ข่าว 
ข้อมูลเหรียญ 
แนะนำสื่อ 
กรณีผู้ควบคุมมัลแวร์จัดเก็บข้อมูลคำสั่งและควบคุม (C2) รวมถึงตำแหน่งเพย์โหลดขั้นถัดไปบนบล็อกเชนสาธารณะ เพิ่มขึ้น 420% ในรอบปีที่ผ่านมา โดยไม่ได้หมายความว่าบล็อกเชนถูกแฮ็ก แต่เป็นการนำชั้นข้อมูลบนเชนที่ลบหรือยึดได้ยากมาใช้เป็นโครงสร้างพื้นฐานสื่อสารของมัลแวร์
เชนัลลิซิส (Chainalysis) ระบุเมื่อวันที่ 17 ว่าเรียกวิธีดังกล่าวว่า 'Blockchain Dead Drops (BDD)' ผู้โจมตีบันทึกที่อยู่เซิร์ฟเวอร์และค่าการตั้งค่าที่อุปกรณ์ติดเชื้อต้องอ่านไว้ในข้อมูลธุรกรรมหรือสมาร์ตคอนแทรกต์ ขณะที่การขโมยข้อมูลจริงและการควบคุมจากระยะไกลยังดำเนินการนอกเชน
เชนัลลิซิสระบุว่ากิจกรรมบันทึกคำสั่งอันตรายบนบล็อกเชนเพิ่มขึ้น 420% ในช่วง 12 เดือนที่ผ่านมา หลังการปรากฏของโมเดล AI แบบโอเพนซอร์สประสิทธิภาพสูงจากจีน จำนวนบันทึกอันตรายบนเชนเฉลี่ยต่อวันเพิ่มจาก 2.06 รายการเป็น 11.1 รายการ หรือเพิ่มขึ้น 440% โดยตัวเลขทั้งสองใช้ช่วงเวลาอ้างอิงแตกต่างกัน
หัวใจของ BDD ไม่ใช่การรันมัลแวร์โดยตรงบนบล็อกเชน แต่เป็นการบันทึกตำแหน่งเพย์โหลดขั้นถัดไปหรือที่อยู่เซิร์ฟเวอร์ C2 ไว้บนเชน แล้วทำให้อุปกรณ์ที่ติดเชื้อเข้าไปเรียกดูข้อมูลดังกล่าว
หนึ่งในเทคนิคย่อยที่พบคือ 'EtherHiding' กลุ่ม Google Threat Intelligence ระบุว่าพบวิธีนี้ในแคมเปญ ClearFake เมื่อปี 2023 และกลุ่ม UNC5342 ที่เชื่อมโยงกับเกาหลีเหนือใช้วิธีดังกล่าวโจมตีนักพัฒนาคริปโตตั้งแต่เดือนกุมภาพันธ์ 2025
UNC5342 ใช้สมาร์ตคอนแทรกต์บน BNB Smart Chain และอีเธอเรียม(Ethereum) เพื่อจัดเตรียมข้อมูลที่ตัวดาวน์โหลด JADESNOW อ่าน หลังจากนั้นมัลแวร์ตระกูล INVISIBLEFERRET ถูกเรียกใช้งาน โดยมุ่งเป้าไปที่รหัสผ่านเบราว์เซอร์ คุกกี้เซสชัน ข้อมูลบัตรเครดิต และข้อมูลกระเป๋าเงินดิจิทัล เช่น MetaMask และ Phantom
Blockchain Dead Drops แตกต่างจากเซิร์ฟเวอร์ C2 แบบรวมศูนย์ เพราะแม้โดเมนหรือเซิร์ฟเวอร์ถูกบล็อก ผู้โจมตียังสามารถบันทึกที่อยู่ใหม่บนเชนได้ และอุปกรณ์ที่ติดเชื้อแล้วสามารถอ่านข้อมูลดังกล่าวอีกครั้งเพื่อเปลี่ยนเป้าหมายการสื่อสาร
โครงสร้างนี้มุ่งเพิ่มความต่อเนื่องของแคมเปญมากกว่าความรุนแรงของการโจมตี เซิร์ฟเวอร์แบบรวมศูนย์สามารถตัดการเชื่อมต่อได้ด้วยการยึดโดเมนหรือบล็อกโฮสติ้ง แต่ข้อมูลที่อยู่บนบล็อกเชนลบได้ยากด้วยวิธีเดียวกัน
อย่างไรก็ตาม ไม่ได้หมายความว่าบล็อกเชนถูกโจมตีโดยตรง จากกรณีที่ตรวจพบ บล็อกเชนถูกใช้เป็นชั้นจัดเก็บและเรียกดูข้อมูลสำหรับการตั้งค่า C2 กับตำแหน่งเพย์โหลด มากกว่าจะเป็นช่องทางแพร่มัลแวร์ครั้งแรก
การติดเชื้อครั้งแรกเกิดผ่านช่องทางอื่น เช่น ข้อเสนองานปลอม ไฟล์อันตราย หรือคลังโค้ดของนักพัฒนาที่ถูกดัดแปลง การบันทึกข้อมูลอันตรายบนบล็อกเชนเพียงอย่างเดียวไม่ได้ทำให้ผู้ใช้กระเป๋าเงินทั่วไปติดเชื้อโดยอัตโนมัติ
Google ยังพบกรณีที่ผู้โจมตีใช้โหนด RPC และผู้ให้บริการ API แทนการสื่อสารกับบล็อกเชนโดยตรง ศูนย์ความปลอดภัยไซเบอร์แคนาดาวิเคราะห์กรณีที่ JavaScript อันตรายอ่านข้อมูลธุรกรรมจากทรอน(Tron) และแอปทอส(Aptos) ก่อนดาวน์โหลดเพย์โหลดจาก BNB Smart Chain
ด้วยเหตุนี้ ผู้ให้บริการ RPC และ API จึงอาจเป็นจุดควบคุมสำหรับเฝ้าระวังและบล็อกการเรียกใช้งานผิดปกติ แม้จะไม่สามารถลบข้อมูลที่บันทึกบนบล็อกเชนได้ก็ตาม แต่การตอบสนองจำเป็นต้องคัดกรองในระดับที่อยู่ คอนแทรกต์ และรูปแบบการเรียกใช้ เพื่อไม่ให้กระทบการใช้งานกระเป๋าเงินและแอปพลิเคชันแบบกระจายศูนย์ตามปกติ
ระบบกระเป๋าเงิน ระบบ RPC และระบบวิเคราะห์บล็อกเชนในเกาหลีใต้จึงเผชิญภารกิจเพิ่มเติมในการตรวจสอบไม่เพียงการเคลื่อนย้ายเงิน แต่ยังรวมถึงการเรียกดูสมาร์ตคอนแทรกต์ซ้ำ ๆ และรูปแบบธุรกรรมที่มีข้อมูลอันตราย โดยยังไม่มีการยืนยันขนาดความเสียหายต่อผู้ใช้กระดานซื้อขายและกระเป๋าเงินในเกาหลีใต้
เชนัลลิซิสยังยกกรณีของกลุ่มที่เชื่อมโยงกับเกาหลีเหนือและอิหร่าน รวมถึงกลุ่มอาชญากรรมไซเบอร์ที่ใช้ภาษารัสเซีย โดยวิเคราะห์ว่ากลุ่มที่เชื่อมโยงกับเกาหลีเหนือใช้รีเลย์ที่เชื่อมต่อหลายเชน ขณะที่กลุ่มที่ใช้ภาษารัสเซียใช้สมาร์ตคอนแทรกต์บนโพลิกอน(Polygon) เป็นโครงสร้างพื้นฐานแบบบริการ
อย่างไรก็ตาม การระบุความเชื่อมโยงกับเกาหลีเหนือและอิหร่านเป็นการประเมินของเชนัลลิซิสและ Google ส่วนความสัมพันธ์ระหว่างการปรากฏของโมเดล AI จากจีนกับการเพิ่มขึ้นของ Blockchain Dead Drops เป็นเพียงความสัมพันธ์ด้านเวลา และยังไม่มีการยืนยันว่าเป็นเหตุและผลโดยตรง
กรณีนี้สะท้อนว่าประเด็นสำคัญไม่ได้อยู่ที่ฉันทามติหรือเทคโนโลยีเข้ารหัสของบล็อกเชน แต่อยู่ที่ความคงอยู่ของบัญชีแยกประเภทสาธารณะและโครงสร้างการเรียกดูข้อมูล ผลกระทบต่อโครงสร้างพื้นฐานคริปโตในเกาหลีใต้อาจขึ้นอยู่กับขอบเขตการใช้ระบบเฝ้าระวัง RPC และ API รวมถึงผลลัพธ์ของการบล็อกการเรียกใช้งาน
ความคิดเห็น 0