ด่วน! ช่องโหว่ BTCPay Server ถูกโจมตีสด — แฮกเกอร์ยึด Lightning Node ร้านค้า ดูดบิตคอยน์เกลี้ยงข้ามคืน

เกิดอะไรขึ้น — แฮกเกอร์ยึด Node ร้านค้ายังไง

BTCPay Server คือซอฟต์แวร์รับชำระเงินบิตคอยน์แบบโอเพนซอร์สที่ร้านค้ารันเองบนเซิร์ฟเวอร์ตัวเอง จุดขายคือ “ไม่ต้องผ่านตัวกลาง ไม่มีใครมาแช่แข็งเงินคุณได้” ซึ่งทำให้มันเป็นตัวเลือกหลักของร้านค้าสายบิตคอยน์แท้ทั่วโลก

แต่ความเป็น self-hosted ก็แปลว่า ความปลอดภัยขึ้นอยู่กับเจ้าของเซิร์ฟเวอร์เอง — ไม่มีบริษัทไหนคอยแพตช์ให้อัตโนมัติ

ในรอบนี้ผู้โจมตีอาศัยช่องโหว่ในตัว BTCPay Server เพื่อเข้าถึงไฟล์ .macaroon ซึ่งเป็นไฟล์กุญแจที่ใช้สั่งการโหนด LND (Lightning Network Daemon) เมื่อได้ไฟล์นี้ไป แฮกเกอร์ก็สั่งงานโหนดของเหยื่อได้เหมือนเป็นเจ้าของ แล้วก็ดูดบิตคอยน์ในแชนแนล Lightning ออกไป

ที่ผิดปกติจากมาตรฐานอุตสาหกรรมคือ BTCPay ยืนยันว่ามีเงินถูกขโมยจริง แต่ยังไม่เปิดเผยรายละเอียดทางเทคนิค และยังไม่ประกาศตัวเลขความเสียหายรวม โดยบอกว่าจะออก postmortem ฉบับเต็มในอีกไม่กี่วัน — เหตุผลตรงไปตรงมาคือถ้าเปิดกลไกช่องโหว่ตอนนี้ เซิร์ฟเวอร์ที่ยังไม่อัปเดตจะกลายเป็นเป้านิ่งทันที

.macaroon คืออะไร ทำไมหลุดแล้วจบเลย

คนไทยหลายคนอาจไม่คุ้นคำนี้ อธิบายง่าย ๆ คือ macaroon เป็น “บัตรผ่าน” ของโหนด Lightning ทำหน้าที่คล้าย API key แต่มีสิทธิ์ละเอียดกว่า ใครถือไฟล์ admin.macaroon ก็สั่งโหนดได้แทบทุกอย่าง — เปิด/ปิดแชนแนล จ่ายเงินออก ย้ายยอดคงเหลือ

นี่คือเหตุผลที่คำแนะนำของ BTCPay ไม่ได้บอกแค่ “อัปเดตแล้วจบ” แต่สั่งให้ เปลี่ยน macaroon ใหม่ สร้างไฟล์ macaroons.db ใหม่ และย้ายเงินออกจากกระเป๋าร้อนแล้วสร้างกระเป๋าใหม่ — เพราะถ้ากุญแจหลุดไปแล้ว การอุดช่องโหว่เฉย ๆ ไม่ได้ทำให้กุญแจที่อยู่ในมือแฮกเกอร์หมดอายุ

ใครโดนไปแล้วบ้าง

เหยื่อที่ออกมายืนยันต่อสาธารณะแล้วอย่างน้อย 2 ราย และทั้งคู่เป็นชื่อที่คนในวงการบิตคอยน์รู้จักดี:

ตัวเลขความเสียหายรวมและจำนวนเซิร์ฟเวอร์ที่ถูกเจาะ ยังไม่มีการเปิดเผย ณ เวลาที่รายงาน ซึ่งเป็นเรื่องปกติในช่วง 24 ชั่วโมงแรกของเหตุการณ์แบบนี้ เพราะร้านค้า self-hosted กระจายอยู่ทั่วโลกและไม่มีใครมีรายชื่อกลาง

Bitcoin Red Team คนแจ้งเตือน — ต่อจากงานสแกน AI

ผู้ที่พบและแจ้งช่องโหว่นี้แบบ responsible disclosure คือสมาชิกกลุ่ม Bitcoin Red Team ได้แก่ Craig Raw (ผู้พัฒนา Sparrow Wallet), Rob Hamilton, Calle (ผู้สร้าง Cashu) และ Evan Kaloudis (ผู้พัฒนา Zeus)

ชื่อกลุ่มนี้น่าจะคุ้นสำหรับคนที่ตามข่าวเราเมื่อ 2 วันก่อน — นี่คือทีมเดียวกับที่ใช้ AI สแกนโปรเจกต์บิตคอยน์ 390 โปรเจกต์แล้วเจอช่องโหว่ระดับวิกฤต 85 จุด

แม้ BTCPay จะยังไม่ยืนยันว่าช่องโหว่รอบนี้ถูกค้นพบด้วย AI หรือไม่ แต่รูปแบบมันชัดขึ้นเรื่อย ๆ: เครื่องมือ AI ทำให้การไล่หาช่องโหว่ในโค้ดโอเพนซอร์สถูกและเร็วลงมาก — และดาบนี้สองคม ฝ่ายป้องกันใช้ได้ ฝ่ายโจมตีก็ใช้ได้เหมือนกัน

ถ้าคุณรัน BTCPay Server ต้องทำอะไรตอนนี้

สำหรับ ผู้ใช้ทั่วไปที่ไม่ได้รันเซิร์ฟเวอร์เอง — คุณไม่ได้อยู่ในกลุ่มเสี่ยงโดยตรง เหรียญในกระเป๋าส่วนตัวหรือบนเว็บเทรดไม่เกี่ยวกับเรื่องนี้ แต่ถ้าคุณเพิ่งจ่ายบิตคอยน์ให้ร้านที่ใช้ BTCPay แล้วยอดไม่เข้า หรือร้านแจ้งว่าระบบมีปัญหา นี่อาจเป็นสาเหตุ

สัปดาห์นรกของโครงสร้างพื้นฐานบิตคอยน์

เหตุการณ์นี้ไม่ได้เกิดขึ้นลอย ๆ แต่เป็นชิ้นล่าสุดของสัปดาห์ที่โครงสร้างพื้นฐานบิตคอยน์ถูกถล่มต่อเนื่อง:

บทเรียนที่ชัดที่สุดคือ บิตคอยน์ตัวโปรโตคอลเองยังไม่เคยถูกแฮก — สิ่งที่ถูกเจาะทุกครั้งคือชั้นซอฟต์แวร์ที่คนสร้างขึ้นมาห่อมันอีกที ไม่ว่าจะเป็นกระเป๋า เซิร์ฟเวอร์รับเงิน หรือบริการสวอป และเมื่อ AI ทำให้การไล่อ่านโค้ดหาช่องโหว่ถูกลงเป็นสิบเท่า ชั้นนี้ก็จะยิ่งถูกทดสอบหนักขึ้นเรื่อย ๆ

สรุป 4 ข้อที่ต้องจำ