XRP 2,009,321 เหรียญเคลื่อนย้าย หลังแจ้งเตือนกระเป๋าแอป D'cent ผิดปกติ

มีการแจ้งการโอนสินทรัพย์โดยไม่ได้รับอนุญาตจากกระเป๋าแอป D'cent ขณะที่อีเมลผู้รับการตลาดของ Trezor จำนวน 347,149 รายการรั่วไหล เหตุการณ์ทั้งสองสะท้อนว่าสินทรัพย์ดิจิทัลอาจตกอยู่ในความเสี่ยง หากวลีการกู้คืนหรือโครงสร้างพื้นฐานภายนอกถูกเปิดเผย แม้อุปกรณ์กระเป๋าฮาร์ดแวร์จะไม่ได้ถูกเจาะโดยตรง

D'cent ระบุว่าได้รับแจ้งการโอนสินทรัพย์โดยไม่ได้รับอนุญาตจากกระเป๋าแอปเป็นครั้งแรก กลุ่มที่อาจได้รับผลกระทบรวมถึงกระเป๋าที่เคยป้อนวลีการกู้คืนในกระเป๋าแอป หรือเคยลงนามธุรกรรมผ่านแอปเวอร์ชันก่อน 8.1.0 ซึ่งเปิดตัวเมื่อวันที่ 5 พฤศจิกายน 2025

กระเป๋าที่อยู่ระหว่างการตรวจสอบครอบคลุมบิตคอยน์(BTC) อีเธอเรียม(ETH) XRP(XRP) ทรอน(TRX) และเครือข่ายที่รองรับ EVM หากวลีการกู้คืนที่สร้างจากกระเป๋าฮาร์ดแวร์ถูกนำไปป้อนในกระเป๋าแอปภายหลัง จะต้องตรวจสอบตามเกณฑ์เดียวกัน

ประเด็นสำคัญไม่ได้อยู่ที่ว่ากระเป๋าฮาร์ดแวร์เคยเชื่อมต่อกับกระเป๋าแอปหรือไม่ แต่อยู่ที่วลีการกู้คืนถูกป้อนที่ใด โดยทั่วไปการเชื่อมต่อกระเป๋าฮาร์ดแวร์กับแอปไม่ได้ส่งวลีการกู้คืนไปยังโทรศัพท์มือถือ แต่หากป้อนวลีดังกล่าวลงในกระเป๋าแอปโดยตรง คีย์ลับเดียวกันอาจถูกสร้างซ้ำในสภาพแวดล้อมซอฟต์แวร์

หากวลีการกู้คืนรั่วไหล ผู้โจมตีสามารถกู้คืนกระเป๋าบนอุปกรณ์อื่นได้โดยไม่ต้องมีอุปกรณ์ฮาร์ดแวร์ D'cent แนะนำให้ผู้ใช้อัปเดตแอปเป็นเวอร์ชันล่าสุดผ่านสโตร์แอปอย่างเป็นทางการ สร้างกระเป๋าใหม่ด้วยวลีการกู้คืนชุดใหม่ และย้ายสินทรัพย์จากที่อยู่เดิม

D'cent ระบุว่าไม่ควรป้อนวลีการกู้คืนเดิมลงในกระเป๋าใหม่ และควรตรวจสอบไม่เพียงเหรียญเท่านั้น แต่รวมถึงโทเคน NFT สินทรัพย์ที่นำไปสเตก และรายการอนุมัติโทเคนด้วย ขณะนี้บริษัทกำลังตรวจสอบสาเหตุทางเทคนิคและขอบเขตผลกระทบทั้งหมด

การวิเคราะห์บนบล็อกเชนโดยอิสระระบุว่า เมื่อวันที่ 15 กันยายน พบธุรกรรมที่มีการเคลื่อนย้าย XRP รวม 2,009,321 XRP จากกระเป๋าบน XRP Ledger จำนวน 1,552 แห่ง XRPL.to ระบุว่าไม่สามารถยืนยันจากธุรกรรมบนบล็อกเชนเพียงอย่างเดียวได้ว่าคีย์ดังกล่าวถูกเข้าถึงผ่านช่องทางใด และยังไม่มีหลักฐานยืนยันความเชื่อมโยงโดยตรงกับกระเป๋าแอป D'cent

กรณีของ Trezor แสดงให้เห็นว่าข้อมูลลูกค้านอกอุปกรณ์อาจถูกนำไปใช้ในการโจมตีแบบฟิชชิง Trezor ระบุว่าอีเมลของผู้รับการตลาดจำนวน 347,149 รายการรั่วไหลผ่าน API หลังเกิดเหตุด้านความปลอดภัยกับ Brevo ผู้ให้บริการอีเมลการตลาดภายนอก แต่ผลิตภัณฑ์ของบริษัทและระบบบัญชีกระเป๋าเงินไม่ได้ถูกเจาะ

Brevo อธิบายว่าผู้โจมตีเข้าถึงบัญชี 138 บัญชีจากข้อบกพร่องในการประมวลผลระบบลงชื่อเข้าใช้ครั้งเดียวแบบ SAML หรือ SSO ในจำนวนนี้มี 43 บัญชีที่ข้อมูลผู้ติดต่อถูกนำออกไป และอีก 6 บัญชีถูกใช้ส่งอีเมลฟิชชิง

Brevo ระบุว่าได้ปิดช่องทางดังกล่าวและรีเซ็ตเซสชันที่ใช้งานอยู่ทั้งหมดเมื่อวันที่ 10 กันยายน เวลา 15.30 น. ตามเวลาเกาหลี ผู้โจมตีใช้โครงสร้างพื้นฐานการส่งอีเมลที่ถูกต้องตามกฎหมายของ Trezor เพื่อส่งข้อความหัวข้อ 'Critical Security Alert: STM32 Entropy Vulnerability'

ลิงก์ในอีเมลดังกล่าวนำผู้รับไปติดตั้งแอปพลิเคชันอันตรายและขอให้กรอกข้อมูลสำรองกระเป๋า Trezor ระบุว่าสามารถบล็อกโดเมนอันตรายได้ภายในประมาณ 20 นาที และมีผู้รับประมาณ 2,500 รายที่เข้าถึงลิงก์ก่อนการบล็อก

Trezor แจ้งว่าสินทรัพย์ยังปลอดภัย หากผู้ใช้ไม่ได้กรอกข้อมูลสำรองกระเป๋านอกเหนือจากขั้นตอนการกู้คืนบนอุปกรณ์ แต่หากกรอกข้อมูลดังกล่าวลงในหน้าฟิชชิงหรือแอปพลิเคชันอันตราย จะต้องสร้างกระเป๋าใหม่ด้วยวลีการกู้คืนชุดใหม่และย้ายสินทรัพย์

การดูแลสินทรัพย์ด้วยตนเองเป็นระบบที่ผู้ใช้บริหารคีย์ส่วนตัวและวลีการกู้คืนด้วยตนเอง กระเป๋าจึงมีลักษณะใกล้เคียงเครื่องมือจัดการสิทธิ์การลงนามธุรกรรมมากกว่าตู้นิรภัยสำหรับเก็บสินทรัพย์ ทำให้ขอบเขตความปลอดภัยครอบคลุมวลีการกู้คืน แอปที่เชื่อมต่อ และข้อมูลของผู้ใช้

เหตุการณ์ของผู้ให้บริการอีเมลบุคคลที่สามของ Trezor และกรณีฟิชชิงที่หลอกให้กรอกวลีการกู้คืนเคยถูกนำเสนอในรายงานก่อนหน้านี้ของ TokenPost เช่นกัน ในเหตุการณ์ครั้งนี้ ผู้โจมตีไม่ได้พยายามเจาะชิปความปลอดภัยหรือโครงสร้างการลงนามธุรกรรมโดยตรง แต่ใช้ข้อความที่ดูเหมือนคำเตือนด้านความปลอดภัยจากแหล่งที่น่าเชื่อถือเพื่อขอข้อมูลสำรอง

ผู้ใช้ในประเทศควรตรวจสอบสโตร์แอปและช่องทางอย่างเป็นทางการ และไม่ป้อนวลีการกู้คืนลงในเว็บไซต์ แอปพลิเคชัน หรืออีเมล D'cent ยังคงดำเนินการวิเคราะห์ทางเทคนิคและตรวจสอบขอบเขตผลกระทบ ขณะที่ Brevo ระบุว่าได้ดำเนินการบล็อกช่องทางและรีเซ็ตเซสชันเสร็จสิ้นแล้ว