สรุปสั้น
บริษัท SafePal ผู้ให้บริการกระเป๋าเงินคริปโทเคอร์เรนซีแบบฮาร์ดแวร์ ออกประกาศเตือนเหตุข้อมูลรั่วที่กระทบลูกค้าประมาณ 39,798 ราย หลังมีผู้ใช้ช่องโหว่ในระบบเพื่อขโมยข้อมูลคำสั่งซื้อของลูกค้าออกไป และขณะนี้มีผู้ก่อภัยคุกคามอ้างว่ากำลังนำข้อมูลชุดดังกล่าวออกขาย
SafePal ระบุว่าเหตุการณ์นี้กระทบลูกค้าที่สั่งซื้อสินค้าระหว่างวันที่ 2 มีนาคม 2568 ถึงวันที่ 11 เมษายน 2569 โดยข้อมูลที่ถูกเปิดเผยประกอบด้วยชื่อ ที่อยู่อีเมล ที่อยู่สำหรับจัดส่ง หมายเลขโทรศัพท์ และข้อมูลการซื้อสินค้า ขณะที่บริษัทยืนยันว่าเหตุการณ์นี้ไม่ได้ทำให้ seed phrase ของกระเป๋าเงิน กุญแจส่วนตัว รหัสผ่าน ข้อมูลบัญชีธนาคาร หมายเลขบัตรชำระเงิน หรือหมายเลขบัตรประจำตัวที่ออกโดยรัฐ รั่วไหลออกไปแต่อย่างใด
ต้นตอของเหตุการณ์คือช่องโหว่ด้านการให้สิทธิ์ในฟังก์ชันติดตามคำสั่งซื้อของปลั๊กอินตัวหนึ่ง ซึ่งเปิดทางให้เข้าถึงข้อมูลคำสั่งซื้อของลูกค้ารายอื่นได้โดยไม่ได้รับอนุญาต บริษัทค้นพบระหว่างการรื้อและสร้างระบบประมวลผลคำสั่งซื้อใหม่ทั้งหมดในเดือนกรกฎาคม พร้อมกันนั้นยังพบข้อผิดพลาดในการตั้งค่าอีกจุดที่ทำให้กระบวนการล้างข้อมูลหยุดทำงานไประหว่างเดือนกันยายน 2568 ถึงเมษายน 2569 จนข้อมูลคำสั่งซื้อถูกเก็บค้างไว้ย้อนหลังไปถึงเดือนมีนาคม 2568
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 16 สิงหาคม 2569 ว่า บริษัท SafePal ผู้ผลิตกระเป๋าเงินคริปโทเคอร์เรนซีแบบฮาร์ดแวร์ ออกคำเตือนเรื่องเหตุข้อมูลรั่วที่กระทบลูกค้าราว 39,798 ราย หลังช่องโหว่ในระบบถูกใช้ประโยชน์เพื่อขโมยข้อมูลคำสั่งซื้อของลูกค้า และมีผู้ก่อภัยคุกคามอ้างว่ากำลังนำข้อมูลที่ขโมยมาออกขาย
บริษัทระบุในประกาศด้านความปลอดภัยที่เผยแพร่เมื่อวันอาทิตย์ว่า ยังไม่พบหลักฐานว่าเหตุการณ์นี้ทำให้การเข้าถึงกระเป๋าเงินหรือเงินทุนของลูกค้า SafePal ถูกบุกรุกแต่อย่างใด และได้แจ้งลูกค้าที่ได้รับผลกระทบทุกรายทางอีเมลเมื่อวันที่ 16 สิงหาคม ภายใต้หัวเรื่องที่ระบุว่าข้อมูลคำสั่งซื้อของผู้รับได้รับผลกระทบ
SafePal ยังเปิดเครื่องมือตรวจสอบออนไลน์ให้ลูกค้ากรอกหมายเลขคำสั่งซื้อและประเทศปลายทางที่จัดส่ง เพื่อดูว่ารายละเอียดของคำสั่งซื้อนั้นถูกขโมยไปด้วยหรือไม่ พร้อมเตือนว่าข้อมูลที่ถูกขโมยไปอาจถูกนำไปใช้โจมตีแบบฟิชชิงที่เจาะจงเป้าหมายและการหลอกลวงทางวิศวกรรมสังคมรูปแบบอื่น โดยมีลูกค้ารายงานว่าได้รับอีเมลและสายโทรศัพท์หลอกลวงที่แอบอ้างชื่อ SafePal มาตั้งแต่เดือนพฤษภาคม
ในเวลาต่อมามีผู้ก่อภัยคุกคามอ้างว่ากำลังขายข้อมูลลูกค้าของ SafePal บนฟอรัมอาชญากรรมไซเบอร์ โดยตามที่ผู้ใช้บัญชี DarkWebInformer สังเกตพบ ผู้ขายอ้างอิงช่วงเวลาของคำสั่งซื้อที่ได้รับผลกระทบและจำนวนลูกค้าประมาณ 39,798 รายตรงกับที่ SafePal เปิดเผย และยังยินดีจะแบ่งปันหมายเลขคำสั่งซื้อและประเทศปลายทางที่จัดส่งของคำสั่งซื้อที่ถูกขโมย ให้ผู้ที่สนใจนำไปตรวจสอบกับเครื่องมือตรวจสอบออนไลน์ของ SafePal เพื่อเป็นหลักฐานว่าข้อมูลที่ขายนั้นเป็นของจริง ทั้งนี้ BleepingComputer ระบุว่ายังไม่ได้ตรวจสอบด้วยตนเองว่าผู้ก่อภัยคุกคามรายนี้ครอบครองข้อมูลดังกล่าวจริงหรือไม่
SafePal ระบุว่าได้รับรายงานที่สอดคล้องกับเหตุการณ์นี้ครั้งแรกเมื่อต้นเดือนพฤษภาคม 2569 ซึ่งในตอนนั้นบริษัทมองว่าเป็นกรณีเดี่ยว แต่ได้ยกระดับเป็นการสอบสวนด้านความปลอดภัยอย่างเป็นทางการและเพิ่มมาตรการป้องกันเข้าไป โดยบริษัทอธิบายว่าเนื่องจากระบบอีคอมเมิร์ซของตนประกอบด้วยองค์ประกอบที่เชื่อมโยงกันหลายส่วน มีการเชื่อมต่อกับระบบภายนอก และมีพันธมิตรด้านโลจิสติกส์ที่เป็นบุคคลที่สาม จึงไม่สามารถตัดความเป็นไปได้หลายทางออกไปได้ในทันที
ในเดือนกรกฎาคม SafePal เริ่มสิ่งที่บริษัทเรียกว่าการทบทวนและสร้างระบบประมวลผลคำสั่งซื้อขึ้นใหม่ทั้งหมด และในระหว่างนั้นได้ค้นพบช่องโหว่ด้านการให้สิทธิ์ในฟังก์ชันติดตามคำสั่งซื้อของปลั๊กอินตัวหนึ่ง ซึ่งเปิดให้เข้าถึงข้อมูลคำสั่งซื้อของลูกค้ารายอื่นได้โดยไม่ได้รับอนุญาต บริษัทระบุว่าได้แก้ไขช่องโหว่และเพิ่มมาตรการความปลอดภัยเรียบร้อยแล้ว พร้อมทำงานร่วมกับบริษัทความมั่นคงปลอดภัยภายนอกเพื่อตรวจสอบความถูกต้องของการแก้ไขและทบทวนระบบประมวลผลคำสั่งซื้อในภาพรวม
ที่สำคัญคือ จากการสอบสวนครั้งนี้เอง SafePal จึงระบุได้ว่ามีผู้ก่อภัยคุกคามใช้ช่องโหว่ดังกล่าวขโมยข้อมูลคำสั่งซื้อของลูกค้าไปประมาณ 39,798 ราย
วิธีการโจมตี
ช่องโหว่ที่ถูกใช้เป็นปัญหาด้านการให้สิทธิ์ในฟังก์ชันติดตามคำสั่งซื้อของปลั๊กอินที่ต่อพ่วงกับระบบอีคอมเมิร์ซ กล่าวคือระบบตรวจว่าผู้เรียกดูมีสิทธิ์เข้าถึงคำสั่งซื้อรายการนั้นจริงหรือไม่อย่างไม่รัดกุมพอ ผู้ที่รู้วิธีจึงสามารถเรียกดูข้อมูลคำสั่งซื้อของลูกค้ารายอื่นได้ ซึ่งเป็นรูปแบบเดียวกับที่ทำเป็นสคริปต์วนดึงข้อมูลทีละรายการจนได้ฐานข้อมูลทั้งชุด
สิ่งที่ทำให้ความเสียหายขยายกว้างกว่าที่ควรเป็นคือข้อผิดพลาดในการตั้งค่าอีกจุดหนึ่งที่ SafePal พบระหว่างการสอบสวน โดยกระบวนการล้างข้อมูลอัตโนมัติหยุดทำงานอย่างถูกต้องไประหว่างเดือนกันยายน 2568 ถึงเดือนเมษายน 2569 ทำให้ข้อมูลคำสั่งซื้อถูกเก็บค้างอยู่ในระบบย้อนหลังไปไกลถึงเดือนมีนาคม 2568 ทั้งที่ตามปกติควรถูกลบไปแล้ว จำนวนผู้ได้รับผลกระทบจึงมากกว่าที่ควรจะเป็นหากนโยบายเก็บรักษาข้อมูลทำงานตามที่ออกแบบไว้
ไทม์ไลน์ของเหตุการณ์สะท้อนช่องว่างในการตรวจจับด้วย บริษัทได้รับรายงานที่สอดคล้องกับปัญหานี้ตั้งแต่ต้นเดือนพฤษภาคม 2569 แต่ประเมินในตอนแรกว่าเป็นกรณีเดี่ยว กว่าจะพบสาเหตุที่แท้จริงก็เป็นเดือนกรกฎาคมระหว่างการรื้อระบบใหม่ และประกาศต่อสาธารณะในกลางเดือนสิงหาคม ซึ่งเป็นช่วงที่ลูกค้าบางรายรายงานว่าถูกฟิชชิงไปแล้วตั้งแต่เดือนพฤษภาคม
รูปแบบการนำข้อมูลไปใช้ปรากฏชัดจากกรณีที่ลูกค้ารายหนึ่งโพสต์บนแพลตฟอร์ม X ว่าได้รับอีเมลฟิชชิงและสายโทรศัพท์จากผู้ที่อ้างตัวเป็นพนักงานของบริษัทในเดือนพฤษภาคม โดยอีเมลฟิชชิงอ้างว่าพบช่องโหว่ด้านความปลอดภัยในกระเป๋าฮาร์ดแวร์รุ่น SafePal X1 และจำเป็นต้องอัปเดตเฟิร์มแวร์เพื่อแก้ไข ซึ่งเป็นเรื่องแต่งที่ออกแบบมาเพื่อหลอกให้เหยื่อทำตามขั้นตอนที่นำไปสู่การเปิดเผย seed phrase แม้ทางบริษัทจะยังไม่ชัดเจนว่ารายงานดังกล่าวเกี่ยวข้องกับเหตุการณ์นี้โดยตรงหรือไม่
ผลกระทบ
แม้ข้อมูลที่รั่วจะไม่มี seed phrase หรือกุญแจส่วนตัวเลย แต่ความเสี่ยงของเหตุการณ์นี้สูงกว่าข้อมูลรั่วทั่วไปที่มีข้อมูลชุดเดียวกัน เพราะบริบทของข้อมูลคือรายชื่อผู้ที่ยืนยันแล้วว่าซื้อกระเป๋าเก็บคริปโตแบบฮาร์ดแวร์ พร้อมที่อยู่บ้านและเบอร์โทรศัพท์ นั่นคือรายชื่อบุคคลที่มีแนวโน้มถือครองสินทรัพย์ดิจิทัลมูลค่าสูง พร้อมพิกัดที่อยู่จริง
ในทางปฏิบัติ ข้อมูลชุดนี้ทำให้การหลอกลวงมีความน่าเชื่อถือสูงมาก เพราะผู้โจมตีสามารถอ้างหมายเลขคำสั่งซื้อจริง รุ่นสินค้าที่เหยื่อซื้อจริง และวันที่จัดส่งจริง ก่อนจะเข้าสู่ขั้นตอนหลอกให้กรอก seed phrase ด้วยข้ออ้างเรื่องอัปเดตเฟิร์มแวร์ การคืนสินค้า การขอคืนเงิน หรือการสอบสวนทางกฎหมาย ซึ่งเป็นข้ออ้างที่ SafePal เตือนไว้โดยตรง
จุดที่น่ากังวลเป็นพิเศษคือผู้ขายข้อมูลใช้เครื่องมือตรวจสอบของ SafePal เองเป็นเครื่องพิสูจน์ว่าข้อมูลที่ขายเป็นของจริง โดยส่งหมายเลขคำสั่งซื้อและประเทศปลายทางให้ผู้ซื้อไปตรวจสอบ เครื่องมือที่บริษัทตั้งใจสร้างขึ้นเพื่อช่วยลูกค้าจึงถูกดัดแปลงบทบาทให้กลายเป็นกลไกรับรองคุณภาพสินค้าให้ตลาดมืดไปในตัว
นอกจากนี้ ที่อยู่สำหรับจัดส่งของผู้ถือครองสินทรัพย์ดิจิทัลยังนำไปสู่ความเสี่ยงเชิงกายภาพได้ ไม่ใช่แค่ความเสี่ยงทางออนไลน์ ซึ่งเป็นความเสี่ยงประเภทที่การเปลี่ยนรหัสผ่านหรือย้ายเหรียญไปกระเป๋าใหม่ไม่สามารถแก้ได้ ทั้งนี้ SafePal ระบุว่าลูกค้าที่ข้อมูลคำสั่งซื้อรั่วไม่จำเป็นต้องเปลี่ยนอุปกรณ์หรือย้ายคริปโตเพราะเหตุการณ์นี้ เว้นแต่ผู้ที่เคยแบ่งปัน seed phrase หรือกุญแจส่วนตัวไปแล้วจากการตอบอีเมลหรือข้อความหลอกลวง ซึ่งควรถือว่ากระเป๋าถูกบุกรุกและย้ายสินทรัพย์ไปยังกระเป๋าใหม่บนอุปกรณ์หรือแอปพลิเคชันทางการที่เชื่อถือได้ทันที
คำแนะนำ
ลูกค้าที่เคยสั่งซื้อสินค้าในช่วงเดือนมีนาคม 2568 ถึงเมษายน 2569 ควรใช้เครื่องมือตรวจสอบของ SafePal ยืนยันสถานะคำสั่งซื้อของตน และตั้งสมมติฐานไว้ก่อนว่าข้อมูลติดต่อของตนอยู่ในมือผู้โจมตีแล้ว จากนั้นให้ระวังอีเมล ข้อความ และสายโทรศัพท์ที่อ้างเรื่องอัปเดตเฟิร์มแวร์ การคืนสินค้า การขอคืนเงิน หรือการสอบสวนทางกฎหมายเป็นพิเศษ
หลักการที่ต้องยึดให้มั่นคือไม่มีผู้ผลิตกระเป๋าฮาร์ดแวร์รายใดขอ seed phrase หรือกุญแจส่วนตัวจากลูกค้าไม่ว่าในกรณีใดทั้งสิ้น การอัปเดตเฟิร์มแวร์ที่แท้จริงต้องทำผ่านแอปพลิเคชันทางการเท่านั้น และไม่ควรกดลิงก์ในอีเมลเพื่อเข้าสู่หน้าใด ๆ แต่ควรพิมพ์ที่อยู่เว็บไซต์ทางการเองทุกครั้ง ส่วนผู้ที่เผลอเปิดเผย seed phrase ไปแล้วต้องถือว่ากระเป๋าถูกบุกรุกและย้ายสินทรัพย์ออกทันที
สำหรับผู้ประกอบการอีคอมเมิร์ซ บทเรียนตรงที่สุดจากกรณีนี้มีสองข้อ ข้อแรกคือฟังก์ชันติดตามคำสั่งซื้อและปลั๊กอินของบุคคลที่สามต้องถูกตรวจสอบการควบคุมการเข้าถึงในระดับเดียวกับระบบหลัก เพราะมักเป็นจุดที่ถูกมองข้ามว่าเป็นเพียงฟีเจอร์อำนวยความสะดวก และข้อสองคือนโยบายเก็บรักษาข้อมูลต้องมีการเฝ้าระวังว่าทำงานจริง เพราะกระบวนการล้างข้อมูลที่หยุดทำงานเงียบ ๆ คือสิ่งที่เปลี่ยนเหตุข้อมูลรั่วขนาดเล็กให้กลายเป็นเหตุการณ์ที่กระทบลูกค้าย้อนหลังนับปี