นักวิจัยจาก Ledger ค้นพบช่องโหว่ในระบบปฏิบัติการ Android ที่อนุญาตให้ขโมย Seed Phrase ของสกุลเงินดิจิทัลได้ภายในไม่กี่วินาที
หน่วยงานได้ใช้การพิสูจน์แนวคิดเพื่อยืนยันว่าภัยคุกคามข้างต้นมีอยู่จริง
การพัฒนานี้แสดงให้เห็นว่าสมาร์ทโฟนไม่มีเกราะป้องกันความปลอดภัยที่จำเป็นในการทำหน้าที่เป็นสถานที่จัดเก็บสกุลเงินดิจิทัล
ทีมวิจัย Donjon ของ Ledger ได้ระบุช่องโหว่ด้านความปลอดภัยในโปรเซสเซอร์ MediaTek (ซึ่งใช้กันทั่วไปบนโทรศัพท์ Android) ที่ทำให้ผู้ไม่หวังดีสามารถขโมยรหัสผ่านโทรศัพท์และ Seed Phrase ของผู้ใช้ภายในไม่กี่วินาที การโจมตีนี้ถูกกล่าวว่าเกิดขึ้นได้แม้แต่เมื่ออุปกรณ์ปิดอยู่
ทีมงานได้ดำเนินการทดสอบแนวคิด โดยสามารถรับข้อมูลที่ละเอียดอ่อนเกี่ยวกับวอลเล็ตคริปโตหลายตัว (เรียกว่า hot wallet) ได้สำเร็จ ผู้ได้รับผลกระทบประกอบด้วย Trust Wallet, Kraken Wallet และ Phantom
การขโมยสกุลเงินดิจิทัลบนระบบปฏิบัติการ Android
ชาร์ลส์ กิลเลเมต หัวหน้าเจ้าหน้าที่เทคโนโลยีของบริษัท Ledger ผู้ผลิตวอลเล็ตฮาร์ดแวร์ ได้ระบุว่าการพัฒนานี้เป็น “คำเตือนว่าสมาร์ทโฟนไม่ได้ถูกออกแบบมาเพื่อความปลอดภัย”
กิลเลม็องต์ระบุว่า มันอาจส่งผลกระทบต่อโทรศัพท์ Android หลายล้านเครื่อง เนื่องจากครองสัดส่วนการใช้งานทั่วโลกเนื่องจากปัจจัยด้านเศรษฐกิจและความสามารถในการเข้าถึง
หลังจากรายงานดังกล่าว MediaTek ได้ดำเนินการแก้ไขบั๊ก ขณะที่ Trust Wallet ได้เปิดใช้งานคุณสมบัติด้านความปลอดภัยใหม่เพื่อป้องกันการดัดแปลงที่อยู่คริปโต
วิธีการจัดเก็บใดที่ปลอดภัย?
วอลเล็ตแบบฮาร์ดแวร์ เช่น Ledger และ Trezor ได้รับชื่อเสียงในด้านความปลอดภัยที่ดีกว่าสำหรับสกุลเงินดิจิทัลเมื่อเทียบกับวอลเล็ตแบบซอฟต์แวร์ เนื่องจากใช้ชิปที่แยกออกจากหน่วยประมวลผลหลักของโทรศัพท์
อย่างไรก็ตาม ด้วยการใช้งานทั่วโลกที่ร้อยละ 78 วอลเล็ตแบบออนไลน์ยังคงเป็นตัวเลือกหลักของผู้ถือครองสกุลเงินดิจิทัล เนื่องจากมีประสิทธิภาพด้านต้นทุนและใช้งานง่าย
แม้เช่นนั้น ผู้ใช้บริการเก็บรักษาแบบออฟไลน์ก็ยังตกเป็นเหยื่อของการขโมยสกุลเงินดิจิทัลผ่านการหลอกลวงทางสังคม การแทรกแซงห่วงโซ่อุปทาน การดึงอุปกรณ์ทางกายภาพ และความประมาทอย่างชัดเจน
ตัวอย่างที่ดีของกรณีหลังคือกรมสรรพากรเกาหลีใต้ ซึ่งได้โพสต์ Seed Phrase ของวอลเล็ตฮาร์ดที่ยึดได้โดยบังเอิญ ตัวอย่างของการโจมตีแบบแรงหรือการใช้กำลังคือกรณีล่าสุดของคู่สามีภรรยาชาวฝรั่งเศสที่ถูกขโมย Bitcoin ไปเกือบ 1 ล้านดอลลาร์
ในแง่ของระบบปฏิบัติการ ผู้ใช้ iOS ยังไม่ได้รับการคุ้มครองอย่างสมบูรณ์ เนื่องจากช่องโหว่ Coruna ใช้ในการขุดข้อมูลคริปโตเคอเรนซีที่ละเอียดอ่อนบนเวอร์ชัน iOS รุ่นเก่า
กุญแจผู้ใช้ยังสามารถถูกขโมยได้เมื่อทำงานเป็นโหนด ดังนั้น วอลเล็ตแบบหลายลายเซ็นอาจเป็นหนึ่งในวิธีการจัดเก็บสกุลเงินดิจิทัลที่ “ปลอดภัยที่สุด”