ด่วน! ทีมนักพัฒนาบิตคอยน์ใช้ AI สแกน 390 โปรเจกต์ เจอช่องโหว่วิกฤต 85 จุดใน 27 ชั่วโมง — ชี้สถานการณ์แย่มาก

ทีมนักพัฒนาบิตคอยน์อาสาสมัคร 16 คนในนาม “Bitcoin Red Team” ใช้ AI สแกนหาช่องโหว่ในโปรเจกต์โอเพนซอร์ส 390 โปรเจกต์ ผลลัพธ์ภายใน 27.5 ชั่วโมงคือรายงานปัญหา 4,962 รายการ ในจำนวนนี้เป็นช่องโหว่ระดับวิกฤต 85 จุด และระดับสูง 635 จุด โดย Calle หนึ่งในหัวหน้าทีมยอมรับตรง ๆ ว่า “สถานการณ์แย่มาก” เพราะทีมเจอช่องโหว่ร้ายแรงเฉลี่ยชั่วโมงละ 1 จุดต่อคน

เกิดอะไรขึ้น

ระหว่างวันที่ 4-5 สิงหาคม 2026 กลุ่มนักพัฒนาบิตคอยน์อาสาสมัคร 16 คนรวมตัวกันทำสิ่งที่ไม่เคยมีใครทำมาก่อนในวงการ นั่นคือการระดม AI หลายตัวมาไล่อ่านซอร์สโค้ดของโปรเจกต์โอเพนซอร์สในระบบนิเวศบิตคอยน์แบบปูพรม

ทีมนี้ใช้ชื่อว่า Bitcoin Red Team นำโดย Calle วิศวกรซอฟต์แวร์ผู้สร้างโปรโตคอล Cashu ecash และแอป Bitchat ร่วมกับ Rob Hamilton ซีอีโอและผู้ร่วมก่อตั้ง AnchorWatch โดยได้รับเงินสนับสนุนจาก OpenSats องค์กรไม่แสวงหากำไรที่สนับสนุนนักพัฒนาโอเพนซอร์สสายบิตคอยน์

สิ่งที่ทำให้เรื่องนี้เป็นข่าวใหญ่ไม่ใช่แค่จำนวนช่องโหว่ แต่คือความเร็ว — ทีมนี้หาเจอช่องโหว่ระดับวิกฤตได้เร็วกว่าที่ทีมผู้ดูแลโปรเจกต์จะตามแก้ไหว

💡 ช่องโหว่ทั้งหมดถูกแจ้งไปยังเจ้าของโปรเจกต์แบบ responsible disclosure ก่อนที่จะมีการประกาศต่อสาธารณะ ทีมไม่ได้เปิดเผยรายละเอียดทางเทคนิคของบั๊กใด ๆ ออกมา

ตัวเลขที่น่าตกใจ

รายการ	จำนวน	หมายเหตุ
โปรเจกต์ที่สแกน	390 repos	โอเพนซอร์สในระบบนิเวศบิตคอยน์
รายงานปัญหาทั้งหมด	4,962 รายการ	ทุกระดับความรุนแรงรวมกัน
ช่องโหว่ระดับวิกฤต (Critical)	85 จุด	ระดับที่อาจทำให้เงินหาย
ช่องโหว่ระดับสูง (High)	635 จุด	ความเสี่ยงร้ายแรงรองลงมา
เวลาที่ใช้	27.5 ชั่วโมง	ไม่ถึง 2 วันเต็ม
ขนาดทีม	16 คน	อาสาสมัครทั้งหมด
ค่าใช้จ่าย AI	กว่า 40,000 ดอลลาร์	ค่า token ล้วน ๆ
ขนาดเครื่องมือที่สร้างเอง	171,599 บรรทัด	audit harness เขียนขึ้นใหม่

Calle โพสต์สรุปผลงานว่า “27.5 ชั่วโมงผ่านไป เรายื่นรายงานไปแล้ว 4,962 รายการ ครอบคลุม 390 โปรเจกต์ เป็นระดับวิกฤต 85 จุด และระดับสูง 635 จุด”

📌 เฉลี่ยแล้วทีมนี้เจอช่องโหว่ระดับวิกฤต ประมาณ 1 จุดต่อชั่วโมงต่อคน — เป็นอัตราที่สูงจนน่ากลัว เพราะแปลว่าโค้ดที่คนใช้เก็บเงินจริงเต็มไปด้วยรูรั่วที่ยังไม่มีใครไปมอง

จุดเริ่มต้น: หายนะ Coldcard

โครงการนี้ไม่ได้เกิดขึ้นลอย ๆ แต่เป็นผลพวงโดยตรงจากเหตุการณ์ Coldcard ที่กระเป๋าฮาร์ดแวร์ยอดนิยมถูกพบว่ามีช่องโหว่ในตัวสร้างเลขสุ่ม (RNG) ทำให้ผู้โจมตีสามารถคาดเดา Seed Phrase ของผู้ใช้ได้

ความเสียหายจากเหตุการณ์นั้นบานปลายไปแล้วกว่า 100 ล้านดอลลาร์ โดยมีกลุ่มผู้โจมตีอย่างน้อย 15 กลุ่มแยกกันเข้ามาดูดเงิน

เหตุการณ์นั้นทำให้วงการตั้งคำถามใหญ่ว่า — ถ้าฮาร์ดแวร์วอลเล็ตระดับท็อปที่คนเชื่อถือที่สุดยังพลาดเรื่องพื้นฐานอย่าง RNG ได้ แล้วโปรเจกต์เล็ก ๆ อีกหลายร้อยตัวที่ไม่เคยผ่านการ audit เลยจะเป็นอย่างไร

คำตอบมาแล้ว และมันไม่สวย

AI ตัวไหนถูกใช้ในการสแกน

ทีมไม่ได้พึ่ง AI ตัวเดียว แต่ใช้หลายโมเดลไล่ตรวจโค้ดคู่ขนานกัน เพื่อให้แต่ละตัวจับจุดที่อีกตัวมองข้าม

🤖 โมเดลที่ใช้

Kimi K3, GPT Sol, Fable, Opus และ GLM5.2 — ทำงานร่วมกันบน audit harness ที่ทีมเขียนขึ้นเอง

⚠️ ข้อถกเถียง

การที่ช่วงแรกพึ่งโมเดลจากจีนเป็นหลัก จุดกระแสวิจารณ์ในวงการเรื่องความเป็นผู้นำด้าน AI ของสหรัฐฯ

ที่น่าสนใจคือทีมประกาศว่าจะ เปิดซอร์สเครื่องมือ audit harness ตัวนี้ให้สาธารณะ เพื่อให้บริษัทบิตคอยน์ต่าง ๆ นำไปสแกนโค้ดปิดของตัวเองได้ด้วย

ทำไมถึงเรียกว่า “แย่มาก”

คำว่า “extremely bad” ของ Calle ไม่ได้หมายถึงแค่จำนวนบั๊ก แต่หมายถึงความโกลาหลที่ตามมา

🚩 1. ผู้ดูแลโปรเจกต์รับมือไม่ไหว

โปรเจกต์โอเพนซอร์สจำนวนมากมีผู้ดูแลแค่ 1-2 คน ทำฟรีในเวลาว่าง การได้รับรายงานช่องโหว่หลายสิบรายการพร้อมกันในคืนเดียว ทำให้ไม่มีทางแก้ทัน

🚩 2. ช่องว่างระหว่างการค้นพบกับการแก้ไข

ถ้าทีมอาสาสมัคร 16 คนใช้เงิน 40,000 ดอลลาร์หาเจอ 85 จุดวิกฤตใน 27 ชั่วโมง แสดงว่ากลุ่มแฮกเกอร์ที่มีทุนหนากว่าก็ทำได้เช่นกัน — และพวกเขาจะไม่แจ้งเจ้าของโปรเจกต์

🚩 3. AI เปลี่ยนสมดุลเกมความปลอดภัย

เดิมการหาช่องโหว่ต้องใช้ผู้เชี่ยวชาญและเวลาเป็นเดือน ตอนนี้ AI ย่นเหลือหลักชั่วโมง ฝ่ายโจมตีได้ประโยชน์จากการเปลี่ยนแปลงนี้พอ ๆ กับฝ่ายป้องกัน

Calle ระบุว่า “ตอนนี้มีความโกลาหลเยอะมากในระบบนิเวศ”

ผู้ใช้ทั่วไปต้องทำอะไร

ข่าวนี้ฟังดูน่ากลัว แต่มีมุมที่ต้องเข้าใจให้ถูก — ช่องโหว่ที่เจอส่วนใหญ่อยู่ในโปรเจกต์รอบข้าง ไม่ใช่ตัวโปรโตคอลบิตคอยน์เอง และทั้งหมดถูกแจ้งเจ้าของแบบลับก่อนแล้ว

✅ สิ่งที่ควรทำตอนนี้:

อัปเดตซอฟต์แวร์ทุกตัวที่เกี่ยวกับคริปโต — วอลเล็ต โหนด แอปเสริม เมื่อมีเวอร์ชันใหม่ออกให้รีบอัป เพราะช่วงนี้จะมีแพตช์ทยอยออกเยอะ
ติดตามประกาศจากผู้ผลิตวอลเล็ตที่ใช้อยู่ — โดยเฉพาะถ้าใช้ซอฟต์แวร์โอเพนซอร์สตัวเล็ก ๆ
อย่าเก็บเงินก้อนใหญ่ไว้ในเครื่องมือที่ไม่เคยผ่าน audit — กระจายความเสี่ยง อย่าใส่ไข่ทั้งหมดในตะกร้าใบเดียว
ถ้าใช้ Coldcard ที่ได้รับผลกระทบ ให้ย้ายเหรียญไป Seed ใหม่ทันที

📌 มองอีกมุม การที่ทีมอาสาสมัครยอมทุ่มเงินและเวลาไล่หาช่องโหว่แล้วแจ้งเจ้าของแบบไม่หวังผลตอบแทน คือสัญญาณที่ดีของระบบนิเวศ — ดีกว่าปล่อยให้รูรั่วเหล่านี้ถูกค้นพบโดยฝ่ายที่ไม่หวังดี

สรุป

สแกนปูพรม 390 โปรเจกต์

ทีมอาสาสมัคร 16 คนใช้ AI ไล่อ่านโค้ดโอเพนซอร์สบิตคอยน์ใน 27.5 ชั่วโมง

เจอวิกฤต 85 จุด

รวมรายงานทั้งหมด 4,962 รายการ ระดับสูงอีก 635 จุด

ต้นเหตุคือ Coldcard

ช่องโหว่ RNG ที่ทำเงินหายกว่า 100 ล้านดอลลาร์ จุดชนวนให้เกิดโครงการนี้

แจ้งเจ้าของแล้วทั้งหมด

ไม่มีการเปิดเผยรายละเอียดบั๊กต่อสาธารณะ และทีมจะเปิดซอร์สเครื่องมือให้ใช้ต่อ

สิ่งที่ผู้ใช้ต้องทำ

อัปเดตซอฟต์แวร์ทุกตัว ติดตามประกาศแพตช์ และกระจายความเสี่ยงในการเก็บเหรียญ

⚠️ คำเตือน: บทความนี้เป็นความรู้เพื่อการศึกษา ไม่ใช่คำแนะนำในการลงทุน (NFA) การลงทุนในคริปโตมีความเสี่ยงสูง ควรศึกษาข้อมูลเพิ่มเติมและลงทุนเฉพาะเงินที่พร้อมจะเสีย