คำจำกัดความแบบสั้น
การขโมยคีย์ส่วนตัว หมายถึงกรณีที่ผู้โจมตีได้ คีย์ส่วนตัว หรือ วลีช่วยจำ ของกระเป๋าคริปโตผ่านฟิชชิง มัลแวร์ การรั่วไหลของข้อมูล วิศวกรรมสังคม หรือการสำรองข้อมูลที่ไม่ปลอดภัย ทำให้ผู้โจมตีสามารถลงนามธุรกรรมแทนกระเป๋านั้นและโอนสินทรัพย์ออกไปได้
ในบล็อกเชนสาธารณะส่วนใหญ่ ผู้ที่ควบคุมคีย์ส่วนตัวจะสามารถสร้างธุรกรรมที่ถูกต้องจากที่อยู่นั้นได้ ดังนั้น การถูกขโมยคีย์ส่วนตัวมักร้ายแรงกว่าการรั่วไหลของรหัสผ่านสำหรับเข้าแอปกระเป๋าเงิน ควรจำไว้ว่าเมื่อธุรกรรมบนบล็อกเชนได้รับการยืนยันแล้ว โดยทั่วไปจะย้อนกลับได้ยาก การจะกู้คืนสินทรัพย์ได้หรือไม่ขึ้นอยู่กับปลายทางของสินทรัพย์ ความร่วมมือของแพลตฟอร์มซื้อขาย กระบวนการบังคับใช้กฎหมาย และสถานการณ์บนเชนที่เฉพาะเจาะจง ไม่ควรสันนิษฐานว่าจะกู้คืนได้เสมอ
คีย์ส่วนตัวควบคุมสินทรัพย์คริปโตอย่างไร
กระเป๋าคริปโตมักมีข้อมูลสำคัญ 2 ประเภท:
| แนวคิด | หน้าที่ | ควรเปิดเผยหรือไม่ |
|---|---|---|
กุญแจสาธารณะ / ที่อยู่กระเป๋า | ใช้รับสินทรัพย์ คล้ายที่อยู่สำหรับรับเงิน | โดยทั่วไปที่อยู่สามารถเปิดเผยได้ |
คีย์ส่วนตัว / วลีช่วยจำ | ใช้ลงนามธุรกรรมเพื่อพิสูจน์ว่าคุณมีสิทธิ์ใช้สินทรัพย์ | ห้ามเปิดเผยโดยเด็ดขาด |
เมื่อผู้ใช้เริ่มโอนสินทรัพย์ กระเป๋าจะใช้คีย์ส่วนตัวสร้างลายเซ็นดิจิทัลให้ธุรกรรม โหนดในเครือข่ายจะตรวจสอบว่าลายเซ็นถูกต้องก่อนยอมรับธุรกรรม หากผู้โจมตีได้คีย์ส่วนตัวหรือวลีช่วยจำ ก็สามารถนำกระเป๋าไปกู้คืนบนอุปกรณ์ของตนเองและโอนสินทรัพย์ไปยังที่อยู่อื่นได้
วลีช่วยจำมักเป็นชุดคำภาษาอังกฤษ 12, 18 หรือ 24 คำ ซึ่งโดยพื้นฐานสามารถใช้กู้คืนหรือสร้างคีย์ส่วนตัวได้ สำหรับผู้ใช้ทั่วไป การเปิดเผยวลีช่วยจำมักเทียบเท่ากับการเปิดเผยคีย์ส่วนตัว
สถานการณ์ที่พบบ่อย
| สถานการณ์ | ลักษณะที่มักพบ | จุดเสี่ยง |
|---|---|---|
เว็บไซต์ฟิชชิง | ปลอมเป็นกระเป๋าเงิน แพลตฟอร์มซื้อขาย หรือหน้าแอร์ดรอป และขอให้กรอกวลีช่วยจำ | ผู้ใช้ส่งข้อมูลคีย์ส่วนตัวให้เอง |
มัลแวร์ | โทรจัน การดักคลิปบอร์ด แอปกระเป๋าปลอม | ขโมยไฟล์ในเครื่องหรือดักข้อมูลที่พิมพ์ |
การสำรองข้อมูลที่ไม่ปลอดภัย | ถ่ายภาพหน้าจอวลีช่วยจำ เก็บในคลาวด์ หรือส่งเข้าอีเมลตนเอง | รั่วไหลเมื่อบัญชีคลาวด์หรืออุปกรณ์ถูกเจาะ |
วิศวกรรมสังคม | แอบอ้างเป็นฝ่ายบริการลูกค้า ผู้ดูแลกลุ่ม หรือทีมโครงการ | ใช้ความไว้วางใจหลอกให้ผู้ใช้เปิดเผยวลีช่วยจำ |
อุปกรณ์อยู่นอกการควบคุม | โทรศัพท์หรือคอมพิวเตอร์ถูกผู้อื่นเข้าถึงเป็นเวลานาน หรือถูกติดตั้งซอฟต์แวร์ควบคุมระยะไกล | ผู้โจมตีอาจดูข้อมูลกระเป๋าหรือข้อมูลสำรองได้ |
ตัวอย่างง่าย ๆ
สมมติว่านักเทรดมือใหม่เห็นลิงก์ “รับแอร์ดรอป” หน้าเว็บแจ้งว่าต้อง “ยืนยันความเป็นเจ้าของกระเป๋า” และขอให้กรอกวลีช่วยจำ 12 คำ เมื่อผู้ใช้กรอกข้อมูล ผู้โจมตีก็นำวลีดังกล่าวไปกู้คืนกระเป๋าบนอุปกรณ์อีกเครื่องทันที และเริ่มโอนสินทรัพย์ออก แม้ผู้ใช้จะถอนการติดตั้งแอปกระเป๋าในภายหลัง ผู้โจมตีที่มีวลีช่วยจำแล้วก็อาจยังควบคุมที่อยู่นั้นต่อไปได้
ในตัวอย่างนี้ ปัญหาที่แท้จริงไม่ใช่ความผันผวนของราคาในตลาด แต่คือสิทธิ์ควบคุมกระเป๋าได้ย้ายไปอยู่ในมือผู้อื่นแล้ว แนวทางรับมือโดยทั่วไป ได้แก่ หยุดใช้ที่อยู่นั้นทันที ย้ายสินทรัพย์ที่ยังไม่ถูกโอนออกไปยังกระเป๋าใหม่ เก็บหลักฐาน และติดต่อแพลตฟอร์มหรือหน่วยงานบังคับใช้กฎหมายที่เกี่ยวข้อง
ความเกี่ยวข้องกับกระเป๋าแบบคัสโตเดียลและนอนคัสโตเดียล
รูปแบบความเสี่ยงจากการขโมยคีย์ส่วนตัวขึ้นอยู่กับประเภทของกระเป๋า:
| ประเภทกระเป๋า | ใครควบคุมคีย์ส่วนตัว | ความเสี่ยงหลักของผู้ใช้ |
|---|---|---|
กระเป๋านอนคัสโตเดียล | ผู้ใช้ควบคุมคีย์ส่วนตัวหรือวลีช่วยจำเอง | วลีช่วยจำรั่วไหล ข้อมูลสำรองสูญหาย ลงนามธุรกรรมอันตราย |
กระเป๋าคัสโตเดียล | แพลตฟอร์มซื้อขายหรือผู้ให้บริการรับฝากดูแลคีย์ส่วนตัว | บัญชีแพลตฟอร์มถูกขโมย เหตุการณ์ด้านความปลอดภัยของแพลตฟอร์ม สิทธิ์ถอนเงินถูกใช้ในทางที่ผิด |
เมื่อใช้บริการคัสโตเดียล ผู้ใช้มักไม่ได้สัมผัสคีย์ส่วนตัวโดยตรง แต่ยังต้องปกป้องรหัสผ่านเข้าสู่ระบบ การยืนยันตัวตนสองชั้น อีเมล และการตั้งค่าที่อยู่สำหรับถอนเงิน เมื่อใช้กระเป๋านอนคัสโตเดียล ผู้ใช้มีอำนาจควบคุมโดยตรงมากขึ้น แต่ก็ต้องรับผิดชอบการดูแลรักษาด้วยตนเองมากขึ้นเช่นกัน
ข้อควรป้องกัน
- อย่าให้วลีช่วยจำหรือคีย์ส่วนตัวแก่เว็บไซต์ ฝ่ายบริการลูกค้า หรือผู้ดูแลชุมชนใด ๆ การบำรุงรักษากระเป๋า การรับแอร์ดรอป หรือการยืนยันบัญชีโดยปกติไม่ควรต้องให้ผู้ใช้กรอกวลีช่วยจำครบชุด
- สำรองวลีช่วยจำแบบออฟไลน์ เช่น เขียนลงกระดาษหรือเก็บบนวัสดุที่ทนทาน และวางไว้ในสถานที่ปลอดภัย หลีกเลี่ยงการเก็บเป็นภาพหน้าจอ คลาวด์ แอปแชต หรืออีเมล
- ตรวจสอบเว็บไซต์ทางการและแหล่งที่มาของแอป ดาวน์โหลดกระเป๋าผ่านช่องทางทางการ ระวังโฆษณาบนเครื่องมือค้นหา โดเมนเลียนแบบ และแอปปลอม
- แม้ใช้ฮาร์ดแวร์วอลเล็ตก็ยังต้องระวัง ฮาร์ดแวร์วอลเล็ตช่วยลดโอกาสที่คีย์ส่วนตัวจะสัมผัสอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ต แต่หากผู้ใช้กรอกวลีช่วยจำลงในหน้าเว็บฟิชชิง ฮาร์ดแวร์วอลเล็ตก็ไม่สามารถปกป้องวลีช่วยจำนั้นได้
- ตรวจสอบที่อยู่และรายละเอียดธุรกรรมก่อนโอน โดยเฉพาะการอนุมัติสัญญา การอนุมัติแบบไม่จำกัด และคำขอลงนามที่ไม่คุ้นเคย
- แยกการใช้งานกระเป๋า เช่น แยกกระเป๋าสำหรับโต้ตอบประจำวันออกจากกระเป๋าที่เก็บสินทรัพย์ระยะยาว เพื่อลดความเสี่ยงจากจุดรั่วไหลเดียว
- หากสงสัยว่าคีย์ส่วนตัวรั่วไหล ควรรีบย้ายสินทรัพย์ไปยังกระเป๋าใหม่ การเปลี่ยนรหัสผ่านแอปกระเป๋าเพียงอย่างเดียวมักไม่สามารถหยุดผู้โจมตีที่ได้วลีช่วยจำไปแล้วได้
ความแตกต่างระหว่างการขโมยคีย์ส่วนตัวกับความเสี่ยงอื่น
| ความเสี่ยง | จำเป็นต้องมีคีย์ส่วนตัวรั่วไหลหรือไม่ | คำอธิบาย |
|---|---|---|
การขโมยคีย์ส่วนตัว | ใช่ | ผู้โจมตีได้คีย์ส่วนตัวหรือวลีช่วยจำ จึงลงนามโอนสินทรัพย์ได้โดยตรง |
การใช้อำนาจอนุมัติในทางที่ผิด | ไม่จำเป็น | ผู้ใช้อาจลงนามอนุมัติสัญญาอันตราย ทำให้ผู้โจมตีโอนโทเคนบางชนิดผ่านสัญญาได้ |
บัญชีแพลตฟอร์มซื้อขายถูกขโมย | ไม่จำเป็น | ผู้โจมตีอาจเข้าสู่ระบบบัญชีและถอนเงิน โดยไม่ได้คีย์ส่วนตัวบนเชน |
คีย์ส่วนตัวสูญหาย | ไม่ | ผู้ใช้เข้าถึงคีย์ส่วนตัวไม่ได้ สินทรัพย์อาจไม่สามารถนำมาใช้ได้ แต่ไม่ได้หมายความว่าถูกผู้อื่นขโมยไป |
ขอบเขตที่มือใหม่ควรจำ
ความปลอดภัยของคีย์ส่วนตัวไม่ใช่เรื่องผลตอบแทนการลงทุน แต่เป็นเรื่องสิทธิ์ควบคุมสินทรัพย์ แม้ราคาของสินทรัพย์ไม่ได้ลดลง หากคีย์ส่วนตัวถูกขโมย สินทรัพย์ในกระเป๋าก็อาจถูกโอนออกไปได้ ในทางกลับกัน การเก็บคีย์ส่วนตัวอย่างปลอดภัยไม่ได้หมายความว่าการเทรดจะมีกำไรเสมอไป แต่เป็นเพียงการปกป้องสิทธิ์ควบคุมกระเป๋าในเชิงเทคนิค
หากเกี่ยวข้องกับมูลค่าจำนวนมาก แพลตฟอร์มข้ามพรมแดน หรือธุรกรรมที่น่าสงสัย ควรเก็บหลักฐาน เช่น แฮชธุรกรรม ที่อยู่กระเป๋า บันทึกการสนทนา และภาพหน้าจอหน้าเว็บ และพิจารณาขอความช่วยเหลือจากผู้เชี่ยวชาญด้านความปลอดภัย ฝ่ายสนับสนุนของแพลตฟอร์ม หรือช่องทางบังคับใช้กฎหมายในพื้นที่
คำศัพท์ที่เกี่ยวข้อง
- คีย์ส่วนตัว: ข้อมูลลับที่ใช้ลงนามธุรกรรม เป็นหลักฐานสำคัญในการควบคุมกระเป๋าคริปโต
- วลีช่วยจำ: ชุดคำที่ใช้กู้คืนกระเป๋า โดยทั่วไปสามารถสร้างคีย์ส่วนตัวได้
- กุญแจสาธารณะ / ที่อยู่กระเป๋า: ตัวระบุสาธารณะที่ใช้รับสินทรัพย์
- ฮาร์ดแวร์วอลเล็ต: รูปแบบกระเป๋าที่เก็บคีย์ส่วนตัวไว้ในอุปกรณ์เฉพาะ
- การโจมตีแบบฟิชชิง: การใช้เว็บไซต์ อีเมล หรือข้อความปลอมเพื่อหลอกให้ผู้ใช้เปิดเผยข้อมูลอ่อนไหว
- การอนุมัติสัญญา: การตั้งค่าสิทธิ์บนเชนที่ผู้ใช้อนุญาตให้สมาร์ตคอนแทรกต์ใช้โทเคนบางรายการได้
