กระเป๋าฮาร์ดแวร์ Coldcard กำลังเผชิญการโจมตีต่อเนื่องเป็นระลอกที่ 4 ในช่วงวันที่ 2–3 สิงหาคม 2569 ทำให้ยอดความเสียหายสะสมเพิ่มเป็นราว 1,367 BTC หรือเกือบ 89 ล้านดอลลาร์สหรัฐ จากที่อยู่กระเป๋าราว 4,585 กระเป๋า เหตุการณ์เริ่มต้นเมื่อวันที่ 30–31 กรกฎาคม 2569 ที่มีการกวาดเหรียญ 594 BTC (ราว 38 ล้านดอลลาร์สหรัฐ) ออกจากกระเป๋าราว 500 ใบภายในเวลาเพียง 25 นาที ซึ่งหลายใบไม่มีการเคลื่อนไหวมานานหลายปี


ต้นตอไม่ได้อยู่ที่ความผิดพลาดของผู้ใช้ แต่อยู่ที่ตัวอุปกรณ์เอง โดยปกติกระเป๋าฮาร์ดแวร์ต้อง "สุ่ม" กุญแจลับจากตัวสร้างเลขสุ่มในชิป เหมือนตู้เซฟที่ตั้งรหัสแบบเดาไม่ได้เลย แต่รายงานระบุว่ามีการตั้งค่าผิดพลาดตอนสร้างเฟิร์มแวร์ ทำให้เครื่องข้ามตัวสร้างเลขสุ่มของฮาร์ดแวร์ แล้วหันไปใช้ข้อมูลที่คาดเดาได้อย่างหมายเลขประจำเครื่องและค่านาฬิกาแทน เท่ากับตู้เซฟถูกตั้งรหัสจาก "หมายเลขเครื่อง" แทนที่จะสุ่มจริง ผลคือความปลอดภัยลดจากระดับ 128 บิตเหลือเพียงราว 40 บิต ซึ่งเป็นระดับที่คอมพิวเตอร์ทั่วไปไล่เดาจนครบได้ และข้อบกพร่องนี้ฝังอยู่ในเครื่องมาตั้งแต่เดือนมีนาคม 2564


จุดที่อยากให้อ่านอย่างระมัดระวังคือคำแนะนำเปลี่ยนไปแล้ว ช่วงแรกระบุว่ากระทบเฉพาะรุ่น Mk3 ที่ใช้เฟิร์มแวร์ตั้งแต่เวอร์ชัน 4.0.1 จนถึง 5.0.3 ส่วน Mk4, Mk5 และ Q ไม่ได้รับผลกระทบ อีกทั้งกระเป๋าที่ตั้งรหัสผ่านเสริม (Passphrase) ถือว่าเสี่ยงต่ำ แต่ข้อมูลล่าสุดพบว่ากระเป๋า Mk3 ที่ตั้ง Passphrase สั้นเพียง 2 คำก็ถูกเจาะแล้ว และ Coinkite ยอมรับว่าไม่สามารถรับประกันความปลอดภัย 100% ของรุ่นอื่นได้ พร้อมเร่งให้ผู้ใช้ย้ายสินทรัพย์ออก ด้าน Rodolfo Novak ซีอีโอของ Coinkite ระบุว่า "เรากำลังระดมกำลังตรวจสอบทุกอย่างอย่างละเอียด และจะมีรายงานทางเทคนิคออกมาเร็วๆ นี้" โดยบริษัทได้ปล่อยเฟิร์มแวร์แก้ไขแล้วเมื่อวันที่ 1 สิงหาคม ที่ผ่านมา


ข่าวดีสำหรับผู้ใช้กระเป๋าฮาร์ดแวร์ยี่ห้ออื่นคือ ปัญหานี้ไม่ได้ลุกลามข้ามค่าย เพราะเป็นข้อบกพร่องเฉพาะในเฟิร์มแวร์ที่ Coinkite พัฒนาเอง โดย Ledger ออกแถลงว่า "Ledger ไม่ได้รับผลกระทบจากประกาศเตือนเรื่อง Coldcard Mk3" พร้อมระบุว่าอุปกรณ์ของตนใช้ตัวสร้างเลขสุ่มจริง (TRNG) ที่ผ่านการรับรองฝังอยู่ในชิป Secure Element ขณะที่ Trezor ยืนยันว่า "ผู้ใช้ Trezor สบายใจได้ เงินของคุณปลอดภัย ปัญหาของ Coldcard จำกัดอยู่แค่เฟิร์มแวร์ของเขาเองและวิธีที่อุปกรณ์บางรุ่นสร้างค่าสุ่ม" เช่นเดียวกับ Bitkey ของ Block และ Jade ที่รายงานว่าไม่ได้รับผลกระทบ


หากคุณหรือคนใกล้ตัวใช้ Coldcard อยู่ สิ่งที่ควรทำคือตรวจสอบรุ่นและเวอร์ชันเฟิร์มแวร์ แล้วพิจารณาย้ายเหรียญไปยังกระเป๋าที่สร้าง seed ขึ้นใหม่บนอุปกรณ์ที่ไม่ได้รับผลกระทบ โดยควรทดสอบด้วยยอดเล็กก่อนย้ายทั้งหมด เพื่อไม่ให้ความรีบร้อนกลายเป็นความผิดพลาดซ้ำสอง เหตุการณ์นี้เป็นเครื่องเตือนใจว่าแม้แต่ Cold Wallet ที่ถูกมองว่าปลอดภัยที่สุด ก็ยังต้องติดตามประกาศจากผู้ผลิตอย่างสม่ำเสมอ ทั้งนี้ตลาดโดยรวมยังไม่ได้รับผลกระทบชัดเจน โดยราคาบิตคอยน์ยังเคลื่อนไหวเหนือระดับ 64,000 ดอลลาร์สหรัฐ