การหลอกลวงแบบ Address Poisoning: ความผิดพลาดจากการ Copy-Paste ครั้งเดียวทำให้เทรดเดอร์คริปโตสูญเงิน 50 ล้านดอลลาร์

ผู้ใช้คริปโตสูญเสียเงินเกือบ 50 ล้านดอลลาร์ใน USDT จากการหลอกลวงแบบ address poisoning หลังจากคัดลอกที่อยู่กระเป๋าเงินปลอมจากประวัติการทำธุรกรรมของตน ตามรายงานของบริษัทรักษาความปลอดภัยบล็อกเชน SlowMist

เหยื่อโอน 49,999,950 USDT ไปยังที่อยู่ที่ผู้โจมตีควบคุมซึ่งเลียนแบบปลายทางที่ตั้งใจไว้อย่างใกล้เคียง โดยตรงกันที่ตัวอักษรสามตัวแรกและสี่ตัวสุดท้าย

เงินที่ถูกขโมยถูกแปลงเป็น ETH อย่างรวดเร็ว กระจายไปยังกระเป๋าเงินหลายใบ และส่วนหนึ่งถูกส่งผ่าน Tornado Cash mixer

ตามรายละเอียดด้านความปลอดภัย กระเป๋าเงินของเหยื่อมีการใช้งานมาประมาณ 2 ปี และใช้สำหรับการโอน USDT เป็นหลัก โดยเงินที่ถูกบุกรุกถูกถอนจาก Binance ไม่นานก่อนการโอนที่ถูกวางยาพิษ

การหลอกลวงคริปโตสูงถึง 90 พันล้านดอลลาร์

เหตุการณ์นี้เกิดขึ้นท่ามกลางวิกฤตด้านความปลอดภัยที่กว้างขวางขึ้นที่กำลังจับกุมอุตสาหกรรมสกุลเงินดิจิทัล ซึ่งขณะนี้สูญเสียเงินเกือบ 90 พันล้านดอลลาร์จากการแฮ็กและการใช้ประโยชน์ตั้งแต่เริ่มก่อตั้ง

เฉพาะเดือนพฤศจิกายนเพียงเดือนเดียวมีเงินถูกขโมยมากกว่า 276 ล้านดอลลาร์ ผลักดันให้ความสูญเสียในปี 2025 เกิน 9.1 พันล้านดอลลาร์ หมายความว่าประมาณ 10% ของความสูญเสียคริปโตในประวัติศาสตร์ทั้งหมดเกิดขึ้นภายใน 12 เดือนที่ผ่านมา

Mitchell Amador ซีอีโอของ Immunefi เตือนว่าภูมิทัศน์ของภัยคุกคามกำลังเปลี่ยนแปลงอย่างพื้นฐาน

"ภูมิทัศน์ของภัยคุกคามกำลังเปลี่ยนจากช่องโหว่ของโค้ดออนเชนไปสู่ความปลอดภัยในการดำเนินงานและการโจมตีระดับคลัง" เขาบอกกับ Cryptonews "เมื่อโค้ดแข็งแกร่งขึ้น ผู้โจมตีก็เล็งเป้าไปที่องค์ประกอบของมนุษย์"

แม้ว่าปี 2025 จะเป็นปีที่เลวร้ายที่สุดสำหรับการแฮ็กที่มีการบันทึกไว้ Amador เน้นย้ำว่าความสูญเสียเหล่านี้เกิดจากความล้มเหลวในการดำเนินงานมากกว่าช่องโหว่ของสัญญาอัจฉริยะ

"แม้ว่าปี 2025 จะเป็นปีที่เลวร้ายที่สุดสำหรับการแฮ็กที่มีการบันทึกไว้ ความสูญเสียเหล่านั้นถูกขับเคลื่อนหลักโดยความล้มเหลวของโครงสร้างพื้นฐาน Web2 แบบดั้งเดิมและการล่มสลายของความปลอดภัยในการดำเนินงาน ไม่ใช่โค้ดออนเชน" เขาอธิบาย

FBI รายงานความสูญเสีย 9.3 พันล้านดอลลาร์จากการฉ้อโกงการลงทุน

ชาวอเมริกันสูญเสียเงินประมาณ 9.3 พันล้านดอลลาร์จากแผนการลงทุนคริปโตในปี 2024 เพิ่มขึ้น 66% จากปีก่อนหน้า ตามข้อมูลของ FBI

การหลอกลวงแบบ pig-butchering มีส่วนสนับสนุนกว่า 9.9 พันล้านดอลลาร์ทั่วโลก โดยข้อมูลของ Chainalysis แสดงให้เห็นว่ากิจกรรมเพิ่มขึ้นเกือบ 40% ในปี 2024

สมาชิกวุฒิสภาสหรัฐฯ Elissa Slotkin และ Jerry Moran แนะนำ SAFE Crypto Act ซึ่งเสนอคณะทำงานระดับรัฐบาลกลางเพื่อประสานงานหน่วยงานของรัฐ หน่วยงานบังคับใช้กฎหมาย และผู้เชี่ยวชาญภาคเอกชนเพื่อต่อสู้กับการฉ้อโกงที่เกี่ยวข้องกับคริปโต

กฎหมายกำหนดให้ผู้ออก stablecoin ที่ได้รับอนุญาตรักษาความสามารถทางเทคนิคในการอายัดหรือยึดสินทรัพย์ดิจิทัลที่เชื่อมโยงกับกิจกรรมที่ผิดกฎหมาย

การดำเนินการบังคับใช้มีความเข้มข้นมากขึ้น โดยเจ้าหน้าที่สหรัฐฯ ประกาศการยึด crypto ครั้งใหญ่ที่สุดเท่าที่เคยมีมาในเดือนตุลาคม โดยกำหนดเป้าหมายไปที่ Prince Holding Group ซึ่งมีฐานอยู่ในกัมพูชา

Tether ยังอายัด USDT เกือบ 50 ล้านดอลลาร์ที่เชื่อมโยงกับแก๊งค์ pig-butchering ในเอเชียตะวันออกเฉียงใต้ ในขณะที่ Binance ป้องกันผู้ใช้ 7.5 ล้านคนจากการสูญเสียเงินเกือบ 10 พันล้านดอลลาร์จากการฉ้อโกงระหว่างเดือนธันวาคม 2022 ถึงพฤษภาคม 2025

ปัจจัยด้านมนุษย์กลายเป็นเวกเตอร์การโจมตีหลัก

นอกเหนือจากการหลอกลวงที่ซับซ้อน การโจมตีด้วยมัลแวร์ยังคงดูดเงินจากกระเป๋าเงิน โดยผู้ประกอบการชาวสิงคโปร์สูญเสียเงินมากกว่า 100,000 ดอลลาร์หลังจากดาวน์โหลดซอฟต์แวร์ที่เป็นอันตรายซึ่งปลอมตัวเป็นโปรแกรมทดสอบเกม

การละเมิดกระเป๋าเงินแบบ multisignature ที่แยกต่างหากเมื่อต้นเดือนนี้ส่งผลให้เงินประมาณ 27.3 ล้านดอลลาร์ถูกขโมยผ่านการบุกรุก private key โดยผู้โจมตีฟอกเงินประมาณ 12.6 ล้านดอลลาร์ผ่าน Tornado Cash

Amador โต้แย้งว่าอุตสาหกรรมต้องปรับโครงสร้างแนวทางความปลอดภัยอย่างพื้นฐาน

"การรักษาความปลอดภัยโค้ดไม่เพียงพอหากผู้ใช้และผู้ดำเนินการยังคงมีความเสี่ยง" เขากล่าว

"บริษัท Web3 จำเป็นต้องลงทุนมากขึ้นในความปลอดภัยระดับมนุษย์ และนี่หมายถึงการฝึกอบรมทีม การกระชับการควบคุมการดำเนินงาน และการให้ความรู้แก่ผู้ใช้โดยตรงเกี่ยวกับวิธีการตรวจจับข้อความหลอกลวง การรับรู้ความพยายามในการวิศวกรรมทางสังคม และการปกป้องสินทรัพย์ของพวกเขาบนออนเชน"

เขาสังเกตว่า 99% ของโครงการ Web3 ดำเนินการโดยไม่มีไฟร์วอลล์พื้นฐาน ในขณะที่น้อยกว่า 10% ที่ใช้เครื่องมือรักษาความปลอดภัยที่ขับเคลื่อนด้วย AI สมัยใหม่

"การแฮ็กส่วนใหญ่ในปีนี้ไม่ได้เกิดขึ้นเนื่องจากการตรวจสอบที่ไม่ดี" Amador อธิบาย "พวกเขาเกิดขึ้นหลังจากการเปิดตัว ระหว่างการอัพเกรดโปรโตคอล หรือผ่านช่องโหว่ในการรวม—จุดบอดที่การตรวจสอบเพียงอย่างเดียวไม่สามารถจับได้"

แม้ว่าความสูญเสียจะเพิ่มขึ้น Amador ยังคงมองในแง่ดีเกี่ยวกับความปลอดภัยของโค้ดออนเชน โดยทำนายว่าปี 2026 จะเป็นปีที่ดีที่สุดสำหรับความปลอดภัยของสัญญาอัจฉริยะเนื่องจากอุตสาหกรรมยังคงเสริมสร้างความแข็งแกร่งให้กับโครงสร้างพื้นฐานทางเทคนิค