Ice Phishing: ปุ่ม 'Login' ที่ล้างกระเป๋าเงินของคุณ

บทสรุป: Ice Phishing ไม่ได้ขโมยรหัสผ่านของคุณ; มันขโมย "คำอนุญาต" (Permission) ของคุณ ด้วยการหลอกให้คุณเซ็นอนุมัติโทเค็น (Token Approval) ให้กับมิจฉาชีพ พวกเขาจะสามารถดูดสินทรัพย์ของคุณเมื่อไหร่ก็ได้ที่ต้องการ บทความนี้อธิบายฟังก์ชัน 'Approve' และวิธีใช้ Revoke.cash

---

---

1. คอนเซปต์: การอนุมัติ (Approve) vs การโอน (Transfer)

ใน Ethereum/EVM สมาร์ทคอนแทรค (เช่น Uniswap) ไม่สามารถแตะต้องโทเค็นของคุณได้เว้นแต่คุณจะให้สิทธิ์

มีสองวิธีในการโต้ตอบ:

1. Transfer: "ส่ง 10 USDT ให้ Bob" (ทำครั้งเดียว)
2. Approve: "อนุญาตให้ Uniswap ใช้เงินจากกระเป๋าของฉันได้สูงสุด 1,000 USDT" (สิทธิ์ถาวร)

ช่องโหว่: dApps ส่วนใหญ่ขอ "Unlimited Approval" (อนุมัติแบบไม่จำกัด) เพื่อความสะดวก เพื่อที่คุณจะได้ไม่ต้องเซ็นทุกครั้งที่เทรด สแกมเมอร์ฉกฉวยสิ่งนี้

2. การโจมตี: "อัปเดตความปลอดภัย"

คุณได้รับอีเมลหรือเห็นลิงก์บน Twitter: "OpenSea Security Update: Verify your wallet to prevent asset loss."

คุณคลิกลิงก์ มันดูเหมือน OpenSea เป๊ะ

คุณกด "Verify"

กระเป๋าเงินของคุณเด้งคำขอธุรกรรมขึ้นมา

• มันไม่บอกว่า "Send ETH"
• มันบอกว่า "SetApprovalForAll" หรือ "Approve WETH"
• ที่อยู่ผู้ใช้จ่าย (Spender Address) คือสัญญาของแฮ็กเกอร์

กับดัก: คุณคิดว่าคุณกำลัง "ล็อกอิน" หรือ "ยืนยันตัวตน" ในความเป็นจริง คุณเพิ่งเซ็นเอกสารกฎหมายที่บอกว่า: "ฉันอนุญาตให้แฮ็กเกอร์คนนี้โอน NFT และ WETH ทั้งหมดของฉันเมื่อใดก็ได้ที่พวกเขาต้องการ"

พวกเขาไม่ขโมยทันที พวกเขารอให้คุณฝากเงินเพิ่ม แล้วค่อยดูดออกหมดในคราวเดียว

3. วิธีอ่านธุรกรรม

ก่อนกด "Confirm" ให้ดูที่แท็บ Data หรือการจำลองธุรกรรม

ธงแดง (Red Flags) 🚩

1. Function: SetApprovalForAll (นี่คือการยกสิทธิ์การควบคุมคอลเลกชัน NFT ของคุณให้ 100%)
2. Function: Approve (ที่มีตัวเลขมหาศาลเช่น 1.1579e+59)
3. Spender: สัญญาที่ไม่รู้จัก (เช็คบน Etherscan - มัน Verified ไหม? ชื่อ "Uniswap Router" หรือเปล่า?)

4. ทางแก้: Revoke.cash

ถ้าคุณสงสัยว่าเผลอเซ็นอนุมัติแย่ๆ ไป:

1. ไปที่ Revoke.cash
2. เชื่อมต่อกระเป๋า (ในโหมด Read-only ก่อน)
3. สแกนหา "Unlimited Allowances" สำหรับสัญญาแปลกๆ
4. Revoke (เพิกถอน) ทันที จะเสียค่าแก๊สนิดหน่อยแต่มันจะตัดการเชื่อมต่อกับแฮ็กเกอร์

เรียนรู้เพิ่มเติม: เจาะลึกวิธีปิด "ประตูหลัง" เหล่านี้ อ่านคู่มือ The Hidden Backdoor ระวัง Address Poisoning ด้วย ซึ่งจะหลอกให้คุณเป็นคนส่งเงินเอง

บทสรุป

วลีกู้คืนคือกุญแจตู้เซฟ "Approvals" คือลายเซ็นผู้มีอำนาจ คุณคงไม่มอบอำนาจ (Power of Attorney) บัญชีธนาคารให้คนแปลกหน้า - ดังนั้นอย่าให้ SetApprovalForAll กับเว็บสุ่มๆ