ผู้ใช้คริปโตที่ไม่เปิดเผยตัวตน สูญเสีย USDT มูลค่า 999,999 USD ให้กับการโจมตีฟิชชิ่งบน Ethereum หลังจากเซ็นอนุมัติธุรกรรม token ปลอมแปลง
จากบันทึกบนเชน พบว่าผู้โจมตีได้แบ่งเงินที่ขโมยไปออกเป็นสามธุรกรรม ซึ่งการโอนเหล่านี้เข้าสู่บล็อก Ethereum หมายเลข 25489460 และ 25489463 ภายในไม่กี่นาทีหลังจากมีการเซ็นอนุมัติ
ฟิชชิ่งผ่านการอนุมัติ token ยังคงเป็นหนึ่งในภัยคุกคามหลักที่พบในระบบการเงินแบบไร้ศูนย์กลาง เนื่องจากผู้โจมตีไม่ต้องใช้กุญแจส่วนตัวของเหยื่อเพื่อขโมยเงิน แต่พวกเขาหลอกให้ผู้ใช้เซ็นอนุมัติคำขอที่เปิดสิทธิ์เข้าถึง token อย่างกว้างขวางสำหรับ smart contract ซึ่งอนุมัตินี้จะคงอยู่จนกว่าจะมีใครถอนสิทธิ์ดังกล่าวออก
ภายในการโจมตีฟิชชิ่งบน Ethereum
รูปแบบนี้เกิดกับผู้ใช้คริปโตซ้ำแล้วซ้ำเล่าตลอดปี 2026 โดยกระเป๋าเงินของเหยื่อเปิดสิทธิ์ใช้งาน token แบบไม่จำกัด ทำให้ผู้โจมตีดำเนินการได้โดยไม่ต้องขอยืนยันอีก ในเดือนพฤษภาคม เว็บไซต์ฟิชชิ่ง Uniswap ปลอม สามารถดูดเงินราว 400,000 USD จากหลายกระเป๋าหลังผู้เข้าชมเผลออนุมัติสัญญาอันตราย นอกจากนี้ กลโกงอนุมัติ airdrop ปลอม ยังโจมตีผู้ใช้ HyperSwap ในลักษณะเดียวกันเมื่อเดือนนี้ โดยเงินในกระเป๋าของเขาถูกดูดหายไปภายในเสี้ยววินาทีหลังคลิกเพียงครั้งเดียว
ฟังก์ชัน Multicall เร่งให้การโจรกรรมสำเร็จไว
ในกรณีนี้ ผู้โจมตีใช้ฟังก์ชัน Multicall เพื่อรวมหลายธุรกรรมไว้ในคำสั่งเดียว ซึ่งทำให้สามารถโยกย้าย USDT ที่อนุมัติไว้ได้ในไม่กี่วินาที หลังจากนั้นเงินก็ถูกแบ่งออกเป็นสามเส้นทางแทบจะทันที
ความรวดเร็วนี้จึงทำให้เวลาที่เหยื่อจะถอนสิทธิ์อนุมัตินั้นสั้นลงมาก โดยกุญแจส่วนตัวในกระเป๋ายังคงปลอดภัยตลอดการโจมตี ด้วยเหตุนี้ การแจ้งเตือนในกระเป๋ากระเป๋ามาตรฐานจึงแทบไม่สามารถตรวจจับการโจมตีประเภทนี้ได้
วิธีการดังกล่าวคล้ายกับกลยุทธ์ล่าสุดใน กลโกง address poisoning ของกระเป๋าเงิน ที่ผู้โจมตีอาศัยโครงสร้างธุรกรรมแทนที่จะขโมยข้อมูลการเข้าใช้งาน นอกจากนี้ Scam Sniffer ยังระบุว่า ยอดสูญเสียจากฟิชชิ่งเพิ่มขึ้น 200 เปอร์เซ็นต์ ปีนี้ มาจากแนวโน้มที่คนร้ายเน้นโจมตีกระเป๋าเงินที่มีมูลค่าสูง
นักวิเคราะห์ความปลอดภัยแนะให้ระวังการเซ็นอนุมัติธุรกรรม
หลังเหตุการณ์ถูกโจรกรรม Scam Sniffer ได้เน้นย้ำให้ผู้ใช้คริปโตตรวจสอบทุกคำขอเซ็นชื่อก่อนยืนยัน โดยบริษัทแนะนำให้เช็คที่อยู่ contract และขอบเขตสิทธิ์ที่แสดงในกระเป๋าอย่างละเอียดอยู่เสมอ ผู้ใช้ควรหลีกเลี่ยงการอนุมัติโดยไม่ตรวจสอบ และการถอนสิทธิ์ที่ไม่ได้ใช้หรืออนุมัติแบบไม่จำกัดเป็นประจำ ถือเป็นหนึ่งในวิธีป้องกันที่ง่ายที่สุดจากการโจมตีลักษณะนี้
เหตุการณ์นี้ยังสะท้อนถึง แคมเปญฟิชชิ่ง MetaMask ที่ถูกเปิดเผยในเดือนมกราคม ซึ่งใช้หน้าต่างยืนยันสองขั้นตอนปลอมเพื่อข้ามความระแวงของผู้ใช้ไปโดยสิ้นเชิง แม้ว่าผู้ให้บริการกระเป๋าจะพยายามเพิ่มระบบป้องกันอยู่เรื่อยๆ แต่นักวิเคราะห์ก็เห็นร่วมกันว่า ไม่มีการเปลี่ยนแปลงอินเทอร์เฟซใดสามารถแทนที่การอ่านตรวจสอบรายละเอียดการอนุมัติได้อย่างสมบูรณ์
ช่องว่างระหว่างการลงลายเซ็นเพียงครั้งเดียวกับการสูญเสียกระเป๋าเงินของผู้ใช้ Ethereum นั้นแคบลงเรื่อยๆ เพราะกลยุทธ์ฟิชชิ่งมีความเป็นอัตโนมัติมากขึ้น
