ข่าวร้ายสำหรับคนถือคริปโตในเอเชีย! นักวิจัยความปลอดภัยเปิดโปงมัลแวร์ชื่อ SparkKitty ที่แฝงตัวเข้าไปอยู่ใน Apple App Store และ Google Play ได้สำเร็จ โดยไม่ได้ขโมยรหัสผ่านหรือดักคีย์บอร์ดแบบมัลแวร์ทั่วไป แต่ใช้เทคโนโลยี OCR อ่านตัวอักษรจากรูปภาพ ในคลังรูปของเหยื่อ เพื่อค้นหา Seed Phrase ที่หลายคนชอบแคปหน้าจอเก็บไว้ — และเป้าหมายหลักคือผู้ใช้ในจีนกับ เอเชียตะวันออกเฉียงใต้
📑 สารบัญ
SparkKitty คืออะไร
SparkKitty เป็นโทรจันสอดแนม (Spyware Trojan) บนมือถือที่ถูกค้นพบครั้งแรกโดยทีมวิจัยของ Kaspersky เมื่อเดือนมิถุนายน 2025 ก่อนที่บริษัทความปลอดภัย Check Point จะเผยแพร่รายงานวิเคราะห์เชิงลึกเพิ่มเติมออกมาเมื่อวันที่ 27 กรกฎาคม 2026 ที่ผ่านมา
สิ่งที่ทำให้มัลแวร์ตัวนี้น่ากลัวกว่าปกติ คือมันไม่ได้อยู่แค่ในเว็บโหลดแอปเถื่อน แต่ เล็ดลอดผ่านการตรวจสอบของทั้ง Apple และ Google เข้าไปนั่งอยู่ในสโตร์ทางการได้จริง ซึ่งเป็นจุดที่ผู้ใช้ส่วนใหญ่เชื่อใจที่สุด
นอกจากนี้ SparkKitty ยังถูกเชื่อมโยงกับปฏิบัติการก่อนหน้าที่ชื่อ SparkCat ซึ่งถูกรายงานครั้งแรกเมื่อเดือนมกราคม 2025 และมีร่องรอยว่ามัลแวร์ตระกูลนี้เคลื่อนไหวมาตั้งแต่อย่างน้อยเดือนกุมภาพันธ์ 2024 — แปลว่ามันซุ่มเก็บข้อมูลมาแล้วเป็นปี
วิธีทำงาน: ไม่ดักคีย์ แต่อ่านรูป
มัลแวร์ขโมยคริปโตทั่วไปมักใช้วิธีดักคีย์บอร์ด (Keylogger) หรือแอบดูคลิปบอร์ดตอนเรากดคัดลอกที่อยู่กระเป๋า แต่ SparkKitty เลือกเส้นทางที่ฉลาดกว่านั้น
หลังจากติดตั้ง แอปจะ ขอสิทธิ์เข้าถึงคลังรูปภาพ ซึ่งดูเป็นคำขอปกติมากสำหรับแอปแชทหรือแอปที่ต้องอัปโหลดรูป จากนั้นมันจะกวาดดูรูปทั้งหมดในเครื่อง แล้วใช้ OCR (Optical Character Recognition) — เทคโนโลยีตัวเดียวกับที่มือถือใช้สแกนเอกสาร — เพื่ออ่านตัวอักษรที่อยู่ในรูป
เมื่อเจอข้อความที่มีรูปแบบตรงกับ Seed Phrase (ชุดคำกู้คืนกระเป๋า 12 หรือ 24 คำ) มันจะส่งรูปนั้นออกไปยังเซิร์ฟเวอร์ของแฮ็กเกอร์ทันที
ฝั่ง iOS ยังมีลูกเล่นเพิ่ม โดย Check Point พบว่าโค้ดอันตรายถูก ซ่อนไว้ใน Framework ที่ผ่านการทำ Obfuscation (บิดเบือนโค้ดให้อ่านยาก) เพื่อหลบระบบรีวิวแอปของ Apple โดยเฉพาะ ส่วนบนเครื่อง Android ที่ผ่านการ Root บางตัวอย่างยังใช้โมดูล Xposed เพื่อฝังตัวอยู่ในเครื่องอย่างถาวรอีกด้วย
แอปไหนบ้างที่ติดเชื้อ
| แอป | แพลตฟอร์ม | ประเภท | สถานะ |
|---|---|---|---|
| 币coin | iOS (App Store) | แอปติดตามราคาคริปโต | สถานะปัจจุบันยังไม่ชัดเจน |
| SOEX | Android (Google Play) | แอปแชท + ฟีเจอร์เทรดคริปโต | ถูกถอดออกแล้ว (ยอดโหลดเกิน 10,000 ครั้ง) |
| TikTok เวอร์ชันดัดแปลง | Android (นอกสโตร์) | แอปปลอม / แอปโมดิฟาย | ยังกระจายอยู่ |
| แอปพนัน / APK โหลดเอง | Android (นอกสโตร์) | ช่องทางแจกจ่ายอื่น | ยังกระจายอยู่ |
ทำไมคนไทยต้องระวังเป็นพิเศษ
รายงานระบุชัดเจนว่าเป้าหมายหลักของแคมเปญนี้คือผู้ใช้ใน ประเทศจีนและภูมิภาคเอเชียตะวันออกเฉียงใต้ ซึ่งรวมถึงประเทศไทยด้วย
และพฤติกรรมที่ทำให้คนในภูมิภาคนี้ตกเป็นเหยื่อง่าย ก็คือนิสัยที่หลายคนทำกันจนชิน:
🚩 1. แคปหน้าจอ Seed Phrase เก็บไว้ในมือถือ
ตอนสร้างกระเป๋าใหม่ หลายคนขี้เกียจจดใส่กระดาษ เลยกดแคปหน้าจอเก็บไว้ในแกลเลอรี “ไว้ก่อน” แล้วก็ลืมลบ — นี่คือเหยื่อชั้นดีของ SparkKitty
🚩 2. กดอนุญาตเข้าถึงรูปภาพแบบไม่คิด
เวลาแอปเด้งขอสิทธิ์เข้าคลังรูป คนส่วนใหญ่กด “อนุญาต” ทันทีเพราะอยากใช้แอปต่อ ทั้งที่แอปนั้นอาจไม่มีเหตุผลต้องดูรูปทั้งเครื่องเลย
🚩 3. เชื่อว่า “โหลดจากสโตร์ทางการ = ปลอดภัย 100%”
เคสนี้พิสูจน์แล้วว่าไม่จริง มัลแวร์ผ่านการรีวิวของทั้ง Apple และ Google เข้าไปได้ การอยู่ในสโตร์จึงลดความเสี่ยงได้ แต่ไม่ได้แปลว่าปลอดภัยเต็มร้อย
วิธีป้องกันตัวเอง
คำแนะนำจากนักวิจัยความปลอดภัยและแนวปฏิบัติมาตรฐานของวงการ:
- เก็บ Seed Phrase แบบ ออฟไลน์เท่านั้น — จดใส่กระดาษหรือแผ่นโลหะ ห้ามแคปหน้าจอ ห้ามเก็บใน Cloud ห้ามส่งเข้าแชทตัวเอง
- ตรวจสอบและ จำกัดสิทธิ์เข้าถึงรูปภาพ ของทุกแอปในเครื่อง ให้เหลือเฉพาะแอปที่จำเป็นจริงๆ
- โหลดแอปจาก ผู้พัฒนาที่น่าเชื่อถือ เท่านั้น เลี่ยง APK โหลดเองและแอปโมดิฟายทุกชนิด
- ถ้าเคยแคป Seed Phrase ไว้ในเครื่องที่เคยลงแอปต้องสงสัย → ย้ายเงินไปกระเป๋าใหม่ทันที อย่ารอดูท่าที
- พิจารณาใช้ Hardware Wallet สำหรับเงินก้อนใหญ่ เพราะ Private Key ไม่เคยออกจากตัวเครื่อง
สรุป
มัลแวร์เข้าสโตร์ทางการได้จริง
SparkKitty แฝงใน App Store และ Google Play สำเร็จ ผ่านแอปดูราคาเหรียญและแอปแชท
ใช้ OCR อ่าน Seed Phrase จากรูป
ไม่ดักคีย์บอร์ด แต่สแกนแกลเลอรีหาภาพแคปหน้าจอที่มีชุดคำกู้คืน
เป้าหมายคือเอเชียตะวันออกเฉียงใต้
ผู้ใช้ในไทยอยู่ในกลุ่มเสี่ยงโดยตรง ไม่ใช่ข่าวไกลตัว
ลบรูป Seed Phrase วันนี้
วิธีป้องกันที่ได้ผลที่สุดคือไม่มีอะไรให้มันขโมยตั้งแต่แรก
บทเรียนสำคัญของเคสนี้คือ ความปลอดภัยของคริปโตไม่ได้อยู่ที่ว่ากระเป๋าเงินของคุณแข็งแรงแค่ไหน แต่อยู่ที่ว่า กุญแจของกระเป๋าใบนั้นถูกเก็บไว้ตรงไหน — และถ้ามันอยู่ในแกลเลอรีรูปภาพในมือถือ ก็เท่ากับวางกุญแจบ้านไว้หน้าประตูนั่นเอง
