Google เริ่มปล่อยฟีเจอร์ความปลอดภัยใหม่ใน Chrome อย่างกว้างขวาง ซึ่งผูกเซสชันการล็อกอินเข้ากับฮาร์ดแวร์ของอุปกรณ์ การเปลี่ยนแปลงนี้สำคัญสำหรับทุกคนที่ถือกระเป๋าเงินคริปโต
ประเด็นสำคัญ:
- Google ปล่อย Device Bound Session Credentials ซึ่งล็อกคุกกี้เซสชันของเบราว์เซอร์เข้ากับชิปความปลอดภัยของคอมพิวเตอร์
- การป้องกันนี้บล็อกการโจมตีแบบแพร่หลายที่ให้โจรข้ามการล็อกอินแบบสองขั้นตอน (2FA) ได้ด้วยการขโมยคุกกี้
- ผู้ใช้คริปโตมีความเสี่ยงเพิ่มขึ้น เนื่องจากมัลแวร์ขโมยข้อมูลมักเล็งเป้ากระเป๋าเงินและเซสชันของเว็บเทรดอยู่แล้ว
Chrome ปกป้องคุกกี้ล็อกอินอย่างไรในตอนนี้
รายงานในสัปดาห์นี้ได้ detailed การปล่อยใช้งานอย่างกว้างขวางของ Device Bound Session Credentials หรือ DBSC หลังจากทดสอบมาหลายเดือนในเบราว์เซอร์ตระกูล Chromium
เครื่องมือนี้เข้าถึงผู้ใช้ส่วนใหญ่แล้ว ตั้งแต่บัญชี Workspace และ Enterprise ไปจนถึงบัญชีส่วนบุคคล โดยจะผูกการล็อกอินแต่ละครั้งเข้ากับกุญแจเข้ารหัสที่ไม่เคยออกจากอุปกรณ์
คุกกี้เซสชันทำงานคล้ายสายรัดข้อมือในงานที่ต้องใช้บัตร ให้เว็บไซต์จดจำการล็อกอินได้โดยไม่ต้องถามรหัสผ่านหรือรหัสสองขั้นตอนทุกครั้งที่เข้าใช้
โจรให้ค่ากับไฟล์เหล่านี้มาก เพราะคุกกี้ที่ถูกขโมยสามารถ bypass ชั้นป้องกันที่สองนี้ได้ทั้งหมด และโทเคนเหล่านี้ยังถูกขายในตลาดมืดเป็นประจำ DBSC จะเก็บกุญแจไว้ใน Windows Trusted Platform Module หรือ Mac Secure Enclave จากนั้นบังคับให้เบราว์เซอร์พิสูจน์การครอบครองก่อนที่คุกกี้ใด ๆ จะถูกรีเฟรช
ผลลัพธ์คือคุกกี้จะไร้ประโยชน์ทันทีเมื่อถูกย้ายไปใช้บนเครื่องอื่น
อ่านเพิ่มเติม: Kalshi Wins CFTC Approval For First U.S. Bitcoin Perpetual Futures
ทำไมนักเทรดคริปโตควรใส่ใจ
สำหรับผู้ใช้คริปโต เซสชันที่ถูกแฮ็กอาจหมายถึงเงินหายจากกระเป๋า แทนที่จะเป็นแค่กล่องอีเมลถูกเจาะ มัลแวร์ขโมยข้อมูลในปัจจุบันมักกวาดเก็บคุกกี้เบราว์เซอร์ รหัสผ่านที่บันทึกไว้ และไฟล์กระเป๋าเงินในคราวเดียว ก่อนส่งไปยังเซิร์ฟเวอร์ระยะไกล
การวิเคราะห์หนึ่ง found พบว่าการขโมยข้อมูลรับรองมีส่วนเกี่ยวข้องในราวหนึ่งในสามของเหตุบุกรุกที่ติดตามเมื่อปีที่แล้ว แสดงให้เห็นว่ากลยุทธ์นี้กลายเป็นเรื่องปกติขนาดไหน
การค้าขายคุกกี้ถูกขโมยยังกลายเป็นอุตสาหกรรมเต็มรูปแบบ โดยนักวิจัยได้ flagging มัลแวร์แบบสมัครสมาชิกชื่อ Storm ที่ให้เช่าในราคาไม่ถึง 1,000 ดอลลาร์ต่อเดือน และเล็งเป้ากระเป๋าเงินผ่านส่วนขยายเบราว์เซอร์และแอปเดสก์ท็อป
สายพันธุ์อื่น ๆ จะ watch เซสชันที่ผูกกับ Binance, Coinbase, MetaMask และ Trust Wallet แล้วขโมยคุกกี้ไปใช้เข้าบัญชีโดยไม่ต้องมีรหัสผ่าน
เส้นทางอันยาวไกลของ DBSC กว่าจะถึงมือผู้ใช้
Google unveiled DBSC ครั้งแรกในปี 2024 ก่อนจะขยับเข้าสู่ช่วงเบตาสาธารณะ และปล่อยใช้งานทั่วไปบน Chrome 146 เป็นต้นไปสำหรับ Windows และเวอร์ชัน 148 เป็นต้นไปสำหรับ Mac
บริษัทได้ enabled ฟีเจอร์นี้เป็นค่าเริ่มต้นสำหรับบัญชี Workspace ซึ่งผู้ดูแลระบบไม่สามารถปิดได้ สำหรับนักเทรดที่เปิดแท็บเว็บเทรดและส่วนขยายกระเป๋าเงินทิ้งไว้ทั้งวัน การอัปเดตนี้ช่วยปิดหนึ่งในช่องทางเข้าถึงเงินที่ง่ายที่สุดอย่างเงียบ ๆ
อ่านถัดไป: Dogecoin Reserves Edge Up To 28B As Whale Support Stays Weak