สายเก๋า Dogecoin เตือนภัย! ความเสี่ยงซ่อนเร้นจากการใช้ Social Signing ในกระเป๋าคริปโต

Social Signing คืออะไร? ทำไมถึงกลายเป็นเรื่องน่ากังวล

กระเป๋าคริปโตยุคนี้พยายามปรับตัวให้ใช้งานง่ายขึ้นมากสำหรับมือใหม่ แทนที่จะต้องมานั่งจด Seed Phrase 12 คำที่ซับซ้อน หลายกระเป๋าก็เลยเปิดให้ใช้ Social Signing กันแล้ว

เจ้า Social Signing นี้ช่วยให้เราสร้างและเข้าถึงกระเป๋าบล็อกเชนได้ด้วยบัญชีที่ใช้ในชีวิตประจำวัน ไม่ว่าจะล็อกอินผ่าน Google, Apple ID, Telegram หรืออีเมล

แต่ล่าสุด Mishaboar นักพัฒนาและสมาชิกคนสำคัญในชุมชน DogecoinDOGE-1.77% ได้ออกมาเตือนถึงฟีเจอร์นี้อย่างจริงจัง โดยชี้ว่าการพึ่งพา Social Login อาจแอบซ่อนช่องโหว่ความปลอดภัยที่อันตรายไว้

เคสที่เพิ่งเกิดขึ้น ตอกย้ำช่องโหว่ของ Social Login

คำเตือนนี้ไม่ได้มาจากไหนไกล เพราะเพิ่งเกิดเหตุการณ์จริงกับกระเป๋าคริปโตอย่าง Keplr ซึ่งรองรับหลายเครือข่าย ทั้ง Cosmos, BitcoinBTC-0.08%, EthereumETH+0.23% และ Starknet หลังได้รับแจ้งเรื่องน่ากังวลจากผู้ใช้

ผู้ใช้ Keplr หลายรายเจอประสบการณ์โดนทำธุรกรรมโดยไม่ได้รับอนุญาต บนบัญชีที่สร้างด้วยการล็อกอินผ่าน Google หรือ Apple

ทาง Keplr เลยส่งเรื่องต่อไปยัง Web3Auth ซึ่งเป็นผู้ให้บริการโครงสร้างพื้นฐานของกระเป๋า Web3 ทั้งสองทีมจึงร่วมมือกันสืบหาต้นตอของปัญหานี้ทันที

ก่อนที่ Keplr จะเปิดเผยเรื่องนี้ Web3Auth ได้ยอมรับว่าพบปัญหาความปลอดภัยที่กระทบกับบริการของพาร์ทเนอร์บางราย และได้สั่งระงับบริการ Embedded Wallet ชั่วคราวเพื่อป้องกันไม่ให้เกิดความเสียหายเพิ่ม

หลังจากการตรวจสอบเบื้องต้น Web3Auth ยืนยันว่ายังไม่พบหลักฐานที่ชี้ว่าผู้ใช้ MetaMask ได้รับผลกระทบจากปัญหานี้แต่อย่างใด

ทำไมมือใหม่ถึงตกเป็นเป้าความเสี่ยงมากที่สุดจาก Social Signing?

Mishaboar ได้ออกมาโพสต์แสดงความกังวลบน X พร้อมวิจารณ์ผู้พัฒนากระเป๋าคริปโตที่พยายามผลักดันให้คนใช้ Social Login

Social signing คือฟีเจอร์ที่คุณคงอยากใส่มาในกระเป๋าคริปโต ถ้าคุณเกลียดผู้ใช้ของคุณ สิ่งที่แย่ที่สุดคือ คนที่เลือกใช้มัน และคนที่ต้องโดนแฮกผ่านช่องทางนี้ มักจะเป็นมือใหม่ที่เพิ่งเข้าสู่วงการคริปโตเป็นครั้งแรก แถมความเสี่ยงยังไม่ได้หยุดอยู่แค่เงินในกระเป๋า เพราะข้อมูลที่รั่วไหลอาจเชื่อมโยงตัวตนจริงในชีวิตของคุณเข้ากับสินทรัพย์ที่ถืออยู่ ซึ่งอาจส่งผลเสียร้ายแรงตามมาได้

คนที่เพิ่งเข้าวงการมักจะเลือกใช้ Social Login เพราะรู้สึกว่าการเก็บ Seed Phrase มันยุ่งยากซับซ้อน แต่ความสะดวกสบายนี้กลับแลกมาด้วยความเสี่ยงที่ไม่คาดคิด

หากบัญชีโซเชียลของคุณโดนแฮก แฮกเกอร์ก็สามารถเข้าถึงกระเป๋าคริปโตที่เชื่อมไว้ได้ทันที และที่แย่กว่านั้นคือ ข้อมูลที่รั่วไหลอาจแฉชื่อจริงของคุณคู่กับที่อยู่กระเป๋าคริปโตส่วนตัวได้ด้วย

นอกจากนี้ Mishaboar ยังเตือนเรื่องการสำรองข้อมูล Key บนคลาวด์ เพราะการฝาก Key ไว้บนคลาวด์ ก็ไม่ต่างอะไรกับการเอาไปฝากไว้บนเซิร์ฟเวอร์ของคนอื่น ซึ่งเป็นการเพิ่มความเสี่ยงจากปัจจัยภายนอกโดยไม่จำเป็น

อีกหนึ่งภัยใกล้ตัว: ช่องโหว่ระดับอุปกรณ์ที่จ้องเล่นงานผู้ใช้ iOS

Social signing ไม่ใช่ความเสี่ยงเดียวที่ชาวคริปโตต้องเจอในตอนนี้ เพราะนักวิจัยด้านความปลอดภัยเพิ่งออกคำเตือนด่วนถึงผู้ใช้ Apple iOS

นักวิจัยพบคิตโจมตีสุดอันตราย 2 ตัว ชื่อว่า Coruna และ Dark Sword ซึ่งมุ่งเป้าไปที่ iPhone ที่ยังใช้ระบบปฏิบัติการ iOS เวอร์ชันเก่า

การโจมตีนี้ไม่ได้เจาะผ่านแอปกระเป๋าคริปโตโดยตรง แต่เมื่อระบบปฏิบัติการหลักถูกเจาะได้แล้ว แฮกเกอร์ก็สามารถดึงข้อมูลกระเป๋าคริปโตในเครื่องออกไปได้เลย

ผู้ใช้อุปกรณ์ Apple จึงควรอัปเดตระบบปฏิบัติการเป็นเวอร์ชันล่าสุดทันที เพื่อปกป้องสินทรัพย์ดิจิทัลจากการถูกโจมตีที่อาจเกิดขึ้น

วิธีง่ายๆ ในการปกป้องคริปโตของคุณให้ปลอดภัย

• หลีกเลี่ยงการใช้ฟีเจอร์ Social Login สำหรับกระเป๋าที่ใช้เก็บสินทรัพย์มูลค่าสูงให้ได้มากที่สุด
• จดและเก็บรักษารหัสกู้คืน (Seed Phrase) แบบออฟไลน์ไว้บนกระดาษหรือแผ่นโลหะสำหรับสำรองข้อมูล
• หมั่นอัปเดตระบบปฏิบัติการของสมาร์ตโฟนและคอมพิวเตอร์ให้เป็นเวอร์ชันล่าสุดเสมอ
• ห้ามเก็บ Private Key หรือ Seed Phrase ที่ไม่ได้เข้ารหัสไว้ในโฟลเดอร์คลาวด์เด็ดขาด

ผลการดำเนินงานในอดีตของสินทรัพย์ดิจิทัลไม่ได้เป็นสิ่งบ่งชี้ถึงผลการดำเนินงานในอนาคต ควรศึกษาข้อมูลอย่างถี่ถ้วนและประเมินความเสี่ยงด้านความปลอดภัยอย่างรอบคอบก่อนจัดการสินทรัพย์ดิจิทัลเสมอ