Google Ads โฆษณาหลอกลวงที่ปลอมแปลง Uniswap ขโมยเงินมากกว่า 400,000 ดอลลาร์

แคมเปญฟิชชิงใหม่ที่ใช้เว็บไซต์ปลอมของ Uniswap ที่โฆษณาผ่าน Google Search ได้ดูดเงินไปอย่างน้อย 400,000 ดอลลาร์สหรัฐจากผู้ใช้คริปโตที่ไม่รู้ตัว ซึ่งแสดงให้เห็นถึงจุดอ่อนที่ยังคงมีอยู่ในการควบคุมโฆษณาการค้นหา เกิดอะไรขึ้น - นักวิเคราะห์บนบล็อกเชน “b-block” แจ้งเตือนเว็บไซต์อันตรายที่แอบอ้างเป็น Uniswap ซึ่งได้ระบายเงินจากหลายวอลเล็ต ที่อยู่สองแห่งที่ผู้โจมตีควบคุมซึ่งเกี่ยวข้องกับการดำเนินการนี้ มี ETH รวมกัน 146 ETH — ประมาณ 306,000 ดอลลาร์สหรัฐในขณะรายงาน ตามภาพหน้าจอจาก Etherscan ที่นักวิเคราะห์แชร์ - ผู้ทำการตลาด Web3 Stacy Muur (ผู้ก่อตั้ง Green Dots) โพสต์ภาพหน้าจอแสดงผลการค้นหาของ Google แบบมีการโฆษณาที่นำไปสู่เว็บไซต์ฟิชชิง และวิพากษ์วิจารณ์ Google ที่ไม่สามารถหยุดการหลอกลวงแบบนี้ที่มักจะแสดงลิงก์ปลอมเหนือลิงก์จริง วิธีการหลอกลวง - ผู้โจมตีซื้อหรือยึดโฆษณาของ Google เพื่อวางลิงก์ DEX ปลอมไว้ด้านบนของผลการค้นหา ทำให้เห็นได้ชัดเจนสำหรับผู้ใช้ที่ค้นหา Uniswap หรือโปรโตคอลอื่นๆ - หน้าฟิชชิงเป็นภาพถ่ายแบบแทบสมบูรณ์แบบของแพลตฟอร์มที่ถูกต้อง เมื่อผู้ถูกหลอกเชื่อมต่อวอลเล็ตและอนุมัติสิ่งที่ดูเหมือนเป็นการทำธุรกรรมปกติ พวกเขามักจะให้สิทธิ์สัญญาอัจฉริยะในการโอนเงินโดยไม่มีข้อจำกัด การอนุมัตินี้ทำให้ผู้หลอกลวงสามารถดึงเงินออกจากวอลเล็ตของเหยื่อโดยตรงโดยไม่จำเป็นต้องใช้กุญแจส่วนตัว - เทคนิคที่ใช้รวมถึงโดเมน Punycode, iframe ที่ซ่อนอยู่ และโหลดเพิ่มเติมที่ออกแบบมาเพื่อหลบเลี่ยงระบบตรวจจับโฆษณาอัตโนมัติ — หมายความว่าหน้าเว็บอันตรายสามารถแสดง URL ที่ดูเหมือนถูกต้องต่อ Google ในขณะที่ส่งการรับส่งข้อมูลผ่านโครงสร้างพื้นฐานที่ผู้โจมตีควบคุม บริบท — สิ่งนี้ไม่ใช่เรื่องใหม่ - การฟิชชิงผ่านโฆษณาของ Google ถูกเชื่อมโยงกับการสูญเสียจำนวนมากในปีนี้ ในเดือนกรกฎาคม Scam Sniffer รายงานว่าผู้ใช้ DeFi สูญเสีย NFT ของ Uniswap มูลค่าเกิน 1.23 ล้านดอลลาร์สหรัฐหลังจากโต้ตอบกับเว็บไซต์ปลอมที่โปรโมตผ่านโฆษณาของ Google - Security Alliance (SEAL) ระบุว่าการฟิชชิงผ่านโฆษณาการค้นหาของ Google เพิ่มขึ้นอย่างมากในเดือนมีนาคม และผู้โจมตีมักจะประมูลสูงกว่าผู้โฆษณาที่ถูกต้องหรือยึดบัญชีผู้โฆษณาเพื่อเผยแพร่ลิงก์ปลอม SEAL รายงานว่าได้บล็อกลิงก์โฆษณาอันตรายมากกว่า 356 ลิงก์ในช่วงปีที่ผ่านมา และประเมินว่าการฟิชชิงที่เกี่ยวข้องกับโฆษณาของ Google ได้ขโมยเงินประมาณ 1.27 ล้านดอลลาร์สหรัฐเพียงระหว่างวันที่ 13–30 มีนาคมเท่านั้น - บริษัทด้านความปลอดภัยบล็อกเชน เช่น DeFiLlama และ PeckShield Alert ได้เตือนซ้ำแล้วซ้ำเล่าเกี่ยวกับแคมเปญแบบเดียวกันนี้ รวมถึงโฆษณา Aave ปลอมที่ถูกวางไว้ด้านบนของผลการค้นหาของ Google ทำไมถึงประสบความสำเร็จ - ผลการค้นหาแบบมีการโฆษณาดูน่าเชื่อถือ และ UI ที่เลียนแบบ + URL ที่น่าเชื่อถือทำให้ผู้ใช้งานหลอกง่าย - เมื่อได้รับการอนุมัติจากวอลเล็ตที่เชื่อมต่อแล้ว สัญญาอัจฉริยะสามารถดำเนินการโอนเงินได้โดยไม่ต้องมีการโต้ตอบเพิ่มเติม ดังนั้นการคลิกเพียงครั้งเดียวที่ผิดพลาดอาจนำไปสู่หายนะ บทเรียนสำหรับผู้ใช้งานและแพลตฟอร์ม - ผู้ใช้งาน: เก็บลิงก์ DEX อย่างเป็นทางการไว้เป็นโปรด เปรียบเทียบ URL อีกครั้ง (ระวัง Punycode) พิจารณาอย่างรอบคอบเกี่ยวกับการอนุมัติวอลเล็ต และใช้เครื่องมือตรวจสอบหรือยกเลิกสิทธิ์เกินจำเป็น - แพลตฟอร์มและผู้ให้บริการโฆษณา: ทีมความปลอดภัยและแพลตฟอร์มโฆษณาจำเป็นต้องมีระบบตรวจจับที่แข็งแกร่งขึ้น การลบออกอย่างรวดเร็ว และการควบคุมที่ดีกว่าเพื่อป้องกันไม่ให้ผู้กระทำผิดซื้อตำแหน่งโฆษณาชั้นนำหรือยึดบัญชีผู้โฆษณา กรณีล่าสุดนี้เน้นย้ำว่าผลการค้นหาแบบมีการโฆษณายังคงเป็นช่องทางโปรดสำหรับการฟิชชิงคริปโตในระดับใหญ่ — และยังคงมีงานอีกมากที่แพลตฟอร์มโฆษณาและระบบนิเวศโดยรวมต้องทำเพื่อหยุดยั้งมัน