กระเป๋าคริปโตเสี่ยงสูง! ถูกโจมตีแบบ Zero-Click ขโมยสินทรัพย์โดยไม่รู้ตัว

กระเป๋าคริปโตถูกจับตามองเป็นเป้าหมายใหม่ของ ‘การโจมตีแบบ Zero-Click’ ซึ่งเป็นเทคนิคแฮกที่ไม่ต้องพึ่งการคลิกจากผู้ใช้ ทำให้การถูกเจาะระบบเกิดขึ้นโดยเจ้าตัวยังไม่ทันรู้ตัว ด้วยความก้าวหน้าของทั้งเทคโนโลยีการจัดเก็บดิจิทัลและภัยไซเบอร์ที่พัฒนาเคียงข้างกัน การโจมตีลักษณะนี้จึงทวีความเสี่ยงอย่างมากต่อผู้ถือครองสินทรัพย์ดิจิทัล รายงานระบุว่าการโจมตีแบบ Zero-Click มีการใช้งานจริงแล้วในหลายกรณี พร้อมแนะการป้องกันที่ควรเริ่มตั้งแต่ขั้นตอนออกแบบระบบ

การโจมตีแบบ Zero-Click เกิดขึ้นโดยไม่ต้องอาศัยการเปิดอีเมล ลิงก์ หรือการกระทำใดจากผู้ใช้ แต่มักแฝงมากับข้อความ ภาพ หรือข้อมูลอัตโนมัติที่ปลอมตัวเป็นปกติ เมื่อเปิดรับข้อมูลเหล่านี้ อาจทำให้มัลแวร์เริ่มทำงานทันทีโดยไม่ต้องมีการยืนยัน เหยื่อจำนวนมากจึงไม่รู้ด้วยซ้ำว่าถูกเจาะระบบ ภัยคุกคามนี้พุ่งเป้าไปยังช่องโหว่ภายในแอปส่งข้อความ ระบบแสดงภาพ และระบบสื่อสารของแอปกระเป๋าคริปโตโดยเฉพาะ

เหตุที่กระเป๋าคริปโตกลายเป็นเป้าหมายของการโจมตีนั้น มาจากมูลค่าทางการเงินที่สูง แต่กลับมีข้อจำกัดด้านทรัพยากรในการป้องกันตัว โดยเฉพาะกระเป๋าแบบกระจายศูนย์ (Decentralized Wallet) ที่ไม่มีองค์กรกลางดูแล การโจมตีเริ่มขยายจากแค่ฟิชชิงหรือขโมยคีย์ส่วนตัว ไปสู่การสวมรอยผ่านช่องทางสื่อสารของระบบ เช่น ใช้โปรโตคอล JSON-RPC ปลอมแปลงคำสั่งให้แอปยอมรับและส่งเงินออกโดยไม่รู้ตัว

รูปแบบของการโจมตีนี้มีด้วยกัน 4 ขั้นตอนหลัก เริ่มจากการหาช่องโหว่ของระบบหรือแอปเป้าหมาย จากนั้นฝังโค้ดมัลแวร์เข้าไปในข้อมูลธรรมดาอย่างข้อความหรือภาพ โค้ดดังกล่าวจะถูกเรียกใช้งานระหว่างการประมวลผลเบื้องหลัง แล้วดำเนินการล้วงข้อมูลหรือส่งคำสั่งโดยตรงภายในกระเป๋า บางกรณีถึงขั้นทำให้ผู้ใช้ยืนยันธุรกรรมโดยที่ตนไม่รู้เรื่อง ส่งผลให้สินทรัพย์ถูกถ่ายโอนไปโดยไม่มีร่องรอยผิดปกติในล็อกระบบ

รายงานจากทีมนักวิจัยด้านความปลอดภัยทางไซเบอร์ยืนยันว่าการโจมตี Zero-Click เกิดขึ้นจริงแล้วในแอปกระเป๋าหลายประเภท โดยพบว่าบางแอปสามารถรันคำสั่งจากข้อความ JSON โดยไม่ต้องให้ผู้ใช้เปิดอนุญาต ตัวอย่างเช่น การเปลี่ยนแปลงที่อยู่กระเป๋าและการส่งทรัพย์สินคริปโตไปยังปลายทางแปลกหน้า ทั้งหมดนี้เกิดขึ้นโดยผู้ใช้แทบไม่รู้ตัว ซึ่งความจริงมักจะเพิ่งถูกค้นพบในภายหลังหลายสัปดาห์หรือหลายเดือน

มาตรการป้องกันในปัจจุบัน เน้นให้ผู้ใช้หมั่นอัปเดตซอฟต์แวร์และติดตั้งแพตช์ด้านความปลอดภัยอยู่เสมอ ควรเลือกใช้กระเป๋าที่เปิดเผยโค้ดให้ตรวจสอบได้ (Open Source) และผ่านการตรวจสอบจากบุคคลที่สาม นอกจากนี้ต้องตรวจสอบว่าระบบมีการกรองคำสั่งธุรกรรมอัตโนมัติหรือไม่ รวมถึงการใช้ ‘กระเป๋าฮาร์ดแวร์’ (Hardware Wallet) ร่วมกับซอฟต์แวร์ เพื่อเป็นอีกชั้นของการป้องกันคำสั่งมัลแวร์ที่พยายามยึดการควบคุมแบบอัตโนมัติ

‘Zero-Click’ กลายเป็นสิ่งที่ท้าทายต่อแนวคิดเดิมของการรักษาความปลอดภัย โดยเฉพาะเมื่อระบบที่มีจุดอ่อนตั้งแต่การออกแบบกลายเป็นปัญหา นักวิชาการชี้ว่าจำเป็นต้องวางโครงสร้างใหม่ให้ระบบปิดกั้นการทำงานใดที่เกิดขึ้นโดยไม่มีการอนุมัติจากผู้ใช้ การเปลี่ยนแปลงนี้จะเป็นกุญแจสำคัญต่ออนาคตของสินทรัพย์ดิจิทัลที่ปลอดภัย

ท้ายที่สุด ปัญหาที่แท้จริงของ Zero-Click ไม่ใช่เรื่องของเทคโนโลยีเพียงอย่างเดียว แต่เป็นการ ‘ขาดการตระหนักรู้’ การที่สินทรัพย์คริปโตสามารถถูกขโมยได้โดยไม่ต้องคลิกใด ๆ เลย ย้ำให้เห็นว่าระบบต้องแข็งแรงในตัว ไม่ควรพึ่งแค่ความระแวดระวังของผู้ใช้งานเพียงลำพัง โลกคริปโตอาจถึงเวลาปรับทัศนคติใหม่ ว่า “ผู้ที่ไม่ป้องกันคือเป้าโจมตีคนแรก”