Ledger มีข่าวให้สบายใจ ชิปรักษาความปลอดภัยไม่ได้ถูกแฮ็ก ส่วนคนที่กำลังจ้องวอลเล็ตที่ว่างเปล่า ก็ลองคิดดูว่าจะดีใจกับข่าวนี้อย่างไรดี

เมื่อวันที่ 9 ตุลาคม 2026 ผู้ที่ซื้ออุปกรณ์ผ่านตัวแทนจำหน่าย CryptoBilis ถูกขโมยคริปโต ตัวเลขของ Bitquery ที่เราตรวจสอบเมื่อวันที่ 15 ตุลาคม ประเมินความเสียหายไว้ประมาณ 102 ล้านดอลลาร์จาก 324 วอลเล็ต ตัวเลขนี้เป็นการประเมินของ Bitquery ซึ่ง Ledger ยังไม่ได้ยืนยัน

มีคนแอบดูตอนคุณกดรหัสตู้เซฟ

วันที่ 13 ตุลาคม Ledger อธิบายชิ้นส่วนที่ถูกแอบติดตั้งในอุปกรณ์ของผู้เสียหายรายหนึ่ง ชิ้นส่วนแปลกปลอมในตัวเครื่องนี้อ่านคำกู้คืนทั้ง 24 คำจากหน้าจอระหว่างการตั้งค่า แล้วส่งให้ผู้โจมตีผ่านเครือข่ายมือถือ โดยไม่ได้แก้ไขชิปรักษาความปลอดภัย ระบบปฏิบัติการของอุปกรณ์ หรือลายเซ็นธุรกรรม

คำเหล่านี้รวมกันเป็น seed phrase หรือชุดคำกู้คืน สำหรับวอลเล็ตแบบมาตรฐานที่ไม่ได้ตั้งรหัสผ่านเสริม (passphrase) ใครมีคำเหล่านี้ก็สามารถกู้คืนการเข้าถึงบนอุปกรณ์อีกเครื่องได้ โจรไม่ต้องใช้ Ledger ของคุณอีกแล้ว ไม่ต้องแตะปุ่มบนเครื่องด้วยซ้ำ

ลองนึกถึงตู้เซฟที่มีระบบล็อกชั้นดี แต่มีคนซ่อนกล้องไว้ข้างแป้นกดเพื่อดูคุณใส่รหัส ระบบล็อกผ่านการทดสอบทุกอย่าง ส่วนของในตู้เซฟกลับไม่ได้อยู่ร่วมแสดงความยินดีด้วย

เครื่องของแท้ ของข้างในเกินมาหน่อย

Ledger มีระบบตรวจสอบว่าอุปกรณ์เป็นของแท้ แต่คู่มือตรวจสอบฮาร์ดแวร์ของบริษัทเองระบุข้อจำกัดไว้ว่าการตรวจนี้ไม่สามารถตรวจพบการดัดแปลงทางกายภาพ รวมถึงการติดตั้งชิ้นส่วนสอดแนม หากชิปรักษาความปลอดภัยเดิมยังอยู่ในสภาพสมบูรณ์

“เป็น Ledger ของแท้” กับ “ไม่มีใครแอบใส่อะไรเพิ่มเข้าไป” เป็นคนละคำยืนยัน วิศวกรอาจเข้าใจความต่างนี้ แต่สำหรับคนที่จ่ายเงินซื้อความปลอดภัยและเครื่องผ่านการตรวจแล้ว การเรียนรู้ความต่างนี้อาจต้องแลกด้วยเงินเก็บทั้งชีวิต

ขั้นต่อไปก็ช่างคิดมาอย่างดี คู่มือฉบับเดียวกันมีภาพให้คุณตรวจดูข้างใน พร้อมคำเตือนว่าการเปิดเครื่องอาจทำให้อุปกรณ์เสียหาย คุณซื้อฮาร์ดแวร์วอลเล็ตมาเพื่อจะได้กังวลเรื่องความปลอดภัยน้อยลง แต่ตอนนี้กลับต้องมานั่งศึกษาแผงวงจร

กล่องดำไม่ได้อยู่ตามลำพัง

จะโทษว่าซื้อของถูกจากร้านไม่น่าไว้ใจก็พูดได้ไม่เต็มปากในกรณีนี้ เพราะ CryptoBilis มีชื่ออยู่ในรายชื่อตัวแทนจำหน่ายอย่างเป็นทางการของ Ledger การสอบสวนยังต้องหาว่าใครดัดแปลงอุปกรณ์ และทำที่จุดไหน

ตรงนี้เองที่คำสัญญาว่าซื้อแล้วสบายใจเริ่มมีรอยร้าว ผู้ซื้อต้องเชื่อใจผู้ผลิต ร้านค้า กระบวนการขนส่ง และของที่อยู่ในกล่อง แล้วจึงมารู้ว่าการตรวจตอบคำถามได้แค่บางส่วน ส่วนที่ตรวจไม่ครอบคลุมก็กลายเป็นปัญหาส่วนตัวของผู้ซื้อทันที

ในกรณีนี้ ผู้โจมตีไม่ต้องแก้ซอฟต์แวร์ของอุปกรณ์เลยด้วยซ้ำ แค่ใส่ตัวสอดแนมของตัวเองเข้าไป อุปกรณ์ของแท้ก็มีที่ให้ขโมยซ่อนอยู่ได้

เหตุการณ์นี้ไม่ได้ยืนยันว่าแอป Ledger Live ถูกเจาะ และไม่ได้พิสูจน์ว่า Ledger ทุกเครื่องถูกดัดแปลง ในข้อมูลอัปเดตวันที่ 14 ตุลาคม Ledger ระบุว่าการตรวจอุปกรณ์ในสต็อกของร้านค้าและผู้จัดจำหน่ายในเยอรมนีไม่พบการดัดแปลง และบริษัทยังไม่ได้รับอุปกรณ์ต้องสงสัยที่มีภาพเผยแพร่ทางออนไลน์ ด้วยข้อมูลเท่านี้ เรายังสรุปขอบเขตของปัญหาได้ไม่มาก แต่ไม่ได้ทำให้ชิ้นส่วนสอดแนมที่พบไปแล้วหายไป

ผู้ซื้อควรทำอะไรตอนนี้

สำหรับลูกค้า CryptoBilis คำแนะนำของ Ledger ชัดเจน หากยังไม่ได้ใช้อุปกรณ์ อย่าเริ่มตั้งค่า หากใช้แล้ว ให้ย้ายเงินไปยังวอลเล็ตใหม่ที่ตั้งค่าบนอุปกรณ์ที่ไว้ใจได้ โดยใช้ seed phrase ชุดใหม่ การใช้ชุดคำเดิมซ้ำไม่ได้ลบสำเนาที่โจรอาจมีอยู่แล้ว และอย่านำชุดคำเหล่านี้ไปกรอกในเว็บไซต์ที่อ้างว่าจะ “ตรวจสอบความปลอดภัย” ให้

บัตรทำหน้าที่เก็บ คุณเป็นคนเข้ารหัส

ความไว้วางใจยังขึ้นอยู่กับว่าคุณให้อุปกรณ์ทำหน้าที่อะไรด้วย

บัตร Mitilena คือที่เก็บข้อมูลที่คุณเข้ารหัสด้วยตัวเอง คุณเลือกรหัสผ่าน ใช้มันเข้ารหัสข้อมูล แล้วบันทึกข้อมูลที่เข้ารหัสแล้วลงบนบัตร

รายการข้อมูลที่บันทึกด้วยรูปแบบ NFC มาตรฐานสามารถอ่านได้ด้วยแอปทั่วไปอย่าง NFC Tools แต่การอ่านบัตรไม่ได้ถอดรหัสข้อมูลให้ คุณเป็นคนเข้ารหัส ส่วนบัตรเก็บสิ่งที่คุณใส่ลงไป