ในขณะที่การหลอกลวง crypto และแผนการแฮ็คยังคงเติบโตอย่างซับซ้อนมากขึ้น ผู้มาใหม่ในอุตสาหกรรมก็มีความเสี่ยงมากขึ้น
ขณะนี้มีผู้ขโมย crypto ที่สามารถยึดการถือครอง crypto ของคุณได้อย่างรวดเร็วภายในสามคลิกเท่านั้น อ่านด้านล่างเพื่อเรียนรู้เกี่ยวกับการโจมตีที่มีประสิทธิภาพแต่อันตรายนี้ และวิธีที่ดีที่สุดในการหลีกเลี่ยงการตกเป็นเหยื่อของการโจมตี
- The Hook หรือ ตะขอ
แผนการนี้เริ่มต้นด้วย “ตะขอ” ซึ่งเป็นข้อความที่ดึงดูดใจซึ่งแสดงความรู้สึกเร่งด่วนของเหยื่อ
Samczsun หัวหน้าฝ่ายรักษาความปลอดภัยของ Paradigm ระบุข้อความตัวอย่างจากการโจมตีที่คล้ายกันซึ่งกำหนดเป้าหมายเขาเมื่อหลายสัปดาห์ก่อน
“คุณกำลังถูกฟ้องร้อง คุณสามารถอ่านสำเนาคดีได้ที่นี่” อ่านข้อความพร้อมระบุลิงก์ “คุณยังสามารถเขียนข้อความตอบโต้ สวัสดีตอนเย็นจอห์น”
ดังที่แซมอธิบายไว้ ใครก็ตามที่คลิกลิงก์โดยสัญชาตญาณจะ “คลิกสองครั้งจากการถูกกดดัน”
“เมื่อตกอยู่ภายใต้ความกดดัน แม้แต่ผู้เชี่ยวชาญด้านความปลอดภัยที่ผ่านการฝึกอบรมก็อาจทำตามสัญชาตญาณแทนที่จะใช้เหตุผล” เขากล่าว
- เอกสารเก่า
ลิงก์ที่ให้ไว้จะไม่นำผู้ใช้ไปยังหน้าเว็บ แต่จะดาวน์โหลดไฟล์ที่เก็บถาวรของดรอปบ็อกซ์ทันทีแทน ในกรณีนี้ ไฟล์นี้มีชื่อว่า “statement of claim against cryptogeng.eth.zip”
ใครก็ตามที่เชื่อว่าการอ้างสิทธิ์อาจมีความชอบธรรมอาจพบว่าชื่อในชื่อนั้นน่าสนใจ “ใครคือ cryptogen.eth” คุณอาจถาม “ใครเป็นเจ้าของชื่อ ENS นี้? เกี่ยวอะไรกับฉัน”
เมื่อคลิกผ่าน เหยื่อก็เพียงแค่คลิกเดียวจากการประนีประนอมกระเป๋าเงินดิจิตอลเข้ารหัสของเขา
- ไฟล์
ไฟล์เก็บถาวรในตัวอย่างของ Sam มีไฟล์สองไฟล์อยู่ภายใน รายการหนึ่งมีชื่อว่า “cryptogeng.eth.etherscan.com” และอีกรายการหนึ่งมีชื่อว่า “คำแถลงการเรียกร้องต่อ cryptogen.eth”
แต่ละไฟล์เหล่านี้อาจปรากฏแตกต่างกัน ขึ้นอยู่กับว่าผู้ใช้เปิดใช้งานนามสกุลไฟล์หรือไม่ ไม่ว่าไฟล์ใดไฟล์หนึ่งจะส่งผลให้ผู้โจมตีสามารถเข้าถึงโทเค็นของตนได้อย่างเต็มที่
โดยเฉพาะอย่างยิ่ง ทั้งสองไฟล์พยายามขโมยข้อมูลกระเป๋าเงินของผู้ใช้โดยตรง รวมถึงข้อมูลที่จัดเก็บไว้ในส่วนขยายของเบราว์เซอร์ มันยังพยายามขโมยโทเค็นเซสชัน Discord ของคนๆ หนึ่ง ซึ่งเป็นชื่อผู้ใช้และรหัสผ่าน Discord เวอร์ชันเข้ารหัส
สิ่งหลังมีความสำคัญอย่างยิ่งสำหรับชื่อใหญ่ซึ่งอาจใช้เซิร์ฟเวอร์ Discord ที่มีอิทธิพลอย่างมาก แฮ็กเกอร์อาจใช้เซิร์ฟเวอร์เหล่านี้ในทางที่ผิดเพื่อแสวงหาประโยชน์และหลอกลวงผู้ใช้จำนวนมากขึ้น
ตัวอย่างเช่น ความบาดหมางกันของ OpenSea ถูกบุกรุกหลายครั้งแล้วเพื่อผลักดันการหลอกลวง NFT แฮ็กเกอร์อีกชุดหนึ่งเจาะบัญชี Instagram ของ Bored Ape Yacht Club ในเดือนเมษายน โดยได้เงิน 10 ล้านดอลลาร์ใน NFT
เช่นเดียวกัน แฮ็กเกอร์สามารถยึดเงินที่เก็บไว้ในกระเป๋าเงินดิจิทัลของคุณ – และหลอกลวงอื่นๆ อีกมากมายทางอ้อม!
- วิธีป้องกันตัวเอง
เพื่อหลีกเลี่ยงการตกเป็นเหยื่อของการหลอกลวงเช่นนี้ โปรดจำสิ่งต่อไปนี้:
ตรวจสอบการใช้ถ้อยคำ: ข้อความหลอกลวงมักจะมีการใช้ถ้อยคำที่รกหูรกตาและไวยากรณ์ที่แย่ นั่นเป็นธงสีแดงทันที โดยเฉพาะอย่างยิ่งในกรณีที่ข้อความมาจากแหล่งที่ไม่น่าเชื่อถือ
สงบสติอารมณ์: อย่าเร่งรีบทำตามคำแนะนำที่ทำให้คุณรู้สึกว่าเร่งด่วน ใช้เวลาในการประเมินข้อความเมื่อคุณได้รับ หากอยู่ในสาย ขอให้ผู้โทรที่น่าสงสัยรอสักครู่ก่อนที่คุณจะรับสาย
ตรวจสอบโปรแกรมอีกครั้ง: ก่อนคลิกที่โปรแกรม ให้ตรวจสอบอีกครั้งเสมอว่าถูกต้องตามกฎหมายหรือไม่ ทันทีที่คุณเรียกใช้ มันจะสามารถเข้าถึงคอมพิวเตอร์ของคุณได้อย่างเต็มที่ คุณต้องสามารถไว้วางใจได้
ใช้ Cold Storage: การแฮ็กดังกล่าวใช้กับ hot wallets เท่านั้น – wallets ที่เก็บคีย์ส่วนตัวของผู้ใช้ในคอมพิวเตอร์หรือระบบโทรศัพท์ การใช้ฮาร์ดแวร์วอลเล็ตโดยเฉพาะ เช่น Ledger หรือ Trezor ทำให้แฮ็กเกอร์ไม่สามารถขโมยคีย์ส่วนตัวได้อย่างง่ายดาย