อดีตประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ Ripple, David Schwartz ออกคำเตือนอย่างรุนแรงต่อสาธารณะในสัปดาห์นี้เกี่ยวกับช่องโหว่ล่าสุดของ BitLocker บน Windows โดยระบุว่าเป็นหนึ่งในช่องโหว่ด้านความปลอดภัยที่ร้ายแรงที่สุดที่เขาเคยพบในรอบหลายปี
คำเตือนของเขาถูกเผยแพร่ควบคู่ไปกับการแจ้งเตือนอีกฉบับเกี่ยวกับระลอกของการหลอกลวงที่กำลังมุ่งเป้าไปยังผู้ใช้ XRP Ledger ทำให้แรงกดดันต่อความปลอดภัยของอุปกรณ์ผู้บริโภคและความไว้วางใจบนบล็อกเชนเพิ่มขึ้น
Schwartz ออกคำเตือนด้านความปลอดภัยอย่างจริงจังเกี่ยวกับช่องโหว่ของ BitLocker
Schwartz กล่าวว่าการโจมตีนี้เปิดโอกาสให้ผู้ไม่หวังดีข้ามการเข้ารหัสทั้งดิสก์ของ Microsoft ได้โดยใช้วิธีการง่ายๆ ผ่าน USB สำหรับการที่ไม่มีการถามยืนยันตัวตน ได้จุดประกายให้เกิดการคาดเดาว่ากลไกนี้คล้ายกับช่องทางลับมากกว่าข้อบกพร่องทั่วไป เนื่องจากเส้นทางเข้าถึงที่รายงานใช้งานได้นั้นต้องการความพยายามทางเทคนิคน้อยมาก
ช่องโหว่นี้เป็นปัญหาสำหรับทุกคนที่เก็บข้อมูลสำคัญบนอุปกรณ์ Windows ไม่ว่าจะเป็นคีย์ส่วนตัว วลีสำรอง หรือเอกสารงาน ทั้งนี้ ความคิดเห็นก่อนหน้าของ Schwartz เกี่ยวกับการออกแบบความปลอดภัยและแรงจูงใจในระดับโปรโตคอล ได้รับความสนใจจากวงการ ซึ่งช่วยเสริมความน่าเชื่อถือในมุมมองของเขาต่อปัญหา BitLocker นี้
การเปิดเผยนี้ยังซ้ำเติมความกังวลที่กว้างขึ้นเกี่ยวกับการโจมตีซอฟต์แวร์ที่กำลังเข้ามาในวงการคริปโต เพราะการหลุดรั่วของคีย์ส่วนตัวสามารถนำไปสู่ความเสียหายโดยตรงและถาวร ต่อผู้ถือครองที่ต้องพึ่งระบบเข้ารหัสดิสก์เพื่อปกป้องข้อมูลสำรองประเภท cold storage
Ripple CTO เพิ่มการแจ้งเตือนเกี่ยวกับการระบาดของกลโกงบน XRPL
ในโพสต์อีกฉบับ Schwartz ชี้ให้เห็นว่ามีรายงานการหลอกลวงที่พุ่งเป้ามายังผู้ใช้ XRPL เพิ่มมากขึ้นอย่างชัดเจน โดยรูปแบบที่พบบ่อยสุดคือการแอร์ดรอปปลอมและบัญชีสวมรอย มิจฉาชีพมักจะโคลนโปรไฟล์ที่ได้รับการยืนยันและหลอกผู้ถือครองให้เชื่อมกระเป๋าสตางค์กับ smart contract ที่ดูดเงิน
แนวโน้มนี้สะท้อนกับการระบาดของกลโกงที่กว้างขึ้นซึ่งหน่วยงานกำกับดูแลด้านการเงินได้เตือนมาในช่วงหลายเดือนที่ผ่านมา สำหรับผู้ถือ XRP ความเสี่ยงจะสูงขึ้นด้วยเนื่องจากลักษณะ psudonymous ของ ledger และการขาดหนทางเรียกคืนเมื่อเงินถูกโอนออกไปแล้ว
Schwartz ซึ่งมีบทบาทสำคัญในระบบนิเวศ XRP ทำให้คำแนะนำของเขาถูกเผยแพร่อย่างกว้างขวาง ได้กระตุ้นให้ผู้ใช้เพิกเฉยต่อคำแนะนำแอร์ดรอปที่ไม่ได้ร้องขอ และเน้นย้ำให้ตรวจสอบการสื่อสารจากทางการอย่างอิสระก่อนเชื่อมต่อกระเป๋าเงินใดๆ
การโจมตีที่พัฒนาโดย AI ทวีคูณการแจ้งเตือนด้านความปลอดภัย
คำเตือนเหล่านี้มาพร้อมกับการเปิดเผยของ Google ว่าบริษัทได้สกัดกั้นการโจมตี zero-day ที่พัฒนาโดย AI ได้ทันเวลาก่อนที่จะถูกแพร่กระจาย ผู้โจมตีใช้ Python เพื่อข้ามระบบยืนยันตัวตนสองขั้นตอนของเครื่องมือแอดมินโอเพ่นซอร์สที่ใช้งานอย่างแพร่หลาย
ด้วยเหตุนี้ ระบบป้องกันด้วย AI อย่าง Big Sleep และ CodeMender จึงถูกนำมาใช้เพื่อรองรับสถานการณ์นี้ แต่ว่าการเข้ารหัสข้อมูลปลายทางและการยืนยันตัวตนผู้ใช้จะทันกับสถานการณ์ที่เปลี่ยนแปลงนี้หรือไม่ เป็นคำถามที่ยังไม่มีคำตอบ
