ลองนึกถึงตอนที่คุณเปิดเบราว์เซอร์ Firefox แล้วพิมพ์คำว่า "wallet" ลงในช่องค้นหาของร้านส่วนขยาย (Add-ons) เพื่อหาโปรแกรมเสริมที่จะช่วยให้เช็กยอดคริปโตของตัวเองได้สะดวกขึ้น หน้าจอโชว์รายชื่อส่วนขยายมาเพียบ บางอันมีโลโก้คล้ายกระเป๋าเงินดิจิทัลชื่อดังที่คุณคุ้นตา ดาวรีวิวก็ดูดี คุณกดติดตั้งโดยใช้เวลาตัดสินใจไม่ถึงสิบวินาที
นั่นคือจุดเริ่มต้นของสิ่งที่ทีมวิจัยความปลอดภัยไซเบอร์ Socket เรียกว่า "Offside Wallet Theft Factory" — ปฏิบัติการที่ใช้ส่วนขยาย Firefox ปลอมกว่า 40 รายการ ปลอมตัวเป็นกระเป๋าเงินคริปโตเพื่อขโมยข้อมูลสำคัญที่สุดของนักลงทุนดิจิทัล นั่นคือ seed phrase (วลีกู้คืนกระเป๋าเงิน) และรหัสผ่านที่เก็บไว้ในเบราว์เซอร์ Socket เผยแพร่รายงานฉบับนี้ในช่วงวันที่ 20-25 สิงหาคม 2569 โดยระบุว่าเครือข่ายนี้เคลื่อนไหวมาตั้งแต่เดือนมีนาคม 2569 เป็นอย่างน้อย และที่น่ากลัวกว่าตัวเลข 40 คือวิธีที่พวกเขาใช้ปลอมตัว
ซึ่งไม่ใช่การสร้างส่วนขยายปลอมขึ้นมาโต้งๆ แต่เป็นการ "เลี้ยงดู" ส่วนขยายให้ดูน่าเชื่อถือก่อน แล้วค่อยเปลี่ยนร่างเป็นเครื่องมือขโมยข้อมูลในภายหลัง
ทำไมเรื่องนี้ถึงสำคัญกับคนที่ไม่ได้เทรดคริปโตทุกวันด้วย เพราะสิ่งที่ถูกขโมยในกรณีนี้ต่างจากรหัสผ่านธนาคารที่ยังสามารถโทรแจ้งธนาคารให้อายัดบัญชีได้ทันที เมื่อ seed phrase หรือ private key ของกระเป๋าเงินคริปโตหลุดไปแล้ว มันหลุดไปตลอดกาล ไม่มีปุ่ม "รีเซ็ตรหัสผ่าน" ไม่มีคอลเซ็นเตอร์ให้โทรอายัด เพราะบล็อกเชนถูกออกแบบมาให้ไม่มีตัวกลางควบคุม ใครก็ตามที่ถือกุญแจนั้นคือเจ้าของเงินโดยสมบูรณ์ ไม่ว่าจะเป็นเจ้าของจริงหรือแฮกเกอร์ที่ขโมยไป
ที่น่าสังเกตคือ เมื่อสำรวจรายงานข่าวเกี่ยวกับแคมเปญนี้จากหลายสำนัก ทั้ง Socket เอง, Decrypt, Cybernews และ Bitdefender ไม่มีสำนักใดระบุตัวเลขความเสียหายเป็นดอลลาร์ หรือจำนวนเหยื่อที่ชัดเจนเลยแม้แต่รายเดียว (ตรวจสอบข้อมูล ณ วันที่ 30 สิงหาคม 2569) จุดนี้อาจทำให้บางคนคิดว่าเรื่องนี้ "คงไม่ใหญ่มาก" แต่ความจริงคือตรงกันข้าม การขโมยกระเป๋าเงินคริปโตแทบไม่มีทางสืบสาวไปถึงตัวเลขความเสียหายรวมได้เลย เพราะไม่มีธนาคารกลางที่เก็บบันทึกธุรกรรมทั้งหมด ไม่มีหน่วยงานกำกับที่บังคับให้เหยื่อรายงานความเสียหาย
คนจำนวนไม่น้อยที่โดนขโมยเงินไปก็เลือกไม่พูดถึงมันต่อสาธารณะด้วยความอาย หรือเพราะรู้ว่ารายงานไปก็ไม่มีใครช่วยอะไรได้ ความเงียบของตัวเลขจึงไม่ได้แปลว่าปลอดภัย แต่แปลว่าระบบทั้งระบบถูกออกแบบมาให้ติดตามความเสียหายไม่ได้ตั้งแต่ต้น
และเรื่องนี้ก็ไม่ได้เกิดขึ้นอย่างโดดเดี่ยว ก่อนหน้าแคมเปญ Offside เพียงไม่กี่เดือน ศูนย์ประสานงานความมั่นคงปลอดภัยไซเบอร์แห่งชาติของไทย (ThaiCERT) รายงานเมื่อวันที่ 19 มกราคม 2569 ถึงแคมเปญที่ชื่อ "GhostPoster" ซึ่งเป็นคนละเครือข่ายกันโดยสิ้นเชิงและไม่เกี่ยวกับคริปโตโดยตรง แต่ใช้ส่วนขยายปลอมตัวเป็นเครื่องมือแปลภาษา ตัวบล็อกโฆษณา และตัวดาวน์โหลดวิดีโอ กระจายอยู่ทั้งใน Chrome Web Store, Firefox Add-ons และ Microsoft Edge Add-ons รวม 17 รายการ แต่มียอดติดตั้งรวมกันสูงถึงกว่า 840,000 ครั้ง
เพื่อดักข้อมูลพฤติกรรมการใช้เน็ตและสร้างรายได้จากการโกงลิงก์พันธมิตรและฉีดโฆษณาปลอม ตัวเลขนี้ช่วยฉายภาพให้เห็นว่าปัญหาส่วนขยายเบราว์เซอร์ปลอมไม่ใช่ปรากฏการณ์เฉพาะกลุ่มคริปโตหรือเฉพาะ Firefox แต่เป็นรูปแบบการโจมตีที่เกิดซ้ำในทุกร้านส่วนขยายหลักของโลก
ทำไมถึงเรียกว่า "Offside"
ชื่อแคมเปญ "Offside Wallet Theft Factory" มาจากรูปแบบการปลอมตัวที่ Socket ตรวจพบ ส่วนขยายจำนวนมากในเครือข่ายนี้ไม่ได้เริ่มต้นชีวิตด้วยการเป็นเครื่องมือขโมยข้อมูล แต่เริ่มจากการเป็นแอปพลิเคชันเช็กผลบอลสด (live sports score) ที่ดูไร้พิษภัย ให้บริการจริง ใช้งานได้จริง สะสมยอดติดตั้งและรีวิวไปเรื่อยๆ จนกระทั่งมีฐานผู้ใช้และความน่าเชื่อถือระดับหนึ่ง จากนั้นผู้พัฒนาเบื้องหลัง (ซึ่งควบคุมบัญชีนักพัฒนาเดียวกัน) จึงค่อยๆ ปรับโค้ดให้ส่วนขยายเหล่านั้นแปลงร่างกลายเป็นเครื่องมือขโมยข้อมูล Socket
ระบุว่าพบส่วนขยายลักษณะนี้ 37 รายการที่ทำหน้าที่เป็น "เปลือกกำบัง" (shell) และมี 9 รายการในจำนวนนี้ที่ถูกยืนยันแล้วว่าถูกแปลงร่างเป็นเครื่องมือขโมยข้อมูลจริง
เมื่อรวมกับส่วนขยายที่สร้างขึ้นมาเพื่อขโมยข้อมูลตั้งแต่แรกโดยตรง ตัวเลขรวมทั้งเครือข่ายที่ Socket เชื่อมโยงได้คือ 77 รายการ โดยยืนยันแล้วว่า 40 รายการมีพฤติกรรมขโมยข้อมูลจริง
สำหรับคนที่ไม่คุ้นกับกลไกของร้านส่วนขยาย Firefox Add-ons ควรเข้าใจก่อนว่า ปกติแล้ว Mozilla มีกระบวนการตรวจสอบโค้ดก่อนอนุมัติให้ส่วนขยายเผยแพร่สู่สาธารณะ และมีระบบตรวจสอบซ้ำเมื่อมีการอัปเดตเวอร์ชันใหม่ แต่กระบวนการนี้ตรวจ ณ จุดที่ส่งโค้ดเข้ามาเท่านั้น เมื่อส่วนขยายผ่านการอนุมัติและถูกติดตั้งไปแล้ว นักพัฒนายังสามารถเปลี่ยนพฤติกรรมบางส่วนของมันได้อีกในภายหลัง โดยเฉพาะถ้าออกแบบให้ส่วนขยายไปดึงคำสั่งหรือเนื้อหาจากเซิร์ฟเวอร์ภายนอกแบบเรียลไทม์ตามที่อธิบายในกลุ่มแรกข้างต้น
ซึ่งเป็นช่องโหว่เชิงโครงสร้างที่ระบบตรวจสอบก่อนเผยแพร่แบบดั้งเดิมยังตามไม่ทัน ไม่ว่าจะเป็นร้านของ Mozilla, Google หรือ Microsoft ก็ตาม
สี่วิธีที่ใช้ขโมยข้อมูล
จุดที่ทำให้แคมเปญนี้ต่างจากส่วนขยายปลอมทั่วไปคือความหลากหลายของเทคนิค นักวิจัยของ Socket แบ่งส่วนขยายที่เป็นอันตรายทั้ง 40 รายการออกเป็นสี่กลุ่มตามวิธีขโมยข้อมูล
กลุ่มแรก 7 รายการ ใช้เทคนิคที่เรียกว่า "remote-control phishing" โดยอาศัยบริการฐานข้อมูลบนคลาวด์ชื่อ Supabase เป็นตัวกลาง ส่วนขยายเหล่านี้จะดึงคำสั่งจากฐานข้อมูลนี้แบบเรียลไทม์ ทำให้ผู้ควบคุมสามารถสลับพฤติกรรมของส่วนขยายไปมาระหว่าง "โหมดปกติไร้พิษภัย" กับ "โหมดหน้าฟิชชิงขโมยข้อมูล" ได้ตลอดเวลา โดยไม่ต้องอัปเดตตัวส่วนขยายผ่านร้าน Firefox Add-ons เลยแม้แต่ครั้งเดียว นั่นหมายความว่าแม้ผู้ตรวจสอบของ Mozilla จะเปิดโค้ดดูตอนอนุมัติแล้วเห็นว่าปลอดภัย
ผู้ควบคุมก็ยังสามารถเปิดโหมดอันตรายในภายหลังได้จากระยะไกล
กลุ่มที่สอง ซึ่งมีจำนวนมากที่สุดถึง 15 รายการ เจาะจงเป้าหมายไปที่กระเป๋าเงิน Rabby Wallet โดยตรง ใช้ Cloudflare Workers เป็นช่องทางดักจับข้อมูลลับ (secrets) ของผู้ใช้ในขณะที่ทำธุรกรรม
กลุ่มที่สาม 13 รายการ ใช้วิธีที่เรียกว่า keyring exfiltration คือการดึงข้อมูล keyring ซึ่งเป็นชุดกุญแจเข้ารหัสของกระเป๋าเงิน แล้วส่งออกไปยังเซิร์ฟเวอร์ปลายทางผ่านการเชื่อมต่อ HTTP ธรรมดาที่ไม่มีการเข้ารหัส ไปยังโดเมนอย่าง gemachriverdale.org และ e-wl.com
กลุ่มสุดท้าย 5 รายการ ทำหน้าที่ขโมยข้อมูลบัญชีผู้ใช้และเนื้อหาที่ถูกคัดลอกไว้ในคลิปบอร์ด (ซึ่งมักเป็นที่ที่คนวางที่อยู่กระเป๋าเงินคริปโตไว้ชั่วคราวก่อนโอนเงิน) แล้วส่งไปยังเซิร์ฟเวอร์ปลายทางที่มี IP ตายตัวคือ 77.91.100.175
กลลวงตาที่มองด้วยตาเปล่าจับได้ยาก
อีกจุดหนึ่งที่ Socket เตือนคือกลวิธีตั้งชื่อส่วนขยายให้เลียนแบบแบรนด์จริงโดยใช้ตัวอักษรที่หน้าตาคล้ายกันแต่เป็นคนละตัวอักษร (homoglyph) เช่น ใช้เลขศูนย์แทนตัว O ในชื่อ "0KX WEB3" เพื่อเลียนแบบกระเป๋าเงินและตลาดซื้อขาย OKX หรือใช้สัญลักษณ์วงกลมและกากบาทแทนตัวอักษรในชื่อ "⭘K✖ WaIIet" ซึ่งเมื่อมองผ่านๆ บนหน้าจอมือถือหรือคอมพิวเตอร์ แทบแยกไม่ออกจากชื่อแบรนด์จริง นอกจาก Rabby Wallet และ OKX แล้ว ยังพบว่ามีการปลอมแปลงในชื่อที่พาดพิงถึง TronLink และคำทั่วไปอย่าง "Web3" หรือ "Portal"
ที่ทำให้ดูเป็นเครื่องมือกระเป๋าเงินสากลที่ใช้ได้กับหลายเครือข่าย
Decrypt รายงานว่าแม้ Socket จะแจ้งเตือนไปยัง Mozilla แล้ว แต่ส่วนขยายบางรายการยังคงใช้งานได้อยู่ในร้าน Firefox Add-ons ณ ช่วงเวลาที่รายงานถูกเผยแพร่ ซึ่งสะท้อนข้อจำกัดของระบบตรวจสอบส่วนขยายแบบรวมศูนย์ ที่แม้จะมีกระบวนการรีวิวก่อนอนุมัติ แต่ไม่สามารถตามทันพฤติกรรมที่เปลี่ยนแปลงได้แบบเรียลไทม์อย่างที่กลุ่มแรกใช้ ทั้งนี้ Socket เองระบุในรายงานว่า "เราขอบคุณความใส่ใจและการตอบสนองที่รวดเร็วของทีม Add-ons Operations ของ Mozilla" ซึ่งแปลว่าเมื่อได้รับแจ้งแล้ว Mozilla ก็ดำเนินการปิดกั้นตามกระบวนการ
เพียงแต่ช่วงเวลาระหว่างที่ส่วนขยายเริ่มทำงานอันตรายจนถึงวันที่ถูกแจ้งและปิดกั้นได้ คือ "ช่องว่าง" ที่ผู้ใช้ทั่วไปตกเป็นเหยื่อได้เสมอ
เมื่อ "สิทธิ์การเข้าถึงน้อย" ไม่ได้แปลว่าปลอดภัย
ประเด็นทางเทคนิคที่ Socket เน้นย้ำเป็นพิเศษคือเรื่องสิทธิ์การเข้าถึง (permissions) ที่ส่วนขยายเหล่านี้ขอจากผู้ใช้ตอนติดตั้ง ผู้ใช้จำนวนมากถูกสอนให้เช็กว่าส่วนขยายขอสิทธิ์เข้าถึงอะไรบ้างก่อนติดตั้ง ยิ่งขอน้อยยิ่งดูปลอดภัย แต่ในกรณีของส่วนขยายอย่าง "0KX WEB3" นักวิจัยพบว่ามันขอสิทธิ์เพียงแค่ "storage" (พื้นที่จัดเก็บข้อมูลในเครื่อง) กับ "tabs" (การเข้าถึงแท็บเบราว์เซอร์) เท่านั้น ซึ่งดูน้อยมากเมื่อเทียบกับส่วนขยายทั่วไป แต่ Socket อธิบายว่า "ส่วนขยายแทบไม่ต้องการสิทธิ์อะไรเลย
ถ้าหน้าที่ของมันคือแค่แสดงหน้าเว็บจากระยะไกลแล้วโน้มน้าวให้เหยื่อกรอกข้อมูลลับด้วยตัวเอง" พูดง่ายๆ คือ ส่วนขยายไม่จำเป็นต้อง "แฮ็ก" อะไรเลย มันแค่ต้องหลอกให้คุณพิมพ์ seed phrase ใส่หน้าต่างป๊อปอัปที่มันสร้างขึ้นมาเอง สิทธิ์การเข้าถึงน้อยจึงไม่ใช่เครื่องยืนยันความปลอดภัยเสมอไป
ที่น่ากังวลยิ่งกว่านั้น Socket ยังพบว่าส่วนขยายบางรายการในเครือข่ายนี้ไม่ได้เป็นแค่หน้ากากเปล่าๆ แต่เป็น "โคลนของจริง" คือนำโค้ดของ Rabby Wallet ตัวจริงมาดัดแปลง (modified Rabby Wallet builds) ทำให้ฟังก์ชันกระเป๋าเงินทำงานได้ตามปกติทุกอย่าง ผู้ใช้เชื่อมต่อกระเป๋าเงิน โอนเงิน เช็กยอดได้เหมือนของแท้ไม่ผิดเพี้ยน แต่เบื้องหลังกลับแอบส่งข้อมูลลับออกไปด้วยในเวลาเดียวกัน ความแนบเนียนระดับนี้ทำให้แยกไม่ออกด้วยการสังเกตพฤติกรรมการใช้งานทั่วไป ต่างจากส่วนขยายปลอมที่ทำงานผิดเพี้ยนจนสังเกตได้
ไม่ใช่ครั้งแรก และคงไม่ใช่ครั้งสุดท้าย
ควรแยกให้ชัดว่าแคมเปญ "Offside Wallet Theft Factory" ของ Socket ในเดือนสิงหาคม 2569 นี้ เป็นคนละเหตุการณ์กับแคมเปญ "FoxyWallet" ที่บริษัทความปลอดภัยไซเบอร์อีกแห่งคือ Koi Security เคยเปิดโปงไปเมื่อเดือนกรกฎาคม 2568 ปีที่แล้ว แม้ทั้งสองแคมเปญจะมีรูปแบบคล้ายกันคือใช้ส่วนขยาย Firefox ปลอมกว่า 40 รายการเพื่อขโมยข้อมูลกระเป๋าเงินคริปโตเหมือนกัน แต่ FoxyWallet เคลื่อนไหวมาตั้งแต่เดือนเมษายน 2568 ปลอมตัวเป็นกระเป๋าเงินยี่ห้ออื่น เช่น Coinbase, MetaMask, Trust Wallet, Phantom, Exodus, OKX, Keplr,
MyMonero, Bitget, Leap, Ethereum Wallet และ Filfox พร้อมใช้รีวิวห้าดาวปลอมจำนวนมากเพื่อสร้างความน่าเชื่อถือ และ Koi Security ตั้งข้อสังเกตว่าอาจมีความเชื่อมโยงกับกลุ่มผู้ไม่หวังดีที่ใช้ภาษารัสเซีย
การที่มีแคมเปญลักษณะนี้เกิดขึ้นซ้ำห่างกันเพียงปีเดียว บอกอะไรบางอย่างที่สำคัญกว่าตัวเลข 40 รายการในแต่ละครั้ง นั่นคือร้านส่วนขยายเบราว์เซอร์แบบเปิด ซึ่งใครก็สามารถส่งซอฟต์แวร์เข้าไปให้ผู้ใช้ทั่วโลกติดตั้งได้ ยังคงเป็นช่องทางที่ผู้ไม่หวังดีมองเห็นโอกาสอยู่เสมอ ตราบใดที่มูลค่าคริปโตยังดึงดูดคนให้อยากมีกระเป๋าเงินดิจิทัลของตัวเอง
สิ่งที่ต่างกันระหว่างสองแคมเปญนี้คือกลยุทธ์การปลอมตัว FoxyWallet ในปี 2568 เลือกปลอมตัวเป็นกระเป๋าเงินยี่ห้อดังตั้งแต่วันแรกที่เผยแพร่ พร้อมปั๊มรีวิวปลอมให้ดูน่าเชื่อถือทันที ส่วน Offside Wallet Theft Factory ในปี 2569 เลือกวิธีที่ใช้เวลานานกว่าแต่แนบเนียนกว่า คือสร้างตัวตนที่ดูไร้พิษภัยขึ้นมาก่อน ปล่อยให้มันสะสมความน่าเชื่อถือของจริงจากผู้ใช้จริงเป็นเดือนๆ แล้วค่อยเปลี่ยนแปลงพฤติกรรมทีหลัง วิวัฒนาการของกลยุทธ์นี้บอกเป็นนัยว่า ผู้ไม่หวังดีเรียนรู้แล้วว่าการใช้ "ความน่าเชื่อถือของจริง"
เป็นเกราะกำบัง ได้ผลดีกว่าการปลอมความน่าเชื่อถือขึ้นมาตั้งแต่ต้น
สำหรับใครก็ตามที่ถือคริปโตอยู่บ้าง ไม่ว่าจะน้อยหรือมาก หรือดูแลบัญชีดิจิทัลให้คนในครอบครัวหรือทีมงาน มีสิ่งที่ทำได้จริงตั้งแต่วันนี้
ข้อแรก อย่าติดตั้งส่วนขยายกระเป๋าเงินจากการค้นหาในร้าน Add-ons โดยตรง ให้เข้าเว็บไซต์ทางการของกระเป๋าเงินนั้นๆ ก่อนเสมอ แล้วคลิกลิงก์ติดตั้งจากหน้าเว็บทางการเท่านั้น เพราะเว็บไซต์ทางการมักมีลิงก์ตรงไปยังเวอร์ชันที่ยืนยันตัวตนแล้ว ต่างจากการเสิร์ชในร้านที่ผลลัพธ์อันดับต้นๆ อาจเป็นของปลอมที่จ่ายเงินโปรโมทหรือปั๊มยอดติดตั้งมาก่อนแล้วก็ได้
ข้อสอง อย่าไว้ใจดาวรีวิวหรือจำนวนการติดตั้งเพียงอย่างเดียว เพราะอย่างที่เห็นจากทั้งสองแคมเปญ ทั้งรีวิวปลอมและการสะสมความน่าเชื่อถือจริงก่อนแปลงร่างเป็นเครื่องมือขโมยข้อมูล ล้วนถูกใช้เป็นเครื่องมือหลอกลวงได้ทั้งคู่ ตัวเลขที่ดูน่าเชื่อถือที่สุดในวันนี้ อาจไม่ได้สะท้อนความปลอดภัยของวันพรุ่งนี้เลย
ข้อสาม ถ้าเคยติดตั้งส่วนขยายกระเป๋าเงินจากแหล่งที่ไม่แน่ใจ หรือสงสัยว่าอาจเคยกรอก seed phrase ผ่านหน้าต่างป๊อปอัปที่ไม่คุ้นตา สิ่งที่ Socket แนะนำและควรทำทันทีคือถือว่ากระเป๋าเงินนั้น "ถูกเผาแล้ว" ห้ามรอดูสถานการณ์ ให้ย้ายเงินทั้งหมดไปยังกระเป๋าเงินใหม่ที่สร้างจากอุปกรณ์และ seed phrase ชุดใหม่ทันที เพราะไม่มีทางรู้ได้เลยว่าใครถือกุญแจชุดเดิมอยู่บ้างแล้ว การรอ "เผื่อว่าจะไม่มีอะไรเกิดขึ้น" ในกรณีแบบนี้มีแต่จะเพิ่มความเสี่ยง ไม่มีทางลดมันลงได้เลย
ข้อสี่ หมั่นเปิดรายการส่วนขยายที่ติดตั้งอยู่ในเบราว์เซอร์เป็นระยะ แล้วลบตัวที่ไม่ได้ใช้งานแล้วออก โดยเฉพาะแอปเช็กผลบอลหรือเครื่องมือเสริมเล็กๆ ที่ดูไม่เกี่ยวกับการเงินเลย เพราะอย่างที่เคสนี้แสดงให้เห็น มันอาจเป็นจุดเริ่มต้นที่ถูกเลี้ยงไว้เพื่อวันหนึ่งจะกลายเป็นอย่างอื่น และอย่าเชื่อว่าส่วนขยายที่ขอสิทธิ์เข้าถึงน้อยคือส่วนขยายที่ปลอดภัยกว่า เพราะอย่างที่เห็นจากกรณี "0KX WEB3" สิทธิ์น้อยแค่ "storage" กับ "tabs" ก็เพียงพอจะสร้างหน้าต่างหลอกเอา seed phrase ได้แล้ว
ข้อห้า สำหรับคนที่ดูแลบัญชีดิจิทัลให้พ่อแม่ คู่สมรส หรือลูกน้องในทีมงาน ควรถือโอกาสนี้พูดคุยกับพวกเขาตรงๆ ว่าไม่มีใครควรพิมพ์ seed phrase หรือรหัสผ่านสำคัญลงในหน้าต่างป๊อปอัปใดๆ ไม่ว่าหน้าตาจะดูเป็นทางการแค่ไหน คนวัย 40 ปีขึ้นไปจำนวนไม่น้อยเพิ่งเริ่มเข้าสู่โลกคริปโตหรือสินทรัพย์ดิจิทัลในช่วงไม่กี่ปีที่ผ่านมา และอาจยังไม่ได้ถูกฝึกให้ระแวงหน้าจอที่ดูสวยงามเรียบร้อยเหมือนคนที่โตมากับอินเทอร์เน็ตยุคหลัง การเตือนกันตรงๆ ในครอบครัวหรือทีมงาน
บางทีก็ป้องกันความเสียหายได้มากกว่าการอ่านบทความแบบนี้คนเดียวเสียอีก
สำหรับคนทำงานสายสื่อและคอนเทนต์ที่ต้องดูแลไฟล์งาน บัญชีลูกค้า หรือข้อมูลการเงินของตัวเองและทีม บทเรียนจากเรื่องนี้ไม่ได้จำกัดอยู่แค่คริปโต ความปลอดภัยดิจิทัลก็เหมือนอุปกรณ์ถ่ายทำที่ต้องหมั่นตรวจเช็ก ไม่ใช่ซื้อมาแล้วปล่อยไว้เฉยๆ กล้อง ไมค์ หรือฮาร์ดดิสก์สำรองข้อมูล ถ้าไม่เคยเปิดดูสภาพเลยสักครั้งตั้งแต่ซื้อมา วันหนึ่งมันก็อาจจะพังตอนที่ต้องใช้งานจริงพอดี ส่วนขยายเบราว์เซอร์ที่นอนนิ่งอยู่ในเครื่องโดยไม่มีใครเหลียวแลก็ไม่ต่างกัน เครื่องมือที่ดูไร้พิษภัยที่สุด
บางทีก็เป็นจุดที่ไม่มีใครคิดจะสงสัยเป็นอันดับแรก แล้วคุณล่ะ เปิดรายการส่วนขยายในเบราว์เซอร์ของตัวเองครั้งล่าสุดเมื่อไหร่
Sources:
- 77 Firefox Extensions Linked to Crypto Wallet and Credential Theft — Socket.dev, 24 สิงหาคม 2569
- 40 Malicious Firefox Extensions Pose as Web3 Products to Steal Wallet Secrets — The Hacker News, สิงหาคม 2569
- Malicious Firefox extensions are stealing crypto login data — Cybernews, 25 สิงหาคม 2569
- Malicious Firefox add-ons caught stealing cryptowallet seed phrases and browser credentials — Bitdefender Hot for Security, 24 สิงหาคม 2569
- FoxyWallet campaign background: Koi Security, กรกฎาคม 2568 (ผ่านการรายงานของ The Block)
- 17 Malicious Browser Extensions Discovered, Over 840,000 Installations Linked to Data-Stealing Malware — ThaiCERT, 19 มกราคม 2569