นักเทรดระวัง MEXC Extension ปลอมบน Chrome ติดตั้งแล้วเหรียญคริปโตอาจหายหมดบัญชี

ถึงแม้ในด้านการเทรดคริปโตเคอร์เรนซีนั้น ผู้ใช้งานจำนวนมากมักจะดำเนินการผ่านทางแอปพลิเคชันบนโทรศัพท์มือถือเป็นหลัก แต่บางส่วนก็ดำเนินกิจกรรมที่เกี่ยวข้องบนคอมพิวเตอร์ส่วนบุคคล หรือ PC (Personal Computer) ด้วยการใช้ทั้งซอฟต์แวร์แบบจำเพาะ, ผ่านหน้าเว็บไซต์ และการใช้งานส่วนเสริมของเว็บเบราว์เซอร์ ซึ่งในข่าวนี้สิ่งหลังกำลังตกเป็นประเด็นอีกครั้ง

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบส่วนเสริมของเว็บเบราว์เซอร์ Chrome ที่อ้างว่าสามารถช่วยเหลือผู้ใช้งานให้สามารถทำการเทรดเหรียญคริปโตเคอร์เรนซีบนตลาดซื้อขายแลกเปลี่ยนเหรียญคริปโตเคอร์เรนซีแบบรวมศูนย์ (CEX หรือ Centralized Exchange) MEXC ได้อย่างอัตโนมัติ ที่มีชื่อว่า MEXC API Automator (ID: pppdfgkfdemgfknfnhpkibbkabhghhfh) ซึ่งส่วนเสริมดังกล่าวนั้นมีผู้พัฒนาชื่อว่า "jorjortan142" และได้ถูกอัปโหลดขึ้นบนตลาดสำหรับการดาวน์โหลด Extension ของ Google Chrome อย่างเป็นทางการอย่าง Chrome Web Store มาตั้งแต่วันที่ 1 กันยายน ค.ศ. 2025 (พ.ศ. 2568) และยังมีให้ดาวน์โหลดมาจนถึงปัจจุบัน โดยมีผู้ดาวน์โหลดไปประมาณ 29 ราย ซึ่งในภายหลังได้มีผู้มาเปิดโปงว่าส่วนเสริมดังกล่าวนั้นมีอันตรายที่ถ้าผู้ใช้งานดาวน์โหลดไปอาจทำให้ถูกขโมยกุญแจ API (API Key) อันจะนำไปสู่การสูญเสียทรัพย์สินคริปโตเคอร์เรนซีในบัญชีแบบ MEXC ได้ นอกจากนั้นทาง MEXC ยังได้ออกมาปฏิเสธว่า ส่วนเสริมดังกล่าวนั้นไม่มีส่วนเกี่ยวข้องกับทางเว็บไซต์ และพร้อมที่จะดำเนินคดีทางกฎหมายกับผู้ที่เกี่ยวข้องทั้งหมด

ซึ่งผู้ที่ออกมาเปิดเผยถึงอันตรายดังกล่าวนั้น เป็นทีมวิจัยจาก Socket บริษัทผู้เชี่ยวชาญด้านการพัฒนาเครื่องมือรักษาความปลอดภัยไซเบอร์ โดยทางทีมวิจัยได้ออกมาเปิดเผยว่า หลังจากที่ผู้ใช้งานเผลอติดตั้งส่วนเสริมดังกล่าว ตัวส่วนเสริมก็จะสามารถเข้าถึงหน้าการจัดการ API บน MEXC แล้วทำการสร้างกุญแจ API ขึ้นมาอย่างอัตโนมัติทั้งในรูปแบบ Access Key และ Secret Key รวมทั้งแอบเปิดการอนุญาตทำการถอน (Withdrawal Permission) ขึ้น ซึ่งการเปิดนี้ตัวส่วนเสริมได้ทำการซ่อน Permission ไว้เบื้องหลังหน้าจอการใช้งาน (UI หรือ User Interface) ด้วยการแสดงผลว่าตัว Permission ถูกปิดอยู่ แล้วจึงทำการแอบส่ง (Exfiltration) กุญแจ API ทั้งหมดไปให้บอทบนบริการแชท Telegram เพื่อให้แฮกเกอร์ที่อยู่เบื้องหลังนั้นนำเอาไปใช้งานต่อไปผ่านทางการส่งรีเควส (Request) แบบ HTTPS POST

โดยในการใช้งานนั้น นอกจากที่จะอนุญาตให้แฮกเกอร์สามารถถอนเงินจากบัญชีของเหยื่อตามสิทธิ์ที่ได้รับได้แล้ว ตัวส่วนเสริมยังสามารถเข้าควบคุมบัญชีของเหยื่อผ่านทางการยิงสคริปท์ script.js แล้วเริ่มปฏิบัติการได้ทันทีทั้งการเข้าทำการเทรดเองโดยการใช้เงินของเหยื่อ, ตั้งการโอนอัตโนมัติไปยังบัญชีของแฮกเกอร์ หรือเข้าดูดเงินเองจากบัญชีของเหยื่อ