เมื่อสัปดาห์ที่แล้ว ผู้ใช้ Trust Wallet รายหนึ่งประสบกับการสูญเสียเงินอย่างกะทันหันในชั่วข้ามคืน ตามรายงานที่แชร์กับ BeInCrypto เมื่อเขาติดต่อกับกระเป๋าเงินเพื่อหาสาเหตุที่เกิดขึ้น พวกเขาแจ้งว่าเขาได้ให้สิทธิ์กับเว็บไซต์หรือแอปพลิเคชันที่เป็นอันตรายโดยไม่รู้ตัว
อีฟ แลม หัวหน้าเจ้าหน้าที่รักษาความปลอดภัยข้อมูลที่ Trust Wallet กล่าวในการสัมภาษณ์กับ BeInCrypto ว่าการถอนเงินคริปโตที่ไม่ได้รับอนุญาตส่วนใหญ่มาจากปัญหาของผู้ใช้ ดมิโทร ยาสมาโนวิช หัวหน้าฝ่ายปฏิบัติตามกฎระเบียบที่ Hacken แบ่งปันมุมมองนี้และให้คำแนะนำเกี่ยวกับขั้นตอนที่ผู้ใช้ควรทำหากสงสัยว่ากระเป๋าเงินคริปโตของตนถูกละเมิด
ขาดทุนข้ามคืน
เมื่อสัปดาห์ที่แล้ว มาติอัส ผู้ใช้คริปโตจากชิลี เข้านอนโดยไม่กังวลอะไร แต่เมื่อเขาตื่นขึ้น ทุกอย่างก็เปลี่ยนไป ตามรายละเอียดที่แชร์กับ BeInCrypto เมื่อมาติอัส เข้าถึง Trust Wallet ของเขา เขาเห็นว่าเงินของเขาถูกถอนออกจากบัญชี
สถานการณ์เช่นนี้ไม่เคยเกิดขึ้นกับเขาในช่วงห้าปีที่ใช้กระเป๋าเงินมือถือ มาติอัสสังเกตว่าเวลา 8 โมงเช้า มีการฝากเงินคริปโตจำนวนเล็กน้อยในบัญชีของเขา ไม่นานหลังจากนั้น บัญชีของเขาก็ถูกถอนออกจนหมด
มาติอัสไม่รู้เลยว่าเหตุการณ์เช่นนี้จะเกิดขึ้นได้อย่างไร หลังจากติดต่อทีมรักษาความปลอดภัยของ Trust Wallet เพื่อขอคำอธิบาย เขาได้ทราบว่าปัญหานี้เกิดจากสิ่งที่เขาทำโดยไม่ตั้งใจ
จากข้อมูลภายในและการสืบสวนการตอบสนองต่อเหตุการณ์ การถอนเงินที่ไม่ได้รับอนุญาตส่วนใหญ่ถูกติดตามกลับไปยังปัญหาที่เกิดจากผู้ใช้ แลมบอกกับ BeInCrypto
เธออธิบายถึงหลายวิธีที่ผู้ใช้อาจแชร์ข้อมูลที่ละเอียดอ่อนกับผู้ไม่หวังดีโดยไม่ตั้งใจ
ความจริงของช่องโหว่ฝั่งผู้ใช้
การวิเคราะห์ของ Trust Wallet จากข้อมูลภายในและการสืบสวนการตอบสนองต่อเหตุการณ์ชี้ให้เห็นว่าปัญหาที่เกิดจากผู้ใช้เป็นสาเหตุของการ ถอนเงินคริปโตที่ไม่ได้รับอนุญาต ส่วนใหญ่
สิ่งเหล่านี้มักเกี่ยวข้องกับการรั่วไหลหรือการถูกละเมิดของ seed phrases ซึ่งมัก เกิดจากกลยุทธ์วิศวกรรมสังคม การเก็บรักษาที่ไม่ปลอดภัย และการอนุมัติ smart contract ที่เป็นอันตรายที่ผู้ใช้ให้ไว้
การละเมิดในระดับอุปกรณ์และเหตุการณ์อื่นๆ เช่น การโจมตี SIM swap หรือการขโมยอุปกรณ์ที่ไม่ได้ล็อก ก็มีส่วนทำให้เกิดการถอนเงินที่ไม่ได้รับอนุญาตเหล่านี้เช่นกัน
“ในทุกกรณีเหล่านี้ แอป Trust Wallet เองไม่ได้ถูกละเมิด—ปัญหา เกิดจากสภาพแวดล้อมภายนอก ที่มันถูกใช้งานหรือจากการกระทำที่เกิดขึ้นก่อนการติดตั้ง” Lam อธิบาย
วิธีการโจมตีเหล่านี้เป็นเทคนิคการโจมตีที่พบได้บ่อยที่สุดในการขโมยสกุลเงินดิจิทัลจากกระเป๋าเงินมือถือ
ข้อผิดพลาดของผู้ใช้ vs. การแฮ็กกระเป๋าเงิน: การสูญเสียส่วนใหญ่เกิดขึ้นที่ไหน?
แม้ว่า Hacken จะขาดข้อมูลภายในเฉพาะเกี่ยวกับแนวโน้มการโจมตีกระเป๋าเงินมือถือที่เปลี่ยนแปลงไป Yasmanovych อธิบายกับ BeInCrypto ว่าการสูญเสียเงินที่เกิดจากการกระทำของผู้ใช้มีความชัดเจนมากขึ้นในกรณีที่บริษัทความปลอดภัยไซเบอร์ตรวจสอบ
“สิ่งที่เราพบในการตรวจสอบและเครื่องมือของเราชี้ไปที่ปัญหาที่กว้างขึ้น: การสูญเสียขนาดใหญ่ในคริปโตวันนี้น้อยเกี่ยวกับมัลแวร์มือถือและมากเกี่ยวกับความล้มเหลวในกระบวนการเซ็นชื่อ ความปลอดภัยของอินเทอร์เฟซ และการควบคุมการเข้าถึง” Yasmanovych กล่าว
กระบวนการเซ็นชื่อเกี่ยวข้องกับการอนุมัติ ธุรกรรมสกุลเงินดิจิทัลด้วยคีย์ส่วนตัว หากคีย์เหล่านี้ถูกละเมิด จะทำให้สามารถเซ็นชื่อธุรกรรมที่ไม่ได้รับอนุญาตได้โดยตรง ในขณะเดียวกัน อินเทอร์เฟซผู้ใช้ (UIs) ที่มีข้อบกพร่องในกระเป๋าเงินคริปโตและ dApps สามารถทำให้ผู้ใช้เข้าใจผิดในการทำธุรกรรมที่เป็นอันตราย วิธีการโจมตีรวมถึงการปลอมแปลงที่อยู่ ซึ่งผู้โจมตีสร้างที่อยู่ที่ดูคล้ายกันเพื่อดักจับเงิน
พวกเขายังใช้ dApps ปลอมหรือที่เป็นอันตรายที่ออกแบบมาเพื่อขโมยข้อมูลรับรองหรือกระตุ้นการเซ็นชื่อธุรกรรมที่เป็นอันตราย นอกจากนี้ การปรับแต่ง UI ยังเกี่ยวข้องกับการซ้อนทับที่หลอกลวงที่ทำให้ผู้ใช้ทำการกระทำที่ไม่ตั้งใจ
บ่อยครั้ง ผู้ใช้ยังอนุญาต สัญญาอัจฉริยะที่เป็นอันตราย โดยไม่รู้ตัว
นั่นเป็นประเด็นสำคัญ การอนุมัติที่เป็นอันตรายสามารถเกิดขึ้นได้ก่อนที่ Trust Wallet จะถูกติดตั้ง โดยเฉพาะถ้าผู้ใช้เคยโต้ตอบกับแอป Web3 ผ่านกระเป๋าเงินหรือเบราว์เซอร์อื่น Lam เตือน
เมื่อเกิดสถานการณ์เช่นนี้ขึ้น การกู้คืนเงินจะเป็นเรื่องยากมาก
ความท้าทายในการกู้คืนเงินทุน
เนื่องจากสถานะของมันเป็น กระเป๋าเงินที่ไม่เก็บรักษา Trust Wallet ไม่สามารถย้อนกลับธุรกรรมคริปโตหลังจากการหลอกลวงได้ อย่างไรก็ตาม มันช่วยผู้ใช้โดยการทำ การวิเคราะห์บนเชน เพื่อติดตามเงินที่ถูกขโมย นอกจากนี้ยังให้รายงานเหตุการณ์ที่ละเอียดสำหรับการบังคับใช้กฎหมายและบางครั้งร่วมมือกับบริษัทนิติวิทยาศาสตร์
แม้จะมีความพยายามเหล่านี้ โอกาสในการกู้คืนเงินยังคงต่ำมาก
ความสำเร็จขึ้นอยู่กับการดำเนินการที่รวดเร็ว เมื่อเงินถึง CEXs และผู้ใช้ยื่นรายงาน [การบังคับใช้กฎหมาย] ทันที มีโอกาสที่สินทรัพย์จะถูกแช่แข็ง ในทุกกรณีที่เกี่ยวข้องกับการหลอกลวง อัตราความสำเร็จในการกู้คืนต่ำ แต่เมื่อมีการเกี่ยวข้องกับจุดสิ้นสุดที่เป็นศูนย์กลางและการบังคับใช้กฎหมายถูกเรียกใช้เร็ว เราเคยเห็นการกู้คืนเงิน เช่น กรณีที่เราช่วยติดตาม ~USD400k Lam บอกกับ BeInCrypto
ดังนั้น การให้ความรู้แก่ผู้ใช้ยังคงเป็นวิธีที่มีประสิทธิภาพที่สุดในการป้องกันปัญหาที่ทำให้เกิดการสูญเสียเหล่านี้
นอกเหนือจากการตรวจจับ: ขั้นตอนป้องกันและตอบสนองที่สำคัญคืออะไร
Trust Wallet มีเครื่องสแกนความปลอดภัยในตัวที่แจ้งเตือนภัยคุกคามแบบเรียลไทม์ เช่น การโต้ตอบกับที่อยู่ของผู้หลอกลวงที่รู้จัก เว็บไซต์ฟิชชิ่ง และการอนุมัติที่น่าสงสัย แต่บางครั้งสัญญาณเตือนเหล่านี้ก็ไม่เพียงพอ
เพื่อปกป้องกระเป๋าเงินคริปโต Yasmanovych แนะนำว่าองค์กรและบุคคลควรใช้ มาตรฐานความปลอดภัยคริปโตเคอเรนซี (CCSS) สำหรับการจัดการคีย์และการรักษาความปลอดภัยในการดำเนินงาน
กำหนดการกระทำที่ชัดเจนเมื่อสงสัยว่าคีย์ถูกละเมิด รวมถึงการเพิกถอน การย้ายเงิน และการตรวจสอบ ต้องการ [การยืนยันตัวตนหลายขั้นตอน] สำหรับการเข้าถึงระบบกระเป๋าเงินและอินเทอร์เฟซการจัดการคีย์ ใช้การเข้าถึงแบบกลุ่มเพื่อป้องกันไม่ให้บุคคลใดบุคคลหนึ่งละเมิดเงินทุน [และ] ใช้การสำรองข้อมูลที่เข้ารหัสและกระจายทางภูมิศาสตร์พร้อมขั้นตอนการกู้คืนที่ชัดเจนเพื่อให้มั่นใจในความยืดหยุ่นโดยไม่รวมความเสี่ยงไว้ที่ศูนย์กลาง เขาอธิบาย
Yasmanovych ยังเน้นย้ำถึงความสำคัญของการรู้ว่าต้องทำอย่างไรหลังจากที่เกิดการละเมิดเหล่านี้
หากคุณสงสัยว่ากระเป๋าเงินคริปโตของคุณถูกละเมิด ให้ดำเนินการทันที: รายงานเหตุการณ์ต่อเจ้าหน้าที่บังคับใช้กฎหมายและติดต่อผู้เชี่ยวชาญด้านนิติวิทยาศาสตร์คริปโต ติดตามเงินที่ถูกขโมยโดยใช้เครื่องมือวิเคราะห์เชนเพื่อติดตามการเคลื่อนไหวและระบุผู้ผสมหรือการแลกเปลี่ยนที่เกี่ยวข้อง [และ] ส่งคำร้องไปยังการแลกเปลี่ยนพร้อมข้อมูล KYC สำหรับความพยายามในการแช่แข็งเงินทุน เขาเสริม
แม้จะมีมาตรการเหล่านี้ ความเป็นจริงยังคงอยู่ที่ช่องโหว่ฝั่งผู้ใช้ยังคงนำไปสู่การสูญเสีย
ความท้าทายที่ยั่งยืนของช่องโหว่ผู้ใช้ในกระเป๋าเงินมือถือ
แม้จะมีมาตรการรักษาความปลอดภัยเชิงรุก ความสม่ำเสมอของการสูญเสียเงินทุนยังคงเป็นที่น่ากังวล ความสม่ำเสมอของเหตุการณ์เหล่านี้เน้นถึงความท้าทายที่ต่อเนื่องของช่องโหว่ฝั่งผู้ใช้เมื่อใช้กระเป๋าเงินมือถือ
เส้นทางสู่ Web3 ที่ปลอดภัยยิ่งขึ้นจำเป็นต้องมีความสมดุลระหว่างโปรโตคอลความปลอดภัยที่แข็งแกร่งและการเตรียมพร้อมของผู้ใช้เชิงรุก ดังนั้น ความมุ่งมั่นอย่างต่อเนื่องในการให้ความรู้แก่ผู้ใช้และการนำมาตรการป้องกันเหล่านี้ไปใช้อย่างแพร่หลายยังคงมีความสำคัญอย่างยิ่งในการลดการละเมิดและสร้างสภาพแวดล้อมที่ปลอดภัยยิ่งขึ้นในอุตสาหกรรม
ข้อจำกัดความรับผิด
หมายเหตุบรรณาธิการ: เนื้อหาต่อไปนี้ไม่ได้สะท้อนถึงมุมมองหรือความคิเห็นของ BeInCrypto มันจัดทำขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลเท่านั้นและไม่ควรถูกตีความว่าเป็นคำแนะนำทางการเงิน กรุณาทำการวิจัยของคุณเองก่อนที่จะทำการตัดสินใจลงทุนใดๆ
