4 เคล็ดลับ เพื่อหลีกเลี่ยงการโจมตี "ฟิชชิง" และทำให้ Bitcoin ของคุณปลอดภัย

ภัยฟิชชิ่งในโลกคริปโตยังคงเป็นเรื่องที่เจ้าของ Bitcoin และคริปโตทุกคนต้องระวัง แต่รูปแบบการหลอกลวงเปลี่ยนไปมากจากยุคที่แค่ปลอมอีเมลหรือเว็บไซต์ธรรมดา ปัจจุบันมิจฉาชีพใช้เครื่องมืออัตโนมัติ ปัญญาประดิษฐ์ และช่องทางแชทที่คนคริปโตใช้งานทุกวันอย่าง Telegram และ Discord เป็นเวกเตอร์หลักในการโจมตี บทความนี้อัปเดต 4 วิธีป้องกันฟิชชิ่งด้วยเทคนิคหลอกลวงที่ระบาดจริงในปี 2025-2026

1. รู้แหล่งที่มา ระวังการปลอมตัวด้วย AI Deepfake

เดิมทีฟิชชิ่งอาศัยแค่อีเมลปลอมที่สะกดชื่อโดเมนผิดเพี้ยนเล็กน้อยให้ผู้ใช้หลงเชื่อ แต่ปัจจุบันมิจฉาชีพยกระดับไปถึงขั้นใช้ AI สร้างวิดีโอปลอมตัวเป็นบุคคลที่มีชื่อเสียงแบบเรียลไทม์ กรณีที่เป็นข่าวใหญ่คือการถ่ายทอดสดปลอมที่ใช้ภาพ Deepfake ของ Elon Musk บน YouTube หลอกให้คนโอนคริปโตเข้าโครงการแจกเหรียญปลอม ซึ่งดูดเงินจากเหยื่อไปได้กว่า 5 ล้านดอลลาร์ภายในเวลาเพียง 20 นาที และมีรายงานความเสียหายรวมกว่า 5 ล้านดอลลาร์ตลอดช่วงมีนาคม 2024 ถึงมกราคม 2025 จากรูปแบบนี้เพียงอย่างเดียว เทคโนโลยี Voice Cloning ตอนนี้ต้องการเสียงต้นฉบับแค่ 3 วินาทีก็ปลอมเสียงคนที่คุณรู้จักได้แล้ว การเห็นหน้าหรือได้ยินเสียงคนที่ดูคุ้นเคยในคลิปหรือคอลสด จึงไม่ได้แปลว่าเป็นตัวจริงอีกต่อไป

2. ตรวจสอบให้แน่ใจก่อนเชื่อมต่อกระเป๋าเงินกับเว็บไซต์หรือ dApp ใด ๆ (ระวัง Wallet Drainer)

ภัยที่มาแทนที่มัลแวร์อัปเดตปลอมแบบเก่าคือ "Wallet Drainer" บริการมัลแวร์สำเร็จรูปที่มิจฉาชีพเช่าใช้กันเป็นธุรกิจแบบ Drainer-as-a-Service ตัวที่โด่งดังที่สุดคือ Inferno Drainer ซึ่งประเมินว่าดูดเงินไปแล้วกว่า 80 ล้านดอลลาร์จากเหยื่อกว่า 134,000 ราย ด้วยการปลอมหน้าเว็บเลียนแบบแพลตฟอร์มคริปโตที่น่าเชื่อถือกว่า 100 แบรนด์ แม้ประกาศปิดตัวไปแล้วตั้งแต่ปลายปี 2023 แต่ก็ยังพบว่ากลับมาดูดเงินเพิ่มอีกกว่า 9 ล้านดอลลาร์จากกระเป๋ากว่า 30,000 ใบในช่วงครึ่งปีถัดมา ภาพรวมความเสียหายจาก Wallet Drainer ทั้งหมดในปี 2024 สูงถึงเกือบ 500 ล้านดอลลาร์ เพิ่มขึ้น 67% จากปีก่อนหน้า กลไกหลักคือหลอกให้ผู้ใช้เซ็นอนุมัติ (Approval) ธุรกรรมที่ให้สิทธิ์เบิกเงินไม่จำกัดกับสัญญาที่แฮ็กเกอร์ควบคุมอยู่โดยไม่รู้ตัว ทางที่ปลอดภัยที่สุดคือตรวจสอบทุกครั้งก่อนกดอนุมัติว่ากำลังจะเซ็นอะไร และถอน Approval ที่ไม่ได้ใช้แล้วเป็นระยะผ่านเครื่องมืออย่าง Etherscan Token Approval Checker

3. ระวังส่วนขยายเบราว์เซอร์ปลอมและ Supply Chain Attack

ปัญหาส่วนขยาย Google Chrome ปลอมยังคงอยู่ แต่รูปแบบซับซ้อนขึ้นมาก ในเดือนธันวาคม 2025 เกิดเหตุส่วนขยาย Trust Wallet บน Chrome เวอร์ชัน 2.68 ถูกแฮ็กผ่านการโจมตีแบบ Supply Chain คือแฮ็กเกอร์ขโมยกุญแจลับ (Secret) ของนักพัฒนาบน GitHub จนได้สิทธิ์เข้าถึง Chrome Web Store API แล้วแอบสอดโค้ดอันตรายเข้าไปในอัปเดตที่ดูเหมือนถูกต้องทุกอย่าง ทำให้เงินถูกดูดออกไปกว่า 8.5 ล้านดอลลาร์จาก 2,520 กระเป๋า ความน่ากลัวของเคสนี้คือผู้ใช้ไม่ได้ทำอะไรผิดเลย แค่กดอัปเดตส่วนขยายตามปกติ ภาพรวมทั้งปี 2025 มูลค่าความเสียหายจากกระเป๋าเงินส่วนบุคคลที่ถูกดูดผ่านช่องทางต่าง ๆ รวมถึงส่วนขยายเบราว์เซอร์สูงถึง 713 ล้านดอลลาร์ ข้อควรทำคือติดตั้งเฉพาะส่วนขยายที่จำเป็นจริง ตรวจสอบยอดรีวิวและจำนวนผู้ใช้งานก่อนติดตั้ง และพิจารณาใช้ Hardware Wallet แยกต่างหากสำหรับเงินก้อนใหญ่แทนการฝากไว้ในส่วนขยายเบราว์เซอร์อย่างเดียว

4. ระวังบอทหลอกลวงใน Telegram และ Discord

ชุมชนคริปโตย้ายมาคุยกันใน Telegram และ Discord เป็นหลัก มิจฉาชีพก็ตามมาสร้างบอทอัตโนมัติปลอมตัวเป็นทีมซัพพอร์ต แอดมินกลุ่ม หรือแม้แต่คนดังเพื่อชวนลงทุนหรือหลอกให้กรอกข้อมูลกระเป๋า งานวิจัยด้านความปลอดภัยพบว่าการฉ้อโกงที่ขับเคลื่อนด้วย AI เพิ่มขึ้นถึง 1,210% ในปี 2025 เพียงปีเดียว และรายงานของ FBI (IC3) ระบุว่ามีเรื่องร้องเรียนเกี่ยวกับการฉ้อโกงที่เชื่อมโยงกับ AI กว่า 22,364 เรื่อง มูลค่าความเสียหายรวมเกือบ 893 ล้านดอลลาร์ในปีเดียว ผู้โจมตีคนเดียวตอนนี้สามารถคุยหลอกเหยื่อพร้อมกันได้หลายร้อยบทสนทนาผ่านบอท AI ทำให้สเกลของการหลอกลวงใหญ่ขึ้นมาก หลักการป้องกันที่ยังใช้ได้เสมอคือทีมงานหรือแอดมินที่แท้จริงจะไม่มีทางทักมาขอ seed phrase หรือ private key เป็นการส่วนตัวก่อน และไม่ควรเชื่อคำเชิญให้กดลิงก์ด่วนจากบัญชีที่ทักมาก่อนโดยไม่ได้ร้องขอ

โบนัส: Address Poisoning ภัยเงียบที่มาแรงสุดในรอบปีนี้

อีกเทคนิคที่ไม่ใช่ฟิชชิ่งแบบเว็บปลอมโดยตรง แต่อันตรายไม่แพ้กันและกำลังระบาดหนักคือ "Address Poisoning" วิธีการคือแฮ็กเกอร์ใช้บอทสแกนบล็อกเชนตลอดเวลาเพื่อหากระเป๋าที่โอนเงินก้อนใหญ่เป็นประจำ แล้วสร้างที่อยู่กระเป๋าปลอม (Vanity Address) ที่ตัวอักษรตัวหน้าและตัวท้ายเหมือนที่อยู่ที่เหยื่อเคยโอนเงินไปจริงทุกตัวอักษร ต่างกันแค่ตรงกลาง จากนั้นส่งธุรกรรมเล็ก ๆ (Dust Transaction) จากที่อยู่ปลอมนั้นไปฝังไว้ในประวัติการทำธุรกรรมของเหยื่อ พอเหยื่อจะโอนเงินครั้งต่อไปแล้วก็อบปี้ที่อยู่จากประวัติเก่าโดยไม่เช็กให้ครบทุกตัว เงินก็จะไหลเข้ากระเป๋าแฮ็กเกอร์แทนโดยไม่มีทางเรียกคืนได้เลยเพราะธุรกรรมบนบล็อกเชนย้อนกลับไม่ได้ ความเสียหายจากเทคนิคนี้ในปี 2025 สูงถึง 3.4 พันล้านดอลลาร์ทั่วโลก และมีเคสดังในเดือนธันวาคม 2025 ที่เหยื่อรายเดียวสูญเงินไปกว่า 50 ล้านดอลลาร์จากการก็อปที่อยู่ผิด ทางป้องกันที่ได้ผลที่สุดคือตรวจสอบที่อยู่ปลายทางให้ครบทุกตัวอักษรก่อนกดยืนยันทุกครั้ง ไม่ใช่แค่เช็กตัวหน้ากับตัวท้าย และเก็บที่อยู่ที่ใช้บ่อยไว้ใน Address Book หรือ Whitelist ของกระเป๋าแทนการก็อปจากประวัติธุรกรรม

อ้างอิง : Group-IB, The Hacker News, CryptoSlate, Crypto Daily

📌 อ่านเพิ่มเติม: 5 เคล็ดลับในการปกป้อง Bitcoin ของคุณ โดยทำให้เบราว์เซอร์ปลอดภัย