นักพัฒนา Bitcoin Core ถกเถียงเรื่องความปลอดภัยของ AI หลังการถูกโจมตี Coldcard และมีรายงานบั๊กจาก AI จำนวนมาก
จาก Coldcard ไปยัง Bitcoin Core: AI เพิ่มความเสี่ยงให้กับความปลอดภัยของคริปโต
เหตุการณ์กระเป๋าเงินฮาร์ดแวร์ Coldcard เดือนกรกฎาคม 2026 เปิดเผยข้อบกพร่องในเฟิร์มแวร์ที่มีอายุห้าปี ซึ่งลดความเป็นสุ่มของ seed ต่ำกว่าระดับที่ตั้งใจไว้ที่ 128 บิต ทำให้ผู้โจมตีสามารถสร้างกุญแจส่วนตัวขึ้นใหม่ได้โดยไม่ต้องเข้าถึงอุปกรณ์ทางกายภาพ ความสูญเสียพุ่งเกิน 1,778 BTC คิดเป็นมูลค่าประมาณ 112 ล้านถึง 130 ล้านดอลลาร์สหรัฐ ขึ้นอยู่กับช่วงเวลาที่วัดผล กระจายอยู่ในที่อยู่มากกว่า 8,000 ที่อยู่ในหลายคลื่นที่เริ่มขึ้นเมื่อวันที่ 30 กรกฎาคม Coinkite ผู้ผลิตระบุว่า ลักษณะโอเพนซอร์สของเฟิร์มแวร์ทำให้การตรวจสอบด้วยความช่วยเหลือของ AI เป็นวิธีที่เป็นไปได้ในการค้นพบข้อบกพร่องนี้ ซึ่งยังคงไม่ถูกตรวจพบแม้มีการตรวจสอบด้วยมนุษย์และระบบอัตโนมัติก่อนหน้านี้ ในสัปดาห์ถัดมา ความพยายามของอาสาสมัครที่รู้จักในชื่อ Bitcoin Red Team ใช้โมเดลระดับแนวหน้าและโมเดลที่มีน้ำหนักเปิดเพื่อสแกนที่เก็บข้อมูลเกี่ยวกับ Bitcoin 390 แห่ง และสร้างผลลัพธ์ 4,962 รายการ ซึ่งรวมถึงปัญหาระดับวิกฤต 85 รายการ และปัญหาความรุนแรงสูง 635 รายการ ในเวลาประมาณ 30 ชั่วโมง
แรงกดดันแบบขนานปรากฏขึ้นในโครงสร้างพื้นฐานอื่นๆ: นักพัฒนา Core Lightning ได้ออกคำแนะนำฉุกเฉินหลังจากรายงานที่สร้างโดย AI จำนวนมากยืนยันช่องโหว่ที่แท้จริง ในบริบทนี้ ผู้มีส่วนร่วมของ Bitcoin Core ได้ประชุมประจำสัปดาห์ในต้นเดือนกันยายน 2026 เพื่อพิจารณาว่าโครงการนี้ได้ล้าหลังในการป้องกันภัยคุกคามที่ใช้ AI และการใช้ AI สำหรับการทบทวนโค้ด การทดสอบ และการจัดลำดับความสำคัญของปัญหาหรือไม่ การโจมตี Coldcard และคลื่นการค้นพบช่องโหว่ที่ได้รับการช่วยเหลือจาก AI ได้บังคับให้นักพัฒนา Bitcoin Core และระบบนิเวศโดยรวมต้องเผชิญกับการเปลี่ยนแปลงเชิงโครงสร้างในเศรษฐศาสตร์ด้านความปลอดภัย โดยที่ความเร็วและขนาดของการวิเคราะห์ด้วยเครื่องจักรเร็วกว่าการทบทวนแบบมนุษย์แบบดั้งเดิม แต่ความเห็นพ้องต้องกันเกี่ยวกับนโยบาย AI อย่างเป็นทางการยังคงไม่ชัดเจน เนื่องจากโครงการดำเนินงานในฐานะกลุ่มกระจายศูนย์มากกว่าองค์กรที่มีศูนย์กลาง
ข้อผิดพลาดในการตั้งค่าการสร้างปี 2021 ทำให้ความสุ่มของเฟิร์มแวร์ Coldcard ล้มเหลว
ปัญหาพื้นฐานที่นำไปสู่การสูญเสียของ Coldcard สามารถย้อนกลับไปที่การปล่อยเฟิร์มแวร์ในเดือนมีนาคม 2021 โดยเฉพาะรุ่น 4.0.1 และการสร้างรุ่นถัดไป ซึ่งการปล่อยครั้งนี้ทำให้กระบวนการสร้าง seed กลับไปใช้ตัวสร้างตัวเลขสุ่มแบบซอฟต์แวร์แบบกำหนดได้แทนการใช้แหล่งเอนโทรปีฮาร์ดแวร์ที่ออกแบบมาสำหรับอุปกรณ์ ผลลัพธ์คือบนอุปกรณ์ Mk2 และ Mk3 ที่ได้รับผลกระทบ เอนโทรปีที่มีประสิทธิภาพลดลงอย่างมากเหลือประมาณ 40 บิต ในขณะที่รุ่นใหม่กว่าสามารถรักษาเอนโทรปีได้ประมาณ 72 บิต เริ่มตั้งแต่ช่วงต้นวันที่ 30 กรกฎาคม 2026 ผู้โจมตีได้ใช้ช่องโหว่นี้อย่างเป็นระบบโดยการสร้าง seed ที่อ่อนแอใหม่และเคลื่อนย้ายเงินจากที่อยู่แบบลายเซ็นเดียว Galaxy Research ได้ดำเนินการสอบสวนและบันทึกการสูญเสียที่มีความเชื่อมั่นสูงจำนวน 1,778.84 BTC ทั่วทั้งมากกว่า 8,600 ที่อยู่ หลังจากติดต่อผู้เสียหายโดยตรงจำนวน 190 คน
ที่น่าสังเกตคือ เหรียญที่ถูกขโมยส่วนใหญ่ยังคงไม่ถูกแตะต้องในที่อยู่ที่ผู้โจมตีควบคุมเป็นเวลาหลายสัปดาห์ Coinkite ยืนยันว่าการอัปเดตเฟิร์มแวร์ที่ดำเนินการนั้นปกป้องเฉพาะเมล็ดที่สร้างขึ้นใหม่เท่านั้น ซึ่งบ่งชี้ว่าเมล็ดที่ถูกโจมตีอยู่แล้วจำเป็นต้องย้ายไปใช้แหล่งเอ็นโทรปีใหม่ทั้งหมดเพื่อให้มั่นใจในความปลอดภัย บริษัทได้คาดการณ์อย่างเปิดเผยว่า การที่ AI ตรวจสอบรหัสแหล่งที่เปิดเผยมานานอาจช่วยเร่งการค้นพบข้อผิดพลาดทางตรรกะที่ซ่อนอยู่ซึ่งผู้ตรวจสอบมนุษย์มองข้ามไปเป็นเวลาห้าปี ลำดับเหตุการณ์นี้แสดงให้เห็นว่า แม้ความโปร่งใสแบบโอเพ่นซอร์สจะถูกมองว่าเป็นข้อได้เปรียบด้านความปลอดภัยภายใต้หลักการ “อย่าเชื่อ ให้ตรวจสอบ” แต่มันยังขยายพื้นที่โจมตีโดยไม่ตั้งใจ โดยเฉพาะเมื่อโมเดลสามารถวิเคราะห์รีพอสิทอรีทั้งหมดภายในไม่กี่นาที
ทีมเรดทีของ Bitcoin ดำเนินการตรวจสอบด้วยความเร็วโดยใช้ปัญญาประดิษฐ์เสริมสำหรับ 390 รีโพสิทอรี
ในช่วงเวลาทันทีหลังจากคลื่นของ Coldcard กลุ่มอาสาสมัครที่มุ่งมั่นซึ่งประกอบด้วยนักพัฒนาและนักวิจัยที่มีทักษะประมาณ 16 ถึง 25 คน ที่ได้รับการประสานงานโดยบุคคลสำคัญรวมถึง Calle และ Rob Hamilton จาก AnchorWatch ได้เริ่มต้นการทบทวนรหัสของระบบนิเวศ Bitcoin อย่างครอบคลุมและประสานงานโดยใช้ปัญญาประดิษฐ์ ตลอดระยะเวลา 27.5 ถึง 30 ชั่วโมง ความพยายามครั้งใหญ่นี้นำไปสู่การรายงานผลการค้นพบทั้งหมด 4,962 รายการในโครงการที่แตกต่างกัน 390 โครงการ ในจำนวนนี้ มี 85 รายการที่ได้รับการจัดอันดับว่าร้ายแรงในระดับสูงสุด และ 635 รายการจัดอยู่ในระดับความรุนแรงสูง ส่งผลให้มีการระบุปัญหาร้ายแรงเฉลี่ยมากกว่าสองปัญหาต่อชั่วโมงการทำงานของแต่ละคน โมเดลที่ใช้ในการทบทวนครั้งนี้รวมถึง Kimi K3, GLM 5.2 และอื่นๆ อีกหลายตัว โดยเฉพาะหลังจากเกิดข้อจำกัดในการเข้าถึงจากผู้ให้บริการชั้นนำบางราย
ที่สังเกตได้ชัดเจน โครงการที่เกี่ยวข้องกับความเป็นส่วนตัวและ CoinJoin แสดงให้เห็นถึงความเข้มข้นสูงสุดของข้อค้นพบที่ร้ายแรง ซึ่งเน้นย้ำถึงช่องโหว่ที่มีอยู่ในพื้นที่เหล่านี้ แคมเปญนี้ดำเนินการภายใต้กระบวนการสองขั้นตอนที่รวมถึงการสแกนอัตโนมัติตามด้วยการจำลองข้อค้นพบอย่างละเอียดโดยมนุษย์และการเปิดเผยอย่างเป็นส่วนตัวแก่ผู้ดูแลก่อนการเปิดเผยข้อมูลต่อสาธารณะ ควรระบุว่ามีข้อค้นพบแปดข้อที่ต่อมาถูกยกเลิกเนื่องจากเป็นผลลัพธ์เท็จ ซึ่งแสดงให้เห็นถึงความจำเป็นอย่างต่อเนื่องและที่ยังคงมีอยู่ในการตรวจสอบอย่างละเอียดในงานตรวจสอบดังกล่าว ผลลัพธ์ที่ได้จากทีม Red Team ให้ข้อมูลเชิงประจักษ์ที่ต่อมาได้มีบทบาทสำคัญในการให้ข้อมูลอ้างอิงสำหรับการอภิปรายของ Bitcoin Core เกี่ยวกับคุณค่าเชิงปฏิบัติและระดับเสียงรบกวนที่เกี่ยวข้องกับรายงานที่สร้างโดยปัญญาประดิษฐ์ สุดท้ายช่วยส่งเสริมความเข้าใจที่ลึกซึ้งยิ่งขึ้นเกี่ยวกับผลกระทบของเทคโนโลยีดังกล่าวในระบบนิเวศ
Core Lightning ต้องตอบสนองฉุกเฉินต่อรายงานช่องโหว่ที่สร้างโดย AI
นักพัฒนา Core Lightning เมื่อไม่นานมานี้รายงานว่ามีการส่งรายงานด้านความปลอดภัยที่สร้างโดย AI เพิ่มขึ้นอย่างมากและไม่คาดคิด ซึ่งจำเป็นต้องดำเนินกระบวนการคัดกรองอย่างละเอียดเป็นเวลาสิบวัน ความพยายามนี้ดำเนินการโดยทีมเล็กที่มุ่งมั่นร่วมกับผู้บริจาคภายนอกหลายคนที่อาสาเวลาและความเชี่ยวชาญของตน ในช่วงเวลานี้ พบว่ารายงานบางส่วนมีความถูกต้อง ซึ่งสุดท้ายนำไปสู่ความจำเป็นเร่งด่วนในการปล่อยอัปเดตความปลอดภัยฉุกเฉินเพื่อแก้ไขช่องโหว่ที่ระบุไว้ เป็นมาตรการป้องกัน ผู้ดำเนินการได้รับคำแนะนำให้ติดตั้งอัปเดตที่ตรวจสอบแล้วทันทีเพื่อให้มั่นใจในความปลอดภัยของระบบของพวกเขา หรือพวกเขาได้รับคำแนะนำให้รีสตาร์ทโหนดของตนโดยใช้แฟลกออฟไลน์ ซึ่งจะช่วยให้พวกเขาสามารถติดตามบล็อกเชนต่อไปได้ในขณะเดียวกันก็ปิดกั้นการชำระเงินใหม่และการเชื่อมต่อเพียร์เพื่อลดความเสี่ยงที่อาจเกิดขึ้น
ในบริบทของพัฒนาการเหล่านี้ โครงการได้ประกาศว่าจะไม่ให้การสนับสนุนสำหรับเวอร์ชันก่อนหน้าบางเวอร์ชันของซอฟต์แวร์ ซึ่งบ่งชี้ถึงการเปลี่ยนแนวทางไปสู่เวอร์ชันที่ปลอดภัยและทันสมัยกว่า การปล่อยเวอร์ชันหลักครั้งต่อไปได้รับการกำหนดไว้ในช่วงปลายเดือนกันยายน 2026 ซึ่งแสดงให้เห็นถึงแนวทางที่ริเริ่มในการเสริมสร้างกรอบความปลอดภัยโดยรวม สิ่งนี้ช่วยเน้นจุดสำคัญ: เครื่องมือและเทคโนโลยีเดียวกันที่เร่งการค้นพบช่องโหว่ ยังส่งผลให้เกิดภาระงานในการจัดลำดับความสำคัญเพิ่มขึ้นสำหรับผู้ดูแลระบบโอเพ่นซอร์สที่มักขาดแคลนทรัพยากร ความท้าทายนี้ไม่ได้เกิดขึ้นเฉพาะกับ Core Lightning เท่านั้น รูปแบบที่คล้ายกันได้รับการสังเกตในโค้ดเบสของเลเยอร์สองและไซด์เชนอื่นๆ การสังเกตเหล่านี้ยืนยันแนวคิดว่า เมื่อความซับซ้อนเพิ่มขึ้นนอกเหนือจากโปรโตคอลพื้นฐานของ Bitcoin ความเสี่ยงที่เกี่ยวข้องจะมีความเข้มข้นมากขึ้น โดยเฉพาะเมื่อปัญญาประดิษฐ์สามารถสแกนและวิเคราะห์ข้อมูลด้วยความเร็วของเครื่อง
การประชุมสัปดาห์ของ Bitcoin Core มุ่งเน้นที่ช่องว่างการรับรอง AI
ในการประชุมนักพัฒนา Bitcoin Core รายสัปดาห์ซึ่งจัดขึ้นในวันพฤหัสบดีแรกของเดือนกันยายน 2026 สตีฟ ลี หัวหน้าของ Spiral ได้ถ่ายทอดข้อกังวลของผู้บริจาคและชุมชนว่าโครงการนี้ยังไม่ได้เสริมความมั่นคงอย่างเพียงพอต่อภัยคุกคามที่ใช้ปัญญาประดิษฐ์บนเครือข่าย รวมถึงยังไม่ได้ใช้ปัญญาประดิษฐ์อย่างเป็นระบบในการทบทวนโค้ด การทดสอบ และการดีบัก คริสติน ดี. คิม ผู้ก่อตั้ง Protocol Watch ได้สรุปการอภิปรายอย่างเปิดเผย โดยชี้ให้เห็นว่าการสูญเสียล่าสุดที่เกินกว่า 1,800 BTC จากที่อยู่มากกว่า 5,200 ที่อยู่ และการเพิ่มขึ้นอย่างมากของรายงาน Core Lightning ได้เพิ่มความเสี่ยงขึ้น
ข้อจำกัดในการเข้าถึงแบบจำลอง Frontier กำหนดความสามารถในการป้องกัน
นักวิจัยที่เกี่ยวข้องกับทีมแดงและโครงการที่เกี่ยวข้องรายงานว่าผู้ให้บริการโมเดลขั้นสูงบางรายที่ตั้งอยู่ในสหรัฐอเมริกาได้กำหนดข้อจำกัดเกี่ยวกับการสอบถามที่มุ่งเน้นด้านความมั่นคงปลอดภัยทางไซเบอร์ สถานการณ์นี้บังคับให้นักวิชาชีพด้านความมั่นคงปลอดภัยทางไซเบอร์ต้องพึ่งพาทางเลือกแบบเปิดน้ำหนัก เช่น Kimi K3 ซึ่งไม่มีข้อจำกัดเช่นเดียวกัน Galaxy Research ได้ดำเนินการประเมินและสรุปด้วยความมั่นใจสูงว่าผู้กระทำผิดบางรายได้ใช้โมเดลที่ไม่มีข้อจำกัดซึ่งมีความสามารถคล้ายกับโมเดลที่ถูกจำกัด สิ่งนี้สร้างความไม่สมดุลอย่างมากในพื้นที่ด้านความมั่นคงปลอดภัยทางไซเบอร์ โดยผู้โจมตีสามารถสอบถามและใช้เลเวอเรจระบบที่ทรงพลัง ขณะที่ผู้ป้องกันบางรายกลับพบว่าตนเองถูกขัดขวางโดยข้อจำกัดทางนโยบาย ความไม่เท่าเทียมนี้กลายเป็นหัวข้อซ้ำๆ ในการวิเคราะห์หลังจากเหตุการณ์ต่างๆ
เพื่อตอบสนองต่อความท้าทายเหล่านี้ ผู้เข้าร่วมในอุตสาหกรรม รวมถึงองค์กรหลายแห่งที่เน้นเรื่อง Bitcoin และ คริปโตเคอเรนซี ต่อมาได้สนับสนุนการจัดตั้งโปรแกรมการเข้าถึงที่เชื่อถือได้ โปรแกรมเหล่านี้จะมอบความสามารถที่กว้างขวางขึ้นแก่ผู้ดูแลที่ผ่านการตรวจสอบของโครงสร้างพื้นฐานทางการเงินแบบโอเพนซอร์ส แต่เฉพาะภายใต้เงื่อนไขที่ควบคุมเพื่อให้มั่นใจถึงความปลอดภัยและความมั่นคง การอภิปรายที่ยังคงดำเนินอยู่ได้เน้นย้ำถึงปัญหาสำคัญ: นโยบายความปลอดภัยที่ผู้ให้บริการโมเดลนำมาใช้ ซึ่งออกแบบมาเพื่อลดความเสี่ยงโดยทั่วไป อาจก่อให้เกิดผลกระทบไม่เท่ากันข้ามหมวดหมู่ของการวิจัยด้านความปลอดภัยที่ชอบด้วยกฎหมาย สถานการณ์นี้เรียกร้องให้มีการพิจารณาใหม่อย่างรอบคอบเกี่ยวกับวิธีการจัดโครงสร้างและบังคับใช้นโยบายดังกล่าว เพื่อให้มั่นใจว่าจะไม่ขัดขวางการวิจัยที่สำคัญและศักยภาพในการป้องกันในด้านไซเบอร์ซีเคียวริตี้
Rob Hamilton ได้รับการส่งคำสั่งแรกของ Bitcoin Core จากการค้นพบที่ช่วยโดย AI
Rob Hamilton ซีอีโอของ AnchorWatch ได้รับการรวมโค้ดครั้งแรกของเขาเข้าไปในฐานโค้ด Bitcoin Core เมื่อวันที่ 20 สิงหาคม 2026 โดยเป็นผู้มีส่วนร่วมอย่างแข็งขันในโครงการ Red Team โดยการอัปเดตครั้งใหญ่นี้ได้แก้ไขบั๊กที่ทำให้วอลเล็ตล่มซึ่งถูกค้นพบโดยแบบจำลอง AI ขั้นสูงขณะสแกนฐานโค้ดขนาดใหญ่เพื่อหาปัญหา Hamilton เริ่มทดลองใช้การวิเคราะห์ที่ช่วยด้วย AI กับ Bitcoin Core ตั้งแต่เดือนพฤษภาคมแล้ว แต่เหตุการณ์ Coldcard ได้เร่งให้เกิดแคมเปญที่ประสานงานอย่างดีเพื่อปรับปรุงซอฟต์แวร์ การรวมโค้ดนี้สำเร็จแสดงให้เห็นว่าผลลัพธ์ที่ได้จาก AI สามารถแปลงเป็นการปรับปรุงระดับโปรโตคอลที่ได้รับการยอมรับและมีความหมายได้จริง โดยเฉพาะเมื่อผลลัพธ์เหล่านี้มาพร้อมกับการตรวจสอบโดยมนุษย์อย่างรอบคอบและกระบวนการทบทวนอย่างละเอียด
ในเวลาเดียวกัน แฮมิลตันและผู้ร่วมงานของเขาสังเกตว่าข้อจำกัดหลักในกระบวนการพัฒนาได้เปลี่ยนจากขั้นตอนการค้นพบปัญหาครั้งแรกไปสู่กระบวนการที่ช้ากว่ามากและซับซ้อนกว่าในการประสานงานกับผู้ดูแลระบบในรีโพสิทอรีหลายร้อยแห่ง พวกเขาพบว่าการระบุปัญหาที่เป็นไปได้นับพันรายการในหนึ่งวันง่ายกว่ามากในการรับการแก้ไขอย่างทันเวลาและสามารถจำลองปัญหาที่ระบุได้อย่างอิสระ การเปลี่ยนแปลงจุดสนใจนี้แสดงให้เห็นถึงความท้าทายที่นักพัฒนาในชุมชนโอเพ่นซอร์สต้องเผชิญขณะพยายามดำเนินการเปลี่ยนแปลงและการปรับปรุงที่จำเป็น
การทบทวนใหม่เกี่ยวกับเอนโทรปีและการสร้างตัวเลขสุ่มข้ามฮาร์ดแวร์วอลเล็ต
การวิเคราะห์หลังเหตุการณ์ Coldcard ได้กระตุ้นให้ผู้ผลิตและผู้รีวิวอิสระตอบสนองอย่างแข็งขัน ทำให้พวกเขาดำเนินการตรวจสอบซ้ำอย่างละเอียดเกี่ยวกับเส้นทางการสร้างตัวเลขสุ่มที่ใช้ในอุปกรณ์อื่นๆ อีกหลายชนิด ในตอบสนองต่อการพัฒนาเหล่านี้ Blockstream ได้ริเริ่มเผยแพร่การวิเคราะห์อย่างครอบคลุมซึ่งยืนยันว่าวอลเล็ต Jade ของตนไม่ได้รับผลกระทบจากปัญหาที่ถูกยกมา และให้ข้อมูลเชิงลึกอย่างละเอียดเกี่ยวกับการปรับปรุงที่ดำเนินการไปแล้วในกระบวนการจัดการเอนโทรปีของตนเอง Coinkite ผู้ผลิต Coldcard ได้เปิดตัวอัปเดตเฟิร์มแวร์รุ่นใหม่ที่บังคับให้ผู้ใช้จัดหาแหล่งสุ่มทางกายภาพ เช่น การกดปุ่ม การทอยลูกเต๋า หรือแม้แต่การโยนเหรียญ เมื่อสร้าง seed ใหม่ การอัปเดตนี้ได้แทนที่อัลกอริธึมสำรองของซอฟต์แวร์ที่เคยใช้อยู่ก่อนหน้านี้
เหตุการณ์นี้ช่วยเน้นย้ำจุดสำคัญ: การมีส่วนประกอบตัวสร้างตัวเลขสุ่มจากฮาร์ดแวร์ (RNG) เพียงอย่างเดียวไม่ได้รับประกันว่าจะถูกเรียกใช้งานอย่างถูกต้องระหว่างการดำเนินการ จำเป็นอย่างยิ่งที่ต้องตรวจสอบอย่างละเอียดตั้งแต่ต้นจนจบเส้นทางการเรียกใช้งานทั้งหมด ตั้งแต่การสร้าง seed ไปจนถึงการตั้งค่าการสร้าง หลังจากเหตุการณ์นี้ มีการสแกนด้วย AI เพิ่มเติมในหลายรีโพสิทอรีของฮาร์ดแวร์วอลเล็ต และได้ผลลัพธ์เพิ่มเติม ซึ่งถูกจัดลำดับความสำคัญโดยผู้ดูแลระบบ กระบวนการนี้แสดงให้เห็นว่าความล้มเหลวที่มีชื่อเสียงเพียงครั้งเดียวสามารถนำไปสู่การตรวจสอบอย่างต่อเนื่องทั่วทั้งระบบนิเวศ กระตุ้นให้มีการทบทวนแนวทางและโปรโตคอลด้านความปลอดภัยโดยรวม
ความโปร่งใสแบบโอเพนซอร์สพบกับการวิเคราะห์ด้วยความเร็วของเครื่องจักร
เจมส์สัน ล็อปป์ และผู้สนับสนุนการจัดเก็บสินทรัพย์ด้วยตนเองมานานรายอื่นๆ สังเกตว่าเคสของ Coldcard เปิดเผยข้อจำกัดเชิงปฏิบัติของหลักการ “อย่าเชื่อ ให้ตรวจสอบ” ที่มีมานาน ผู้ตรวจสอบมนุษย์ได้ตรวจสอบเฟิร์มแวร์ที่เกี่ยวข้องมานานหลายปีและยืนยันการมีอยู่ของฮาร์ดแวร์ RNG แต่เส้นทางการFallback แบบเงียบยังไม่ถูกตรวจพบจนกระทั่งมีการชี้โมเดลไปที่รีโพสิทอรี การทบทวนด้วยปัญญาประดิษฐ์ของ Coinkite เองต่อโค้ดเดียวกันก็ยังพลาดประเด็นนี้เช่นกัน
มุมมองนี้ไม่ได้ทำให้แนวทางแบบโอเพนซอร์สหมดความหมาย แต่แสดงให้เห็นว่าภาระงานการตรวจสอบต้องรวมการวิเคราะห์ด้วยเครื่องจักรอย่างต่อเนื่องที่ถูกปรับเทียบให้ตรงกับโมเดลเดียวกันที่ผู้โจมตีที่เป็นไปได้มีอยู่ โครงการที่รักษาคลังข้อมูลสาธารณะจะต้องเผชิญกับมาตรฐานใหม่: สมมติว่าทุกการคอมมิตถูกตรวจสอบโดยอัตโนมัติโดยทั้งผู้ป้องกันและผู้โจมตี
รหัสฐานของ Layer Two และ Sidechain ดึงดูดความสนใจของ AI อย่างเข้มข้น
นอกจากวอลเล็ตแบบฮาร์ดแวร์แล้ว การสแกนด้วยปัญญาประดิษฐ์และการโจมตีที่ตามมาได้เป้าหมายไปที่ส่วนประกอบที่ซับซ้อนยิ่งขึ้นของชั้น Bitcoin อย่างต่อเนื่อง โดยเฉพาะ Core Lightning, Liquid Network และเครื่องมือการชำระเงินและความเป็นส่วนตัวต่างๆ ได้รับรายงานหรือเหตุการณ์โดยตรงที่เกี่ยวข้องกับช่องโหว่เพิ่มขึ้นอย่างมาก การวิเคราะห์อย่างละเอียดหนึ่งชิ้นชี้ให้เห็นว่า แม้โปรโตคอลพื้นฐานของ Bitcoin จะถูกออกแบบมาให้เรียบง่ายและไม่ซับซ้อนอย่างตั้งใจ แต่โครงสร้างพื้นฐานรอบข้างที่จำเป็นสำหรับการเพิ่มความสามารถในการใช้งานและการขยายขนาด กลับสร้างพื้นที่โจมตีที่กว้างขึ้นอย่างมาก พื้นที่เหล่านี้เป็นพื้นที่ที่แบบจำลองขั้นสูงสามารถเคลื่อนไหวได้อย่างมีประสิทธิภาพอย่างน่าทึ่ง
กิจกรรมของผู้เชี่ยวชาญด้านความปลอดภัยแบบไวท์แฮตที่ดำเนินการบน Liquid Network ทำให้ต้องถอนจำนวนมูลค่าที่มากเป็นการชั่วคราว ซึ่งถูกคืนกลับมาหลังจากดำเนินการอัปเดตแก้ไขอย่างเหมาะสม เหตุการณ์เหล่านี้ร่วมกันบ่งชี้ถึงการเปลี่ยนแปลงที่สำคัญในสมการทางเศรษฐกิจเกี่ยวกับการวิจัยช่องโหว่: ต้นทุนขอบเขตที่เกี่ยวข้องกับการสแกนคลังข้อมูลเพิ่มเติมยังคงลดลง ขณะที่ผลตอบแทนทางการเงินที่อาจได้รับจากการค้นพบช่องโหว่ที่มีมูลค่าสูงเพียงช่องโหว่เดียวยังคงมีมูลค่าอย่างมาก
ความท้าทายในการประสานงานยังคงมีอยู่แม้จะมีอัตราการค้นพบที่เร็วขึ้น
แม้ว่าปัญญาประดิษฐ์จะก้าวหน้าอย่างมากในการลดเวลาที่ใช้ในการระบุปัญหาที่อาจเกิดขึ้น จากที่เคยใช้เวลาเป็นสัปดาห์หรือแม้แต่เดือน เหลือเพียงไม่กี่ชั่วโมง แต่กระบวนการของมนุษย์ในการจัดลำดับความสำคัญ การสร้างซ้ำ การเปิดเผยอย่างเป็นส่วนตัว และการรวมแพตช์ยังคงดำเนินไปตามจังหวะและกำหนดเวลาเดิม ซึ่งส่งผลให้เกิดความท้าทาย โดยเฉพาะสำหรับผู้ดูแลโครงการขนาดเล็ก ที่รายงานว่าประสบปัญหาในการจัดการกับปริมาณรายงานที่เพิ่มขึ้นอย่างฉับพลันและมากเกินไปซึ่งเกิดขึ้นจากความก้าวหน้าทางเทคโนโลยีเหล่านี้
การปฏิบัติที่ทีมแดงได้กำหนดไว้ในการเปิดเผยอย่างเป็นส่วนตัวสำหรับผลการค้นพบที่สำคัญ ได้ช่วยลดความเสี่ยงทันทีต่อสาธารณะอย่างมีประสิทธิภาพ; อย่างไรก็ตาม ยังคงจำเป็นต้องดำเนินกระบวนการติดต่อแบบลำดับขั้นกับทีมอิสระหลายโหล ซึ่งอาจใช้ทรัพยากรและเวลาอย่างมาก การจำกัดชั่วคราวของ OpenAI ที่มีต่อบัญชีบางบัญชียังทำให้ความต่อเนื่องของเครื่องมือและกระบวนการที่จำเป็นสำหรับการจัดการโครงการอย่างมีประสิทธิภาพซับซ้อนยิ่งขึ้น ผลรวมของปัจจัยเหล่านี้ได้นำไปสู่ช่องว่างที่กว้างขึ้นระหว่างความเร็วในการค้นพบช่องโหว่กับความเร็วในการแก้ไขช่องโหว่ สถานการณ์นี้เป็นความท้าทายด้านองค์กรมากกว่าที่จะเป็นปัญหาด้านเทคนิคบริสุทธิ์ และเป็นสิ่งที่โครงสร้างแบบกระจายศูนย์ของ Bitcoin Core ยังอยู่ในกระบวนการปรับตัวเพื่อจัดการอย่างมีประสิทธิภาพ
อุตสาหกรรมเรียกร้องให้มีการเข้าถึงแบบเชื่อถือได้ต่อโมเดลขั้นสูงอย่างเข้มข้นขึ้น
ในบริบทของความไม่สอดคล้องกันที่ระบุไว้ กลุ่มองค์กรต่างๆ ที่สนับสนุน Bitcoin ได้ร่วมกันสนับสนุนและขออย่างเป็นทางการให้จัดตั้งโปรแกรมการเข้าถึงที่เชื่อถือได้อย่างต่อเนื่องที่ห้องปฏิบัติการปัญญาประดิษฐ์ชั้นนำ ข้อเสนอเหล่านี้ชี้ว่า บุคคลที่ได้รับการยอมรับว่าเป็นผู้พิทักษ์โครงสร้างพื้นฐานทางการเงินแบบโอเพ่นซอร์สควรได้รับการเข้าถึงระดับความสามารถที่เทียบเท่ากับที่มีให้สำหรับวัตถุประสงค์การวิจัยทั่วไป โดยยังคงรักษาและรับรองมาตรการป้องกันความปลอดภัย
ในกรณีที่ไม่มีช่องทางการเข้าถึงดังกล่าว ผู้ป้องกันเหล่านี้เผชิญความเสี่ยงอย่างมากที่จะตามหลังอย่างเป็นระบบเมื่อเทียบกับผู้โจมตี ซึ่งเผชิญข้อจำกัดน้อยกว่ามากในการใช้งาน นับตั้งแต่ต้นเดือนกันยายน 2026 การอภิปรายนี้ยังคงเป็นหัวข้อที่มีชีวิตชีวาและใช้งานอย่างต่อเนื่อง ซึ่งเชื่อมโยงกับการอภิปรายเชิงนโยบายกว้างขึ้นที่เกี่ยวข้องกับลักษณะการใช้งานสองทางของแบบจำลองภาษาขั้นสูงและผลกระทบต่อภาคต่างๆ
แนวทางของผู้มีส่วนร่วมแต่ละรายยังคงขับเคลื่อนการบูรณาการปัญญาประดิษฐ์
เนื่องจากไม่มีโครงสร้างองค์กรใน Bitcoin Core กระบวนการรับใช้ปัญญาประดิษฐ์จึงเกิดขึ้นผ่านการตัดสินใจของนักพัฒนาแต่ละคน แทนที่จะเป็นคำสั่งจากบนลงล่าง ผู้มีส่วนร่วมหลายรายได้เริ่มพึ่งพาโมเดลต่างๆ อย่างมากสำหรับวัตถุประสงค์เช่น การสร้างการทดสอบ การระบุเป้าหมายการทดสอบแบบฟัซซี่ และการทบทวนเบื้องต้น อย่างไรก็ตาม มีผู้อื่นที่ยังคงสงสัยในคุณภาพของผลลัพธ์ที่โมเดลเหล่านี้สร้างขึ้น และจึงเลือกลดการสัมผัสกับสิ่งที่พวกเขาเห็นว่าเป็นเสียงรบกวนที่ถูกสร้างขึ้น
ในการประชุมที่จัดขึ้นในเดือนกันยายน ผู้เข้าร่วมได้เปิดโอกาสให้มีความเห็นพ้องต้องกันทางสังคมในที่สุดเพื่อสนับสนุนการจัดตั้งแนวทางระดับโครงการ อย่างไรก็ตาม ผู้ที่เกี่ยวข้องถือว่าผลลัพธ์ที่เป็นไปได้นี้ขึ้นอยู่กับปัจจัยต่างๆ มากกว่าจะเป็นสิ่งที่ใกล้จะเกิดขึ้นหรือรับประกันได้ ในระหว่างนี้ ความหลากหลายอันกว้างขวางของแนวทางส่วนบุคคลมีจุดประสงค์สองประการ: มันทำหน้าที่เป็นจุดแข็งโดยส่งเสริมสภาพแวดล้อมที่เอื้อต่อการทดลอง ขณะเดียวกันก็เป็นแหล่งที่มาของความไม่สม่ำเสมอในโค้ดเบส ทำให้เกิดความไม่สอดคล้องกันในการดำเนินการและการประยุกต์ใช้งาน
ผลกระทบเชิงปฏิบัติสำหรับการจัดการตนเองและการตั้งค่าหลายลายเซ็น
ผู้ใช้ที่สร้าง seed บน firmware ของ Coldcard ที่ได้รับผลกระทบได้รับคำแนะนำให้ย้ายไปใช้แหล่ง entropy ใหม่ทันที และในกรณีที่เป็นไปได้ ให้ใช้การตั้งค่าแบบ multi-signature ที่ครอบคลุมอุปกรณ์จากผู้ผลิตที่เป็นอิสระต่อกัน ไม่มีรายงานการถูกขโมยจากวอลเล็ตแบบ multi-signature ที่สร้างขึ้นอย่างถูกต้องในผลการนับที่มีความมั่นใจสูง
เหตุการณ์ดังกล่าวยืนยันคำแนะนำที่มีมานานว่า จุดล้มเหลวเดียว ไม่ว่าจะเป็นรุ่นอุปกรณ์เดียวหรือกระบวนการผลิตเดียว ยังคงมีความเสี่ยงสูงเมื่อเครื่องมือค้นพบพัฒนาขึ้น ผู้ผลิตวอลเล็ตฮาร์ดแวร์ตอบสนองด้วยการเปลี่ยนแปลงเฟิร์มแวร์เพื่อเปลี่ยนการรวบรวมเอนโทรปีไปสู่ความสุ่มทางกายภาพที่ผู้ใช้เป็นผู้ให้ ลดการพึ่งพาตัวสร้างภายในที่ยากต่อการตรวจสอบความถูกต้องโดยง่าย
🔥 ลึกกว่าหัวข้อข่าว: KuCoin 5.0 มีความหมายอย่างไรกับคุณ
ข่าวตลาดเคลื่อนตัวเร็ว — แต่สถานที่ที่คุณดำเนินการก็สำคัญไม่แพ้กัน ในเดือนตุลาคมนี้ KuCoin จะเปิดตัว KuCoin 5.0 ซึ่งเปลี่ยนแปลง KuCoin ให้เป็นแพลตฟอร์มที่สร้างใหม่ทั้งหมด นี่คือสิ่งที่เปลี่ยนแปลงสำหรับคุณ:
-
บัญชีเดียวสำหรับทุกอย่าง แพลตฟอร์มรุ่นเก่าแบ่งเงินของคุณออกเป็นบัญชี “สปอต” “หลักประกัน” และ “ฟิวเจอร์ส” แยกจากกัน และคาดหวังให้คุณเข้าใจเหตุผล บัญชีแบบครบวงจร Unified Account ของ KuCoin 5.0 ลบการแบ่งแยกนี้ออกทั้งหมด — ฝากเพียงครั้งเดียว และทุกอย่างจะอยู่ที่นั่นทันที
-
หุ้น ดัชนี และสินค้าโภคภัณฑ์ KuCoin 5.0 ขยายขอบเขตBeyond crypto ไปสู่ตลาดโลก เมื่อคริปโตเคลื่อนตัวแบบทรงตัวและตลาดหุ้นฟื้นตัว (หรือในทางกลับกัน) คุณสามารถสลับการลงทุนภายในไม่กี่นาที โดยไม่ต้องเปิดบัญชีนายหน้าซื้อขายหลักทรัพย์และรอเป็นวันๆ เพื่อให้ระบบเงิน Fiat ทำงาน
-
สินทรัพย์ในโลกจริง (RWA) การเข้าถึงสินทรัพย์ดั้งเดิมเช่น สินค้าโภคภัณฑ์ผ่านการแปลงเป็นโทเค็น ภายในบัญชีคริปโตของคุณเอง หนึ่งใน segement ที่เติบโตเร็วที่สุดในระบบการเงินระดับโลก ไม่ได้ถูกจำกัดไว้สำหรับสถาบันอีกต่อไป — คุณสามารถเข้าถึงมันได้จากยอดเงินเดียวกันที่คุณใช้เทรด
-
หารายได้ขณะเรียนรู้ ยังไม่พร้อมเทรด? KCUSD ช่วยให้ Stablecoin ของคุณสร้างรายได้รายวันด้วยดอกเบี้ยทบต้นอัตโนมัติ วิธีที่ผ่อนคลายที่สุดในการทำให้เงินฝากที่ไม่ได้ใช้งานทำงานให้คุณด้วยผลตอบแทน 4%
-
ผู้ช่วย AI ที่ใช้ภาษาธรรมดา ถามคำถาม รับบริบทตลาด เข้าใจสิ่งที่คุณกำลังดู — รวมอยู่ในแพลตฟอร์ม ไม่ต้องใช้ศัพท์เทคนิค
-
แอปที่ไม่ทำให้รู้สึกหนักใจ รวดเร็ว สะอาด และสอดคล้องกัน — ใช้งานง่ายตั้งแต่แตะครั้งแรก ไม่ต้องรอเรียนรู้ผ่านคำแนะนำ
-
ความปลอดภัยที่คุณสามารถตรวจสอบได้ ไม่ใช่แค่เชื่อใจเท่านั้น หน่วยงานในสหภาพยุโรปที่ได้รับใบอนุญาตตาม MiCAR, Proof of Reserves ที่คุณสามารถตรวจสอบด้วยตัวเอง และความปลอดภัยที่ได้รับการรับรองระดับสากล (SOC 2 Type II, ISO 27001:2022)
สร้างบัญชีของคุณในไม่กี่นาที — และเริ่มต้นบนแพลตฟอร์มที่ถูกออกแบบมาสำหรับอนาคตของคริปโต ไม่ใช่อดีต
คำถามที่พบบ่อย
ความอ่อนไหวของ Coldcard อยู่โดยไม่ถูกตรวจพบเป็นเวลาห้าปีได้อย่างไร แม้จะมีการเปิดแหล่งที่มาอย่างเสรี?
ผู้ตรวจสอบมนุษย์ยืนยันการมีอยู่ของฮาร์ดแวร์สุ่มตัวเลข แต่ไม่ได้ติดตามทุกเส้นทางการดำเนินการตั้งแต่การสร้าง seed ผ่านป้ายการตั้งค่าการสร้างเฉพาะที่เปิดใช้งานการย้อนกลับซอฟต์แวร์โดยเงียบ โมเดล AI เมื่อได้รับคำสั่งให้วิเคราะห์รีพอสิทอรีทั้งหมด สามารถเปิดเผยข้อผิดพลาดทางตรรกะได้เร็วกว่าโดยการเชื่อมโยงส่วนโค้ดที่ห่างไกลกันซึ่งผู้ตรวจสอบแต่ละคนได้ตรวจสอบแยกกัน การทบทวน AI ของ Coinkite เองก็ล้มเหลวในการแจ้งเตือนปัญหานี้ ซึ่งชี้ให้เห็นว่าความสามารถของโมเดลและการออกแบบคำสั่งยังคงมีความแปรปรวน
สัดส่วนของผลการค้นพบจากทีมแดงของ Bitcoin ที่สามารถดำเนินการได้ในที่สุดคือเท่าใด
จากผลการค้นพบเริ่มต้น 4,962 รายการ รายงานที่มีความรุนแรงระดับวิกฤต 85 รายการ และระดับสูง 635 รายการ ถือเป็นชุดปัญหาที่ร้ายแรงหลัก ประมาณ 21 เปอร์เซ็นต์ของปัญหาที่รายงานได้รับการตรวจสอบซ้ำอย่างอิสระที่จุดตรวจสอบระดับกลาง พบปัญหา 8 รายการที่ถูกยกเลิกเนื่องจากเป็นผลบวกปลอม ส่วนที่เหลือต้องได้รับการจัดลำดับความสำคัญอย่างต่อเนื่องจากผู้ดูแลระบบ ซึ่งแสดงให้เห็นว่าปริมาณเพียงอย่างเดียวไม่ได้หมายถึงความเสี่ยงที่ได้รับการยืนยัน
ผู้โจมตีใช้ AI เพื่อค้นพบช่องโหว่ของ Coldcard อย่างแน่นอนหรือไม่?
Coinkite ระบุว่าเฟิร์มแวร์แบบโอเพ่นซอร์สทำให้การทบทวนด้วยปัญญาประดิษฐ์เป็นช่องทางการค้นพบที่เป็นไปได้ และการสแกนรุ่นก่อนหน้าของตนเองได้พลาดบั๊กนี้ไป Galaxy Research ประเมินด้วยความมั่นใจสูงว่าผู้โจมตีอย่างน้อยบางส่วนใช้โมเดลที่ไม่มีข้อจำกัดในระหว่างการโจมตี หลักฐานทางนิติวิทยาศาสตร์โดยตรงเกี่ยวกับวิธีการค้นพบเริ่มต้นยังไม่สมบูรณ์ อย่างไรก็ตาม คลื่นการตรวจสอบโดยใช้ปัญญาประดิษฐ์ที่ตามมาในระบบนิเวศแสดงให้เห็นว่าความสามารถดังกล่าวมีอยู่และถูกใช้งานอยู่แล้วโดยทั้งสองฝ่าย
ทำไมนักพัฒนา Bitcoin Core จึงปฏิเสธที่จะรับนโยบาย AI อย่างเป็นทางการ?
ผู้เข้าร่วมการประชุมเดือนกันยายนเน้นย้ำว่าโครงการนี้ไม่ใช่บริษัท ดังนั้นจึงไม่สามารถบังคับใช้มาตรฐานทางเทคนิคที่เป็นเอกภาพต่อผู้มีส่วนร่วมอิสระได้ การใช้งานที่มีอยู่ในปัจจุบันแตกต่างกันอย่างมากตามความชอบส่วนบุคคล นโยบายอย่างเป็นทางการยังคงขึ้นอยู่กับการเกิดขึ้นของความเห็นพ้องต้องกันทางสังคมที่กว้างขวางภายในชุมชนนักพัฒนา
ผู้ดำเนินการ Core Lightning คาดว่าจะตอบสนองต่อการปล่อยอัปเดตความปลอดภัยล่าสุดอย่างไร
ผู้ดำเนินการได้รับคำสั่งให้ติดตั้งและตรวจสอบการอัปเดตฉุกเฉินทันที ผู้ที่ไม่สามารถอัปเกรดทันทีได้รับคำแนะนำให้รีสตาร์ทด้วยแฟลกออฟไลน์ ซึ่งจะทำให้โหนดสามารถติดตามโซ่ Bitcoin ต่อไปได้ในขณะที่ปฏิเสธการชำระเงินและการเชื่อมต่อเพียร์ใหม่ การสนับสนุนสำหรับเวอร์ชันเก่าบางรุ่นได้ถูกยกเลิก
ข้อจำกัดความรับผิด: เนื้อหานี้มีจุดประสงค์เพื่อข้อมูลเท่านั้น และไม่ถือเป็นคำแนะนำการลงทุน การลงทุนในคริปโตเคอเรนซีมีความเสี่ยง โปรดทำการวิจัยด้วยตัวเอง (DYOR)
คำปฏิเสธความรับผิดชอบ: หน้านี้แปลโดยใช้เทคโนโลยี AI เพื่อความสะดวกของคุณ สำหรับข้อมูลที่ถูกต้องที่สุด โปรดดูต้นฉบับภาษาอังกฤษ