สรุปสั้น

กระเป๋าคริปโตแบบฮาร์ดแวร์ (hardware wallet) คือ อุปกรณ์เก็บกุญแจคริปโตแยกจากคอมพิวเตอร์ ผู้ซื้อจึงต้องมั่นใจว่าเครื่องที่ได้เป็นของแท้ ไม่ได้ถูกดัดแปลงระหว่างทาง บริษัท Keystone ผู้ผลิตกระเป๋าฮาร์ดแวร์ ออกแถลงการณ์เมื่อวันที่ 26 ตุลาคม 2569 ว่าผู้โจมตีเจาะเว็บไซต์ของบริษัทผ่านช่องโหว่ในเครื่องมือเฝ้าดูข้อมูลของบุคคลที่สาม แล้วยกระดับสิทธิ์จนได้กุญแจที่เครื่อง Keystone ใช้พิสูจน์ว่าเป็นของแท้ รวมถึงข้อมูลผู้ซื้อ 25,964 รายการ Keystone ตรวจพบและตัดการเข้าถึงในวันที่ 20 ตุลาคม 2569 ผู้ที่มีกุญแจนี้สามารถผลิตเครื่องปลอมที่ผ่านการตรวจของแท้ออนไลน์ได้ เมื่อผู้ซื้อหลงใช้เครื่องปลอม คริปโตของผู้ซื้อก็อาจถูกขโมยได้

กุญแจที่หลุดไม่เกี่ยวกับ recovery phrase หรือ private key ของผู้ใช้ จึงไม่ได้เปิดทางขโมยคริปโตจากเครื่องของแท้โดยตรง แต่กุญแจนี้ถูกเขียนลงหน่วยความจำของเครื่องตั้งแต่โรงงานแบบเขียนได้ครั้งเดียว Keystone จึงเปลี่ยนกุญแจในเครื่องเดิมไม่ได้ และต้องทำลายเครื่องที่ยังไม่ขาย 18,835 เครื่อง ส่วนเครื่องใหม่จะใช้กุญแจชุดใหม่ ผู้ที่ได้รับเครื่องก่อน 20 ตุลาคม 2569 และผ่านการตรวจถือว่าเป็นของแท้ แต่ผู้ที่ได้รับเครื่องหลังวันนั้นควรหยุดใช้และติดต่อฝ่ายสนับสนุนของ Keystone ให้ยืนยันก่อน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 27 ตุลาคม 2569 ว่าบริษัท Keystone เปิดเผยเหตุการณ์เป็นสองช่วง ช่วงแรกวันที่ 24 ตุลาคม 2569 บริษัทแจ้งว่าบุคคลที่สามได้ข้อมูลการจัดส่งของลูกค้าไป ช่วงที่สองวันที่ 26 ตุลาคม 2569 บริษัทแจ้งเพิ่มว่าผู้โจมตีได้กุญแจยืนยันของแท้ไปด้วย และจะทำลายเครื่องที่ยังไม่ขาย 18,835 เครื่อง

ด้านไทม์ไลน์การเจาะ Keystone ระบุว่าผู้โจมตีใช้ช่องโหว่ในเครื่องมือเฝ้าดูข้อมูลของบุคคลที่สามที่ติดตั้งบนเว็บไซต์ เพื่อยกระดับสิทธิ์จนเข้าถึงข้อมูลลูกค้าและกุญแจได้ บริษัทตรวจพบและปิดการเข้าถึงในวันที่ 20 ตุลาคม 2569 และแก้ช่องโหว่แล้ว

ส่วนข้อมูลลูกค้า Keystone ระบุว่ามีผู้ซื้อ 25,964 รายการที่ซื้อผ่านเว็บไซต์ระหว่างปี 2567 ถึง 2569 ได้รับผลกระทบ ข้อมูลประกอบด้วยชื่อ ช่องทางติดต่อ ที่อยู่จัดส่ง และรายละเอียดคำสั่งซื้อ ซึ่งเก็บและจัดการโดยร้านค้าออนไลน์บน Shopify Keystone ยังนับรวมข้อมูลการชำระเงินที่ไม่สำเร็จอีก 12,873 รายการไว้ด้วยเพื่อความปลอดภัย ข้อมูลบัตรชำระเงิน บัญชีธนาคาร และเลขบัตรประชาชนไม่ได้รั่ว และคำสั่งซื้อผ่าน Amazon หรือช่องทางอื่นไม่ได้รับผลกระทบ

ข้อมูลบางส่วนควรถูกลบไปนานแล้ว Keystone เคยสัญญาว่าจะลบข้อมูลการจัดส่งหลังคำสั่งซื้อ 180 วัน แต่เครื่องมือลบข้อมูลแบบกลุ่มที่บริษัทสร้างเองทำงานไม่สม่ำเสมอ และบริษัทไม่ได้สังเกตการลบที่ล้มเหลว Keystone จึงลดระยะเก็บข้อมูลส่วนบุคคลเหลือ 90 วันทันที และขอให้ Shopify ลบข้อมูลที่เก่ากว่า 90 วัน คาดว่าจะเสร็จวันที่ 3 พฤศจิกายน 2569

ข้อจำกัดของหลักฐาน คือ Keystone ยังไม่บอกว่าผู้โจมตีเข้ามาครั้งแรกเมื่อไร กุญแจถูกเก็บไว้ที่ใด และไม่ระบุชื่อเครื่องมือของบุคคลที่สามที่มีช่องโหว่ บริษัทยังไม่ได้บอกวิธีให้ผู้ใช้รู้ว่าเครื่องของตนใช้กุญแจชุดไหน และ ณ วันที่ 27 ตุลาคม 2569 หน้าตรวจของแท้ยังไม่มีคำแนะนำตามที่บริษัทอ้างถึง ขณะที่นโยบายความเป็นส่วนตัวยังระบุระยะเก็บข้อมูล 180 วัน บริษัทยังไม่ได้รายงานพบเครื่องปลอมหรือการขโมยคริปโต

วิธีการโจมตี

จุดเข้า — ผู้โจมตีเข้ามาทางซอฟต์แวร์ของบุคคลที่สามบนเว็บไซต์ ไม่ใช่ทางตัวเครื่อง Keystone ระบุว่าช่องโหว่อยู่ในเครื่องมือเฝ้าดูข้อมูลของบุคคลที่สามที่ใช้บนเว็บไซต์ ผู้โจมตีใช้ช่องโหว่นั้นยกระดับสิทธิ์จนเข้าถึงทั้งข้อมูลลูกค้าและกุญแจยืนยันของแท้

กลไกตรวจของแท้ทำงานอย่างไร — เจ้าของเครื่องสแกน QR code บนหน้าตรวจของแท้ของ Keystone ด้วยตัวเครื่อง แล้วกรอกรหัสที่เครื่องแสดงกลับลงในหน้าเว็บ ตามเฟิร์มแวร์โอเพนซอร์สของ Keystone รหัสนั้นอยู่ใน QR code แบบเข้ารหัส และเครื่องถอดรหัสด้วยกุญแจที่ฝังไว้ เมื่อกรอกรหัสถูก แปลว่าเครื่องนั้นมีกุญแจของแท้

ทำไมกุญแจที่หลุดจึงอันตราย — ใครที่มีสำเนากุญแจก็ถอดรหัสและตอบรหัสถูกได้ เครื่องปลอมที่ฝังกุญแจนี้จึงผ่านการตรวจได้เหมือนของแท้ Keystone ระบุว่าเครื่องปลอมลักษณะนี้อาจถูกขายหรือส่งถึงมือลูกค้า แล้วนำไปสู่การขโมยคริปโตของผู้ใช้

ทำไมต้องทำลายเครื่อง — กุญแจถูกเขียนลงเครื่องตั้งแต่ขั้นผลิตในหน่วยความจำที่เขียนได้ครั้งเดียว เฟิร์มแวร์ปฏิเสธการรับกุญแจชุดที่สอง จึงลบหรือเปลี่ยนกุญแจในเครื่องที่ผลิตแล้วไม่ได้ กุญแจนี้ใช้เฉพาะการตรวจของแท้ ไม่เกี่ยวกับการสร้าง recovery phrase การสร้าง private key หรือการลงนามธุรกรรม

ผลกระทบ

ผู้ที่เสี่ยงที่สุด คือ ผู้ที่ได้รับเครื่อง Keystone หลังวันที่ 20 ตุลาคม 2569 ไม่ว่าจะซื้อจากเว็บไซต์ Amazon หรือตัวแทนจำหน่าย เพราะเครื่องปลอมที่มีกุญแจชุดเก่าผ่านการตรวจได้ Keystone เองยอมรับว่าแม้เครื่องผ่านการตรวจก็ตัดความเป็นไปได้ว่าเป็นของปลอมไม่ได้ทั้งหมด และยังไม่ได้บอกว่าเครื่องที่ใช้กุญแจเก่ายังวางขายผ่านตัวแทนอยู่หรือไม่

กลุ่มที่สอง คือ ผู้ซื้อ 25,964 รายที่ชื่อ ช่องทางติดต่อ และที่อยู่บ้านรั่ว ข้อมูลนี้บอกคนร้ายว่าใครถือคริปโตและอยู่ที่ไหน จึงเสี่ยงทั้งการหลอกลวงแบบเจาะจง เช่น ส่งเครื่องทดแทนปลอมหรือจดหมายเรียกคืนสินค้าปลอม และความเสี่ยงทางกายภาพ เหตุการณ์นี้ยังชี้ว่าการตรวจของแท้ที่พึ่งกุญแจลับเพียงชุดเดียวกลายเป็นจุดล้มเหลวจุดเดียว เมื่อกุญแจหลุด ความเชื่อถือของเครื่องทั้งล็อตที่ผลิตแล้วก็หายไปพร้อมกัน

คำแนะนำ

  • หยุดใช้เครื่องที่ได้รับหลัง 20 ตุลาคม 2569 — ติดต่อ support@keyst.one ให้ยืนยันว่าเป็นของแท้ก่อน และอย่าโอนคริปโตเข้าเครื่องนั้นจนกว่าจะได้รับการยืนยัน
  • อย่าเชื่อข้อความเรื่องคืนเงิน เปลี่ยนเครื่อง หรือเรียกคืนสินค้า — Keystone ระบุว่าจะไม่ขอให้ใครส่งเครื่องคืน ทุกสาย ข้อความ อีเมล หรือจดหมายที่เสนอเครื่องทดแทนหรือช่วยย้ายคริปโตให้ถือเป็นการหลอกลวง และพิมพ์ keyst.one เองในเบราว์เซอร์แทนการกดลิงก์
  • ห้ามกรอก recovery phrase ลงเครื่องที่ไม่ได้สั่งซื้อเอง — เครื่องที่ส่งมาโดยไม่ได้สั่งมีโอกาสเป็นเครื่องปลอม
  • ผู้ที่ได้เครื่องก่อน 20 ตุลาคม 2569 ไม่จำเป็นต้องย้ายคริปโต — Keystone ระบุว่าเครื่องเหล่านี้ที่ผ่านการตรวจใช้งานได้ตามปกติ
  • ฝั่งผู้ดูแลเว็บไซต์อีคอมเมิร์ซ — ทบทวนเครื่องมือของบุคคลที่สามที่มีสิทธิ์บนเว็บ แยกกุญแจลับสำคัญออกจากระบบที่เว็บเข้าถึงได้ และตรวจว่างานลบข้อมูลตามรอบระยะเก็บรักษาทำงานสำเร็จจริง

แหล่งอ้างอิง