สรุปสั้น

บริษัท Ledger ผู้ผลิตกระเป๋าเงินคริปโตแบบฮาร์ดแวร์ (hardware wallet) รายใหญ่ ระงับการขายสินค้าผ่านตัวแทนจำหน่าย CryptoBilis เป็นการชั่วคราว หลังได้รับรายงานว่าผู้ใช้ในเอเชียตะวันออกเฉียงใต้ที่ซื้ออุปกรณ์จากตัวแทนรายนี้ถูกขโมยเงินคริปโต นักสืบบล็อกเชนที่ใช้นามแฝงว่า Specter ประเมินว่าความเสียหายรวมกว่า 86 ล้านดอลลาร์สหรัฐ ต่อมา Ledger เปิดเผยว่าตรวจพบชิ้นส่วนฮาร์ดแวร์ที่ถูกฝังเพิ่มโดยไม่ได้รับอนุญาต (hardware implant) ในอุปกรณ์ของผู้เสียหายรายหนึ่ง และทุกกรณีที่ยืนยันแล้วเป็นอุปกรณ์ที่ขายผ่าน CryptoBilis ตัวแทนจำหน่ายในมาเลเซียที่อยู่ในรายชื่อตัวแทนของ Ledger

Ledger แนะนำให้ผู้ที่ซื้ออุปกรณ์จากตัวแทนรายนี้ในช่วง 90 วันล่าสุดและยังไม่ได้ตั้งค่าเครื่อง อย่าเริ่มตั้งค่า ส่วนผู้ที่ตั้งค่าแล้วควรย้ายทรัพย์สินไปยังอุปกรณ์ Ledger เครื่องใหม่ที่สร้าง seed ชุดใหม่ CryptoBilis หยุดขายกระเป๋าฮาร์ดแวร์ทั้งหมดในคลังจนกว่าการสอบสวนจะเสร็จ ขณะที่ Ledger ระบุในอัปเดตวันที่ 11 ตุลาคม 2569 ว่าเหตุการณ์กระทบอุปกรณ์จำนวน “จำกัด” กรณีนี้เป็นตัวอย่างชัดเจนของการโจมตีห่วงโซ่อุปทานที่ช่องทางจำหน่าย ซึ่งทำให้ความปลอดภัยที่ออกแบบมาในตัวอุปกรณ์ไร้ความหมาย หากอุปกรณ์ถูกดัดแปลงก่อนถึงมือผู้ใช้

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 12 ตุลาคม 2569 ว่า Ledger ประกาศเมื่อวันศุกร์ว่ากำลังสอบสวนรายงานการสูญเงินของผู้ใช้ในเอเชียตะวันออกเฉียงใต้ที่ซื้อสินค้าจาก CryptoBilis และได้ระงับการขายผ่านตัวแทนรายนี้ชั่วคราว ความเสียหายรวมกว่า 86 ล้านดอลลาร์ในรายงานมาจากการประเมินของ Specter ซึ่งเป็นนักสืบบล็อกเชนนามแฝง ไม่ใช่ตัวเลขที่ Ledger ยืนยัน

Ledger โพสต์บน X ว่า “เราแนะนำให้ผู้ใช้ Ledger ที่ซื้อจากตัวแทนรายนี้ในช่วง 90 วันที่ผ่านมา อย่าเริ่มตั้งค่าหากยังไม่ได้ทำ หากตั้งค่าอุปกรณ์ไปแล้ว ให้พิจารณาย้ายทรัพย์สินไปยัง Ledger signer เครื่องใหม่ (พร้อม seed ใหม่)”

หลังจากนั้นบริษัทเปิดเผยว่าอุปกรณ์ของผู้เสียหายรายหนึ่งมีชิ้นส่วนฮาร์ดแวร์ที่ถูกฝังโดยไม่ได้รับอนุญาต และกำลังติดต่อผู้ได้รับผลกระทบเพื่อสอบสวนต่อ Ledger ยังไม่ได้เปิดเผยว่าชิ้นส่วนนี้ทำงานอย่างไร ถูกฝังในขั้นตอนใด หรือใครเป็นผู้ฝัง

ฝั่ง CryptoBilis ประกาศบนเว็บไซต์ว่าหยุดขายกระเป๋าฮาร์ดแวร์ทั้งหมดในคลังจนกว่าการสอบสวนจะเสร็จ และเตือนลูกค้าว่า “recovery phrase ต้องถูกสร้างโดยอุปกรณ์ของคุณตอนตั้งค่า และคุณต้องเป็นคนจดเอง หากอุปกรณ์มาพร้อม recovery phrase ที่พิมพ์หรือเขียนไว้บนการ์ดหรือกระดาษ หรือมีคนอื่นนอกจากคุณเคยเห็น recovery phrase ให้ถือว่ากระเป๋านั้นไม่ปลอดภัย” พร้อมย้ำว่าอย่าเปิดเผย recovery phrase หรือ PIN กับใคร และระวังผู้ที่อ้างว่าช่วยกู้เงินคืนได้ เพราะเกือบทั้งหมดเป็นการหลอกลวง

ในอัปเดตวันที่ 11 ตุลาคม 2569 Ledger ระบุว่าเหตุการณ์กระทบอุปกรณ์จำนวนจำกัด และทุกกรณีที่ยืนยันแล้วเกี่ยวข้องกับอุปกรณ์ที่ขายผ่าน CryptoBilis บริษัทยังแนะนำให้ตัวแทนและผู้จัดจำหน่ายรับสินค้าจากช่องทางที่ได้รับอนุญาตเท่านั้น และห้ามนำสินค้าที่ถูกตีกลับมาวางขายใหม่

Ledger finds unauthorized hardware implant in wallet sold by reseller CryptoBilis

วิธีการโจมตี

อัปเดต 13 ตุลาคม 2569: SecurityWeek รายงานว่า Ledger เผยรายละเอียดกลไกของชิ้นส่วนที่ถูกฝังแล้ว และยืนยันว่าความสูญเสียที่ยืนยันได้ทั้งหมดเกี่ยวข้องกับอุปกรณ์ที่ขายผ่าน CryptoBilis ตามคำอธิบายของ Ledger มีผู้ใดผู้หนึ่งในสายการจัดจำหน่ายบัดกรีชิ้นส่วนนี้ลงบนแผงวงจรของอุปกรณ์ด้วยมือ ชิ้นส่วนอยู่ภายในตัวเครื่องและอ่านข้อมูลที่แสดงบนหน้าจอ เมื่ออุปกรณ์แสดง recovery phrase 24 คำระหว่างการตั้งค่า ไมโครคอนโทรลเลอร์ของชิ้นส่วนจะถอดรหัสคำเหล่านั้นแล้วส่งออกผ่านเครือข่าย LTE ด้วย eSIM ที่เตรียมไว้ Ledger ระบุว่าชิ้นส่วนนี้ทำหน้าที่ดักข้อมูลอย่างเดียว ไม่ได้แก้ไขระบบปฏิบัติการ ธุรกรรม หรือลายเซ็นของอุปกรณ์ ส่วนจำนวนผู้เสียหายและยอดเงินที่ถูกขโมยทั้งหมด Ledger ยังไม่ได้ยืนยัน ตัวเลข 86 ล้านดอลลาร์ยังเป็นการประเมินของ Specter

ข้อมูลนี้ตัดสมมติฐานแบบ seed ที่เตรียมไว้ล่วงหน้าออกสำหรับกรณีที่ยืนยันแล้ว และอธิบายว่าทำไมการตรวจด้วยซอฟต์แวร์หรือเฟิร์มแวร์ไม่พบความผิดปกติ เพราะตัวอุปกรณ์ทำงานตามปกติทุกอย่าง ข้อมูลรั่วออกทางช่องทางวิทยุที่แยกจากอุปกรณ์โดยสิ้นเชิง

รายละเอียดทางเทคนิคของชิ้นส่วนที่ถูกฝังยังมีน้อยมาก Ledger ยืนยันเพียงว่าพบในอุปกรณ์ของผู้เสียหายหนึ่งราย ยังไม่เปิดเผยว่าชิ้นส่วนนี้ดักจับ PIN หรือ seed ได้อย่างไร หรือถูกฝังที่โรงงาน ระหว่างขนส่ง หรือที่ตัวแทนจำหน่าย จึงยังไม่สามารถสรุปได้ว่าเป็นการดัดแปลงอุปกรณ์ทุกเครื่องที่ล็อตใดล็อตหนึ่ง หรือเป็นเพียงบางเครื่อง

อย่างไรก็ดี คำเตือนของทั้งสองบริษัทชี้ให้เห็นรูปแบบการโจมตีที่เป็นไปได้ 2 แบบ แบบแรกคือการดัดแปลงฮาร์ดแวร์ เพิ่มชิ้นส่วนที่ดักข้อมูล PIN หรือ seed ระหว่างผู้ใช้ตั้งค่า แล้วส่งออกไปให้ผู้โจมตี ซึ่งตรงกับการที่ Ledger พบ implant แบบที่สองคือการส่งอุปกรณ์ที่มี recovery phrase เตรียมไว้ล่วงหน้าบนการ์ดหรือกระดาษ ผู้ใช้ที่ไม่รู้จะใช้ seed ชุดนั้น ซึ่งผู้โจมตีรู้อยู่แล้วและรอจนมีเงินเข้ากระเป๋าจึงโอนออก ทั้งสองแบบมีจุดร่วมคือผู้โจมตีไม่ต้องเจาะตัวอุปกรณ์หลังผู้ใช้ได้รับ เพราะได้ seed หรือ PIN ตั้งแต่ก่อนหรือระหว่างการตั้งค่า

คำแนะนำห้ามนำสินค้าที่ถูกตีกลับมาวางขายใหม่ บ่งชี้ว่าช่องทางหนึ่งที่ Ledger กังวลคืออุปกรณ์ที่ถูกซื้อไปดัดแปลงแล้วตีกลับเข้าคลังตัวแทน ก่อนถูกขายต่อให้ผู้ซื้อรายถัดไป ซึ่งเป็นช่องโหว่ในกระบวนการคืนสินค้ามากกว่าตัวอุปกรณ์ แต่ Ledger ยังไม่ได้ยืนยันว่านี่คือวิธีที่เกิดขึ้นจริงในกรณีนี้

ผลกระทบ

ผู้เสียหายโดยตรงคือผู้ใช้คริปโตในเอเชียตะวันออกเฉียงใต้ที่ซื้อกระเป๋าฮาร์ดแวร์ผ่าน CryptoBilis ความเสียหายระดับ 86 ล้านดอลลาร์ตามการประเมินของ Specter ทำให้กรณีนี้เป็นการโจมตีห่วงโซ่อุปทานฮาร์ดแวร์คริปโตที่สร้างความเสียหายสูงที่สุดกรณีหนึ่ง และเงินที่ถูกโอนออกบนบล็อกเชนแทบไม่มีโอกาสได้คืน

ในเชิงความปลอดภัย กรณีนี้ตอกย้ำว่ากระเป๋าฮาร์ดแวร์ปลอดภัยเท่ากับความน่าเชื่อถือของเส้นทางที่อุปกรณ์เดินทางมาถึงมือผู้ใช้ แม้ตัวแทนจำหน่ายจะอยู่ในรายชื่ออย่างเป็นทางการของผู้ผลิตก็ตาม ผู้ใช้ในภูมิภาคที่ซื้ออุปกรณ์จากตัวแทนในประเทศหรือประเทศเพื่อนบ้าน แทนการสั่งจากร้านค้าของผู้ผลิตโดยตรง จึงควรตรวจสอบอุปกรณ์อย่างละเอียดขึ้น นอกจากนี้ผู้เสียหายยังเป็นเป้าของการหลอกลวงรอบสองจากผู้ที่อ้างว่ากู้เงินคืนได้ ตามที่ CryptoBilis เตือนไว้

คำแนะนำ

  • ผู้ที่ซื้ออุปกรณ์ Ledger จาก CryptoBilis ในช่วง 90 วันล่าสุด หากยังไม่ได้ตั้งค่า อย่าเริ่มตั้งค่า และติดต่อ Ledger โดยตรง
  • หากตั้งค่าและใช้งานแล้ว ให้ย้ายทรัพย์สินไปยังอุปกรณ์ใหม่ที่ซื้อจากร้านค้าของผู้ผลิตโดยตรง และสร้าง seed ชุดใหม่บนอุปกรณ์เครื่องใหม่ อย่านำ seed เดิมมากู้คืน
  • ถือว่ากระเป๋าไม่ปลอดภัยทันที หากอุปกรณ์มาพร้อม recovery phrase ที่พิมพ์หรือเขียนไว้ล่วงหน้า หรือมี PIN ตั้งไว้แล้ว เพราะ seed ที่ถูกต้องต้องสร้างโดยอุปกรณ์และผู้ใช้จดเองเท่านั้น
  • ซื้อกระเป๋าฮาร์ดแวร์จากร้านค้าของผู้ผลิตโดยตรงหรือตัวแทนที่ได้รับอนุญาต ตรวจซีลบรรจุภัณฑ์ และใช้ฟังก์ชันตรวจสอบความแท้ของอุปกรณ์ที่ผู้ผลิตให้มาก่อนใช้งานจริง
  • ไม่เปิดเผย recovery phrase หรือ PIN กับใคร และไม่ตอบรับข้อเสนอช่วยกู้เงินคืน เพราะเป็นการหลอกลวงรอบสองที่พบบ่อยหลังเหตุลักษณะนี้
  • องค์กรหรือแพลตฟอร์มคริปโตที่แจกจ่ายอุปกรณ์ลงนามให้พนักงาน ควรจัดซื้อจากผู้ผลิตโดยตรงและบันทึกหมายเลขเครื่อง แทนการซื้อผ่านตัวแทนรายย่อย

แหล่งอ้างอิง