ทำไม iPhone เครื่องเก่าของคุณ ถึงไม่ใช่ Hardware Wallet ที่แท้จริง

เทรนด์การเอา iPhone เก่ามาทำ Cold Wallet เอง

นักลงทุนคริปโตหลายคนชอบการเก็บรักษาสินทรัพย์ด้วยตัวเอง (Self-custody) เพื่อประหยัดเงิน บางคนเลยเอาสมาร์ทโฟนเครื่องเก่ามาทำเป็น Cold Wallet ไว้เก็บคริปโตแบบ DIY

ขั้นตอนดูเหมือนง่ายมาก แค่ล้างเครื่อง iPhone เครื่องเก่า ปิด Wi-Fi ปิดสัญญาณมือถือ แล้วเซฟ Recovery Phrase เก็บไว้ในเครื่อง

พอเครื่องไม่ได้ต่ออินเทอร์เน็ต หลายคนเลยคิดว่าแฮกเกอร์ออนไลน์คงแตะต้องเงินไม่ได้ แต่ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่า การออฟไลน์ไม่ได้แปลว่าแฮกไม่ได้

ทำไม iPhone ถึงไม่ได้ปลอดภัยไร้รอยแตกร้าว

Yishi Wang ผู้ก่อตั้งผู้ผลิต Hardware Wallet อย่าง OneKey เพิ่งออกมาระบุเตือนเกี่ยวกับพฤติกรรมนี้ โดยชี้ให้เห็นว่า โทรศัพท์ที่ออฟไลน์ยังคงเผชิญความเสี่ยงร้ายแรงจากการโจมตีทางกายภาพ

สมาร์ทโฟนคือคอมพิวเตอร์อเนกประสงค์ที่ซับซ้อน มันไม่ได้ถูกออกแบบตั้งแต่เริ่มต้นมาเพื่อปกป้อง Private Key จากการเข้าถึงทางกายภาพโดยตรง

Wang ได้ยกตัวอย่างช่องโหว่ที่มีรายงานเปิดเผยต่อสาธารณะใน Apple หลายรุ่น โดยรุ่นเก่าจะมีปัญหาช่องโหว่ทางฮาร์ดแวร์อย่าง checkm8 ซึ่งมุ่งเป้าไปที่โค้ดการบูตเริ่มต้นบนชิป

นักวิจัยด้านความปลอดภัยยังพบจุดอ่อนระดับล่างในลำดับการสตาร์ทเครื่องของอุปกรณ์ Apple รุ่นใหม่ๆ ด้วย ซึ่งช่องโหว่เหล่านี้ซ่อนตัวอยู่ลึกในระดับฮาร์ดแวร์ ตั้งแต่ก่อนที่ระบบปฏิบัติการหลักจะโหลดขึ้นมาเสียอีก

ผู้โจมตีไม่จำเป็นต้องหลอกให้คุณดาวน์โหลดแอปอันตรายเลย แค่เขาจับเครื่องจริงได้ ก็สามารถใช้ประโยชน์จากช่องโหว่การบูตเหล่านี้ได้โดยตรง

ทำไมการอัปเดตซอฟต์แวร์ถึงแก้ช่องโหว่ของ Boot Code ไม่ได้

คุณอาจสงสัยว่าการอัปเดต iOS จะช่วยแก้จุดอ่อนฮาร์ดแวร์เหล่านี้ได้ไหม น่าเสียดายที่โค้ดการบูตที่ไม่สามารถแก้ไขได้ ไม่สามารถเปลี่ยนแปลงได้เลยหลังจากถูกผลิตขึ้นมา

เนื่องจากโค้ดเริ่มต้นนี้ถูกฝังแข็งไว้ในชิป Apple จึงไม่สามารถแก้ไขผ่านการอัปเดตซอฟต์แวร์ทั่วไปได้ ช่องโหว่นี้จะติดอยู่กับตัวเครื่องไปตลอดอายุการใช้งาน

การปิด Wi-Fi, Bluetooth และเครือข่ายมือถือ จึงไม่ได้ช่วยป้องกันผู้ที่มีโอกาสเข้าถึงตัวเครื่องโดยตรงได้เลย

อย่างไรก็ตาม ช่องโหว่ทางฮาร์ดแวร์ก็ไม่ได้หมายความว่าผู้โจมตีจะขโมย Recovery Phrase ได้ทันที เพราะการเข้ารหัสเครื่อง รหัสผ่านที่คาดเดายาก และชิ้นส่วนความปลอดภัย ก็ยังคงเป็นเกราะป้องกันจริงที่ทำงานอยู่

iPhone 11 และรุ่นที่เก่ากว่า: โซนอันตรายที่ต้องระวัง

จากช่องโหว่ทางฮาร์ดแวร์เหล่านี้ Wang จึงแนะนำอย่างยิ่งว่าไม่ควรรวมความไว้วางใจให้ iPhone 11 และรุ่นที่เก่ากว่า เก็บรักษา Recovery Phrase

หากคุณสงสัยว่า Seed Phrase ของคุณอาจหลุดรั่วบนอุปกรณ์เก่า คุณควรรีบดำเนินการทันทีเพื่อปกป้องสินทรัพย์ของคุณ

คุณต้องสร้าง Recovery Phrase ชุดใหม่ทั้งหมดบนระบบที่สะอาดและน่าเชื่อถือ เมื่อ Seed ใหม่พร้อมแล้ว ให้โอนย้ายสินทรัพย์คริปโตไปยังกระเป๋าใหม่นั้นทันที

การสร้าง Public Address ใหม่จาก Recovery Phrase เดิมจะไม่ช่วยปกป้องคุณ เพราะหาก Seed ตั้งต้นถูกเจาะแล้ว ทุกๆ Address ที่สร้างจาก Seed นั้นก็ยังคงตกอยู่ในความเสี่ยง

Hardware Wallet เฉพาะทาง vs โทรศัพท์ออฟไลน์

การเข้าใจเรื่องความปลอดภัยต้องมองผ่านโมเดลภัยคุกคาม (Threat Model) ซึ่งเป็นตัวกำหนดว่าอุปกรณ์ถูกออกแบบมาเพื่อต้านทานการโจมตีรูปแบบใดโดยเฉพาะ

Hardware Wallet ที่สร้างมาเพื่อการนี้โดยเฉพาะจะแยก Key สำหรับเซ็นธุรกรรมไว้บนชิปพิเศษ และช่วยให้คุณตรวจสอบรายละเอียดธุรกรรมซ้ำได้โดยตรงบนหน้าจอฮาร์ดแวร์ที่แยกต่างหาก

สมาร์ทโฟนออฟไลน์ช่วยลดการโจมตีทางอินเทอร์เน็ตจากระยะไกลได้จริง แต่การตัดสัญญาณเครือข่ายเพียงอย่างเดียวไม่ได้เปลี่ยนโทรศัพท์อเนกประสงค์ให้กลายเป็นเครื่องมือเซ็นธุรกรรมเฉพาะทางได้

อย่างไรก็ตาม Hardware Wallet เองก็มีความเสี่ยงเฉพาะตัวเช่นกัน ไม่ว่าจะเป็นอุปกรณ์ปลอมแปลง ช่องทางการจัดส่งที่ถูกแทรกแซง หรือการเก็บรักษา Seed Phrase ที่ไม่ถูกต้อง ทั้งหมดนี้อาจส่งผลกระทบต่อความปลอดภัยได้

วิธีปกป้องคริปโตบนมือถือให้ปลอดภัยยิ่งขึ้น

Wang ระบุว่า แม้แต่ iPhone รุ่นใหม่ก็ไม่ควรนำมาใช้แทนอุปกรณ์เซ็นธุรกรรมเฉพาะทาง หากคุณถือครองสินทรัพย์มูลค่าสูงในระยะยาว

หากคุณใช้สมาร์ทโฟนจัดการคริปโตในชีวิตประจำวัน ผู้เชี่ยวชาญด้านความปลอดภัยแนะนำแนวทางปฏิบัติที่ดีที่สุดเพื่อลดความเสี่ยงดังนี้:

• อัปเดตระบบปฏิบัติการให้เป็นเวอร์ชันล่าสุดอยู่เสมอ
• ใช้รหัสผ่านที่ยาวและซับซ้อน ผสมตัวอักษรและตัวเลข แทนการใช้ PIN 4 หลักสั้นๆ
• เพิ่มความระมัดระวังอย่างเข้มงวดเมื่อต้องเชื่อมต่อโทรศัพท์กับอุปกรณ์ USB ภายนอก
• ห้ามบันทึก Recovery Phrase เป็นข้อความธรรมดาไว้ในแอปโน้ต ระบบคลาวด์ หรือภาพแคปหน้าจอเด็ดขาด

สรุปประเด็นสำคัญสำหรับสาย Self-Custody

การดูแลสินทรัพย์ด้วยตัวเองให้ความเป็นอิสระเต็มที่ แต่ก็มาพร้อมกับความรับผิดชอบด้านความปลอดภัยทั้งหมดที่ตกอยู่กับเจ้าของสินทรัพย์

การนำโทรศัพท์ออฟไลน์เครื่องเก่ามาดัดแปลงเป็นทางเลือก DIY ที่นิยม แต่ไม่สามารถทดแทนการปกป้องทางกายภาพของ Hardware Wallet ที่สร้างมาโดยเฉพาะได้

ก่อนจะเก็บเงินก้อนใหญ่ในระยะยาว ควรประเมินการตั้งค่าฮาร์ดแวร์ของคุณอย่างรอบคอบ สำรอง Seed Phrase แบบออฟไลน์ และเลือกใช้เครื่องมือที่ออกแบบมาเพื่อความต้องการด้านความปลอดภัยของคุณโดยเฉพาะ