ผู้ใช้งานสูญเงิน 54 ล้านบาทจากฟิชชิ่งบนอีเธอเรียม(ETH) ผ่านฟีเจอร์ใหม่ EIP-7702

วิธีการหลอกลวงในวงการคริปโตพัฒนาอยู่เสมอ ล่าสุดมีกรณีผู้ใช้งานรายหนึ่งสูญเสียเงินไปกว่า 1.54 ล้านดอลลาร์สหรัฐ (ราว 54 ล้านบาท) จากการถูกโจมตีแบบฟิชชิ่งผ่านฟีเจอร์ใหม่ในเครือข่ายอีเธอเรียม(ETH) เหตุการณ์ดังกล่าวถูกเปิดเผยโดยแพลตฟอร์มเฝ้าระวังภัยหลอกลวงอย่าง สแกม สนิฟเฟอร์(Scam Sniffer)

เหตุโจมตีครั้งนี้อาศัยฟีเจอร์ *การส่งแบบกลุ่ม(batch transaction)* ซึ่งเป็นส่วนหนึ่งของการอัปเกรด ‘เพคทรา’ (Pectra) ฮาร์ดฟอร์ก และเป็นส่วนหนึ่งของ EIP-7702 จุดอ่อนของฟีเจอร์นี้เปิดโอกาสให้ผู้ไม่หวังดีสามารถหลอกลวงเหยื่อให้ลงชื่อในธุรกรรมที่ดูเหมือนไม่มีอะไรผิดปกติ แต่ภายในกลับซ่อนคำสั่งโอนสินทรัพย์หลายรายการไปยังกระเป๋าของแฮกเกอร์

ในกรณีนี้ เหยื่อสูญเสียแร็ปอีเธอเรียม(wstETH), แร็ปบิตคอยน์(cbBTC) และโทเคนอื่นๆ อีกหลายรายการในคราวเดียว ฟีเจอร์ *การลงชื่อหนเดียว* ของ EIP-7702 ถูกออกแบบมาเพื่อให้ผู้ใช้งานทั่วไปสามารถดำเนินธุรกรรมที่ซับซ้อนได้ง่ายขึ้น แต่กลับกลายเป็นช่องโหว่ที่แฮกเกอร์ใช้ประโยชน์ ผ่านการสร้างอินเทอร์เฟซปลอมที่คล้ายแพลตฟอร์มยอดนิยมอย่างยูนิสวอป เพื่อหลอกให้เหยื่อหลงเชื่อ

สแกม สนิฟเฟอร์ระบุว่า ธุรกรรมที่เหยื่อลงชื่อดูเหมือนกับการแลกเปลี่ยนเหรียญปกติบนยูนิสวอป แต่จริงๆ แล้วมีการซ่อนไอดีของกระเป๋าแฮกเกอร์เอาไว้เพื่อโอนสินทรัพย์โดยไม่ให้เหยื่อล่วงรู้ เพียงไม่กี่วินาที สินทรัพย์ของผู้ใช้ก็ถูกดึงออกไปทั้งหมด

เหตุการณ์ลักษณะนี้ไม่ได้เกิดขึ้นเพียงครั้งเดียว เพียงไม่กี่วันก่อนหน้านี้ ก็มีผู้ใช้งานอีกคนถูกขโมยคริปโตและ NFT มูลค่ากว่า 1 ล้านดอลลาร์สหรัฐ ด้วยวิธีคล้ายกัน สแกม สนิฟเฟอร์กล่าวว่า *"ที่อยู่ที่เปิดใช้งานฟีเจอร์ EIP-7702 กำลังตกเป็นเป้าหมายของการโจมตีซ้ำแล้วซ้ำเล่า ผู้ใช้ควรระวังอย่างยิ่งเมื่อลงชื่อธุรกรรมที่ไม่คุ้นชิน"*

ความคิดเห็น: กรณีนี้ตอกย้ำชัดว่า *แม้เทคโนโลยีใหม่จะเพิ่มความสะดวกในการใช้งาน แต่ก็อาจสร้างช่องโหว่ใหม่ให้แก่ผู้ไม่หวังดี* ในโลกคริปโตที่มีความเปลี่ยนแปลงอย่างรวดเร็ว ผู้ใช้งานจึงต้องมีความรับรู้ด้านความปลอดภัยที่อัปเดตอยู่เสมอ