ช่องทางโจมตีของคุณ: ฟิชชิง มัลแวร์ดักแก้ไขคลิปบอร์ด แอปปลอม และการสวมรอยซิม

คุณคัดลอกที่อยู่กระเป๋าเงิน วางลงในช่องส่ง แล้วกดยืนยัน ทุกอย่างดูถูกต้อง แต่มัลแวร์ที่ทำงานเงียบ ๆ ได้เปลี่ยนที่อยู่นั้นทันทีที่อยู่ในคลิปบอร์ด และเงินของคุณก็ถูกส่งไปให้คนแปลกหน้าอย่างไม่อาจเรียกคืนได้ การโจมตีผู้ถือคริปโตที่ประสบความสำเร็จส่วนใหญ่ไม่ได้เจาะบล็อกเชน แต่ฉวยโอกาสจากพฤติกรรมที่คาดเดาได้ของคน เช่น คัดลอกและวางที่อยู่โดยไม่ตรวจสอบ ดาวน์โหลดแอปจากผลการค้นหา และเชื่อถือหมายเลขโทรศัพท์ในฐานะปัจจัยสำหรับกู้คืนบัญชี การเก็บรักษาด้วยตนเองหมายความว่าคุณคือด่านป้องกันสุดท้าย การทำความเข้าใจช่องทางที่อาจถูกโจมตีเป็นก้าวแรกในการปกป้องตนเอง

ฟิชชิง: เมื่อภัยคุกคามมาในคราบที่น่าเชื่อถือ

ฟิชชิงในวงการคริปโตมีรูปแบบหลักอยู่ 3 แบบ ฟิชชิงทางอีเมลปลอมเป็นการแจ้งเตือนจากศูนย์ซื้อขายหรือกระเป๋าเงินเพื่อสร้างความเร่งด่วน เช่น บัญชีถูกระงับ การเข้าสู่ระบบที่น่าสงสัย หรือการถอนเงินที่คุณไม่ได้ทำ ฟิชชิงผ่านโฆษณาบนผลการค้นหาจะซื้อโฆษณาเพื่อปลอมเป็นเว็บไซต์กระเป๋าเงินหรือศูนย์ซื้อขายแบบกระจายศูนย์ แล้วแสดงไว้เหนือผลการค้นหาทั่วไป โดยโดเมนของโฆษณาจะแตกต่างจากของจริงเพียงเล็กน้อย (เช่น “metamask-app.io” แทน “metamask.io”) ส่วนฟิชชิงผ่านโซเชียลมีเดียมักมาในรูปข้อความส่วนตัวจากบอตฝ่ายสนับสนุนปลอมบน Discord หรือกลุ่ม Telegram ที่สัญญาว่าจะแจกแอร์ดรอป

ทุกกรณีมีเป้าหมายเดียวกัน คือขโมยวลีกู้คืน (Seed Phrase) หรือคีย์ส่วนตัวของคุณ หรือหลอกให้คุณอนุมัติธุรกรรมที่เป็นอันตราย ไม่มีบริการที่ถูกต้องตามกฎหมายใดขอวลีกู้คืนจากคุณ ไม่ว่าจะเป็นผู้ให้บริการกระเป๋าเงิน ฝ่ายสนับสนุนของศูนย์ซื้อขาย หรือเว็บไซต์ที่อ้างว่าจะช่วยยืนยันบัญชีของคุณ

ฟิชชิงผ่านโฆษณาบนผลการค้นหาอันตรายขึ้นเรื่อย ๆ เพราะเว็บไซต์ปลอมอาจมีหน้าตาเหมือนของจริงทุกพิกเซล ผู้โจมตีซื้อโฆษณา Google หรือ Bing สำหรับคำค้นที่บ่งบอกความต้องการชัดเจน เช่น “ดาวน์โหลด MetaMask” หรือ “แอป Uniswap” ผู้ใช้ที่คลิกโฆษณาแทนการเข้าเว็บไซต์โดยตรงจึงไปยังเว็บไซต์ดูดเงิน สัญญาณเตือน เช่น URL ที่ไม่ตรงกัน หน้าขอให้นำเข้ากระเป๋าเงินทันทีที่เปิดเว็บ และข้อความเร่งรัด มักสังเกตได้ยากเมื่อคุณกำลังรีบ

วิธีป้องกันตนเอง: บันทึก URL อย่างเป็นทางการของกระเป๋าเงินไว้ในบุ๊กมาร์ก แล้วเข้าใช้งานโดยตรง อย่าคลิกลิงก์กระเป๋าเงินจากอีเมลหรือโฆษณาบนผลการค้นหา หากทำได้ ให้ใช้ฮาร์ดแวร์วอลเล็ต ลงนามธุรกรรม เพื่อป้องกันไม่ให้เว็บไซต์ปลอมที่ดูน่าเชื่อถือขโมยคีย์ของคุณได้ เพราะอุปกรณ์ต้องให้กดปุ่มจริงบนหน้าจอที่ป้องกันการดัดแปลงของตัวเอง

มัลแวร์ดักแก้ไขคลิปบอร์ด: การสับเปลี่ยนที่อยู่โดยไม่ให้รู้ตัว

มัลแวร์ดักแก้ไขคลิปบอร์ดเป็นมัลแวร์ประเภทหนึ่งที่ตรวจสอบคลิปบอร์ดของระบบเพื่อหาข้อความที่ตรงกับรูปแบบที่อยู่กระเป๋าเงินคริปโต ที่อยู่ Bitcoin ขึ้นต้นด้วย 1, 3 หรือ bc1 ส่วนที่อยู่ Ethereum ขึ้นต้นด้วย 0x เมื่อพบข้อความที่ตรงตามรูปแบบ มัลแวร์จะแทนที่ด้วยที่อยู่ที่ผู้โจมตีควบคุมอยู่โดยไม่ให้รู้ตัว ก่อนที่คุณจะวางข้อความนั้น

การโจมตีนี้ถูกออกแบบมาให้มองไม่เห็น ช่องส่งจะแสดงที่อยู่ของผู้โจมตี ซึ่งเมื่อมองผ่าน ๆ อาจดูเหมือนถูกต้อง โดยเฉพาะหากปลอมตัวอักษรสองสามตัวแรกและตัวท้ายให้คล้ายกับปลายทางที่คุณตั้งใจจะส่งไป

มัลแวร์นี้แพร่กระจายผ่านช่องทางหลากหลาย เช่น ส่วนขยายเบราว์เซอร์ที่เป็นอันตราย แอปเดสก์ท็อปที่ถูกฝังโทรจัน เช่น เครื่องมือซื้อขายที่ถูกแคร็กหรือตัวติดตามพอร์ตโฟลิโอปลอม และซอฟต์แวร์ประกอบการใช้งานฮาร์ดแวร์วอลเล็ตปลอม แคมเปญ GitVenom ซึ่ง Kaspersky บันทึกไว้ในช่วงปลายปี 2024 แพร่มัลแวร์ดักแก้ไขคลิปบอร์ดผ่านคลัง GitHub ปลอม มีการขโมย BTC ประมาณ 5 BTC คิดเป็นมูลค่าราว $485,000 ในขณะนั้น จากเหยื่อในบราซิล ตุรกี และรัสเซีย การดักแก้ไขคลิปบอร์ดไม่ได้จำกัดอยู่แค่ Windows โดย ClipXDaemon ซึ่ง Cyble ระบุในเดือนกุมภาพันธ์ 2026 มุ่งโจมตีระบบ Linux ด้วยการดักจับเซสชันคลิปบอร์ด X11

วิธีป้องกันตนเอง: หลังวางที่อยู่กระเป๋าเงินทุกครั้ง ให้ตรวจสอบข้อความทั้งหมดทีละตัวอักษรก่อนยืนยัน ฮาร์ดแวร์วอลเล็ตช่วยบังคับให้ทำเช่นนี้ได้ เพราะจะแสดงที่อยู่ปลายทางจริงบนหน้าจอของอุปกรณ์ โดยไม่ขึ้นกับข้อมูลในคลิปบอร์ดของคอมพิวเตอร์ อย่าติดตั้งส่วนขยายเบราว์เซอร์จากแหล่งอื่นนอกเหนือจากร้านค้าอย่างเป็นทางการ และหลีกเลี่ยงการเรียกใช้ซอฟต์แวร์ที่ไม่ได้มาจากช่องทางแจกจ่ายที่ผู้พัฒนายืนยันแล้ว

การวางยาที่อยู่: ตัวอักษรผิดเพียงตัวเดียวอาจทำให้สูญเสียทุกอย่าง

การวางยาที่อยู่อาศัยทางลัดที่พบได้ทั่วไปในส่วนติดต่อผู้ใช้ของกระเป๋าเงิน กระเป๋าเงินส่วนใหญ่แสดงเพียง 4–6 ตัวอักษรแรกและ 4–6 ตัวอักษรท้ายของที่อยู่กระเป๋าเงิน ผู้โจมตีสร้างที่อยู่เลียนแบบ หรือที่อยู่แบบกำหนดเอง ให้ตรงกับตัวอักษรที่แสดงเหล่านั้นทุกตัว จากนั้นส่งธุรกรรม “ฝุ่น” มูลค่าน้อยมากจากที่อยู่ปลอมไปยังกระเป๋าเงินของเหยื่อ เพื่อให้ที่อยู่เลียนแบบปรากฏในประวัติธุรกรรม

เมื่อเหยื่อต้องการส่งเงินไปยังที่อยู่ที่เคยใช้ในภายหลัง ก็จะเลื่อนดูประวัติธุรกรรม เห็นรายการที่ดูคุ้นเคย คัดลอก แล้วส่งเงินไปยังกระเป๋าเงินของผู้โจมตี

การโจมตีนี้สร้างความเสียหายในวงกว้าง Chainalysis บันทึกแคมเปญหนึ่งในปี 2024 ซึ่งสร้างที่อยู่ปลอม 82,031 รายการ ส่งผลกระทบต่อเหยื่อ 2,774 ราย และทำให้เกิดความเสียหายรวมประมาณ $69.7 ล้าน ในเดือนพฤษภาคม 2024 การโจมตีด้วยการวางยาที่อยู่เกือบทำให้ผู้ถือรายหนึ่งสูญเสีย Wrapped Bitcoin (WBTC) มูลค่า $68 ล้าน เงินดังกล่าวถูกส่งคืนหลังการเจรจา แต่ผู้โจมตียังคงได้กำไรจากมูลค่าที่เพิ่มขึ้นประมาณ $3 ล้านในช่วงเจรจา ต่อมาในเดือนธันวาคม 2025 เทรดเดอร์คริปโตรายหนึ่งสูญเสีย USDT มูลค่า $49,999,950 ในธุรกรรมเดียว หลังส่งไปยังที่อยู่ที่ถูกวางยา

อย่าคัดลอกที่อยู่จากประวัติธุรกรรม ให้ใช้สมุดที่อยู่ที่บันทึกไว้ หรือวางที่อยู่ซ้ำจากแหล่งต้นฉบับที่ตรวจสอบแล้วทุกครั้ง

วิธีป้องกันตนเอง: บันทึกที่อยู่ที่ใช้บ่อยไว้ในสมุดที่อยู่ของกระเป๋าเงิน แทนการคัดลอกจากประวัติ เมื่อส่งเงินจำนวนมาก ให้ตรวจสอบตัวอักษรทุกตัวของที่อยู่ปลายทาง ไม่ใช่แค่ตัวแรกและตัวท้ายไม่กี่ตัว ฮาร์ดแวร์วอลเล็ตจะแสดงที่อยู่เต็มบนหน้าจอให้ตรวจสอบด้วยตนเองก่อนลงนาม

แอปกระเป๋าเงินปลอม: มัลแวร์ที่ซ่อนอยู่ใน App Store

แอปกระเป๋าเงินปลอมลอกเลียนไอคอน ชื่อ และหน้าตาของกระเป๋าเงินจริง เมื่อติดตั้งแล้ว แอปอาจแสดงหน้าจอนำเข้าวลีกู้คืนปลอมเพื่อขโมยวลีจากผู้ใช้ที่กำลังกู้คืนกระเป๋าเงินเดิม หรือแอบดำเนินธุรกรรมดูดเงินจากบัญชีที่เชื่อมต่ออยู่

แอปเหล่านี้เผยแพร่ผ่านร้านค้าอย่างเป็นทางการ จึงดูน่าเชื่อถือเป็นพิเศษ Check Point Research บันทึกแอป “WalletConnect — Crypto Wallet” ปลอมบน Google Play ในปี 2024 ซึ่งมียอดดาวน์โหลดมากกว่า 10,000 ครั้งในช่วงห้าเดือน หลบเลี่ยงการตรวจจับได้ทั้งหมด (VirusTotal ตรวจไม่พบเลย) และขโมยเงินกว่า $70,000 จากเหยื่อมากกว่า 150 ราย โดยใช้ชุดเครื่องมือ MS Drainer ในปี 2025 Google ลบแอปกระเป๋าเงินคริปโตปลอมมากกว่า 22 แอปที่ปลอมเป็น PancakeSwap, SushiSwap และ Raydium โดยหลายแอปใช้หน้าจอนำเข้าปลอมเพื่อขโมยวลีกู้คืน

โฆษณาบนผลการค้นหาและการบิดเบือน SEO ดันแอปปลอมให้อยู่เหนือแอปจริง ทั้งในผลการค้นหาของร้านแอปและเว็บ ทำให้ปัญหารุนแรงขึ้น

วิธีป้องกันตนเอง: ก่อนติดตั้งแอปกระเป๋าเงินใด ๆ ให้เข้าเว็บไซต์ทางการของกระเป๋าเงินก่อน แล้วไปยังลิงก์ดาวน์โหลดจากเว็บไซต์นั้น ตรวจสอบชื่อผู้พัฒนาให้ตรงทุกตัวอักษร เพราะความต่างเพียงตัวเดียวอาจเป็นจุดสังเกตเดียวที่เห็นได้ อ่านรีวิวล่าสุดเพื่อดูว่ามีรายงานการสูญเสียเงินหรือไม่ และที่สำคัญ อย่าป้อนวลีกู้คืนลงในแอปที่เพิ่งติดตั้ง เว้นแต่คุณจะเข้าถึงแอปนั้นผ่านช่องทางแจกจ่ายอย่างเป็นทางการ

การสวมรอยซิม: เมื่อหมายเลขโทรศัพท์กลายเป็นช่องโหว่

การสวมรอยซิม (หรือที่เรียกว่าการจารกรรมซิม) คือการโจมตีด้วยวิศวกรรมสังคมที่ผู้โจมตีหลอกผู้ให้บริการเครือข่ายมือถือให้โอนหมายเลขโทรศัพท์ของคุณไปยังซิมการ์ดที่ผู้โจมตีควบคุม โดยทั่วไปจะอาศัยข้อมูลส่วนบุคคลที่ได้จากเหตุข้อมูลรั่วไหลและโซเชียลมีเดีย รวมถึงในบางกรณีมีการติดสินบนพนักงานของผู้ให้บริการ

เมื่อควบคุมหมายเลขของคุณได้แล้ว ผู้โจมตีจะดักรับรหัสผ่านใช้ครั้งเดียวทาง SMS (SMS OTP) ทำให้สามารถรีเซ็ตรหัสผ่านบัญชีอีเมล จากนั้นเข้าสู่ระบบศูนย์ซื้อขาย แล้วจึงโอนคริปโตของคุณออกไป ธุรกรรมบนบล็อกเชนไม่สามารถย้อนกลับได้ จึงทำให้คริปโตเป็นเป้าหมายที่เหมาะอย่างยิ่ง ต่างจากการโอนเงินผ่านธนาคารที่อาจเรียกคืนเงินหรือยื่นข้อโต้แย้งได้ การโอนคริปโตไม่มีทั้งการเรียกคืนเงินและกระบวนการโต้แย้ง

ขนาดของปัญหานี้มีข้อมูลบันทึกไว้และกำลังเพิ่มขึ้น รายงานประจำปี 2024 ของศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ต (IC3) ของ FBI ระบุว่ามีข้อร้องเรียนเกี่ยวกับการสวมรอยซิม 982 กรณีในสหรัฐอเมริกา โดยมีรายงานความเสียหายประมาณ $26 million หน่วยงานป้องกันการฉ้อโกงของสหราชอาณาจักร Cifas รายงานว่าคดีสวมรอยซิมในปี 2024 เพิ่มขึ้น 1,055% เป็นเกือบ 3,000 กรณี จาก 289 กรณีในปีก่อนหน้า ในเดือนมีนาคม 2025 T-Mobile ถูกสั่งให้จ่ายเงิน $33 million ในกระบวนการอนุญาโตตุลาการ หลังการสวมรอยซิมเพียงครั้งเดียวทำให้คริปโตของลูกค้าถูกขโมย

ผู้ถือคริปโตตกเป็นเป้าหมายมากกว่ากลุ่มอื่นอย่างไม่สมสัดส่วน เนื่องจากความมั่งคั่งบนบล็อกเชนมองเห็นได้สาธารณะ โซเชียลมีเดียมักเผยให้เห็นการถือครอง และธุรกรรมไม่สามารถย้อนกลับเพื่อเรียกคืนเงินได้

วิธีป้องกันตัวเอง: นำหมายเลขโทรศัพท์ของคุณออกจากการเป็นปัจจัยสำหรับการยืนยันตัวตนสองขั้นตอน (2FA) ในทุกศูนย์ซื้อขาย บัญชีอีเมล และบริการคลาวด์ เปลี่ยนจาก SMS OTP มาใช้แอปยืนยันตัวตนแบบ TOTP (เช่น Aegis หรือ Raivo) หรือคีย์รักษาความปลอดภัยฮาร์ดแวร์ FIDO2 ตั้ง PIN หรือรหัสผ่านสำหรับบัญชีกับผู้ให้บริการมือถือของคุณ ใช้ที่อยู่อีเมลเฉพาะที่ไม่เชื่อมโยงกับบัญชีโซเชียลมีเดียสำหรับเข้าสู่ระบบศูนย์ซื้อขาย หลีกเลี่ยงการประกาศต่อสาธารณะว่าคุณถือคริปโต

นิสัยเดียวที่หยุดการโจมตีส่วนใหญ่ได้: ตรวจสอบก่อนยืนยัน

การโจมตีทั้งหมดที่กล่าวถึงในบทความนี้อาศัยช่องว่างเดียวกัน นั่นคือความแตกต่างระหว่างสิ่งที่คุณเห็นบนหน้าจอกับสิ่งที่กำลังจะลงนาม ส่ง หรืออนุมัติ เป้าหมายของผู้โจมตีคือทำให้คุณยืนยันบางอย่างก่อนตรวจสอบเสมอ

วิธีป้องกันที่ใช้ได้กับทุกกรณีคือหยุดตรวจสอบทุกครั้งก่อนยืนยัน:

1. ตรวจสอบที่อยู่ปลายทางให้ครบทุกตัวอักษร อย่าดูเพียงไม่กี่ตัวแรกและตัวสุดท้าย
2. ตรวจสอบจำนวนและสินทรัพย์ให้ถูกต้องก่อนลงนาม
3. ตรวจสอบว่า URL ของเว็บไซต์หรือแอปตรงกับบุ๊กมาร์กของคุณทุกประการ

ฮาร์ดแวร์วอลเล็ตช่วยให้ทำเช่นนี้ได้ตั้งแต่การออกแบบ รายละเอียดธุรกรรมจะแสดงบนหน้าจอที่ป้องกันการแก้ไข ซึ่งคอมพิวเตอร์ที่เชื่อมต่ออยู่ไม่สามารถเปลี่ยนแปลงได้ และต้องกดปุ่มบนอุปกรณ์จริงเพื่อลงนาม ฮาร์ดแวร์วอลเล็ตไม่ได้ทำให้ปลอดภัยจากการโจมตีได้ทุกรูปแบบ แต่ช่วยกำจัดการโจมตีทั้งประเภทที่อาศัยการบิดเบือนสิ่งที่คุณเห็นบนหน้าจอที่ถูกเจาะระบบ

เพื่อรักษาความปลอดภัยของบัญชี ให้เปลี่ยนจาก SMS 2FA มาใช้ TOTP หรือ FIDO2 ในทุกแพลตฟอร์มที่รองรับ สำหรับการเก็บรักษาวลีกู้คืน วลีนี้ต้องไม่ปรากฏในแท็บเบราว์เซอร์ หน้าต่างแชต ภาพหน้าจอ หรือข้อมูลสำรองบนคลาวด์ ไม่ว่า “เจ้าหน้าที่ฝ่ายสนับสนุน” จะร้องขออย่างไรก็ตาม

ประเด็นสำคัญ

• ฟิชชิง มัลแวร์ดักแก้ไขคลิปบอร์ด แอปปลอม และการสวมรอยซิม เป็นช่องทางโจมตีหลักที่มุ่งเป้าไปยังผู้ถือคริปโตที่ใช้การเก็บรักษาด้วยตนเอง โดยไม่จำเป็นต้องเจาะระบบการเข้ารหัส
• การวางยาที่อยู่จะแทรกที่อยู่ที่ดูคล้ายกันลงในประวัติธุรกรรม อย่าคัดลอกที่อยู่ปลายทางจากประวัติธุรกรรม
• มัลแวร์ดักแก้ไขคลิปบอร์ดจะแทนที่ที่อยู่ที่คัดลอกไว้โดยไม่ให้รู้ตัว ตรวจสอบที่อยู่ที่วางให้ครบทุกตัวอักษรก่อนยืนยันการส่งเสมอ
• แอปกระเป๋าเงินปลอมเผยแพร่ในร้านค้าอย่างเป็นทางการโดยที่โปรแกรมป้องกันไวรัสตรวจไม่พบเลย ให้เข้าถึงลิงก์ดาวน์โหลดผ่านเว็บไซต์ทางการของกระเป๋าเงินเสมอ
• การยืนยันตัวตนสองขั้นตอน (2FA) ผ่าน SMS เป็นช่องโหว่ ให้เปลี่ยนไปใช้ TOTP หรือคีย์รักษาความปลอดภัยฮาร์ดแวร์ FIDO2 ในทุกบัญชีที่คุ้มครองการเข้าถึงคริปโต
• ฮาร์ดแวร์วอลเล็ตบังคับให้ตรวจสอบในขั้นตอนลงนาม และกำจัดการโจมตีหลอกลวงผ่านหน้าจอประเภทใหญ่ที่สุด