The Collaborator Trap: ทำไมถึงไม่ควร 'ช่วยเทสต์' บอทของเพื่อน

บทสรุป: วิศวกรรมสังคม (Social Engineering) ไม่ใช่แค่เรื่องงานปลอม แต่มันคือเรื่องมิตรภาพปลอม บทความนี้จะสืบสวนการสแกม "ช่วยแก้บั๊กหน่อย" ใน Discord/Telegram ผู้โจมตีใช้ความร่วมมือ (Collaboration) เพื่อหลอกให้ Dev โคลน Repo อันตราย

---

---

1. การเข้าหา: "ช่วยดูบั๊กนี้ให้หน่อยได้ไหม?"

คุณอยู่ในช่อง Discord ของไลบรารี Web3 ยอดนิยม (เช่น Ethers.js หรือ Hardhat) ผู้ใช้คนหนึ่ง DM หาคุณหรือพิง (Ping) ในแชทสาธารณะ:

“Hey dev, I'm building an arbitrage bot, but I'm getting a weird gas error on Sepolia. Can you take a look? I'm stuck.”

พวกเขาไม่ขอเงิน พวกเขาไม่ขอ Seed Phrase พวกเขาอ้อนวอนต่อ ความอยากรู้อยากเห็น และ ความต้องการช่วยเหลือ ของคุณ

พวกเขาส่งลิงก์ GitHub มาให้ มันดูเหมือนโปรเจกต์ Hardhat มาตรฐาน

2. ระเบิดเวลา: สคริปต์ "Test"

คุณ Clone Repo มา คุณเช็คโฟลเดอร์ contracts/ ภาษา Solidity ดูปกติ - อาจจะรกหน่อย แต่ปลอดภัย

สแกมเมอร์บอก: "Try running the test script, the error pops up there."

คุณพิมพ์:

npm install

npx hardhat test

เกมโอเวอร์

ในขณะที่การทดสอบรันและพิมพ์ error "gas" ปลอมๆ ลงในคอนโซล กระบวนการเบื้องหลัง (ที่ซ่อนอยู่ใน Dependency ที่ถูกแก้ไขนิดหน่อย หรือไฟล์ test.js ที่อ่านยาก) ได้ทำการ:

1. สแกนโฟลเดอร์ ~/.config
2. ค้นหา browser_data (สถานะ local ของ Chrome/Brave)
3. ถอดรหัสรหัสผ่านที่บันทึกไว้และ Vault ของ MetaMask
4. อัปโหลดข้อมูลไปยังเซิร์ฟเวอร์ระยะไกล

3. รูปแบบ "Game Tester"

อีกรูปแบบที่พบบ่อยซึ่งเล็งเป้าเกมเมอร์:

“เรากำลังสร้างเกม Web3 (เหมือน Axie/Pixels) และต้องการ Beta Tester จ่าย $100 ETH สำหรับการเล่น 20 นาที”

พวกเขาส่งไฟล์ .exe หรือตัวติดตั้งมาให้

สแกม: เกมนั้นมีจริง (มักเป็น Asset ของ Unity ที่ขโมยมา) แต่ตัวติดตั้งจะฝัง "Clipper Malware"

• Clipper: มันเฝ้าดู Clipboard ของคุณ เมื่อคุณก๊อปปี้ที่อยู่กระเป๋าเงินเพื่อส่งเงิน มันจะเปลี่ยนที่อยู่นั้นเป็นแอดเดรสของผู้โจมตีทันที คุณส่งเงินให้พวกโจรโดยไม่รู้ตัว

4. วิธีจับผิด "Collaborator" ตัวปลอม

• "Private" Repos: ความช่วยเหลือ Open Source ที่ถูกต้องเกิดขึ้นใน Public Issues ไม่ใช่ใน DM หรือไฟล์ ZIP
• Obfuscated Code: ถ้าคุณเห็นไฟล์ (เช่น lib/utils.js) ที่เป็นตัวอักษรสุ่มยาวเหยียดบรรทัดเดียว (var _0x5a1...) ลบทิ้งทันที
• Pressure to Run: ถ้าคุณบอกว่า "เดี๋ยวอ่านโค้ดดูก่อน" แล้วพวกเขาหงุดหงิด - บล็อกไปเลย

5. Defense Protocol: Sandbox

อย่า "ช่วย" คนอื่นบนเครื่องหลักของคุณ

1. ใช้ Replit / CodeSandbox: Import Repo ของพวกเขาในสภาพแวดล้อมคลาวด์ ถ้ามีมัลแวร์ มันก็ติดแค่ Cloud Container ไม่ใช่ PC ของคุณ
2. VM Isolation: เช่นเดียวกับในคู่มือ Contagious Interview ใช้ Virtual Machine สำหรับโค้ดที่คุณไม่ได้เขียนเอง
3. Audit Scripts: อ่านสคริปต์ใน package.json เสมอก่อนรัน npm install

ดูเพิ่มเติม: ระวังบทเรียน "รวยเร็ว" บน YouTube - มักจะเป็น MEV Bot Scam ที่ปลอมตัวมา

บทสรุป

ในโลก Open Source ความไว้วางใจต้องได้มาจากการพิสูจน์ ไม่ใช่มอบให้ฟรีๆ "บอทพัง" เป็นกลอุบายที่เก่าแก่ที่สุด ถ้าใครต้องการความช่วยเหลือ ให้พวกเขาโพสต์ Code Snippet หรือ Gist - ห้าม Clone Repo ของคนแปลกหน้าเด็ดขาด