CZ เตือนคนใช้ social login กับกระเป๋าคริปโต หลัง Web3Auth หยุดบริการ Keplr รับรายงานธุรกรรมไม่ได้รับอนุญาต

ชางเผิง จ้าว (Changpeng Zhao) หรือ CZ ผู้ก่อตั้ง Binance โพสต์บน X เมื่อเวลา 23:53 น. วันที่ 8 พฤศจิกายน 2569 เตือนผู้ที่เคยใช้ social login กับกระเป๋าคริปโต ให้ศึกษาเรื่องนี้เพิ่มเพื่อปกป้องเงินของตัวเอง โดยแนบโพสต์ของ Web3Auth ผู้ให้บริการระบบล็อกอินสำหรับกระเป๋า ที่ระบุว่ารู้ปัญหาความปลอดภัยของบริการที่บุคคลที่สามบางรายใช้ และหยุดบริการกระเป๋าแบบฝังในแอป หรือ embedded wallet ชั่วคราว Web3Auth ระบุว่าตรวจเบื้องต้นแล้วไม่พบหลักฐานว่าผู้ใช้ MetaMask ได้รับผลกระทบ ส่วน Keplr กระเป๋าในระบบนิเวศ Cosmos รับรายงานธุรกรรมที่ไม่ได้รับอนุญาตในบัญชีที่สร้างด้วย Google หรือ Apple

CZ โพสต์อะไร และไม่ได้โพสต์อะไร

ข้อความของ CZ บนบัญชี cz_binance แปลได้ว่า ถ้าเคยใช้ social login กับกระเป๋าคริปโต ควรศึกษาหัวข้อนี้เพิ่มเพื่อปกป้องเงิน และปิดท้ายว่าการเก็บเหรียญเองคือความรับผิดชอบของตัวเอง โพสต์นี้แนบโพสต์ของ Web3Auth มาด้วย CZ ไม่ได้ระบุชื่อกระเป๋าที่ได้รับผลกระทบ ไม่ได้ระบุยอดความเสียหาย และไม่ได้บอกว่าตัวเองมีข้อมูลเพิ่มเติมนอกเหนือจากประกาศของ Web3Auth

social login คือการเข้าใช้กระเป๋าด้วยบัญชี Google หรือ Apple แทนการจดคำกู้คืนของกระเป๋า ซึ่งปกติเป็นคำภาษาอังกฤษ 12 หรือ 24 คำ ข้อดีคือผู้ใช้ไม่ต้องเก็บคำเหล่านั้นเอง แต่ต้องพึ่งผู้ให้บริการที่ทำหน้าที่ล็อกอินอยู่เบื้องหลัง

Web3Auth แถลงอะไรเมื่อวันที่ 7 พฤศจิกายน

โพสต์ของ Web3Auth บน X เมื่อ 04:13 น. วันที่ 7 พฤศจิกายน เวลาไทย ระบุว่ารับทราบปัญหาความปลอดภัยที่กระทบบริการของ Web3Auth ที่บุคคลที่สามบางรายใช้ และหยุดบริการ embedded wallet ชั่วคราว หลังตรวจสอบเบื้องต้นยังไม่พบหลักฐานว่าผู้ใช้ MetaMask ได้รับผลกระทบ ประกาศเดียวกันปรากฏในหมวดประกาศ Announcements ของฟอรัมนักพัฒนา MetaMask Builder Hub โดยเพิ่มว่าจะแจ้งรายละเอียดที่ยืนยันแล้วและขั้นตอนที่ผู้ใช้บริการที่ได้รับผลกระทบต้องทำ เมื่อมีข้อมูล

ข้อมูลของ Bitquery และ Crypto Briefing ระบุว่า Web3Auth อยู่ในเครือ Consensys ซึ่งเป็นบริษัทเบื้องหลัง MetaMask มาตั้งแต่ปี 2568 Bitcoinaddict.com เคยรายงานเรื่อง MetaMask เปิดตัวฟีเจอร์ Social Login รองรับ Google และ Apple ไว้ก่อนหน้านี้

Keplr รับรายงานธุรกรรมที่ไม่ได้รับอนุญาต

Keplr โพสต์เมื่อ 11:38 น. วันที่ 7 พฤศจิกายน เวลาไทย ว่าได้รับรายงานธุรกรรมที่ไม่ได้รับอนุญาตในบางบัญชีที่สร้างด้วย Google หรือ Apple login และส่งเรื่องให้ทีม Web3Auth ตรวจสอบแล้ว โพสต์เดียวกันของ Keplr ระบุว่า จากการประเมินเบื้องต้น กระเป๋าที่สร้างด้วยคำกู้คืนหรือฮาร์ดแวร์วอลเล็ตไม่ได้รับผลกระทบ และหยุดให้ล็อกอินด้วย Google และ Apple ไว้ก่อน

crypto.news รายงานว่า Josh Lee ผู้ร่วมก่อตั้ง Keplr ระบุว่าเหตุนี้ไม่ใช่การแฮ็กโค้ดของ Keplr แต่ต้นเหตุอยู่ที่ Web3Auth ซึ่งเป็นผู้ให้บริการที่ Keplr ใช้ และประเมินว่าราว 20% ของบัญชีที่ล็อกอินด้วย Google และ Apple อาจได้รับผลกระทบ แต่มีเพียงบางส่วนที่ถูกใช้เงินไปจริง ตัวเลข 20% เป็นการประเมินของผู้ร่วมก่อตั้ง ยังไม่ใช่ยอดที่ยืนยัน

ตัวเลข 6 ล้านดอลลาร์ หมายถึงอะไร

Bitquery บริษัทวิเคราะห์ข้อมูลบล็อกเชน นับว่าอย่างน้อย 44,041 กระเป๋าบน 7 เชน Cosmos และ 7,603 กระเป๋าบน Injective บล็อกเชนอีกเครือข่ายที่ Keplr รองรับ ส่งเงินรวมราว 6.01 ล้านดอลลาร์ หรือราว 201 ล้านบาท ที่อัตราราว 33.5 บาทต่อดอลลาร์ ไปยัง 2 ที่อยู่ ณ เวลา 15:38 น. UTC วันที่ 7 พฤศจิกายน ในรายงานฉบับแรก Bitquery ระบุว่าเป็นเงินที่ผู้โจมตีดูดไป แต่ภายหลังแก้ไขรายงาน หลัง Web3Auth และ Keplr ชี้แจงว่า 2 ที่อยู่นี้เป็นกระเป๋ากู้คืนของ Web3Auth

Bitquery ระบุว่าไม่สามารถตรวจสอบได้ว่าใครถือกระเป๋าเหล่านี้ และทั้ง Keplr กับ Web3Auth ยังไม่ได้ระบุที่อยู่ของผู้โจมตีรายแรกหรือยอดที่ผู้โจมตีได้ไป ตัวเลข 6.01 ล้านดอลลาร์จึงเป็นเงินที่ถูกย้ายเข้ากระเป๋ากู้คืนตามที่ Web3Auth ระบุ ไม่ใช่ยอดโจรกรรมที่ยืนยันแล้ว บางสื่อที่ใช้คำว่าเงินถูกดูด 6 ล้านดอลลาร์ใช้ตัวเลขชุดเดียวกันนี้

Web3Auth ย้ายเงินกู้คืนอย่างไร

Web3Auth โพสต์ความคืบหน้าเมื่อ 13:23 น. วันที่ 8 พฤศจิกายน เวลาไทย ว่าโอนสินทรัพย์ของกระเป๋า Keplr ที่ได้รับผลกระทบเข้ากระเป๋ากู้คืนที่ปลอดภัย โดยได้รับความช่วยเหลือจาก Keplr ตาม crypto.news Web3Auth เผยแพร่รายการที่อยู่กระเป๋ากู้คืนที่ยืนยันแล้ว และเตือนว่าธุรกรรมกู้คืนบางรายการถูกเข้าใจผิดว่าเป็นฝีมือผู้โจมตี เพราะใช้เส้นทางเทคนิคเดียวกับที่ผู้โจมตีใช้

Keplr เตือนว่ากระเป๋า Google และ Apple login บางใบอาจแสดงยอดคงเหลือลดลงหรือว่างเปล่าระหว่างกู้คืน และสินทรัพย์ที่ล็อกหรือสเตกอยู่ต้องใช้ขั้นตอนที่ซับซ้อนกว่า อาจใช้เวลานานกว่า ผู้ใช้ social login ของ Keplr ได้รับคำแนะนำไม่ให้ส่งเงินเพิ่มเข้าบัญชีที่อาจได้รับผลกระทบ และให้ย้ายสินทรัพย์ที่เหลือไปยังบัญชีที่สร้างด้วยคำกู้คืนหรือฮาร์ดแวร์วอลเล็ต คำแนะนำนี้เป็นของ Keplr ถึงผู้ใช้ Keplr ตามที่ crypto.news รายงาน Keplr ยังเตือนให้เชื่อประกาศจากบัญชีทางการของ Keplr เท่านั้น และอย่าสนใจข้อความส่วนตัวหรือลิงก์ที่อ้างว่าช่วยกู้คืน

สิ่งที่ยังไม่รู้ และข้อมูลจากผู้ใช้

ผู้ให้บริการยังไม่ได้เปิดเผยจุดเข้าโจมตีทางเทคนิค ยังไม่ได้ประกาศรายชื่อกระเป๋าอื่นที่ใช้บริการเดียวกัน และยังไม่ได้บอกกำหนดการกลับมาให้บริการ ตัวเลขยอดที่ผู้โจมตีได้ไปและยอดที่กู้คืนได้สำเร็จก็ยังไม่ถูกประกาศ

ในฟอรัมนักพัฒนา MetaMask Builder Hub มีผู้ใช้หลายรายโพสต์ว่ายังล็อกอินด้วย Gmail หรือ Apple ไม่ได้ และบางรายระบุว่าแม้ล็อกอินด้วยอีเมลธรรมดาก็ใช้ไม่ได้ ข้อความเหล่านี้เป็นของผู้ใช้ ไม่ใช่คำแถลงของ MetaMask หรือ Web3Auth

เรื่องคำแนะนำเกี่ยวกับกระเป๋าและการเก็บกุญแจ ดูได้จากข่าว CZ ผู้ก่อตั้ง Binance แนะกระจายกระเป๋าเก็บ หลังช่องโหว่ Coldcard เสียหายพุ่ง $89 ล้าน ที่ Bitcoinaddict.com เคยรายงาน

📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:

👉 CZ ผู้ก่อตั้ง Binance แนะกระจายกระเป๋าเก็บ หลังช่องโหว่ Coldcard เสียหายพุ่ง $89 ล้าน

👉 MetaMask เปิดตัวฟีเจอร์ Social Login รองรับ Google และ Apple ไม่ง้อ Seed Phrase

👉 Ledger ยืนยันแล้ว พบชิ้นส่วนแอบฝังในกระเป๋าคริปโต 1 เครื่อง สั่งร้านตัวแทนหยุดขาย

🔗 อ้างอิงต้นฉบับ: โพสต์ของ CZ เมื่อ 8 พฤศจิกายน 2569 และ โพสต์ของ Web3Auth โพสต์ของ Keplr ความคืบหน้าการกู้คืนของ Web3Auth MetaMask Builder Hub Bitquery รวมถึง crypto.news และ Crypto Briefing สำหรับข้อมูลเพิ่มเติม

💬 ความเห็นบรรณาธิการ Bitcoinaddict

ข้อสังเกตคือ คำเตือนของ CZ สั้นมาก ข้อมูลที่ตรวจได้ทั้งหมดมาจากประกาศของ Web3Auth Keplr และ Bitquery ไม่ใช่จาก CZ สำหรับผู้ใช้ในไทย ข่าวนี้เกี่ยวกับกระเป๋าที่เข้าด้วยบัญชี Google หรือ Apple ผ่านผู้ให้บริการล็อกอินรายนี้ ผู้ที่ใช้กระเป๋าแบบนี้ควรเช็คประกาศของผู้ให้บริการกระเป๋าที่ตัวเองใช้ ตัวเลข 6.01 ล้านดอลลาร์ยังไม่ใช่ยอดโจรกรรมที่ยืนยัน ข่าวนี้ไม่เกี่ยวกับ Binance TH ซึ่งเป็นนิติบุคคลแยกจาก Binance global ที่ CZ ก่อตั้ง Bitcoinaddict.com เป็นพันธมิตร (affiliate) ของ Binance TH ข้อมูลนี้ไม่ใช่คำแนะนำการลงทุน

ภาพปก: ภาพประกอบสร้างด้วย AI ต้นแบบภาพ Changpeng Zhao 2022 โดย Aevozer, Wikimedia Commons ใบอนุญาต CC BY-SA 4.0 ครอบตัดเฉพาะใบหน้า

รายงานโดยทีมข่าว Bitcoinaddict.com