สรุปข่าว
- บริษัทรักษาความปลอดภัย Socket Security เปิดเผยแคมเปญมัลแวร์ชื่อ “TrapDoor” ที่ฝังตัวอยู่ในแพ็กเกจซอฟต์แวร์บน npm, PyPI และ Crates.io มุ่งเป้าขโมยกระเป๋าเงินดิจิทัลและข้อมูลสำคัญจากนักพัฒนาคริปโต
- มัลแวร์สามารถฉีดคำสั่งซ่อนเร้นเข้าสู่ผู้ช่วยเขียนโค้ด AI อย่าง Claude และ Cursor ทำให้ AI รัน “การสแกนความปลอดภัย” ปลอมและส่งข้อมูลลับกลับไปยังผู้โจมตีโดยที่นักพัฒนาไม่รู้ตัว
- ตรวจพบแพ็กเกจอันตรายมากกว่า 34 รายการ และเวอร์ชันที่เกี่ยวข้องกว่า 384 เวอร์ชัน โดยผู้โจมตียังคงปล่อยเวอร์ชันใหม่อย่างต่อเนื่อง นักพัฒนาควรตรวจสอบแพ็กเกจที่ติดตั้งทันที
แนวโน้มผลกระทบต่อราคา Bearish
การโจมตีซัพพลายเชนที่มุ่งเป้านักพัฒนาคริปโตโดยตรงสร้างความเสี่ยงต่อความปลอดภัยของโปรเจกต์และกระเป๋าเงินในวงกว้าง หากนักพัฒนาถูกขโมยคีย์ส่วนตัวหรือโทเคน GitHub อาจนำไปสู่การโจมตีโปรเจกต์ DeFi หรือกระเป๋าเงินของผู้ใช้ตามมา ความเชื่อมั่นในระบบนิเวศคริปโตอาจลดลงในระยะสั้น
เมื่อวันที่ 24 พ.ค. 2569 บริษัทรักษาความปลอดภัยทางไซเบอร์ Socket Security ได้เปิดเผยแคมเปญมัลแวร์อันตรายชื่อว่า “TrapDoor” ซึ่งกำลังโจมตีซัพพลายเชนของซอฟต์แวร์ในวงการคริปโต โดยมุ่งเป้าไปที่นักพัฒนาที่ใช้คลังแพ็กเกจยอดนิยมอย่าง npm, PyPI และ Crates.io ตามรายงานจาก Cointelegraph มัลแวร์ตัวนี้ไม่เพียงแต่ขโมยข้อมูลกระเป๋าเงินดิจิทัล แต่ยังมีความสามารถพิเศษในการหลอกผู้ช่วยเขียนโค้ด AI อย่าง Claude และ Cursor ให้ทำงานรับใช้ผู้โจมตีโดยที่นักพัฒนาไม่รู้ตัวอีกด้วย Socket ระบุว่าแพ็กเกจที่เป็นอันตรายรายการแรกถูกอัปโหลดขึ้นสู่ PyPI เมื่อวันที่ 22 พ.ค. 2569 ในชื่อ [email protected] ก่อนที่แคมเปญนี้จะขยายตัวออกไปอย่างรวดเร็ว
TrapDoor ทำงานอย่างไร และขโมยอะไรบ้าง
มัลแวร์ TrapDoor ใช้กลยุทธ์ที่เรียกว่า typosquatting นั่นคือตั้งชื่อแพ็กเกจให้คล้ายคลึงกับซอฟต์แวร์ที่ถูกต้องตามกฎหมายที่นักพัฒนามักใช้งานในโปรเจกต์คริปโต DeFi และ AI เมื่อนักพัฒนาติดตั้งแพ็กเกจปลอมเหล่านี้โดยไม่ตั้งใจ มัลแวร์จะเริ่มรวบรวมข้อมูลสำคัญจากเครื่อง ได้แก่ ข้อมูลกระเป๋าเงินดิจิทัลจากบริการชื่อดังอย่าง Coinbase, Binance, MetaMask และ Brave รวมถึงระบบบล็อกเชนอย่าง Solana, Sui และ Aptos นอกจากนี้ยังขโมยคีย์ SSH, ข้อมูลประจำตัวบนคลาวด์อย่าง AWS, โทเคน GitHub, ข้อมูลเบราว์เซอร์, ตัวแปรสภาพแวดล้อม และคีย์ API อีกด้วย
สิ่งที่ทำให้ TrapDoor น่ากังวลเป็นพิเศษคือความสามารถในการจัดการกับผู้ช่วย AI ที่นักพัฒนาใช้งานประจำ โดยมัลแวร์จะฉีดคำสั่งที่ซ่อนอยู่ผ่านการใช้ Unicode พิเศษเข้าไปในไฟล์คอนฟิกูเรชันอย่าง .cursorrules และ CLAUDE.md ซึ่งเป็นไฟล์ที่ AI อ่านเพื่อเรียนรู้บริบทของโปรเจกต์ เมื่อนักพัฒนาสั่งให้ Claude หรือ Cursor ช่วยงาน AI ก็จะถูกหลอกให้รัน “การสแกนความปลอดภัย” ปลอม และส่งข้อมูลลับที่ค้นพบกลับไปยังเซิร์ฟเวอร์ของผู้โจมตีโดยอัตโนมัติ
ขนาดของการโจมตีและความเร็วในการตรวจจับ
จากข้อมูลของ Socket ณ ขณะที่เปิดเผยรายงาน พบแพ็กเกจอันตรายมากกว่า 34 รายการ และเวอร์ชันรวมทั้งสิ่งประดิษฐ์ที่เกี่ยวข้องกว่า 384 รายการกระจายอยู่ในระบบนิเวศต่างๆ ที่น่าเป็นห่วงคือผู้โจมตียังคงปล่อยเวอร์ชันใหม่อย่างต่อเนื่อง แสดงให้เห็นว่าแคมเปญนี้ยังอยู่ในช่วงดำเนินการ อย่างไรก็ตาม Socket ระบุว่าระบบของตนสามารถตรวจจับแพ็กเกจอันตรายได้เฉลี่ยภายใน 5 นาที 27 วินาที และในกรณีที่เร็วที่สุดทำได้ภายเพียง 58 วินาทีหลังจากแพ็กเกจถูกเผยแพร่ขึ้นไป
สำหรับนักพัฒนาที่ทำงานในวงการคริปโตและ DeFi ควรตรวจสอบแพ็กเกจที่ติดตั้งในโปรเจกต์ทันที โดยเฉพาะแพ็กเกจที่มีชื่อเกี่ยวกับการตรวจสอบความปลอดภัย (security auditor) หรือเครื่องมือที่เกี่ยวกับ Ethereum ที่ไม่คุ้นเคย และควรระมัดระวังในการตรวจสอบไฟล์คอนฟิกูเรชันของ AI ที่ใช้งานอยู่ว่ามีเนื้อหาแปลกปลอมแอบซ่อนอยู่หรือไม่ ก่อนหน้านี้ Siam Blockchain ได้รายงานเกี่ยวกับภัยคุกคามด้านความปลอดภัยที่เชื่อมโยงกับ AI ในบทความ ผู้เชี่ยวชาญเตือน AI กำลังเร่งภัยควอนตัม ให้เจาะรหัสคริปโตได้เร็วขึ้นกว่าเดิม ซึ่งแสดงให้เห็นว่าภาคส่วนความปลอดภัยคริปโตกำลังเผชิญกับภัยคุกคามใหม่ๆ จากโลก AI อย่างต่อเนื่อง
ส่วนตัวผู้เขียนมองว่าการโจมตีครั้งนี้น่ากลัวมากกว่ามัลแวร์ทั่วไป เพราะมันใช้ประโยชน์จากนิสัยการทำงานของนักพัฒนาในยุคปัจจุบันที่ใช้ AI ช่วยเขียนโค้ดเป็นประจำ พอเครื่องมือที่ไว้ใจถูกเปลี่ยนเป็นอาวุธโจมตีตัวเอง มันสร้างความเสี่ยงที่จะตรวจจับได้ยากมาก สิ่งที่น่าจับตาคือผู้โจมตียังปล่อยเวอร์ชันใหม่อย่างต่อเนื่อง แปลว่าขอบเขตของการโจมตีอาจกว้างกว่าที่รายงานไว้ ถ้าคุณเป็นนักพัฒนาที่ทำงานกับโปรเจกต์คริปโตหรือ DeFi แนะนำให้ตรวจสอบแพ็กเกจทุกตัวก่อนวันนี้เลย และระวังเป็นพิเศษกับแพ็กเกจใหม่ที่มีชื่อเกี่ยวกับ security หรือ audit เพราะนั่นอาจเป็นกับดักที่ถูกตั้งชื่อมาเพื่อหลอกคนที่ระมัดระวังเป็นพิเศษด้วยซ้ำ
ที่มา: Cointelegraph
ภาพจาก AI
