LastPass และ Coldcard: บทเรียนเกี่ยวกับเอนโทรปี ช่องโหว่ และความขัดแย้งด้านความปลอดภัย การรั่วไหลของข้อมูล LastPass ในปี 2022 และช่องโหว่ของเฟิร์มแวร์ Coldcard ในเดือนกรกฎาคม 2026 เป็นหนึ่งในความล้มเหลวด้านความปลอดภัยของคริปโตเคอเรนซีที่มีผลกระทบมากที่สุดในช่วงไม่กี่ปีที่ผ่านมา ในแง่แรกดูเหมือนว่าทั้งสองเหตุการณ์จะไม่มีจุดร่วมใดๆ กันเลย หนึ่งเกิดขึ้นในคลาวด์ อีกหนึ่งเกิดภายในวอลเล็ตฮาร์ดแวร์ที่ไม่เชื่อมต่ออินเทอร์เน็ต หนึ่งเกิดขึ้นเป็นเวลาหลายปี อีกหนึ่งดูเหมือนจะสำเร็จภายในเวลาไม่ถึงหนึ่งชั่วโมง หนึ่งส่งผลกระทบต่อคริปโตเคอเรนซีหลายตัว ในขณะที่อีกหนึ่งมุ่งเป้าไปที่ Bitcoin เป็นหลัก อย่างไรก็ตาม ภายใต้ความแตกต่างเหล่านี้กลับมีจุดร่วมที่โดดเด่น ทั้งสองเหตุการณ์แสดงให้เห็นถึงความขัดแย้งด้านความปลอดภัยอย่างลึกซึ้ง: ผู้ใช้ที่ปฏิบัติตามแนวทางความปลอดภัยที่ดีที่สุดอย่างรอบคอบที่สุดกลับกลายเป็นเหยื่อหลัก ในแต่ละกรณี ผู้ใช้ที่ตั้งใจปฏิเสธความสะดวกสบายเพื่อเลือกการควบคุมทรัพย์สินด้วยตนเองอย่างเข้มแข็ง กลับพบว่าจุดอ่อนที่สุดไม่ได้อยู่ที่พฤติกรรมของพวกเขาเอง แต่อยู่ที่เทคโนโลยีที่พวกเขาไว้วางใจ ความขัดแย้งด้านความปลอดภัย กลุ่มผู้ใช้ทั้งสองมีลักษณะคล้ายคลึงกันอย่างน่าประหลาดใจ พวกเขาไม่ใช่นักลงทุนใหม่ที่ตามหาผลกำไรจากการเก็งกำไร หรือเหยื่อของการโจมตีแบบฟิชชิง แต่เป็นผู้ใช้ที่ใส่ใจด้านความปลอดภัยซึ่งตั้งใจรับผิดชอบในการปกป้องทรัพย์สินของตนเองแทนการพึ่งพาแพลตฟอร์มแลกเปลี่ยนแบบกลาง ผู้ใช้ LastPass เลือกใช้วอลเล็ตรหัสผ่านที่เข้ารหัสเพื่อปกป้องข้อมูลที่ละเอียดอ่อนอย่างยิ่ง รวมถึง Seed Phrase และกุญแจส่วนตัวของคริปโตเคอเรนซี เหตุผลของพวกเขาเข้าใจได้: วอลเล็ตที่เข้ารหัสซึ่งป้องกันด้วยรหัสผ่านหลักที่แข็งแกร่งดูปลอดภัยกว่าการสำรองข้อมูลเป็นกระดาษหรือไฟล์ที่ไม่ได้เข้ารหัส และยังช่วยป้องกันการสูญหายจากความเสียหายของอุปกรณ์หรือการสูญหายทางกายภาพ ผู้ใช้ Coldcard ก็เลือกอย่างมีจุดมุ่งหมายเช่นกัน พวกเขาซื้อวอลเล็ตฮาร์ดแวร์สำหรับ Bitcoin หนึ่งในอุปกรณ์ที่ได้รับการยอมรับมากที่สุดในอุตสาหกรรม เพราะออกแบบมาให้อยู่ในสภาพ “air-gapped” อย่างสมบูรณ์ กุญแจส่วนตัวไม่เคยสัมผัสกับคอมพิวเตอร์ใดๆ ที่เชื่อมต่ออินเทอร์เน็ต และการทำธุรกรรมสามารถลงนามได้โดยสมบูรณ์ในโหมดออฟไลน์ ทั้งสองกลุ่มลงทุนเวลา เงิน และความพยายามเพื่อปรับปรุงความปลอดภัยของตนเอง แต่ในท้ายที่สุด พวกเขาสูญเสียเงินสดเพราะความล้มเหลวที่เกิดขึ้นนอกเหนือการควบคุมโดยตรงของพวกเขา ความขัดแย้งของการควบคุมทรัพย์สินด้วยตนเองอย่างรอบคอบ ชั้นความปลอดภัยที่ผู้ใช้เลือกใช้อย่างตั้งใจกลับกลายเป็นพื้นที่โจมตีที่ผู้โจมตีสามารถใช้ประโยชน์ได้ในท้ายที่สุด ปัญหาการค้นหาสองแบบแตกต่างกัน แม้ว่าเหตุการณ์ทั้งสองจะนำไปสู่การขโมยคริปโตเคอเรนซี แต่ผู้โจมตีเผชิญกับความท้าทายทางการคำนวณที่แตกต่างกันอย่างสิ้นเชิง ในการรั่วไหลของ LastPass ผู้โจมตีได้รับสำเนาสำรองของวอลเล็ตผู้ใช้ที่ถูกเข้ารหัส แต่ละวอลเล็ตกลายเป็นปริศนาเชิงคริปโตกราฟีของตนเอง ผู้โจมตีต้องถอดรหัสรหัสผ่านหลักของผู้ใช้แต่ละรายก่อน จากนั้นตรวจสอบว่าวอลเล็ตนั้นมี Seed Phrase หรือกุญแจส่วนตัวของคริปโตเคอเรนซีหรือไม่ และสุดท้ายตรวจสอบว่าวอลเล็ตนั้นยังคงมีทรัพย์สินอยู่หรือไม่ แต่ละวอลเล็ตเป็นความท้าทายทางการคำนวณแยกจากกัน ทำให้เกิดแคมเปญระยะยาวโดยมีเหยื่อรายใหม่ปรากฏขึ้นเรื่อยๆ เมื่อวอลเล็ตเพิ่มเติมถูกถอดรหัส เมื่อฮาร์ดแวร์ GPU พัฒนาขึ้นและเทคนิคการถอดรหัสรหัสผ่านพัฒนาไปตามเวลา การโจมตีที่เคยเป็นไปไม่ได้กลับกลายเป็นไปได้มากขึ้นเรื่อยๆ เหตุการณ์ Coldcard เสนอปัญหาการค้นหาแบบแตกต่างออกไป แทนที่จะโจมตีรหัสผ่านที่ผู้ใช้เลือกเองอย่างอิสระ ผู้โจมตียังอ้างว่าได้ใช้ข้อบกพร่องของเฟิร์มแวร์ซึ่งลดระดับความสุ่มในการสร้าง Seed Phrase บนอุปกรณ์บางเครื่อง หากเอนโทรปีที่มีประสิทธิภาพลดลงเพียงพอ ชุดค่าผสมของ Seed Phrase ที่เป็นไปได้จะลดลงอย่างมากกว่าที่ออกแบบไว้ แทนที่จะแก้ปริศนาเชิงคริปโตกราฟีหลายพันชุดที่ไม่มีความเกี่ยวข้องกัน ผู้โจมตีสามารถระบุพื้นที่กุญแจที่ลดลงอย่างเป็นระบบในโหมดออฟไลน์ สร้างที่อยู่ Bitcoin ที่สอดคล้อง และระบุว่าที่อยู่ใดบ้างมีเงินอยู่ ความแตกต่างนี้ช่วยอธิบายว่าทำไมการขโมยครั้งแรกของ Coldcard จึงดูเหมือนกระจุกตัวอย่างมาก LastPass จำเป็นต้องถอดรหัสวอลเล็ตแต่ละใบแยกกัน จึงทำให้มีเหยื่อปรากฏออกมาอย่างช้าๆ เป็นระยะเวลานานหลายเดือน乃至หลายปี...