สงครามใหม่ต่อผู้ใช้คริปโท ส่วนขยายปลอมและช่องโหว่ฮาร์ดแวร์กำลังจ้องโจรกระเป๋า

ภาพรวมภัยคุกคามใหม่ต่อกระเป๋าคริปโทบนเบราว์เซอร์และฮาร์ดแวร์

ภัยคุกคามต่อกระเป๋าเงินคริปโทในปัจจุบันหมายถึงการโจมตีที่มุ่งขโมย Seed Phrase กุญแจส่วนตัว หรือบิดเบือนธุรกรรมผ่านเครื่องมือที่ผู้ใช้เชื่อถือ เช่น ส่วนขยายเบราว์เซอร์และกระเป๋าเงินฮาร์ดแวร์ โดยผู้โจมตีอาศัยการปลอมตัวเป็นแอปที่ดูปกติหรือใช้ช่องโหว่ของซอฟต์แวร์เพื่อเปลี่ยนแปลงธุรกรรมเบื้องหลัง ทำให้ผู้ใช้สูญเสียสินทรัพย์ดิจิทัลแม้คิดว่าตนเองกำลังใช้อุปกรณ์ที่ปลอดภัย การป้องกันกระเป๋าคริปโทจึงไม่ใช่แค่การเก็บ Seed Phrase ให้ดี แต่ต้องเข้าใจรูปแบบการโจรกระเป๋าเงินดิจิทัลและอัปเดตซอฟต์แวร์ทุกชั้นอย่างสม่ำเสมอ

ช่วงล่าสุดมีสองกรณีที่สะท้อนว่าผู้ใช้คริปโทกำลังถูก挟ระหว่างไฟจากทั้งฝั่งซอฟต์แวร์วอลเล็ตและฮาร์ดแวร์วอลเล็ต ด้านหนึ่งคือแคมเปญส่วนขยาย Firefox ปลอมจำนวน 77 รายการที่ถูกใช้เป็นโรงงานดูด Seed Phrase และ Private Key จากผู้ใช้กระเป๋าเงินคริปโทโดยตรง อีกด้านคือการที่ทีมวิจัยจากผู้ผลิตฮาร์ดแวร์วอลเล็ตอีกรายสามารถจำลองการโจมตีแบบสับเปลี่ยนธุรกรรมบนแอป Ethereum ของ Ledger ได้สำเร็จ ซึ่งแสดงให้เห็นช่องโหว่ที่ทำให้ตัวอุปกรณ์ลงนามธุรกรรมที่แตกต่างจากสิ่งที่ผู้ใช้เห็นบนหน้าจอ สองเหตุการณ์นี้บอกชัดว่าความปลอดภัย Ledger หรือแบรนด์ใดไม่ใช่เรื่องเชื่อในชื่อ แต่ต้องเชื่อในพฤติกรรมของผู้ใช้ที่ใส่ใจอัปเดต ตรวจสอบ และระวังทุกคลิก

Offside Wallet Theft Factory เมื่อส่วนขยาย Firefox กลายเป็นกับดักดูด Seed Phrase

แคมเปญที่ถูกตั้งชื่อว่า Offside Wallet Theft Factory คือภาพตัวอย่างชัดเจนของวิธีการใหม่ในการโจรกระเป๋าเงินดิจิทัลผ่านส่วนขยาย Firefox ปลอม แคมเปญนี้ถูกเปิดโปงว่ามีส่วนขยายอันตรายรวม 77 รายการ โดย 40 รายการในจำนวนนี้เป็นมัลแวร์ที่มุ่งขโมย Seed Phrase และ Private Key จากกระเป๋าเงินคริปโทของผู้ใช้โดยตรง สิ่งที่น่ากลัวไม่ใช่แค่จำนวน แต่คือความแนบเนียนของการปลอมตัว ส่วนขยายอันตรายเหล่านี้แปลงร่างเป็นกระเป๋ายอดนิยมอย่าง OKX Rabby Wallet และ TronLink เพื่อสร้างความไว้ใจ แล้วจึงสร้างหน้าป๊อปอัปภายนอกให้ผู้ใช้กรอก Seed Phrase หรือ Private Key ลงไป เช่นกรณี “0KX WEB3” ที่ใช้เลขศูนย์แทนอักษร O เพื่อหลอกสายตา

ที่อันตรายกว่านั้นคือส่วนขยายบางตัวเริ่มต้นในฐานะแอปรายงานสกอร์กีฬา ดูปลอดภัยและไม่เกี่ยวข้องกับคริปโท แต่ภายหลังถูกอัปเดตเพื่อฝังโค้ดขโมยกระเป๋าเงินโดยอาศัยสิทธิ์ที่เคยได้รับอนุญาตอยู่แล้วโดยไม่ต้องขอความยินยอมใหม่ ทำให้ผู้ใช้ไม่ทันระวัง ยังมีส่วนขยายอีกหลายรายการที่แอบดักจับข้อมูลแล้วส่งกลับไปยังบริการ Cloudflare Workers ของผู้โจมตี รวมถึงส่วนขยายที่นำโค้ดของ Rabby Wallet มาดัดแปลงเพื่อแอบส่ง Keychain แบบไม่เข้ารหัสไปยังเซิร์ฟเวอร์ภายนอกทันที นี่คือการโจญ์ที่เน้นทั้งเทคนิคและจิตวิทยา ผู้เขียนจึงมองว่าคำว่า การป้องกันกระเป๋าคริปโท ต้องเริ่มต้นตั้งแต่หน้าร้านส่วนขยาย ไม่ใช่แค่ตัววอลเล็ต

เมื่อรู้รูปแบบการโจมตีแล้ว ผู้ใช้ควรเปลี่ยนพฤติกรรมทันที ไม่ควรติดตั้งส่วนขยาย Firefox ปลอมจากนักพัฒนาที่ไม่รู้จักหรือมีชื่อคล้ายแบรนด์ดังแบบผิดตัวอักษร ตรวจสอบรีวิวและจำนวนผู้ใช้ อย่ากรอก Seed Phrase หรือ Private Key ผ่านหน้าป๊อปอัปที่ไม่คุ้นเคย หรือผ่านส่วนขยายที่ไม่ได้มาจากผู้พัฒนาทางการ ผู้ใช้ควรตรวจสอบสิทธิ์ที่ส่วนขยายร้องขอเป็นระยะ และลบส่วนขยายที่ขอสิทธิ์เกินจำเป็นกับการใช้งานที่แท้จริง การเฝ้าระวังการอัปเดตเวอร์ชันก็สำคัญไม่แพ้กัน เพราะแคมเปญนี้แสดงให้เห็นว่ามัลแวร์อาจถูกสอดแทรกเข้ามาในเวอร์ชันใหม่ของแอปที่เดิมเคยปลอดภัย หากคุณใช้เบราว์เซอร์เป็นประตูหลักสู่โลกคริปโท การไม่ตรวจสอบส่วนขยายให้ดี เท่ากับเปิดประตูบ้านทิ้งไว้

ช่องโหว่การสับเปลี่ยนธุรกรรมบน Ledger ความปลอดภัยฮาร์ดแวร์ไม่ได้จบแค่ Secure Element

ฝั่งฮาร์ดแวร์วอลเล็ตเองก็ใช่ว่าจะไร้ช่องโหว่ กรณีที่ทีมวิจัยด้านความปลอดภัยของผู้ผลิตฮาร์ดแวร์วอลเล็ต OneKey สามารถจำลองการโจมตีแบบสับเปลี่ยนธุรกรรม transaction replacement attack บนแอป Ledger Ethereum เวอร์ชัน 1.22.1 ได้สำเร็จ แสดงให้เห็นข้อจำกัดของการพึ่งพาหน้าจอที่เชื่อถือได้ของอุปกรณ์เพียงอย่างเดียว ช่องโหว่นี้เกิดจากสภาวะแข่งขัน race condition ระหว่างการแสดงผลธุรกรรมกับหน่วยความจำบัฟเฟอร์ที่เก็บธุรกรรมที่รอลงนาม ทำให้ในทางทฤษฎี ผู้โจมตีที่ควบคุมการสื่อสารระหว่างอุปกรณ์ Ledger กับโฮสต์ ได้สามารถแสดงธุรกรรมหนึ่งให้ผู้ใช้ตรวจสอบ ขณะที่แอบสับเปลี่ยนพารามิเตอร์เป็นธุรกรรมอีกชุดก่อนที่ผู้ใช้จะอนุมัติ ส่งผลให้ผู้ใช้ตรวจสอบธุรกรรม A แต่กลับลงนามให้ธุรกรรม B ซึ่งอาจโอนเงินไปยังที่อยู่ของผู้โจมตี

จุดที่ต้องเน้นคือ ช่องโหว่นี้ไม่ได้เกี่ยวกับการดึงกุญแจส่วนตัวออกจาก Secure Element หรือการเปิดเผยรหัสสำรอง recovery phrase บนอุปกรณ์ Ledger แต่อย่างใด มันเป็นปัญหาในชั้นการสื่อสารและการแสดงผล ไม่ใช่การทะลวงแกนความลับของฮาร์ดแวร์ ในทางปฏิบัติ การโจมตีนี้ยังต้องอาศัยเงื่อนไขว่าผู้โจมตีสามารถควบคุมการสื่อสารกับอุปกรณ์ได้อยู่ก่อนแล้ว เช่นผ่านมัลแวร์ แอปวอลเล็ตที่ถูกบุกรุก หรือเว็บไซต์อันตรายที่ใช้ WebHID หรือ WebUSB นั่นหมายความว่า การป้องกันกระเป๋าคริปโทบนฮาร์ดแวร์ไม่ได้จบที่การซื้อตัวอุปกรณ์ แต่ต้องป้องกันเครื่องคอมพิวเตอร์และเบราว์เซอร์ที่เชื่อมต่อด้วย หากคุณใช้ฮาร์ดแวร์วอลเล็ตบนเครื่องที่เต็มไปด้วยส่วนขยายอันตราย คุณกำลังผูกระเบิดกับเกราะของตัวเอง

ฝั่งผู้ผลิต Ledger ไม่เห็นด้วยกับถ้อยคำที่ว่า “เราแฮ็ก Ledger สำเร็จ” ที่ทีม OneKey ใช้อธิบายการทดลอง โดยยืนยันว่าช่องโหว่นี้ถูกระบุและแก้ไขไปแล้วก่อนการเปิดเผยข้อมูลของ OneKey เมื่อวันที่ 27 สิงหาคม ตามไทม์ไลน์ แอป Ethereum เวอร์ชัน 1.22.2 ซึ่งเผยแพร่เมื่อวันที่ 13 สิงหาคม ได้เพิ่มมาตรการป้องกันในระดับแอปเพื่อรับมือกับการโจมตีแบบสับเปลี่ยนธุรกรรม ต่อมามีการเผยแพร่ Secure SDK เวอร์ชัน 26.6.1 เมื่อวันที่ 21 สิงหาคม เพื่อแก้ปัญหาต้นตอ โดยป้องกันไม่ให้คำสั่งที่แทรกเข้ามาระหว่างกันสามารถเข้าถึงแอปขณะผู้ใช้ตรวจสอบธุรกรรม แอป Ethereum เวอร์ชัน 1.22.3 และใหม่กว่า จึงครอบคลุมมาตรการป้องกันที่กว้างขึ้นและแก้ช่องโหว่การแสดงผลอีกจุดไปพร้อมกัน ข้อความที่ควรถูกอ้างซ้ำจากกรณีนี้ไม่ใช่คำว่าแฮ็ก แต่คือบทเรียนว่า แม้แต่กระเป๋าเงินฮาร์ดแวร์ก็ต้องพึ่งพาการอัปเดตซอฟต์แวร์สม่ำเสมอเพื่อรักษาความปลอดภัย Ledger ให้ทันภัยคุกคาม

เช็กลิสต์การป้องกันกระเป๋าคริปโทสำหรับผู้ใช้เบราว์เซอร์และฮาร์ดแวร์

เมื่อภัยคุกคามขยายทั้งบนส่วนขยาย Firefox ปลอมและช่องโหว่ในแอปบนนาฬกรฮาร์ดแวร์ ผู้ใช้ไม่ควรหวังพึ่งคำว่า “ปลอดภัยโดยออกแบบ” เพียงอย่างเดียว การป้องกันกระเป๋าคริปโทที่ใช้งานได้จริงต้องเริ่มจากวินัยของเจ้าของสินทรัพย์เอง แนวทางสำคัญ ได้แก่ หนึ่ง ติดตั้งส่วนขยายเฉพาะจากผู้พัฒนาอย่างเป็นทางการของกระเป๋า เช่น เข้าเว็บไซต์ทางการของวอลเล็ตแล้วคลิกลิงก์ไปยังร้านส่วนขยาย แทนการค้นหาด้วยชื่อที่อาจถูกปลอมให้คล้าย สอง ตรวจสอบสิทธิ์ที่ส่วนขยายร้องขออยู่เสมอ และถ้าเป็นส่วนขยายรายงานผลกีฬา เครื่องมือสร้างรหัสผ่าน หรือ VPN ที่ไม่จำเป็นต้องเข้าถึงข้อมูลคริปโท แต่กลับขอสิทธิ์กว้างเกินเหตุ ให้ถอดออกทันที

สำหรับผู้ใช้ฮาร์ดแวร์วอลเล็ต การอัปเดตซอฟต์แวร์ไม่ใช่เรื่องน่าเบื่อแต่เป็นเกราะชั้นสุดท้าย ตามคำแนะนำจากกรณีช่องโหว่บนแอป Ethereum ของ Ledger ผู้ใช้ควรอัปเดตแอปบนอุปกรณ์ให้เป็นเวอร์ชัน 1.22.3 หรือใหม่กว่า และตรวจสอบให้แน่ใจว่าเฟิร์มแวร์และแอปอื่น ๆ ถูกสร้างขึ้นใหม่จาก Secure SDK เวอร์ชันแก้ไขแล้ว นอกจากนี้ควรหลีกเลี่ยงการเชื่อมต่อฮาร์ดแวร์วอลเล็ตกับเครื่องที่ติดมัลแวร์หรือเว็บไซต์ไม่รู้จักที่ใช้ WebHID หรือ WebUSB ตรวจสอบรายละเอียดธุรกรรมบนหน้าจออุปกรณ์ทุกครั้งโดยไม่เร่งรีบ และตั้งสมมติฐานว่าหากอะไรก็ดูแปลกไปจากปกติ เช่น ปริมาณหรือที่อยู่ปลายทาง ไม่ควรอนุมัติธุรกรรมเด็ดขาด ประโยคที่ควรจำคือ “ไม่มีผู้ใช้ Ledger รายใดถูกแฮ็ก” ที่ถูกกล่าวถึงในกรณีนี้ แต่ความจริงที่เหลือคือ ผู้ใช้ทุกคนสามารถถูกแฮ็กได้ถ้าไม่อัปเดต ไม่ตรวจสอบ และปล่อยให้ส่วนขยายทำงานโดยไม่ตั้งคำถาม

สุดท้าย ไม่ว่าคุณจะใช้ซอฟต์แวร์วอลเล็ตหรือฮาร์ดแวร์วอลเล็ต หลักการพื้นฐานของการป้องกันกระเป๋าคริปโทยังคงเหมือนเดิม คือไม่กรอก Seed Phrase หรือ Private Key ในที่ที่ไม่แน่ใจ ไม่เก็บรหัสสำรองในรูปแบบดิจิทัลที่เชื่อมต่ออินเทอร์เน็ต และใช้การยืนยันหลายชั้นเมื่อทำธุรกรรมครั้งใหญ่ เหตุการณ์ Offside Wallet Theft Factory และช่องโหว่การสับเปลี่ยนธุรกรรมบน Ledger แสดงให้เห็นว่าผู้โจมตีจะเดินตามคุณไปทุกแพลตฟอร์ม ไม่ว่าบนจอเบราว์เซอร์หรือจอฮาร์ดแวร์ ข้อสรุปจึงตรงไปตรงมา หากคุณเห็นคุณค่าของสินทรัพย์ดิจิทัลมากกว่าตัวเลขบนจอ คุณต้องลงทุนเวลาให้กับความปลอดภัยมากกว่าความสะดวก และให้คำถามต่อทุกคลิกเป็นเครื่องมือสำคัญที่สุดของคุณ