สูญเสีย USDC มูลค่า 3.047 ล้านดอลลาร์ จากการโจมตีด้วยสัญญา Request Finance ปลอมบน Safe

การโจมตีแบบฟิชชิงล่าสุดทำให้สูญเสีย USDC มูลค่า 3.047 ล้านดอลลาร์ เหตุการณ์นี้เกิดขึ้นกับกระเป๋าเงินมัลติซิก Safe โดยอาศัยสัญญา Request Finance ปลอม นักสืบด้านความปลอดภัยระบุว่า ผู้โจมตีได้วางแผนไว้อย่างรอบคอบและดำเนินการในลักษณะที่เกือบจะดูเหมือนการอนุมัติที่ถูกต้อง เหยื่อรายนี้ใช้กระเป๋าเงิน Safe มัลติซิก 2 จาก 4 ตามข้อมูลจาก Scam Sniffer ธุรกรรมดังกล่าวดูเหมือนถูกประมวลผลผ่านอินเทอร์เฟซของแอป Request Finance แต่ซ่อนการอนุมัติสัญญาที่เป็นอันตรายไว้ในคำสั่งแบบกลุ่ม

ที่อยู่ของสัญญาปลอมคล้ายกับของจริงเกือบเหมือนกัน โดยมีเพียงตัวอักษรกลางบางตัวที่ต่างออกไป ทั้งสองขึ้นต้นและลงท้ายด้วยอักขระเดียวกัน ทำให้สังเกตได้ยากในทันที เพื่อเพิ่มความน่าเชื่อถือ ผู้โจมตียังได้ยืนยันสัญญาปลอมบน Etherscan อีกด้วย ซึ่งทำให้มันดูเหมือนถูกต้องเมื่อมีการตรวจสอบอย่างผิวเผิน เมื่อการอนุมัติถูกยืนยันแล้ว ผู้โจมตีก็รีบดึง USDC มูลค่า 3.047 ล้านดอลลาร์ออกมา จากนั้นนำไปแลกเป็น ETH ก่อนจะโอนผ่าน Tornado Cash อย่างรวดเร็ว ทำให้ติดตามได้ยาก

แผนการที่เตรียมมาอย่างรอบคอบ

เส้นเวลาของการโจมตีสะท้อนให้เห็นถึงการเตรียมตัวที่ชัดเจน 13 วันก่อนการโจรกรรม ผู้โจมตีได้ปรับใช้สัญญา Request Finance ปลอม พร้อมทั้งทำธุรกรรม “batchPayments” หลายครั้งเพื่อให้สัญญาดูเหมือนมีการใช้งานจริงและน่าเชื่อถือ เมื่อถึงเวลาที่เหยื่อใช้งาน สัญญาดังกล่าวก็มีประวัติการทำงานที่ดูปกติ เมื่อเหยื่อใช้แอป Request Finance ผู้โจมตีก็ซ่อนการอนุมัติสัญญาอันตรายไว้ในธุรกรรมแบบกลุ่ม และทันทีที่ธุรกรรมถูกเซ็นชื่อ การโจมตีก็เสร็จสมบูรณ์

การตอบสนองจาก Request Finance

Request Finance ยอมรับเหตุการณ์นี้และออกแถลงการณ์เตือนผู้ใช้งาน บริษัทระบุว่ามีผู้ไม่หวังดีสร้างสัญญาลอกเลียนของ Batch Payment ขึ้นมา โดยมีลูกค้าเพียงรายเดียวที่ได้รับผลกระทบ และจุดอ่อนดังกล่าวถูกแก้ไขแล้ว อย่างไรก็ตาม วิธีการที่ผู้โจมตีใช้เพื่อแทรกการอนุมัติสัญญาปลอมยังไม่ชัดเจน นักวิเคราะห์คาดว่าอาจเป็นไปได้หลายทาง ตั้งแต่ช่องโหว่ในตัวแอป มัลแวร์หรือส่วนขยายเบราว์เซอร์ที่แก้ไขธุรกรรม ไปจนถึงการถูกเจาะฝั่ง frontend หรือการเปลี่ยนเส้นทาง DNS รวมถึงความเป็นไปได้ในการฉีดโค้ดรูปแบบอื่น ๆ

ประเด็นความปลอดภัยที่ถูกตอกย้ำ

กรณีนี้สะท้อนแนวโน้มการหลอกลวงที่ซับซ้อนขึ้นในวงการคริปโต ผู้โจมตีไม่ได้พึ่งลิงก์ฟิชชิงพื้นฐานหรือกลวิธีที่เห็นได้ชัดอีกต่อไป แต่เลือกใช้สัญญาที่ผ่านการยืนยัน เลียนแบบบริการจริง และซ่อนการกระทำอันตรายในธุรกรรมที่ซับซ้อน ธุรกรรมแบบกลุ่มที่ออกแบบมาเพื่ออำนวยความสะดวกด้านการชำระเงิน ก็อาจเปิดโอกาสให้ผู้โจมตีแฝงการดำเนินการที่ไม่พึงประสงค์ เนื่องจากรวมหลายการกระทำไว้ในครั้งเดียว ทำให้ผู้ใช้งานตรวจสอบได้ยากทุกการอนุมัติหรือการโอน ความซับซ้อนนี้จึงกลายเป็นช่องให้การกระทำทุจริตเล็ดลอดไปได้โดยไม่ทันสังเกต

บทเรียนสำหรับชุมชน

ผู้เชี่ยวชาญเน้นย้ำว่าผู้ใช้ควรระมัดระวังเป็นพิเศษเมื่อใช้งานฟีเจอร์ multi-send หรือ batch payment ทุกการอนุมัติสัญญาควรถูกตรวจสอบตัวอักษรต่ออักษร เพื่อป้องกันการสับสนกับที่อยู่ที่คล้ายกันมาก เพียงแค่ละเลยรายละเอียดเล็กน้อยก็อาจก่อให้เกิดความสูญเสียมหาศาลได้เช่นกรณีนี้ บริษัทด้านความปลอดภัยยังแนะนำให้ผู้ใช้งานลดการใช้ส่วนขยายเบราว์เซอร์ ตรวจสอบแอปที่เชื่อมกับกระเป๋าเงิน โดยเฉพาะแอปที่ยังไม่ได้รับการยืนยัน

การอัปเดตซอฟต์แวร์เป็นประจำ ใช้กระเป๋าฮาร์ดแวร์สำหรับการอนุมัติธุรกรรม และตรวจสอบที่อยู่สัญญากับแหล่งข้อมูลที่เชื่อถือได้ ล้วนช่วยลดความเสี่ยงจากการโจมตีลักษณะนี้ เหตุการณ์นี้ยังตอกย้ำความจำเป็นที่แพลตฟอร์มต้องยกระดับการปกป้องผู้ใช้งาน เช่น ระบบแจ้งเตือนที่ชัดเจนขึ้น การตรวจจับและตั้งค่าสถานะอัตโนมัติสำหรับสัญญาที่คล้ายกัน รวมถึงการทำให้ธุรกรรมโปร่งใสมากขึ้นเพื่อป้องกันการโจมตีที่คล้ายกันในอนาคต