ผู้ใช้คริปโตมักให้ความสำคัญกับอินเทอร์เฟซผู้ใช้และให้ความสนใจน้อยลงกับโปรโตคอลภายในที่ซับซ้อน ผู้เชี่ยวชาญด้านความปลอดภัยเพิ่งแสดงความกังวลเกี่ยวกับช่องโหว่ที่สำคัญใน Crypto-MCP (Model-Context-Protocol) ซึ่งเป็นโปรโตคอลสำหรับการเชื่อมต่อและโต้ตอบกับบล็อกเชน
ข้อบกพร่องนี้อาจทำให้แฮกเกอร์ขโมยสินทรัพย์ดิจิทัลได้ พวกเขาอาจเปลี่ยนเส้นทางการทำธุรกรรมหรือเปิดเผย seed phrase ซึ่งเป็นกุญแจในการเข้าถึงกระเป๋าเงินคริปโต
ช่องโหว่ Crypto-MCP อันตรายแค่ไหน
Crypto-MCP เป็นโปรโตคอลที่ออกแบบมาเพื่อสนับสนุนงานบล็อกเชน งานเหล่านี้รวมถึงการสอบถามยอดคงเหลือ การส่งโทเค็น การปรับใช้สมาร์ทคอนแทรค และการโต้ตอบกับโปรโตคอลการเงินแบบกระจายศูนย์ (DeFi)
โปรโตคอลเช่น Base MCP จาก Base, Solana MCP จาก Solana และ Thirdweb MCP มีคุณสมบัติที่ทรงพลัง ซึ่งรวมถึงการเข้าถึงข้อมูลบล็อกเชนแบบเรียลไทม์ การดำเนินการธุรกรรมอัตโนมัติ และการสนับสนุนหลายเชน อย่างไรก็ตาม ความซับซ้อนและความเปิดกว้างของโปรโตคอลยังนำมาซึ่งความเสี่ยงด้านความปลอดภัยหากไม่ได้รับการจัดการอย่างเหมาะสม
นักพัฒนา Luca Beurer-Kellner ได้แจ้งเตือนปัญหานี้ครั้งแรกในช่วงต้นเดือนเมษายน เขาเตือนว่าการโจมตีที่ใช้ MCP อาจทำให้ข้อความ WhatsApp รั่วไหลผ่านโปรโตคอลและหลีกเลี่ยงความปลอดภัยของ WhatsApp
หลังจากนั้น Superoo7 หัวหน้าฝ่ายข้อมูลและ AI ที่ Chromia ได้ตรวจสอบและรายงานช่องโหว่ที่อาจเกิดขึ้นใน Base-MCP ปัญหานี้ส่งผลกระทบต่อ Cursor และ Claude ซึ่งเป็นแพลตฟอร์ม AI ยอดนิยมสองแห่ง ข้อบกพร่องนี้ทำให้แฮกเกอร์สามารถใช้เทคนิค “prompt injection” เพื่อเปลี่ยนที่อยู่ผู้รับในธุรกรรมคริปโต
ตัวอย่างเช่น หากผู้ใช้พยายามส่ง 0.001 ETH ไปยังที่อยู่เฉพาะ แฮกเกอร์สามารถแทรกโค้ดที่เป็นอันตรายเพื่อเปลี่ยนเส้นทางเงินไปยังกระเป๋าเงินของพวกเขา สิ่งที่แย่กว่านั้นคือผู้ใช้อาจไม่สังเกตเห็นสิ่งผิดปกติ อินเทอร์เฟซยังคงแสดงรายละเอียดการทำธุรกรรมที่ตั้งใจไว้เดิม
ความเสี่ยงนี้มาจากการใช้ MCP ที่ ‘ถูกวางยาพิษ’ แฮกเกอร์อาจหลอก Base-MCP ให้ส่งคริปโตของคุณไปยังพวกเขาแทนที่จะเป็นที่ที่คุณตั้งใจไว้ หากเกิดเหตุการณ์นี้ คุณอาจไม่สังเกตเห็น Superoo7 กล่าว
นักพัฒนา Aaronjmars ชี้ให้เห็นถึงปัญหาที่ร้ายแรงยิ่งขึ้น วลีเมล็ดพันธุ์ของกระเป๋าเงินมักถูกเก็บไว้โดยไม่มีการเข้ารหัสในไฟล์การกำหนดค่า MCP หากแฮกเกอร์เข้าถึงไฟล์เหล่านี้ได้ พวกเขาสามารถขโมย วลีเมล็ดพันธุ์และควบคุมกระเป๋าเงินและสินทรัพย์ดิจิทัลของผู้ใช้ได้อย่างง่ายดาย
MCP เป็นสถาปัตยกรรมที่ยอดเยี่ยมสำหรับการทำงานร่วมกันและการโต้ตอบแบบท้องถิ่น แต่ความปลอดภัยในปัจจุบันไม่เหมาะสมกับความต้องการของ Web3 เราต้องการสถาปัตยกรรมพร็อกซีที่ดีกว่าสำหรับกระเป๋าเงิน Aaronjmars เน้นย้ำ
จนถึงขณะนี้ยังไม่มีกรณียืนยันว่ามีการใช้ช่องโหว่นี้เพื่อขโมยสินทรัพย์คริปโต อย่างไรก็ตาม ภัยคุกคามที่อาจเกิดขึ้นนั้นร้ายแรง
ตามที่ Superoo7 กล่าว ผู้ใช้ควรป้องกันตนเองโดยใช้ MCP จากแหล่งที่เชื่อถือได้เท่านั้น รักษายอดคงเหลือในกระเป๋าเงินให้น้อยที่สุด จำกัดสิทธิ์การเข้าถึง MCP และใช้เครื่องมือ MCP-Scan เพื่อตรวจสอบความเสี่ยงด้านความปลอดภัย
แฮกเกอร์สามารถขโมยวลีเมล็ดพันธุ์ได้หลายวิธี รายงานจาก Security Intelligence เมื่อปลายปีที่แล้วเปิดเผยว่า มัลแวร์ Android ที่ชื่อว่า SpyAgent มุ่งเป้าหมายไปที่วลีเมล็ดพันธุ์โดยการขโมยภาพหน้าจอ
Kaspersky ยัง ค้นพบ มัลแวร์ SparkCat ที่ดึงวลีเมล็ดพันธุ์จากภาพโดยใช้ OCR ในขณะเดียวกัน Microsoft เตือนเกี่ยวกับ StilachiRAT มัลแวร์ที่มุ่งเป้าไปที่ส่วนขยายกระเป๋าเงินคริปโต 20 รายการบน Google Chrome รวมถึง MetaMask และ Trust Wallet
ข้อจำกัดความรับผิด
หมายเหตุบรรณาธิการ: เนื้อหาต่อไปนี้ไม่ได้สะท้อนถึงมุมมองหรือความคิเห็นของ BeInCrypto มันจัดทำขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลเท่านั้นและไม่ควรถูกตีความว่าเป็นคำแนะนำทางการเงิน กรุณาทำการวิจัยของคุณเองก่อนที่จะทำการตัดสินใจลงทุนใดๆ