ผู้ใช้สูญเงิน 50 ล้านดอลลาร์จากกลโกง address poisoning หลอกโอนผิดกระเป๋า

ผู้ใช้สูญเสียเกือบ 50 ล้านดอลลาร์จากการโอนผิดพลาดเพียงครั้งเดียวในปีนี้ หลังตกเป็นเหยื่อของกลโกง ‘address poisoning’ ซึ่งเป็นเทคนิคที่อาศัยความเหมือนของชื่อกระเป๋าเงินเพื่อหลอกให้ผู้ใช้โอนเงินผิด จากรายงานของ Web3 Antivirus พบว่าผู้เสียหายสูญเงินจำนวน 49,999,950 ดอลลาร์ในรูปแบบของยูเอสดีที(USDT) จากการคัดลอกที่อยู่กระเป๋าที่แฮกเกอร์แทรกไว้ในประวัติธุรกรรม

กลโกงแบบ *address poisoning* ทำงานโดยแฮกเกอร์จะส่งเงินจำนวนเล็กน้อยไปยังเหยื่อจากกระเป๋าที่มีตัวอักษรขึ้นต้นและลงท้ายคล้ายกับกระเป๋าที่เหยื่อใช้งานจริง เมื่อเหยื่อย้อนดูธุรกรรมและคัดลอกที่อยู่เพื่อใช้โอนเงินครั้งต่อไป อาจหลงไปใช้งานที่อยู่ปลอมโดยไม่รู้ตัว ข้อมูลจากบล็อกเชนแสดงให้เห็นว่าเหยื่อได้ทดลองโอนจำนวนเล็กก่อนแล้วค่อยโอนเต็มจำนวน 50 ล้านดอลลาร์ในภายหลัง ซึ่งการโอนหลักได้ไปยังที่อยู่ของมิจฉาชีพ

‘ความแตกต่างของที่อยู่มีเพียงเล็กน้อย แต่ก็เพียงพอที่จะหลอกผู้ใช้ที่มีประสบการณ์ได้’ แถลงการณ์จาก Cos ผู้ก่อตั้ง SlowMist ระบุ พร้อมชี้ว่าตัวอักษร 3 ตัวแรกและ 4 ตัวสุดท้ายของที่อยู่ปลอมและที่อยู่จริงเหมือนกัน โดยกระเป๋าของเหยื่อมีการเคลื่อนไหวอย่างต่อเนื่องมาราวสองปี และใช้หลักๆ เพื่อจัดการยูเอสดีที ซึ่งธุรกรรมล่าสุดก่อนการสูญเสียเกิดขึ้นหลังเพิ่งถอนเงินจากไบแนนซ์ ยืนยันว่าเหย้ามีความตั้งใจใช้งานในช่วงเวลาดังกล่าว

ผู้วิเคราะห์ในเชนอีกคนระบุว่า *“นี่คือความโหดร้ายของ address poisoning ซึ่งไม่อาศัยการแฮกระบบ แต่เล่นกับนิสัยของมนุษย์”* หลังได้รับเงิน แฮกเกอร์ได้แปลงยูเอสดีทีเป็นอีเธอเรียม(ETH) และกระจายไปยังกระเป๋าหลายใบ ก่อนย้ายบางส่วนเข้าสู่ Tornado Cash เพื่อล้างร่องรอย

กรณีนี้เกิดขึ้นในช่วงเวลาที่การแฮคในวงการคริปโตพุ่งสูง Cointelegraph รายงานว่ามูลค่าความเสียหายจากการแฮคในปี 2025 แตะ 3.4 พันล้านดอลลาร์ ซึ่งเป็นตัวเลขสูงสุดนับตั้งแต่ปี 2022 โดยมีเพียง 3 กรณีที่คิดเป็น 69% ของความเสียหายรวม ทั้งนี้ การแฮคครั้งใหญ่ที่สุดคือกรณีของ Bybit ที่ถูกขโมยไปถึง 1.4 พันล้านดอลลาร์ *ความคิดเห็น* นับเป็นเครื่องเตือนใจว่าแม้แต่ผู้ใช้ที่มีประสบการณ์ก็ยังสามารถตกเป็นเหยื่อได้ หากไม่ตรวจสอบที่อยู่ปลายทางอย่างถี่ถ้วน