ภัยจริงไม่ใช่แค่ข่าวลือ เมื่อแอปกระเป๋าเงินคริปโตกลายเป็นประตูให้มัลแวร์ iOS
ภัยมัลแวร์ในแอปกระเป๋าเงินคริปโตบน iPhone คือการที่แฮกเกอร์ใช้ช่องโหว่ iOS และแอปที่ดูเหมือนปลอดภัยเพื่อเข้าถึงคีย์ส่วนตัว วลีการกู้คืน และข้อมูลอ่อนไหวในเครื่อง จากนั้นควบคุมกระเป๋าเงินของเหยื่อโดยที่เจ้าของไม่รู้ตัว ทำให้สินทรัพย์คริปโตถูกโอนออกไปอย่างถาวรโดยไม่สามารถย้อนคืนได้ ความเสี่ยงนี้รุนแรงเป็นพิเศษกับวอลเล็ตแบบดูแลเองที่เก็บคีย์ไว้ในเครื่อง เพราะเมื่อคีย์หลุดไปแล้ว แทบไม่มีทางหยุดการสูญเสียได้ทัน สาระสำคัญคือ ภัยนี้ไม่ได้จำกัดอยู่แค่แอปปลอมดูน่าสงสัยอีกต่อไป แต่เริ่มปรากฏในแอปที่ผ่านการตรวจสอบและเผยแพร่ผ่านช่องทางทางการ ผู้ใช้ที่เคยเชื่อว่าการดาวน์โหลดจากสโตร์หลักคือเกราะป้องกันชั้นสุดท้ายจึงต้องคิดใหม่ การโจมตีแอป iPhone รูปแบบใหม่ผูกเข้ากับมัลแวร์ iOS และชุดเอ็กซ์พลอยต์ที่ออกแบบมาโดยเฉพาะเพื่อเจาะเข้าถึงข้อมูลวอลเล็ตและคีย์ส่วนตัว ความประมาทเพียงหนึ่งคลิกบน Safari สามารถเปิดประตูให้คนอื่นยึดการควบคุมสินทรัพย์ดิจิทัลทั้งหมดของคุณได้
Darksword ผ่าน Safari กับการล่าเอาคีย์ส่วนตัวจากวอลเล็ตบน iPhone
แกนหลักของการโจมตีล่าสุดคือเอ็กซ์พลอยต์ Darksword ที่เจาะระบบปฏิบัติการ iOS ผ่านเบราว์เซอร์ Safari แล้วไต่สิทธิ์ขึ้นไปถึงระดับ root เพื่อเข้าถึงข้อมูลวอลเล็ตและคีย์ส่วนตัวที่เก็บอยู่ในเครื่อง แฮกเกอร์ใช้กลยุทธ์หลอกลวงทางสังคม ส่งลิงก์ผ่านโซเชียลหรือแอปแชตให้ผู้ใช้คลิก เมื่อเหยื่อเปิดหน้าเว็บ เอ็กซ์พลอยต์ก็เริ่มทำงานเข้าควบคุมอุปกรณ์และหลบเลี่ยงมาตรการความปลอดภัยเดิมของระบบทันที ข้อมูลจากผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยระบุว่า Darksword เคยถูกรายงานว่ามีผลกับ iOS เวอร์ชัน 18.4 ถึง 18.7 เท่านั้น แต่มีการอ้างว่าถูกปรับให้ใช้กับเวอร์ชันใหม่อย่าง 26.5 แล้ว ทำให้พื้นที่เสี่ยงขยายไปยังผู้ใช้ iPhone กลุ่มกว้างขึ้นอย่างมาก แม้การประเมินนี้ยังไม่ได้รับการยืนยันอย่างเป็นทางการ ก็เพียงพอจะบอกว่า การหวังพึ่งภาพจำว่า iOS ปลอดภัยกว่าแพลตฟอร์มอื่นโดยไม่อัปเดตและไม่ระวังลิงก์ที่คลิก เป็นความเสี่ยงที่ไม่สมเหตุสมผลอีกต่อไป
จากแอปมอนิเตอร์ไร้เดียงสา สู่มัลแวร์ที่รวบข้อมูลทั้งเครื่อง
อีกด้านหนึ่งของภัยคือแอปที่ปลอมตัวเป็นเครื่องมือมอนิเตอร์บนเชน เช่น FomoPeek ที่โปรโมตตัวเองว่าเป็นแอปสำหรับเฝ้าติดตามกระเป๋าเงินคริปโตแบบอ่านอย่างเดียว ไม่ต้องเชื่อมต่อวอลเล็ตหรือให้ seed phrase ฟังดูปลอดภัย แต่การวิเคราะห์พบว่าเวอร์ชัน 1.1 และ 1.2 ที่ปล่อยผ่านสโตร์อย่างเป็นทางการมีโมดูลอันตรายฝังอยู่ในโค้ดของแอป สิ่งนี้ไม่ใช่แอปแก้ไขทีหลัง แต่เป็นโค้ดที่ผ่านกระบวนการเซ็นและแจกจ่ายตามปกติของแพลตฟอร์ม โมดูลดังกล่าวสามารถหลบเลี่ยงการป้องกันของ iPhone ดึงข้อมูลจากแอปอื่น รวมถึงแอปกระเป๋าเงินและแอปจดบันทึก 19 แอป แล้วส่งข้อมูลไปยังเซิร์ฟเวอร์ระยะไกลที่ควบคุมได้จากฝั่งผู้โจมตี ในการทดสอบแบบควบคุม โค้ดสามารถรวบรวมและอัปโหลดข้อมูลจาก Apple Notes ได้สำเร็จ แสดงให้เห็นว่าหากถูกเปิดใช้งานเต็มรูปแบบ มันมีศักยภาพจะดึงคีย์ส่วนตัว วลีการกู้คืน หรือข้อมูลที่ผู้ใช้แอบจดไว้ในโน้ตออกไปได้โดยง่าย เมื่อรวมกับกลยุทธ์โจมตีชื่อ DarkSwordStrategy ที่อยู่ในโค้ดของแอป ภาพรวมคือแอปมอนิเตอร์ที่ถูกออกแบบให้เป็นสะพานไปสู่การโจมตีระดับระบบปฏิบัติการ iOS โดยตรง
ผู้ใช้ FomoPeek และแอปคล้ายกันควรถือว่าคีย์ทั้งหมดรั่วไปแล้ว
สิ่งที่น่ากังวลไม่ใช่แค่ความสามารถของโค้ด แต่คือข้อเท็จจริงว่าแอปที่มีโมดูลอันตรายเช่น FomoPeek สามารถขึ้นสโตร์ในฐานะเวอร์ชันทางการ และมีผู้ใช้จำนวนหนึ่งติดตั้งโดยไม่ทันระวัง ผู้ตรวจสอบติดตามเส้นทางสินทรัพย์ไปยังที่อยู่กระเป๋าหลักของผู้โจมตีที่เริ่มมีความเคลื่อนไหวในช่วงกลางเดือนกันยายน และมีการรับทรัพย์สินจำนวนมากผ่านหลายเครือข่ายบล็อกเชน แม้ยอดรวมนี้ไม่ใช่จำนวนที่ยืนยันว่าเกิดจาก FomoPeek เพียงอย่างเดียว แต่ก็สะท้อนระดับผลตอบแทนจากการโจมตีลักษณะนี้ได้เป็นอย่างดี คำแนะนำตรงไปตรงมาจากผู้เชี่ยวชาญคือ ผู้ใช้ FomoPeek เวอร์ชัน 1.1 และ 1.2 ต้องถือว่า seed phrase คีย์ส่วนตัว และข้อมูลรับรองที่อ่อนไหวทั้งหมดบนอุปกรณ์นั้นอาจถูกละเมิดไปแล้ว แม้จะลบหรืออัปเดตแอปเป็นเวอร์ชัน 1.3 ที่นำโมดูลออก ข้อมูลที่เคยถูกส่งออกไปไม่สามารถเรียกคืนได้ แนวทางที่สมเหตุสมผลจึงไม่ใช่การหวังว่าตัวเองรอด แต่คือการสร้างกระเป๋าเงินใหม่บนอุปกรณ์ที่ไม่เคยรันแอปที่ได้รับผลกระทบ แล้วโอนทรัพย์สินออกจากกระเป๋าเดิมทันที รวมถึงใช้การเก็บแบบ cold storage หรือฮาร์ดแวร์วอลเล็ตสำหรับยอดถือครองจำนวนมากเพื่อลดความเสี่ยงที่คีย์จะถูกดึงออกจากเครื่องที่เชื่อมต่ออินเทอร์เน็ต
แนวทางป้องกันแบบลงมือทำสำหรับผู้ใช้แอปกระเป๋าเงินคริปโตบน iPhone
เมื่อภัยมัลแวร์ iOS ไม่ได้เป็นแค่ทฤษฎี ผู้ใช้แอปกระเป๋าเงินคริปโตต้องยกระดับนิสัยด้านความปลอดภัยทันที ขั้นแรกคืออัปเดต iOS และเบราว์เซอร์ Safari ให้เป็นเวอร์ชันล่าสุดเสมอ เพื่อลดช่องโหว่ที่เอ็กซ์พลอยต์อย่าง Darksword ใช้ และหลีกเลี่ยงการคลิกลิงก์ที่คนแปลกหน้าแนะนำผ่านโซเชียลหรือแอปข้อความ โดยเฉพาะลิงก์ที่เกี่ยวกับคริปโตหรือการลงทุน ก่อนติดตั้งแอปใหม่ ให้ตรวจสอบตัวตนนักพัฒนา อ่านรีวิวจากผู้ใช้หลายแหล่ง และตั้งคำถามกับแอปที่ขอสิทธิ์เกินความจำเป็น เช่น การเข้าถึงโน้ตหรือไฟล์ที่ไม่เกี่ยวกับฟังก์ชันของแอป การโจมตีแอป iPhone ในยุคนี้ไม่ได้มาจากแอปกระเป๋าเงินปลอมอย่างเดียว แต่รวมถึงแอปมอนิเตอร์หรือเครื่องมือเสริมที่แอบดึงข้อมูลจากแอปอื่นโดยผู้ใช้ไม่รู้ตัว สำหรับยอดถือครองคริปโตจำนวนมาก ทางเลือกที่มีเหตุผลคือใช้ฮาร์ดแวร์วอลเล็ตและ cold storage เพื่อกันคีย์ส่วนตัวออกจากอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ต และแยกกระเป๋าสำหรับใช้งานประจำวันกับกระเป๋าเก็บระยะยาวออกจากกัน ผลที่ต้องการไม่ใช่การเชื่อว่าแพลตฟอร์มใดปลอดภัยสมบูรณ์ แต่คือการออกแบบให้เมื่อชั้นใดชั้นหนึ่งถูกเจาะ สินทรัพย์ทั้งหมดของเราไม่ถูกดูดหายไปในครั้งเดียว
