CEO ของ Ledger และอดีตบอส Mt. Gox เปิดศึกปะทะเดือด กรณีชิปดักข้อมูลในกระเป๋าคริปโต เสียหายกว่า 90 ล้านดอลลาร์

ศึกเปิดหน้าชนครั้งใหญ่ เรื่องความปลอดภัยในโลกคริปโต

ลองจินตนาการว่าคุณซื้อแม่กุญแจดิจิทัลสุดล้ำมาเพื่อปกป้องเงินเก็บทั้งชีวิต แต่กลับพบว่ามีใครบางคนแอบใส่ดักฟังไว้ข้างใน ตั้งแต่ก่อนที่มันจะส่งมาถึงบ้านคุณเสียอีก

ฝันร้ายแบบนี้นี่แหละครับที่เป็นชนวนเหตุของการโต้เถียงสุดเดือด ระหว่างสองคนดังในวงการคริปโต อย่าง Pascal Gauthier ประธานเจ้าหน้าที่บริหารของ Ledger และ Mark Karpelès อดีตผู้บริหาร Mt. Gox

ความขัดแย้งนี้เริ่มมาจากอุปกรณ์สอดไส้ดักข้อมูลที่แนบเนียน ซึ่งถูกพบในอุปกรณ์ Cold Storage ของ Ledger โดย Karpelès อ้างว่า หาก Ledger ออกมาเตือนให้ชัดเจนและเร็วกว่านี้ ก็อาจช่วยให้นักลงทุนคริปโตไม่ต้องเสียเงินให้กับแฮกเกอร์มากกว่า 90 ล้านดอลลาร์ อย่างไรก็ตาม Ledger ได้ออกมาปกป้องการกระทำของตัวเองอย่างแข็งกร้าว จนกลายเป็นการตอบโต้ส่วนตัวที่ดุเดือดของทั้งสองฝ่าย

กลเม็ดชิปสอดไส้ แอบฉกเงินคริปโตไปได้อย่างไร?

เพื่อจะเข้าใจว่าทำไมเรื่องนี้ถึงกลายเป็นประเด็นร้อน เราต้องมาดูกันก่อนว่าการโจมตีผ่านห่วงโซ่อุปทาน (Supply Chain Attack) ทำงานอย่างไร

เวลาคุณตั้งค่า Hardware Wallet ตัวเครื่องจะสร้างชุดคำกู้คืน 24 คำขึ้นมา ซึ่งเจ้า Seed Phrase นี้เปรียบเหมือนกุญแจดอกสำคัญที่เข้าถึงสินทรัพย์ดิจิทัลของคุณทั้งหมด ใครก็ตามที่รู้คำพวกนี้ ก็จะสามารถเข้าควบคุมและโอนเงินของคุณไปจากมุมไหนของโลกก็ได้

ในเหตุการณ์โจมตีนี้ ผู้ประสงค์ร้ายได้ดักแกะกล่อง Hardware Wallet ของจริงระหว่างขั้นตอนการจัดส่ง พวกเขาตั้งใจแกะกรอบพลาสติกออกอย่างระมัดระวัง แล้วบัดกรีแผงวงจรจิ๋วพิเศษ ลงไปบนแผงวงจรหลักภายในเครื่อง

พอผู้ใช้งานที่ไม่รู้อีโนอีเนนำเครื่องใหม่มาตั้งค่า ชิปที่ซ่อนอยู่ก็จะแอบคัดลอกชุดคำ 24 คำเก็บไว้เงียบๆ จากนั้นอุปกรณ์ที่ถูกดัดแปลงจะส่งคำลับเหล่านี้กลับไปหาแก๊งโจร เพื่อให้พวกเขาสามารถแอบสูบเงินออกไปได้จากระยะไกล

ข้อถกเถียงเรื่องไทม์ไลน์: Ledger รู้เรื่องนี้เมื่อไหร่กันแน่?

Mark Karpelès ได้ช่วยชี้ให้เห็นถึงภัยคุกคามนี้ หลังจากที่เขาแกะกล่อง Ledger สภาพใหม่เอี่ยม แล้วพบแผงวงจรประหลาดเพิ่มเข้ามา เขาอ้างว่า Ledger รับรู้เรื่องชิปสอดไส้สุดไฮเทคนี้มาตั้งแต่เดือนมีนาคมแล้ว

Karpelès ได้ชี้ไปที่คู่มือความปลอดภัยที่เผยแพร่เมื่อวันที่ 6 มีนาคม ซึ่งมีรูปภาพของชิปดักข้อมูลทั้งแบบทำมือและแบบผลิตจำนวนมาก เขายืนยันว่าหากมีการเตือนประชาชนอย่างชัดเจนและตรงไปตรงมาตั้งแต่ตอนนั้น ก็อาจช่วยป้องกันความเสียหายหลักหลายสิบล้านดอลลาร์ของผู้ใช้ได้

อย่างไรก็ตาม ไทม์ไลน์ดังกล่าวยังมีความไม่ชัดเจนอยู่ เพราะบทความความปลอดภัยนั้นถูกอัปเดตใหม่ในเดือนกันยายน ทำให้เกิดคำถามว่ารูปภาพเหล่านั้นถูกใส่เข้ามาตั้งแต่แรกจริงๆ หรือเพิ่งมาเพิ่มทีหลัง

ขอแก้ไขข้อมูลครับ: ที่ผมเคยบอกว่า @Ledger ไม่ได้พูดถึงเรื่องชิปสอดไส้เลยทั้งที่รู้เรื่องแล้ว – จริงๆ พวกเขาได้โพสต์บทความใน Academy ตั้งแต่เดือนมีนาคม 2026 ซึ่งพูดถึงเรื่องนี้ และแนะนำให้สั่งซื้อโดยตรงหรือซื้อจากตัวแทนจำหน่ายที่ได้รับอนุญาตเท่านั้น — Mark Karpelès

แม้ว่า Karpelès จะออกมาแก้ไขคำพูดเดิม หลังจากเห็นบทความให้ความรู้ของ Ledger ในเดือนมีนาคมแล้ว แต่เขาก็ยังคงยืนยันว่าทางบริษัทควรสั่นกระดิ่งเตือนภัยให้ชัดเจนกว่านี้

จุดบอดของซอฟต์แวร์: ทำไมระบบ 'Genuine Check' ถึงตรวจไม่เจอ?

หนึ่งในประเด็นที่น่ากังวลที่สุด คือข้อจำกัดของเครื่องมือตรวจสอบซอฟต์แวร์ในตัวของ Ledger ที่เรียกว่า Genuine Check

เวลาผู้ใช้งานเสียบเชื่อมต่ออุปกรณ์ Genuine Check จะสื่อสารกับชิป Secure Element ของแท้ในกระเป๋า เพื่อยืนยันว่าตัวเครื่องเป็นของแท้และไม่ได้ถูกดัดแปลง

Ledger ยอมรับว่า Genuine Check ไม่สามารถตรวจจับชิปสอดไส้ทางกายภาพได้ ตราบใดที่ชิปความปลอดภัยของเดิมยังอยู่ครบ เนื่องจากคนร้ายใช้สอดไส้ชิปดักข้อมูลพ่วงเข้าไปกับชิปแท้ ไม่ได้ถอดชิปเดิมออก ทำให้การตรวจสอบซอฟต์แวร์ผ่านฉลุยโดยไม่มีการเตือนผู้ใช้เลย

การเปิดศึกส่วนตัว กับบาดแผลในอดีตของ Mt. Gox

เมื่อการตอบโต้ขยายวงกว้างในที่สาธารณะ Pascal Gauthier CEO ของ Ledger ได้ออกมาปกป้องบริษัท และขอให้ Karpelès พูดเฉพาะข้อเท็จจริงเท่านั้น แต่ไม่นานการถกเถียงก็เริ่มลามไปสู่เรื่องส่วนตัว

พูดยังกับตัวเองไม่ใช่ CEO ของ Mt. Gox อย่างนั้นแหละ... ตื่นครับเพื่อน คุณไม่อัศวินขี่ม้าขาวหรอก — Pascal Gauthier

Gauthier กำลังย้อนถึงการล่มสลายครั้งใหญ่ของกระดานเทรด Mt. Gox ในปี 2014 ซึ่งภายใต้การนำของ Karpelès ทาง Mt. Gox ได้ทำ Bitcoin สูญหายไปราวๆ 850,000 BTCBTC+0.06% หลังจากโดนเจาะระบบความปลอดภัยสะสมมานานหลายปีโดยไม่รู้ตัว

ด้าน Karpelès ก็สวนกลับว่า การที่เขาเคยผ่านฝันร้ายด้วยตัวเองมาแล้ว นั่นแหละคือเหตุผลว่าทำไมวันนี้เขาถึงพยายามผลักดันมาตรฐานความปลอดภัยระดับสูงให้กับทั้งอุตสาหกรรม

การตื่นตัวทั่วทั้งอุตสาหกรรม ต่อภัยคุกคามห่วงโซ่อุปทาน

ประเด็นดราม่าที่เกิดขึ้น ได้ส่งผลให้ผู้ผลิต Hardware Wallet เริ่มปรับเปลี่ยนวิธีจัดการช่องทางการจัดส่งแล้ว ดังนี้:

• ระงับการขายผ่านตัวแทน: Ledger ได้สั่งระงับการขายผ่าน CryptoBilis ซึ่งเป็นตัวแทนจำหน่ายรายย่อยทันที หลังมีความกังวลเรื่องความปลอดภัยในห่วงโซ่อุปทานเพิ่มสูงขึ้น
• ความกังวลระบาดในยุโรป: เริ่มมีรายงานพบอุปกรณ์ถูกดัดแปลงโผล่ตามประเทศต่างๆ ในยุโรป ทำให้เกิดคำถามเป็นวงกว้างเกี่ยวกับเส้นทางการจัดส่งของบริษัทขนส่งรายย่อย
• คู่แข่งเริ่มขยับ: Trezor ค่ายคู่แข่ง ประกาศแผนลดเครือข่ายตัวแทนจำหน่ายรายย่อยลง เพื่อลดความเสี่ยงจากการถูกแทรกแซงในขั้นตอนขนส่ง

เรื่องนี้มีความหมายอย่างไร ต่อความปลอดภัยในการดูแลสินทรัพย์ด้วยตัวเอง?

สำหรับสายคริปโตที่ใช้งาน Cold Storage เรื่องนี้ช่วยย้ำเตือนจุดสำคัญมากๆ เกี่ยวกับความปลอดภัยของฮาร์ดแวร์

เพราะต่อให้เป็น Hardware Wallet ของแท้ ก็อาจไม่สามารถปกป้องเงินของคุณได้เต็มร้อย หากตัวเครื่องถูกดักจับและดัดแปลงก่อนจะส่งมาถึงมือคุณ ผู้เชี่ยวชาญด้านความปลอดภัยจึงแนะนำขั้นตอนต่อไปนี้ เพื่อลดความเสี่ยงจากห่วงโซ่อุปทาน:

• สั่งซื้อจากผู้ผลิตโดยตรงเท่านั้น: ควรสั่งซื้อ Hardware Wallet จากเว็บไซต์ทางการของผู้ผลิตโดยตรง หลีกเลี่ยงร้านค้าบุคคลที่สามหรือมาร์เก็ตเพลสออนไลน์ทั่วไป
• ตรวจเช็กกล่องและบรรจุภัณฑ์อย่างละเอียด: สังเกตตัวกล่อง พลาสติกหุ้ม และตัวเครื่องอย่างละเอียดว่ามีร่องรอยการแกะ คราบกาว หรือรอยต่อที่ดูผิดแปลกไปหรือไม่
• เปิดใช้งาน Passphrase เพิ่มเติม: การเปิดใช้ Passphrase Extra (หรือที่เรียกกันว่าคำที่ 25) จะช่วยเพิ่มเกราะป้องกันอีกชั้น แม้ว่าชุดคำ 24 คำหลักจะหลุดไปก็ตาม
• ติดตามข่าวสารความปลอดภัยอย่างสม่ำเสมอ: คอยเช็กประกาศแจ้งเตือนความปลอดภัยจากช่องทางหลักของผู้ผลิตเป็นประจำ เพื่ออัปเดตข้อมูลเรื่องความปลอดภัยในการจัดส่ง