ภัยใหม่จากส่วนขยายปลอม เป้าหมายคือกระเป๋าคริปโทของคุณ
ส่วนขยายปลอมของเบราว์เซอร์คือโปรแกรมเสริมที่แฝงตัวอยู่ใน Chrome Firefox หรือ Edge ด้วยชื่อและหน้าตาที่ดูเหมือนเครื่องมือทั่วไป แต่ถูกออกแบบมาเพื่อขโมยข้อมูลสำคัญ เช่น รหัสผ่าน Seed Phrase และ Private Key จากกระเป๋าเงินคริปโท รวมถึงข้อมูลการล็อกอินเว็บไซต์ต่าง ๆ โดยมักหลอกให้ผู้ใช้มอบสิทธิ์เข้าถึงข้อมูลบนหน้าเว็บ จากนั้นใช้ช่องโหว่ของระบบอัปเดตอัตโนมัติในการแทรกโค้ดมัลแวร์ โดยที่ผู้ใช้ไม่รู้ตัว ประเด็นที่ต้องเข้าใจให้ชัดคือ นี่ไม่ใช่เหตุการณ์ไกลตัว แต่เป็นการโจมตีที่กำลังทำงานอยู่จริงบนเบราว์เซอร์ยอดนิยมผู้ใช้ทั่วไปทุกระดับกำลังตกเป็นเป้า ไม่ใช่แค่สายเทรดมืออาชีพ การที่บริษัทด้านความปลอดภัยพบส่วนขยายปลอมบน Firefox มากถึง 77 รายการ โดย 40 รายการมุ่งขโมยข้อมูลกระเป๋าเงินคริปโทโดยตรง แปลว่าพื้นที่เสี่ยงของทุกคนที่ใช้เบราว์เซอร์ในการจัดการสินทรัพย์ดิจิทัลกำลังขยายออกอย่างน่ากังวล แคมเปญ “Offside Wallet Theft Factory” ที่ถูกเปิดโปงเป็นตัวอย่างชัดเจนของการเล่นบทสองหน้า ส่วนขยายถูกปล่อยออกมาในฐานะแอปรายงานผลกีฬา ปลอดภัย ดูน่าเชื่อถือ ก่อนจะถูกอัปเดตเวอร์ชันใหม่ให้ฝังมัลแวร์ดูดข้อมูลกระเป๋าคริปโทเข้าไปแทน โดยอาศัยสิทธิ์เดิมที่เคยได้รับจากผู้ใช้ ไม่ต้องขออนุญาตใหม่ ทำให้คนส่วนใหญ่แทบไม่รู้ว่าตัวเองกำลังเปิดประตูให้โจรเข้าบ้านเอง
Firefox Chrome Edge ต่างก็เสี่ยง ส่วนขยายปลอม Chrome ไม่ได้มีแค่ดูดคริปโต
ฝั่ง Firefox ภัยชัดเจนแล้วว่ามีส่วนขยายปลอม 77 ตัวใน Store โดย 40 ตัวเป็นมัลแวร์ที่ตั้งใจขโมย Seed Phrase และ Private Key จากกระเป๋าเงินคริปโท เช่น การปลอมตัวเป็น OKX Rabby Wallet หรือ TronLink และใช้ชื่อหลอกตาอย่าง “0KX WEB3” ที่ใช้เลขศูนย์แทนอักษร O เพื่อให้ผู้ใช้เข้าใจว่าเป็นของจริง ทั้งที่แท้จริงไม่มีฟังก์ชันกระเป๋าเงิน แต่สร้างหน้าป๊อปอัปหลอกให้กรอกข้อมูลลับ ด้านส่วนขยายปลอม Chrome และ Edge สถานการณ์ไม่เบากว่าเดิมเลย ผู้ใช้ที่ติดตั้งส่วนขยายบน Google Chrome หรือ Microsoft Edge ถูกเตือนให้ตรวจสอบรายชื่อทันที หลังมีรายงานพบส่วนขยาย 19 ตัวเชื่อมโยงกับมัลแวร์ที่สามารถขโมยรหัสผ่าน ข้อมูลบัญชี ประวัติการเข้าเว็บไซต์ และข้อมูลกระเป๋าคริปโต โดยแบ่งเป็นส่วนขยาย Chrome 18 ตัว และ Edge 1 ตัว สิ่งที่น่าห่วงคือ 5 ใน 19 ตัวเดิมทีเป็นส่วนขยายปกติที่มีฐานผู้ใช้อยู่แล้ว ก่อนจะถูกผู้โจมตีซื้อกิจการและออกเวอร์ชันใหม่ที่ฝังโค้ดอันตราย เมื่อ Chrome อัปเดตส่วนขยายให้ผู้ใช้โดยอัตโนมัติ ผู้ใช้ที่เคยติดตั้งตอนยังปลอดภัยจึงอาจกลายเป็นเหยื่อในภายหลังแบบไม่รู้ตัว นี่คือรูปแบบโจมตีที่พิสูจน์แล้วว่า “การเคยปลอดภัย” ไม่ได้แปลว่า “จะปลอดภัยตลอดไป”
มัลแวร์เบราว์เซอร์ทำงานอย่างไร ทำไมแค่คลิก Connect Wallet ถึงเสียเงินได้
สิ่งที่ทำให้มัลแวร์เบราว์เซอร์น่ากลัวไม่แพ้ฟิชชิงแบบดั้งเดิม คือมันแฝงตัวอยู่ในกระบวนการใช้งานปกติของเรา เมื่อส่วนขยายอันตรายทำงาน มันสามารถติดต่อเซิร์ฟเวอร์ควบคุมของผู้โจมตีผ่าน WebSocket เพื่อรับคำสั่งและดาวน์โหลดโมดูลเพิ่มเติม จากนั้นพยายามลดการป้องกัน Content Security Policy ของเว็บไซต์ ก่อนฉีด JavaScript เข้าไปทำงานบนหน้าเว็บที่เราเปิดอยู่ ผลคือเมื่อเข้าเว็บกระเป๋าเงินบนเครือข่าย EVM Solana หรือ Tron มัลแวร์สามารถสวมรอยปุ่ม Connect Wallet และ Swap เปลี่ยนขั้นตอนเชื่อมต่อหรือการอนุมัติธุรกรรมให้ทำงานตามที่ผู้โจมตีต้องการ ไม่ต่างจากการให้คนแปลกหน้ามากดปุ่มอนุมัติธุรกรรมแทนเราโดยตรง ยิ่งไปกว่านั้น ยังมีโมดูลที่ออกแบบมาเล่นงานผู้ใช้ฮาร์ดแวร์วอลเล็ตโดยเฉพาะ เมื่อเปิดเว็บไซต์ Ledger หรือ Trezor มัลแวร์สามารถสร้างหน้าปลอมเลียนแบบขั้นตอนอัปเดตหรือกู้คืน Wallet หลอกให้กรอก Recovery Phrase 12 18 หรือ 24 คำ ก่อนส่งข้อมูลออกไป หาก Recovery Phrase หลุด ผู้โจมตีสามารถนำชุดคำไปสร้าง Wallet เดียวกันบนอุปกรณ์อื่นได้ การถอนส่วนขยายหรือเปลี่ยนรหัสผ่านเว็บไซต์จึงไม่ทำให้ Recovery Phrase ชุดเดิมกลับมาปลอดภัยอีกต่อไป นอกจากนี้ยังพบโมดูลที่อ่าน Cookies Token ยืนยันตัวตน และยอดคงเหลือจากแท็บที่ล็อกอิน เช่น Coinbase Binance Kraken OKX MEXC KuCoin Bybit และ MetaMask รวมถึงโมดูล superior-grabber ที่ติดตามข้อมูลทุกอย่างที่เราพิมพ์ลงช่องกรอกข้อความหรือรหัสผ่านบนเว็บไซต์ทั่วไปแล้วส่งออกไปเป็นชุดตามช่วงเวลา นี่ไม่ใช่แค่เรื่องความปลอดภัยกระเป๋า แต่คือการเปิดบัญชีดิจิทัลทั้งชีวิตให้ถูกอ่านแบบเรียลไทม์
วิธีตรวจจับส่วนขยายปลอม และขั้นตอนลบสำหรับ Firefox Chrome Edge
ในระดับระบบ บริษัทด้านความปลอดภัยได้เริ่มขยับตัว เมื่อวันที่ 20 สิงหาคมมีการประกาศขยายระบบเฝ้าระวังความปลอดภัยของส่วนขยายเบราว์เซอร์เข้าสู่ Firefox อย่างเป็นทางการ เปิดบริการตรวจจับและติดตามมัลแวร์ทั้งพฤติกรรมน่าสงสัย การขอสิทธิ์เกินจำเป็น และการอัปเดตแฝงภัยที่ครอบคลุมส่วนขยายมากกว่า 97,000 รายการบนร้านค้า Firefox แล้ว ฝั่ง Chrome รายงานระบุว่า ณ วันที่ 30 สิงหาคม ส่วนขยายปลอม Chrome ที่ถูกตรวจพบถูกถอดออกจาก Web Store แล้ว แต่การหายไปจาก Store ไม่ได้แปลว่าข้อมูลของผู้ใช้ที่เคยติดตั้งจะกลับมาปลอดภัยทันที ผู้ใช้จึงต้องลงมือเองอย่างจริงจัง ขั้นแรกคือการตรวจสอบทุกส่วนขยายที่ติดตั้งอยู่บน Firefox Chrome และ Edge ถ้าเห็นชื่อเข้าข่ายในรายงาน เช่น Enable Right Click & Copy — Smart Unlock + OCR หรือ Private Crypto News Reader รวมถึงส่วนขยายแนวกีฬา เครื่องมือ SEO VPN หรือเครื่องมือคัดลอกข้อความที่ไม่ใช่จากนักพัฒนาที่ไว้ใจได้ ให้ลบทิ้งทันที และถือว่าบัญชีที่เคยใช้งานผ่านเบราว์เซอร์นั้นมีโอกาสที่ข้อมูล Login ถูกเปิดเผยแล้ว แนวทางปฏิบัติที่ควรทำหลังลบส่วนขยายคือ เปลี่ยนรหัสผ่านของบัญชีที่เคยล็อกอินผ่านเบราว์เซอร์ เปิดใช้การยืนยันตัวตนสองขั้นตอนในบัญชีสำคัญ และถ้าบริการรองรับการออกจากระบบอุปกรณ์อื่นหรือยกเลิก Session เดิมควรทำควบคู่กันไปด้วย รายงานระบุชัดว่าหากเคยติดตั้งส่วนขยายในรายชื่อ 19 ตัว โดยเฉพาะในช่วงที่มีเวอร์ชันอันตราย ควรถือว่าข้อมูล Login มีโอกาสถูกเปิดเผยและต้องรีเซ็ตระบบความปลอดภัยทั้งหมดของบัญชี อีกจุดที่คนมักมองข้ามคือการตรวจสอบสิทธิ์ที่ส่วนขยายร้องขอเป็นระยะ หากส่วนขยายใดขอสิทธิ์อ่านข้อมูลบนเว็บไซต์ทุกแท็บหรือแก้ไขเนื้อหาบนหน้าเว็บอย่างไม่มีเหตุผล ควรถามตัวเองว่าฟังก์ชันนั้นจำเป็นต้องมีสิทธิ์ระดับนี้หรือไม่ และหลีกเลี่ยงการกรอก Seed Phrase หรือ Private Key ผ่านหน้าป๊อปอัปที่ไม่คุ้นเคยเสมอ
- เปิดเมนูส่วนขยายบนเบราว์เซอร์ แล้วบันทึกรายชื่อทุกตัวที่ติดตั้งอยู่
- เปรียบเทียบกับรายงานส่วนขยายอันตรายและลบตัวที่อยู่ในรายชื่อทันที
- ลบส่วนขยายที่ไม่จำเป็น หรือไม่ได้มาจากนักพัฒนาที่รู้จักและเชื่อถือได้
- เปลี่ยนรหัสผ่านบัญชีที่เคยใช้งานผ่านเบราว์เซอร์ เปิดใช้ยืนยันตัวตนสองขั้นตอน
- ตรวจสิทธิ์ที่ส่วนขยายขอใช้งาน และหลีกเลี่ยงการกรอก Seed Phrase หรือ Private Key บนป๊อปอัปแปลก
บทสรุป ความปลอดภัยกระเป๋าเริ่มต้นที่วินัยของเจ้าของทรัพย์สินดิจิทัล
เมื่อมองภาพรวมจะเห็นชัดว่า มัลแวร์เบราว์เซอร์และส่วนขยายปลอมไม่ได้เล่นงานเฉพาะกระเป๋าคริปโท แต่กำลังไล่เก็บทุกอย่างตั้งแต่รหัสผ่าน Social Media ไปจนถึงข้อมูลธุรกิจ ในขณะที่ระบบตรวจจับของผู้ให้บริการเบราว์เซอร์และแพลตฟอร์มความปลอดภัยเริ่มตั้งรับมากขึ้น ความเสี่ยงที่แท้จริงกลับอยู่ที่พฤติกรรมของผู้ใช้เองที่มักติดตั้งส่วนขยายแบบไม่ตรวจสอบ และปล่อยให้ส่วนขยายมีสิทธิ์อ่านเขียนทุกอย่างบนแท็บโดยไม่ตั้งคำถาม สำหรับคนที่จริงจังกับความปลอดภัยกระเป๋า สิ่งสำคัญที่สุดตอนนี้จึงไม่ใช่แค่การหา Wallet ที่ปลอดภัยขึ้น แต่คือการลดพื้นที่โจมตีในเบราว์เซอร์ของตัวเองให้มากที่สุด ลบส่วนขยายปลอม Chrome Firefox Edge ที่ไม่จำเป็น ตรวจสิทธิ์ที่ขอใช้งาน และตั้งเข็มทิศใหม่ให้ตัวเองว่า Seed Phrase Private Key และ Recovery Phrase ไม่มีเหตุผลใดที่ต้องกรอกลงในหน้าป๊อปอัปหรือฟอร์มที่ไม่ได้มาจากแอปที่ไว้ใจได้ กระเป๋าคริปโทไม่ใช่แค่แอปหนึ่งบนหน้าจอ แต่คือทรัพย์สินดิจิทัลที่ผูกกับตัวตนทางการเงินทั้งหมดของเรา การป้องกันไม่ให้ส่วนขยายปลอม ขโมยกระเป๋าคริปโท จึงเท่ากับการป้องกันไม่ให้ชีวิตดิจิทัลทั้งชีวิตถูกควบคุมโดยคนแปลกหน้า และนั่นคือความรับผิดชอบที่ไม่มีใครทำแทนเจ้าของกระเป๋าได้
