เคสตัวแทนจำหน่าย Ledger โดนแฮกบานปลาย หลังเคสโจมตี Cold Wallet กวาดเสียหายทะลุ $200 ล้าน

เรื่องใหญ่เรื่องใหม่! เคสตัวแทนจำหน่าย Ledger ถูกแทรกแซงลามหนักทั่วโลก

เมื่อวันที่ 9 ตุลาคมที่ผ่านมา ชุมชนคริปโตต้องตกตะลึงกับเหตุการณ์ความปลอดภัยครั้งใหญ่ที่เกิดขึ้นกับกระเป๋า Hardware Wallet ของ Ledger การโจมตีผ่านห่วงโซ่อุปทาน (Supply chain attack) ส่งผลให้มีคริปโตถูกขโมยไปรวมมูลค่ากว่า 90 ล้านดอลลาร์ โดยบางแหล่งประเมินว่าอาจสูงถึง 93 ล้านดอลลาร์เลยทีเดียว ปกติแล้ว Hardware Wallet ถูกออกแบบมาเพื่อเก็บ Private Key ไว้แบบออฟไลน์ให้ปลอดภัยจากแฮกเกอร์ออนไลน์ แต่ถ้าตัวเครื่องถูกดัดแปลงแก้ไขตั้งแต่ก่อนจะถึงมือผู้ซื้อ ระบบป้องกันแบบออฟไลน์ก็อาจถูกแทรกแซงได้เช่นกัน

รายงานในตอนแรกระบุว่ามีแหล่งที่มาที่ถูกแทรกแซงเพียงแห่งเดียว คือ Crypto Bilis ร้านค้าปลีกในเอเชียตะวันออกเฉียงใต้ ทว่าการสืบสวนล่าสุดกลับพบว่า ปัญหานี้บานปลายกว้างกว่าที่คิดไว้มาก เพราะมีการยืนยันแล้วว่ามีตัวแทนจำหน่ายอย่างเป็นทางการอย่างน้อย 4 ราย ที่กระจายสินค้า Ledger ซึ่งถูกดัดแปลงไปสู่มือลูกค้าโดยที่พวกเขามิได้สงสัยเลย

เปิดชื่อ 4 ตัวแทนจำหน่ายอย่างเป็นทางการที่พบกระเป๋าถูกดัดแปลง

สิ่งที่ทำให้เรื่องนี้น่ากังวลเป็นพิเศษสำหรับผู้ใช้ก็คือ ร้านค้าที่โดนแทรกแซงทุกแห่งล้วนมีชื่ออยู่บนเว็บไซต์อย่างเป็นทางการของ Ledger ในฐานะตัวแทนจำหน่ายที่ถูกต้องตามกฎหมายทั้งสิ้น และนี่คือรายละเอียดของร้านค้าปลีกที่ได้รับผลกระทบทั้งในเอเชียและยุโรป

1. Meta Pod (สาขาในสนามบินในเอเชีย)

Meta Pod เป็นแบรนด์ร้านค้าปลีกที่เปิดให้บริการในสนามบินนานาชาติหลักๆ ทั่วเอเชีย รวมถึงศูนย์กลางการเดินทางที่คับคั่งในฮ่องกงและมาเลเซีย ทางทีมสืบสวนยืนยันว่า เครื่อง Ledger Flex ที่ซื้อจากสาขาของ Meta Pod ถูกฝังโค้ดอันตรายเอาไว้ตั้งแต่ก่อนทำการซื้อขาย

2. Challenger (สิงคโปร์)

Challenger เป็นห้างร้านจำหน่ายอุปกรณ์อิเล็กทรอนิกส์ชื่อดังในสิงคโปร์ นักวิจัยด้านความปลอดภัยได้สะกดรอยเครื่อง Ledger Flex ที่ถูกดัดแปลงย้อนกลับไปถึงสาขาในห้าง Vivo City โดยก่อนหน้านี้ Darkfost นักวิเคราะห์จาก CryptoQuant เคยจัดให้ Challenger อยู่ในกลุ่มมีความเสี่ยงสูง เนื่องจากที่ตั้งทางภูมิศาสตร์และการเชื่อมโยงด้านโลจิสติกส์กับ Crypto Bilis

3. Media Markt และ Saturn (ยุโรป)

ภัยคุกคามด้านห่วงโซ่อุปทานนี้แพร่กระจายไปถึงยุโรปผ่าน Media Markt Saturn ซึ่งเป็นห้างจำหน่ายเครื่องใช้ไฟฟ้าและอิเล็กทรอนิกส์รายใหญ่ โดยมีการยืนยันแล้วว่า กระเป๋า Ledger ที่ซื้อจาก Media Markt Saturn ถูกฝังโค้ดอันตรายเอาไว้ ขณะเดียวกัน อีกเครื่องหนึ่งที่ซื้อจากสาขา Media Markt Trier ก็กำลังอยู่ระหว่างการสืบสวนอย่างจริงจังว่ามีการดัดแปลงตัวเครื่องหรือไม่

ร้านค้าปลีกทั้งสองแห่งในยุโรปนี้รับสินค้ามาจาก Aqipa GmbH ซึ่งเป็นบริษัทจัดจำหน่ายสินค้าอิเล็กทรอนิกส์ในยุโรป ที่ทำหน้าที่กระจายสินค้า Hardware Wallet ของ Ledger ในประเทศเยอรมนีและออสเตรียมาตั้งแต่เดือนสิงหาคม 2023

4. การระงับตัวแทนจำหน่ายและมาตรการป้องกันการกระจายสินค้า

เพื่อตอบสนองต่อข้อเท็จจริงเหล่านี้ Ledger ได้สั่งระงับการขายและบริการจัดส่งสินค้าสำหรับทั้ง Crypto Bilis และ Media Markt/Saturn แล้ว ขณะนี้ นักวิเคราะห์ด้านความปลอดภัยกำลังจับตาดูตัวแทนจำหน่ายอย่างเป็นทางการรายอื่นๆ ที่อยู่ในภูมิภาคใกล้เคียง หรือใช้พันธมิตรจัดจำหน่ายร่วมกันอย่าง Aqipa GmbH อย่างใกล้ชิด

นักวิเคราะห์ด้านความปลอดภัยวิจารณ์ Ledger รับมือวิกฤตช้า

ความผิดพลาดด้านระบบความปลอดภัยครั้งนี้ดึงดูดเสียงวิพากษ์วิจารณ์อย่างหนักจากนักวิจัย On-chain และคนในชุมชน โดย Darkfost นักวิเคราะห์จาก CryptoQuant ได้ออกมากล่าวหา Ledger ต่อสาธารณะว่าตอบสนองต่อภัยคุกคามร้ายแรงได้ล่าช้ามาก พร้อมชี้ว่านักวิเคราะห์ On-chain อิสระสามารถตรวจพบอันตรายในห่วงโซ่อุปทานนี้ได้ก่อนที่ Ledger จะออกคำเตือนอย่างเป็นทางการเสียอีก

ยิ่งไปกว่านั้น สมาชิกในชุมชนยังตั้งข้อสังเกตว่า บัญชีโซเชียลมีเดียอิสระบน X ยังให้คำแนะนำในการตรวจสอบกระเป๋าได้ชัดเจนกว่าตัวบริษัทเองด้วยซ้ำ และสิ่งที่ซ้ำเติมความไม่พอใจขึ้นไปอีก คือการที่ Ledger ปฏิเสธที่จะช่วยออกค่าใช้จ่ายในการจัดส่งคืน สำหรับลูกค้าที่ต้องส่งเครื่องคืนเพื่อตรวจสอบ

ความเสียหายของ Hardware Wallet ทะลุ 200 ล้านดอลลาร์ในปี 2026

เหตุการณ์ในห่วงโซ่อุปทานของ Ledger เป็นเพียงส่วนหนึ่งของแนวโน้มปัญหาความปลอดภัยใน Hardware Wallet ที่สร้างความเสียหายรวมกันไปแล้วมากกว่า 200 ล้านดอลลาร์ในปีนี้ ซึ่งเหตุการณ์เหล่านี้ครอบคลุมตั้งแต่การฝังอุปกรณ์ในตัวเครื่อง ช่องโหว่ของซอฟต์แวร์ ไปจนถึงการรั่วไหลของข้อมูลความเป็นส่วนตัว

การฝังอุปกรณ์หลังการผลิตและการเปลี่ยนมือผู้ถือหุ้น

อุปกรณ์ Ledger ที่ถูกดัดแปลงนั้นเกิดจากการแอบฝังอุปกรณ์ชิ้นส่วนลงไปในตัวเครื่องหลังออกจากโรงงานผลิต นักสืบเชื่อว่าช่องทางโจมตีนี้เกิดขึ้นได้เนื่องจากการเปลี่ยนมือเจ้าของบริษัท Crypto Bilis โดยไม่มีการประกาศล่วงหน้าในช่วงต้นเดือนสิงหาคม เปิดโอกาสให้ผู้ไม่หวังดีเข้ามาดัดแปลงตัวเครื่องก่อนนำไปกระจายสินค้า

บั๊กซอฟต์แวร์ Coldcard (ทำเงินหายวับ 116 ล้านดอลลาร์)

การโจมตีผ่านห่วงโซ่อุปทานไม่ใช่ภัยคุกคามเดียวที่เล่นงานผู้ใช้ Cold storage เพราะในเดือนกรกฎาคม แฮกเกอร์ได้ฉวยโอกาสจากช่องโหว่ด้านซอฟต์แวร์ในกระเป๋า Coldcard จนนำไปสู่ความสูญเสียมหาศาลถึง 116 ล้านดอลลาร์จากบัญชีผู้ใช้ที่ได้รับผลกระทบ

การทดสอบช่องโหว่ของกระเป๋า Tangem

กระเป๋า Tangem กลายเป็นข่าวดังเมื่อเหล่านักวิจัยนำกระเป๋ารูปแบบการ์ดไปทดสอบการยิงเลเซอร์เพื่อรบกวนการทำงาน (Laser fault-injection) แม้ว่าจะไม่มีเงินของลูกค้าถูกขโมยหรือสูญหายในระหว่างการทดลอง แต่การสาธิตที่ประสบความสำเร็จนี้ก็ช่วยหักล้างคำโฆษณาที่ว่าอุปกรณ์นี้ไม่สามารถถูกแฮกได้เลย และจุดที่น่าสนใจคือ ช่องโหว่ความปลอดภัยนี้ถูกค้นพบโดย Donjon ซึ่งเป็นทีมวิจัยความปลอดภัยภายในของ Ledger นั่นเอง

ข้อมูลความเป็นส่วนตัวรั่วไหลที่ SafePal และ Trezor

ความปลอดภัยของตัวเครื่องเป็นเพียงมิติเดียวเท่านั้น เพราะในเดือนสิงหาคม เครือข่ายโลจิสติกส์ภายนอกที่ SafePal และ Trezor ใช้งาน ได้ถูกแฮกข้อมูล เหตุการณ์ดังกล่าวส่งผลให้ข้อมูลที่สามารถระบุตัวตนบุคคล (PII) ของลูกค้านับพันรายรั่วไหล ซึ่งอาจก่อให้เกิดความเสี่ยงต่อการถูก Phishing สำหรับผู้ถือ Hardware Wallet ได้

ทำความเข้าใจความปลอดภัยและความเสี่ยงของ Cold Storage

Hardware Wallet ยังคงเป็นวิธีมาตรฐานสำหรับการเก็บรักษา assets ด้วยตนเอง (Self-custody) ในอุตสาหกรรมคริปโต แต่เหตุการณ์เมื่อเร็วๆ นี้แสดงให้เห็นว่า ไม่มีวิธีการรักษาความปลอดภัยใดที่จะปลอดความเสี่ยงได้แบบ 100% ทั้งห่วงโซ่อุปทาน พันธมิตรโลจิสติกส์ และชั้นของซอฟต์แวร์ ต่างสร้างจุดเสี่ยงที่อาจเกิดความผิดพลาดได้ทั้งสิ้น

นักลงทุนและผู้ใช้งานต้องติดตามข่าวสารเกี่ยวกับความเสี่ยงในห่วงโซ่อุปทาน ตรวจสอบความสมบูรณ์ของอุปกรณ์เมื่อได้รับ และตระหนักว่า Cold storage จำเป็นต้องมีมาตรการป้องกันความปลอดภัยอย่างต่อเนื่อง ผลการดำเนินงานด้านความปลอดภัยในอดีตของระบบจัดการสินทรัพย์ดิจิทัลใดๆ ไม่ได้การันตีถึงความปลอดภัยอย่างสมบูรณ์ในอนาคต

ผลการดำเนินงานในอดีตของสินทรัพย์ดิจิทัลหรือระบบรักษาความปลอดภัย มิได้เป็นสิ่งบ่งชี้ถึงผลลัพธ์ในอนาคต การจัดเก็บและการบริหารจัดการสินทรัพย์ดิจิทัลมีความเสี่ยงในตัวที่ต้องอาศัยการตรวจสอบอย่างรอบคอบและการบริหารจัดการความเสี่ยง