระทำยังไม่มีข้อสรุปจากแหล่งที่อ่าน
• กระทบคุณอย่างไร: ยังไม่มีข้อมูลยืนยันเคสไทย แต่คนซื้อจากร้านนี้ต้องหยุดตั้งค่า หรือย้ายไปเครื่องใหม่พร้อม seed ใหม่
• สิ่งที่ต้องจับตา: ผลสอบสวน ขอบเขตผู้เสียหาย และการปรับการควบคุมผู้ขายของ Ledger
• แหล่งอ้างอิง: 1 — BleepingComputer · 2 — CoinDesk · 3 — Decrypt · 4 — Crypto Briefing