ส่วนขยายปลอมบนเบราว์เซอร์ ขโมยกระเป๋าคริปโทและรหัสผ่านต้องรีบจัดการ

ทำไมส่วนขยายปลอมถึงเป็นภัยใหญ่สำหรับคนใช้คริปโต

ส่วนขยายปลอมคือโปรแกรมเสริมบนเบราว์เซอร์ที่แกล้งทำเป็นเครื่องมือมีประโยชน์ เช่น รายงานผลกีฬา กระเป๋าเงินคริปโท หรือเครื่องมือ SEO แต่แอบฝังโค้ดมัลแวร์เพื่อขโมยข้อมูลสำคัญของผู้ใช้ ทั้งรหัสผ่าน Seed Phrase Private Key และประวัติการเข้าเว็บไซต์ เมื่อได้รับสิทธิ์เข้าถึงเบราว์เซอร์แล้ว ส่วนขยายปลอมสามารถสอดแนมการใช้งาน แทรกแซงปุ่มบนเว็บคริปโต และส่งข้อมูลกลับไปยังเซิร์ฟเวอร์ของผู้โจมตีอย่างลับๆ ทำให้เหยื่อสูญเสียทั้งบัญชีออนไลน์และสินทรัพย์ดิจิทัลโดยไม่ทันรู้ตัว ประเด็นสำคัญคือภัยนี้ไม่ได้เกิดจากเว็บแปลกๆ แต่ซ่อนตัวอยู่ในส่วนขยายที่เราคิดว่า “ช่วยอำนวยความสะดวก” บน Chrome Firefox และ Edge ถ้าใช้คริปโตผ่านเบราว์เซอร์เป็นหลัก คุณไม่ใช่ผู้ใช้ทั่วไปอีกต่อไป แต่เป็นเป้าหมายโดยตรงของแคมเปญขโมยกระเป๋าคริปโทที่กำลังดำเนินอยู่แล้ว

สองแคมเปญใหญ่ Offside และ Superior สอนอะไรเราบ้าง

แคมเปญ “Offside Wallet Theft Factory” บน Firefox ตรวจพบส่วนขยายอันตรายรวม 77 รายการ โดย 40 รายการเป็นมัลแวร์ที่มุ่งขโมย Seed Phrase และ Private Key จากกระเป๋าเงินคริปโทของผู้ใช้โดยตรง ส่วนขยายเหล่านี้ปลอมตัวเป็นกระเป๋ายอดนิยมอย่าง OKX Rabby Wallet และ TronLink แล้วหลอกให้ผู้ใช้กรอกข้อมูลลับผ่านหน้าป๊อปอัปภายนอกที่สร้างขึ้นมาใหม่ ฝั่ง Chrome และ Edge แคมเปญ “Superior” ใช้ส่วนขยาย 19 ตัว แบ่งเป็น Chrome 18 ตัว และ Edge 1 ตัว เพื่อขโมยรหัสผ่าน ข้อมูลบัญชี ประวัติการเข้าเว็บไซต์ และข้อมูลกระเป๋าคริปโต ผู้โจมตีไม่เพียงสร้างส่วนขยายปลอมเอง แต่ยังซื้อส่วนขยายเดิมที่มีฐานผู้ใช้จำนวนมากแล้วค่อยปล่อยเวอร์ชันใหม่ที่ฝังโค้ดอันตราย ทำให้ผู้ใช้ที่คิดว่าตัวเองใช้ส่วนขยาย “เดิมที่เคยปลอดภัย” กลายเป็นเหยื่อโดยที่ไม่ทันสังเกตผิดปกติเลย

ใครเสี่ยงและภัยรุนแรงแค่ไหนบน Firefox Chrome Edge

สำหรับ Firefox บริษัทด้านความปลอดภัยประกาศขยายระบบเฝ้าระวังเข้าสู่ Firefox อย่างเป็นทางการ ครอบคลุมส่วนขยายมากกว่า 97,000 รายการบนร้านค้า เพื่อตรวจจับและติดตามมัลแวร์ที่คล้ายกับ Offside จากการวิเคราะห์พบว่าแคมเปญนี้ดำเนินมาตั้งแต่เดือนมีนาคมและขโมยสินทรัพย์ต่อเนื่องมาจนถึงเดือนสิงหาคมแล้ว นั่นหมายความว่าผู้ใช้ Firefox ที่พึ่งพากระเป๋าคริปโตผ่านเบราว์เซอร์อาจถูกลอบดูดข้อมูลมานานหลายเดือนโดยไม่รู้ตัว ฝั่ง Chrome และ Edge ภัยจาก Superior ก็ไม่เบา ส่วนขยายเวอร์ชัน Chrome ที่มีฟังก์ชันอันตรายมีผู้ใช้ประมาณ 70,000 คน ขณะที่เวอร์ชันมัลแวร์บน Edge มีผู้ใช้อีกประมาณ 10,000 คน รวมพื้นที่เสี่ยงราว 80,000 คน เวอร์ชันอันตรายถูกเผยแพร่ในช่วง 6 เดือนก่อนรายงานวันที่ 27 สิงหาคม แสดงให้เห็นว่าการโจมตีไม่ได้เป็นแค่การทดลอง แต่มีการใช้งานจริงต่อเนื่องมาแล้ว

ส่วนขยายปลอม Chrome และมัลแวร์ Firefox ทำงานอย่างไรเวลาแอบขโมย

ฝั่ง Firefox ส่วนขยายอันตรายใน Offside มีทั้งแบบปลอมกระเป๋าเงินคริปโตและแบบเริ่มต้นเป็นแอปรายงานผลกีฬาแล้วค่อยอัปเดตเวอร์ชันใหม่เพื่อฝังมัลแวร์ขโมยกระเป๋าคริปโตในภายหลัง กลยุทธ์นี้ใช้สิทธิ์เดิมที่เคยได้รับ ทำให้ไม่ต้องขอความยินยอมใหม่ ผู้ใช้จึงไม่เอะใจและยังใช้งานต่อไปตามปกติ ส่วน Superior บน Chrome และ Edgeซับซ้อนกว่ามาก เมื่อส่วนขยายทำงาน มันจะติดต่อเซิร์ฟเวอร์ควบคุมผ่าน WebSocket เพื่อรับคำสั่งและดาวน์โหลดโมดูลเพิ่มเติม จากนั้นลดการป้องกัน Content Security Policy ของเว็บไซต์ก่อนฉีด JavaScript เข้าไปบนหน้าเว็บที่ผู้ใช้เปิดอยู่ โมดูล 16 ชนิดที่พบสามารถตรวจจับเว็บ Wallet บนเครือข่าย EVM Solana Tron แทรกแซงปุ่ม Connect Wallet และ Swap เปลี่ยนขั้นตอนเชื่อมต่อให้ผู้โจมตีควบคุมธุรกรรม รวมถึงสร้างหน้าปลอมบนเว็บ Ledger และ Trezor เพื่อหลอกให้กรอก Recovery Phrase 12 18 หรือ 24 คำแล้วส่งออกไปยังผู้โจมตีโดยตรง

ถึงเวลาล้างส่วนขยาย ตรวจความปลอดภัยเบราว์เซอร์ และปกป้องรหัสผ่าน

มุมมองตรงไปตรงมาคือ ต่อให้เบราว์เซอร์เอาส่วนขยายปลอม Chrome ออกจาก Store แล้ว ผู้ใช้ก็ยังต้องลงมือป้องกันตัวเองอยู่ดี เพราะส่วนขยายที่ติดตั้งไปแล้วในเครื่องไม่ได้หายไปเอง ผู้ใช้ควรตรวจสอบสิทธิ์ที่ส่วนขยายร้องขอเป็นระยะ และหลีกเลี่ยงการกรอก Seed Phrase หรือ Private Key ผ่านหน้าป๊อปอัปที่ไม่คุ้นเคยอย่างเด็ดขาด หากเคยติดตั้งส่วนขยายในรายชื่อ 19 ตัว โดยเฉพาะช่วงที่มีเวอร์ชันอันตราย ผู้เชี่ยวชาญแนะนำให้ถือว่าข้อมูล Login มีโอกาสถูกเปิดเผย และเปลี่ยนรหัสผ่านของทุกบัญชีที่เคยใช้งานผ่านเบราว์เซอร์ ควรเปิดระบบยืนยันตัวตนสองขั้นตอน เพื่อปกป้องรหัสผ่านในกรณีที่หลุดไปแล้ว และสำหรับผู้ถือคริปโตที่เคยกรอก Recovery Phrase ผ่านหน้าเว็บในขณะที่ติดตั้งส่วนขยายเหล่านี้ ควรย้ายสินทรัพย์ไปยัง Wallet ที่สร้างขึ้นใหม่ พร้อมใช้ฮาร์ดแวร์วอลเล็ตเป็นหลักเพื่อลดความเสี่ยงจากการโจมตีผ่านเบราว์เซอร์ บทสรุปคือ ความปลอดภัยเบราว์เซอร์ไม่ใช่เรื่องเทคนิคของนักไอที แต่เป็นนิสัยประจำวันของคนใช้คริปโต ถ้าไม่ตรวจส่วนขยาย ไม่ระวังการกรอกข้อมูลลับ และไม่ใช้ชั้นป้องกันอย่าง 2FA และฮาร์ดแวร์วอลเล็ต ก็เท่ากับเปิดประตูให้มัลแวร์ Firefox และส่วนขยายปลอม Chrome เข้าถึงกระเป๋าคริปโทและชีวิตดิจิทัลของเราเอง