กระเป๋าคริปโตถูกดูดเกลี้ยงได้โดยที่คุณไม่ได้โอนอะไรออกไปเลยสักบาท แค่กดปุ่ม Sign ในหน้าต่างที่เด้งขึ้นมาครั้งเดียว เพราะลายเซ็นบางชนิดไม่ใช่การล็อกอิน แต่คือการมอบสิทธิ์ให้คนอื่นหยิบเหรียญของคุณไปเมื่อไหร่ก็ได้ เดือนมกราคม 2026 เดือนเดียวมีเหยื่อ 4741 รายเสียเงินรวมกว่า 6.27 ล้านดอลลาร์จากการเซ็นแบบนี้ และเดือนกรกฎาคมมีคนเดียวเสียไป 999999 ดอลลาร์จากลายเซ็นเดียว บทความนี้พาอ่านหน้าต่างขอลายเซ็นทีละบรรทัด แยกให้ออกว่าคำขอแบบไหนปลอดภัย แบบไหนคือใบมอบอำนาจ พร้อมตารางเทียบว่ากระเป๋าตัวไหนแปลให้ดูได้จริง วิธีตั้งค่ากันไว้ก่อน และลำดับขั้นที่ต้องทำทันทีถ้าเผลอเซ็นไปแล้ว
📑 สารบัญ
- ทำไมแค่เซ็นเฉย ๆ ถึงเสียเงินได้ ทั้งที่ยังไม่ได้โอน
- ตัวเลขปี 2026 ที่บอกว่าเรื่องนี้ไม่ใช่เรื่องไกลตัว
- ตารางชนิดคำขอเซ็น แบบไหนปลอดภัย แบบไหนคือใบมอบอำนาจ
- อ่านหน้าต่างขอลายเซ็น 6 จุด ก่อนนิ้วจะแตะปุ่ม
- กระเป๋าไหนแปลให้ดูได้จริง ตารางเทียบ
- ทำไมฮาร์ดแวร์วอลเล็ตยังโชว์เป็นรหัสอ่านไม่ออก
- กับดักใหม่ปี 2026 ลายเซ็นมอบสิทธิ์ที่ยกกระเป๋าให้ทั้งใบ
- ตั้งค่ากระเป๋า 8 ขั้น กันไว้ก่อนจะเจอของจริง
- เผลอเซ็นไปแล้ว ต้องทำอะไรใน 10 นาทีแรก
- 8 กับดักที่คนโดนหลอกเซ็นบ่อยที่สุด
- เช็กลิสต์ 10 ข้อก่อนกดเซ็นทุกครั้ง
- สรุป
ทำไมแค่เซ็นเฉย ๆ ถึงเสียเงินได้ ทั้งที่ยังไม่ได้โอน
ความเข้าใจผิดที่ทำให้คนไทยเสียเงินมากที่สุดในเรื่องนี้คือ การคิดว่า ถ้ายังไม่ได้กดโอน เงินก็ยังอยู่ ซึ่งจริงกับธนาคาร แต่ไม่จริงกับกระเป๋าคริปโตเลย เพราะหน้าต่างที่เด้งขึ้นมาให้กดยืนยันในกระเป๋า มีอยู่สองพันธุ์ที่หน้าตาคล้ายกันมาก แต่ผลลัพธ์ต่างกันคนละโลก
พันธุ์แรก คือธุรกรรมจริงที่ต้องจ่ายค่าแก๊ส
แบบนี้จะมีค่าธรรมเนียมโชว์อยู่ชัดเจน คุณจะเห็นว่าจะส่งอะไรออกไปเท่าไหร่ ไปที่ไหน เพราะมันต้องถูกบันทึกลงเชนจริง แบบนี้อ่านง่ายที่สุดและหลอกยากที่สุด
พันธุ์ที่สอง คือข้อความที่เซ็นนอกเชน ไม่เสียค่าแก๊สเลย
ไม่มีค่าธรรมเนียม ไม่มีตัวเลขยอดโอน กดปุ๊บจบปั๊บ แต่สิ่งที่คุณเซ็นคือกระดาษมอบอำนาจ ที่ผู้โจมตีเก็บไว้แล้วเอาไปยื่นเองทีหลังเมื่อไหร่ก็ได้ พร้อมจ่ายค่าแก๊สเอง ตอนกวาดเงินคุณ
ตรงนี้แหละคือหัวใจ ผู้โจมตีไม่ต้องการรหัสผ่านหรือคำสำรอง 12 คำของคุณเลย เขาต้องการแค่ ลายเซ็นดิจิทัลหนึ่งอันจากพันธุ์ที่สอง เพราะพอมีลายเซ็นนั้นแล้ว สัญญาของเขาจะมีสิทธิ์ตามกฎหมายของเชนในการหยิบเหรียญที่ระบุไว้ออกจากกระเป๋าคุณได้ทันที และเนื่องจากการเซ็นแบบนี้ไม่เสียเงิน ไม่มีอะไรค้างบนหน้าประวัติธุรกรรม คนส่วนใหญ่จึงไม่รู้เลยว่าตัวเองเพิ่งเซ็นอะไรไป จนกระทั่งเงินหายไปแล้วหลายวันให้หลัง
ตัวเลขปี 2026 ที่บอกว่าเรื่องนี้ไม่ใช่เรื่องไกลตัว
| ช่วงเวลา | สิ่งที่เกิดขึ้น | ตัวเลข |
|---|---|---|
| มกราคม 2026 | เหยื่อการหลอกเซ็นลายเซ็นทั่วโลก ตามรายงานของ Scam Sniffer | 4741 ราย เสียหายรวม 6.27 ล้านดอลลาร์ |
| เทียบธันวาคม 2025 | มูลค่าความเสียหายจากการหลอกเซ็นพุ่งขึ้น | เพิ่มขึ้นราว 207 เปอร์เซ็นต์ |
| 9 กรกฎาคม 2026 | ผู้ใช้รายเดียวเสีย USDT จากลายเซ็นอนุมัติสิทธิ์ครั้งเดียว | 999999 ดอลลาร์ |
| เคสเดียวกัน | สคริปต์ดูดเงินลองดึงก้อนแรกไม่สำเร็จ แล้วคำนวณใหม่ | กวาดยอดคงเหลือทั้งหมดภายใน 36 วินาที |
| สิงหาคม 2026 | งานวิจัยความปลอดภัยที่นำเสนอในเวที USENIX Security Symposium พบธุรกรรมมอบสิทธิ์แบบใหม่ที่ผูกกับสัญญาอันตราย | 63 เปอร์เซ็นต์ของกลุ่มตัวอย่าง ยืนยันความเสียหายแล้วกว่า 2.3 ล้านดอลลาร์ |
ตารางชนิดคำขอเซ็น แบบไหนปลอดภัย แบบไหนคือใบมอบอำนาจ
เวลาเว็บไซต์ขอให้คุณเซ็น กระเป๋าจะบอกอยู่แล้วว่าเป็นคำขอชนิดไหน แค่คนส่วนใหญ่ไม่เคยอ่าน ตารางนี้คือสิ่งที่ควรจำให้ขึ้นใจ เรียงจากปลอดภัยที่สุดไปอันตรายที่สุด
| ชนิดคำขอ | มักเจอตอนไหน | เสียค่าแก๊สไหม | ระดับอันตราย |
|---|---|---|---|
| personal_sign ข้อความอ่านออก | ล็อกอินเข้าเว็บ พิสูจน์ว่าเป็นเจ้าของกระเป๋า | ไม่เสีย | ต่ำ ถ้าข้อความที่โชว์อ่านออกเป็นภาษาคนและไม่ได้พูดถึงการอนุมัติสิทธิ์ |
| eth_signTypedData_v4 ทั่วไป | วางออร์เดอร์บนเว็บเทรดแบบกระจายศูนย์ โหวตกำกับดูแล | ไม่เสีย | ปานกลาง ต้องอ่านเนื้อในทุกบรรทัด เพราะโครงสร้างนี้ใช้ทำได้ทุกอย่าง |
| Permit | อนุมัติให้สัญญาใช้เหรียญโดยไม่ต้องเสียค่าแก๊สอนุมัติ | ไม่เสีย | สูง คือใบมอบอำนาจให้ดึงเหรียญชนิดนั้นออกไป |
| Permit2 | สลับเหรียญบนแอปที่ใช้ระบบอนุมัติรวมของ Uniswap | ไม่เสีย | สูงมาก ลายเซ็นเดียวครอบได้หลายเหรียญพร้อมกัน คือช่องที่เคสหลักล้านใช้ |
| setApprovalForAll | ลิสต์ขาย NFT บนตลาดกลาง | เสีย | สูงมาก ยกทั้งคอลเลกชันให้สัญญานั้นจัดการได้ทั้งชุด |
| ลายเซ็นมอบสิทธิ์บัญชี | อ้างว่าเป็นการอัปเกรดความปลอดภัยของกระเป๋า หรือเปิดใช้ผู้ช่วยอัตโนมัติ | แล้วแต่รูปแบบ | สูงที่สุด ยกความสามารถของบัญชีทั้งใบให้โค้ดของคนอื่นคุม |
| eth_sign แบบเก่า | ไม่ควรเจอแล้ว ถ้าเจอคือสัญญาณอันตรายเต็มขั้น | ไม่เสีย | อันตรายที่สุดในอดีต เพราะเซ็นข้อมูลดิบที่แปลไม่ได้เลย |
อ่านหน้าต่างขอลายเซ็น 6 จุด ก่อนนิ้วจะแตะปุ่ม
ทุกครั้งที่หน้าต่างเด้ง ให้ไล่สายตาหกจุดนี้ตามลำดับ ใช้เวลาไม่เกินยี่สิบวินาที และมันคือยี่สิบวินาทีที่คุ้มที่สุดในชีวิตการถือคริปโตของคุณ
ชื่อเว็บที่ขอ ตรงกับที่คุณเปิดอยู่จริงไหม
กระเป๋าจะโชว์ที่อยู่เว็บของฝ่ายที่ขอเซ็นเสมอ ให้อ่านทีละตัวอักษร โดยเฉพาะตัวที่หน้าตาคล้ายกันอย่างเลขศูนย์กับตัวโอ หรือตัวแอลเล็กกับเลขหนึ่ง มิจฉาชีพจดโดเมนที่ต่างจากของจริงแค่ตัวเดียวและซื้อโฆษณาให้ขึ้นก่อนของจริงในหน้าค้นหา
มีค่าแก๊สโชว์หรือเปล่า
ถ้าไม่มีค่าธรรมเนียมเลย แปลว่านี่คือการเซ็นข้อความนอกเชน ให้เพิ่มความระวังขึ้นทันทีสองเท่า ไม่ใช่ลดลง เพราะนี่คือพันธุ์ที่ใช้ในการหลอกเกือบทั้งหมด
คำว่าอนุญาตหรืออนุมัติโผล่อยู่ตรงไหนไหม
มองหาคำที่สื่อถึงการให้สิทธิ์ใช้เหรียญแทนคุณ ถ้าเจอ ให้ถามตัวเองว่างานที่กำลังทำอยู่จำเป็นต้องให้สิทธิ์นี้จริงไหม การล็อกอินเข้าเว็บไม่เคยต้องขออนุมัติเหรียญ การเคลมของแจกฟรีก็ไม่ควรต้องขอ
ผู้รับสิทธิ์คือใคร และหมดอายุเมื่อไหร่
ในคำขอแบบมอบอำนาจจะมีช่องระบุที่อยู่ผู้รับสิทธิ์และวันหมดอายุ ถ้าผู้รับสิทธิ์เป็นที่อยู่ที่คุณไม่รู้จัก และวันหมดอายุตั้งไว้ไกลมากเป็นสิบปี นั่นคือธงแดงที่ชัดที่สุดเท่าที่จะชัดได้
จำนวนที่ขอ เป็นเลขที่มากผิดปกติไหม
ถ้าคุณจะสลับเหรียญแค่ห้าสิบดอลลาร์ แต่คำขอระบุจำนวนเป็นตัวเลขยาวเหยียดหรือคำว่าไม่จำกัด นั่นแปลว่าคุณกำลังจะยกยอดคงเหลือทั้งหมดของเหรียญนั้นให้เขาไปเลย ไม่ใช่แค่ห้าสิบดอลลาร์
ผลจำลองบอกว่าจะมีอะไรออกจากกระเป๋า
กระเป๋ารุ่นใหม่จะรันการจำลองให้ก่อนว่าถ้ากดแล้วจะเกิดอะไร ให้ดูบรรทัดที่มีเครื่องหมายลบ ถ้าเห็นเหรียญออกไปโดยที่คุณไม่ได้ตั้งใจจะส่งอะไรเลย ให้กดปฏิเสธทันทีโดยไม่ต้องคิด
กระเป๋าไหนแปลให้ดูได้จริง ตารางเทียบ
| กระเป๋า | จำลองผลก่อนเซ็น | แปลเนื้อในคำขอเป็นภาษาคน | เตือนที่อยู่ปลอมหรือเว็บอันตราย |
|---|---|---|---|
| MetaMask | มี เปิดเป็นค่าเริ่มต้น | มี พร้อมชั้นสแกนภัยคุกคามที่ทำงานร่วมกับ Blockaid | มี รวมถึงการเทียบที่อยู่ที่วางกับที่อยู่ที่เคยทำธุรกรรมด้วย เพื่อจับที่อยู่หน้าตาคล้าย |
| Rabby | มี เป็นจุดขายหลัก แสดงชัดว่าอะไรเข้าอะไรออก | มี ถอดรหัสการเรียกสัญญาให้อ่านออก | มี พร้อมให้คะแนนความเสี่ยงตามบริบท |
| ฮาร์ดแวร์วอลเล็ตที่รองรับการเซ็นแบบอ่านออก | ไม่มีในตัวเครื่อง | มี เฉพาะสัญญาที่มีคำอธิบายลงทะเบียนไว้แล้ว | อาศัยหน้าจอบนเครื่องเป็นด่านสุดท้ายที่มัลแวร์บนคอมแก้ไม่ได้ |
| กระเป๋ามือถือทั่วไปในแอปสโตร์ | ส่วนใหญ่ไม่มีหรือมีแบบจำกัด | มักโชว์เป็นข้อมูลดิบหรือย่อจนอ่านไม่ได้ความ | แล้วแต่ยี่ห้อ อย่าเพิ่งเชื่อว่ามี |
| เบราว์เซอร์ในแอปพวกโซเชียล | ไม่มี | ไม่มี | ไม่มี และเป็นช่องทางที่เจอการหลอกเยอะที่สุด |
ทำไมฮาร์ดแวร์วอลเล็ตยังโชว์เป็นรหัสอ่านไม่ออก
หลายคนซื้อฮาร์ดแวร์วอลเล็ตมาแล้วเจอปัญหาว่า พอไปเซ็นอะไรที่ซับซ้อนหน่อย หน้าจอเครื่องกลับขึ้นเป็นชุดตัวอักษรผสมตัวเลขยาวเหยียดที่ไม่มีทางรู้ได้เลยว่าแปลว่าอะไร แล้วต้องกดยอมรับทั้งที่ไม่เข้าใจ อาการนี้มีชื่อเรียกว่าการเซ็นแบบมืดบอด และมันคือช่องโหว่ที่ใหญ่ที่สุดของฮาร์ดแวร์วอลเล็ตมาตลอด เพราะเท่ากับว่าเงินหลายล้านที่คุณป้องกันด้วยเครื่องราคาไม่กี่พัน สุดท้ายก็ยังไปจบที่การกดยืนยันสิ่งที่มองไม่เห็น
🔍 สิ่งที่อุตสาหกรรมกำลังทำเพื่อแก้เรื่องนี้
หนึ่ง มีมาตรฐานกลางสำหรับแปลคำขอให้เป็นภาษาคน แนวคิดคือให้เจ้าของสัญญาแต่ละตัวลงทะเบียนคำอธิบายไว้ในทะเบียนกลาง พอคุณจะเซ็นอะไรกับสัญญานั้น เครื่องจะดึงคำอธิบายมาแปลให้อ่านออกบนหน้าจอเลยว่ากำลังจะทำอะไร กับใคร จำนวนเท่าไหร่ แทนที่จะโชว์เป็นรหัสดิบ
สอง ทะเบียนกลางย้ายไปอยู่กับองค์กรกลางแล้ว เมื่อ 12 พฤษภาคม 2026 Ledger ซึ่งเป็นผู้ริเริ่มมาตรฐานนี้ ได้โอนการดูแลทะเบียนไปให้ Ethereum Foundation ภายใต้โครงการด้านความปลอดภัยของมูลนิธิ ผลคือไม่มีผู้ผลิตรายใดรายหนึ่งผูกขาดการกำหนดว่าอะไรถูกแปลบ้าง และผู้ผลิตเจ้าอื่นเอาไปใช้ได้เท่าเทียมกัน มาตรฐานรุ่นสองยังขยายให้รองรับการทำงานข้ามเชนและใช้ได้ทั้งกระเป๋าแบบเครื่องและแบบซอฟต์แวร์
สาม จุดอ่อนที่ยังเหลืออยู่ และเป็นเรื่องที่คุณต้องรู้ ระบบนี้ทำงานได้ก็ต่อเมื่อสัญญาปลายทางมีคำอธิบายลงทะเบียนไว้แล้วเท่านั้น ถ้าไม่มี เครื่องจะตกกลับไปที่การเซ็นแบบมืดบอดเหมือนเดิม และสัญญาของมิจฉาชีพย่อมไม่มีวันไปลงทะเบียนอยู่แล้ว
กับดักใหม่ปี 2026 ลายเซ็นมอบสิทธิ์ที่ยกกระเป๋าให้ทั้งใบ
หลังอัปเกรดใหญ่ของ Ethereum บัญชีกระเป๋าธรรมดาสามารถมอบหมายให้โค้ดสัญญาทำงานแทนตัวเองได้ ของจริงมันถูกออกแบบมาเพื่อประโยชน์ที่ดีมาก เช่นให้จ่ายค่าแก๊สแทนกันได้ รวมหลายขั้นตอนเป็นคลิกเดียว หรือตั้งกฎการใช้จ่ายอัตโนมัติ แต่ของดีชิ้นนี้ถูกฝั่งมิจฉาชีพเอาไปใช้เร็วกว่าที่ผู้ใช้ทั่วไปจะตามทัน
มาในคราบของการอัปเกรดความปลอดภัย
ข้อความหลอกที่พบบ่อยที่สุดคือชวนให้กดอัปเกรดกระเป๋าให้ปลอดภัยขึ้น หรือเปิดใช้ผู้ช่วยดูแลสินทรัพย์อัตโนมัติ ซึ่งฟังดูเป็นเรื่องดีและตรงกับสิ่งที่คนกำลังกลัวพอดี พอเซ็นแล้วกระเป๋าของเหยื่อจะกลายเป็นบัญชีที่ทำงานตามโค้ดของผู้โจมตี
อันตรายกว่าการอนุมัติเหรียญทั่วไปมาก
การอนุมัติเหรียญแบบเดิมยกสิทธิ์ให้เฉพาะเหรียญที่ระบุ แต่การมอบสิทธิ์แบบนี้ให้ความสามารถระดับบัญชี แปลว่าครอบคลุมทุกอย่างที่บัญชีทำได้ ไม่ใช่แค่เหรียญตัวเดียว
ตัวเลขจากงานวิจัยล่าสุดน่ากลัวมาก
งานวิจัยที่เผยแพร่ในเวทีวิชาการด้านความปลอดภัยเมื่อสิงหาคม 2026 พบว่าธุรกรรมมอบสิทธิ์ในกลุ่มตัวอย่างที่วิเคราะห์ ราว 63 เปอร์เซ็นต์เชื่อมโยงกับสัญญาที่เป็นอันตราย และยืนยันความเสียหายแล้วมากกว่า 2.3 ล้านดอลลาร์จากระบบดูดเงินอัตโนมัติ
วิธีกันคือกฎข้อเดียวที่จำง่าย
ไม่มีกระเป๋าจริงเจ้าไหนขอให้คุณเซ็นอะไรเพื่ออัปเกรดความปลอดภัย การอัปเกรดกระเป๋าจริงทำผ่านการอัปเดตแอปในสโตร์หรือเฟิร์มแวร์บนเครื่องเท่านั้น ไม่ใช่ผ่านหน้าเว็บที่เด้งขึ้นมาให้เซ็น
ตั้งค่ากระเป๋า 8 ขั้น กันไว้ก่อนจะเจอของจริง
- เปิดการจำลองผลก่อนเซ็นให้ครบทุกกระเป๋าที่ใช้ ในกระเป๋ารุ่นใหม่มักเปิดไว้อยู่แล้ว แต่ให้เข้าไปยืนยันด้วยตาเองว่ายังเปิดอยู่จริง ไม่ได้ถูกปิดตอนอัปเดต
- เปิดการเตือนเว็บอันตรายและการตรวจที่อยู่ปลอม ฟีเจอร์เทียบที่อยู่ที่วางกับที่อยู่ที่เคยใช้ ช่วยจับกลโกงส่งที่อยู่หน้าตาคล้ายมาให้ก็อปได้ดีมาก
- แยกกระเป๋าเล่นออกจากกระเป๋าเก็บอย่างเด็ดขาด กระเป๋าที่เอาไว้ต่อกับเว็บต่าง ๆ ควรมีเงินเท่าที่พร้อมเสีย ส่วนก้อนใหญ่อยู่อีกใบที่ไม่เคยเชื่อมต่อกับเว็บไหนเลยสักครั้ง
- ใช้ฮาร์ดแวร์วอลเล็ตเป็นตัวเซ็นสำหรับก้อนใหญ่ เพื่อให้มีหน้าจอที่สองที่มัลแวร์ในคอมแก้ไม่ได้ คอยยืนยันปลายทางและจำนวนอีกชั้น
- ปักหมุดเว็บที่ใช้ประจำไว้ในบุ๊กมาร์ก แล้วเข้าจากบุ๊กมาร์กอย่างเดียว ห้ามเข้าจากผลค้นหาหรือลิงก์ในแชท เพราะโฆษณาปลอมที่ขึ้นก่อนผลจริงยังเป็นช่องทางอันดับต้น ๆ
- เลิกใช้เบราว์เซอร์ที่ฝังอยู่ในแอปโซเชียล ให้เปิดในเบราว์เซอร์จริงเสมอ เพราะตัวที่ฝังในแอปมักไม่มีระบบเตือนอะไรเลยและตรวจสอบที่อยู่เว็บได้ยาก
- ตั้งนิสัยตรวจสิทธิ์ที่ค้างอยู่ทุกเดือน ใช้เครื่องมือเพิกถอนสิทธิ์กวาดของค้างเป็นรอบ วิธีทำละเอียดอ่านได้จากคู่มือเพิกถอนสิทธิ์ที่ลิงก์ไว้ท้ายบทความ
- เตรียมกระเป๋าสำรองที่ว่างเปล่าไว้ล่วงหน้าหนึ่งใบ เก็บที่อยู่ไว้ในที่ที่หยิบได้ทันที เพราะตอนเกิดเหตุจริงคุณจะไม่มีเวลามานั่งสร้างกระเป๋าใหม่แล้วจดคำสำรอง
เผลอเซ็นไปแล้ว ต้องทำอะไรใน 10 นาทีแรก
เคสจริงเดือนกรกฎาคม 2026 บอกเราชัดเจนว่าเวลาที่มีคือน้อยมาก สคริปต์ดูดเงินในเคสนั้นลองดึงก้อนแรกไม่สำเร็จ แล้วคำนวณใหม่กวาดยอดคงเหลือทั้งหมดได้ภายใน 36 วินาที ดังนั้นลำดับต่อไปนี้ต้องทำเรียงตามนี้เป๊ะ ๆ อย่าสลับ
ย้ายเงินออกก่อน อย่าเพิ่งไปนั่งเพิกถอนสิทธิ์
นี่คือจุดที่คนพลาดมากที่สุด เพราะการเพิกถอนสิทธิ์ต้องรอธุรกรรมยืนยันซึ่งกินเวลา ระหว่างนั้นผู้โจมตีกวาดเสร็จไปแล้ว ให้โอนเหรียญที่มีค่าที่สุดออกไปกระเป๋าสำรองที่เตรียมไว้เป็นอย่างแรก
ถ้าเหรียญติดสเตกหรือฝากอยู่ ให้ชิงลำดับความสำคัญ
เหรียญที่ถอนออกมาต้องรอ ให้เริ่มกระบวนการถอนไว้ก่อนแล้วไปจัดการตัวที่ย้ายได้ทันที อย่ามัวรอตัวที่ติดจนตัวที่ขยับได้โดนกวาดไปด้วย
ค่อยเพิกถอนสิทธิ์ที่เพิ่งเซ็นไป
พอเงินปลอดภัยแล้วค่อยไปล้างสิทธิ์ที่ให้ไว้ ทั้งการอนุมัติเหรียญและการมอบสิทธิ์ระดับบัญชีถ้ามี ตรงนี้ทำช้าได้เพราะไม่มีอะไรให้ดูดแล้ว
ถ้าเผลอกรอกคำสำรอง 12 คำเข้าเว็บ ให้ทิ้งกระเป๋าทั้งใบ
กรณีนี้ต่างจากการเซ็นโดยสิ้นเชิง เพราะการเพิกถอนสิทธิ์ช่วยอะไรไม่ได้เลย ผู้โจมตีถือกุญแจเท่ากับคุณทุกประการ ต้องสร้างกระเป๋าใหม่และย้ายทุกอย่างออก แล้วเลิกใช้ใบเดิมตลอดไป
8 กับดักที่คนโดนหลอกเซ็นบ่อยที่สุด
| กับดัก | เกิดอะไรขึ้น | วิธีเลี่ยง |
|---|---|---|
| คิดว่าไม่เสียค่าแก๊สแปลว่าไม่อันตราย | เซ็นใบมอบอำนาจโดยเข้าใจว่าเป็นแค่การล็อกอิน | ยิ่งไม่มีค่าแก๊ส ยิ่งต้องอ่านละเอียด ไม่ใช่ผ่อนคลาย |
| เคลมของแจกฟรีจากลิงก์ที่ส่งมาให้ | หน้าเคลมปลอมขอเซ็นสิทธิ์ใช้เหรียญแทนที่จะแจกอะไรจริง | ของแจกจริงไม่เคยต้องขออนุมัติสิทธิ์เหรียญที่คุณถืออยู่ |
| เชื่อโฆษณาที่ขึ้นก่อนผลค้นหาจริง | เข้าเว็บปลอมที่หน้าตาเหมือนของจริงทุกพิกเซล | เข้าจากบุ๊กมาร์กที่ปักไว้เองเท่านั้น |
| เจอคำว่าอัปเกรดกระเป๋าแล้วรีบกด | เซ็นมอบสิทธิ์ระดับบัญชีให้โค้ดของผู้โจมตีคุมทั้งใบ | การอัปเกรดจริงมาจากสโตร์หรือเฟิร์มแวร์ ไม่ใช่หน้าเว็บ |
| ก็อปที่อยู่จากประวัติธุรกรรม | ได้ที่อยู่ของมิจฉาชีพที่จงใจส่งยอดจิ๋วมาให้หน้าตาคล้ายของจริง | เทียบที่อยู่ทั้งเส้น และเปิดฟีเจอร์เตือนที่อยู่คล้ายกันไว้ |
| เห็นผลจำลองว่าเขียวแล้วสบายใจ | ชุดโจมตีรุ่นใหม่มีการหลบการจำลองใส่มาให้ด้วย | ใช้ผลจำลองเป็นตัวกรองชั้นแรก แต่ตัดสินด้วยชนิดคำขอเสมอ |
| เซ็นบนเบราว์เซอร์ในแอปแชท | ไม่มีระบบเตือนใดเลย และดูที่อยู่เว็บจริงได้ยาก | เปิดในเบราว์เซอร์จริงเสมอ ไม่ว่าลิงก์จะมาจากใคร |
| รีบเพิกถอนสิทธิ์ก่อนย้ายเงิน | ระหว่างรอธุรกรรมเพิกถอนยืนยัน เงินถูกกวาดไปเรียบร้อยแล้ว | ย้ายเงินออกก่อนเสมอ แล้วค่อยไปล้างสิทธิ์ทีหลัง |
เช็กลิสต์ 10 ข้อก่อนกดเซ็นทุกครั้ง
- อ่านที่อยู่เว็บในหน้าต่างขอเซ็นทีละตัวอักษรแล้ว และตรงกับบุ๊กมาร์กที่ปักไว้
- รู้แล้วว่าคำขอนี้เป็นการเซ็นข้อความนอกเชน หรือเป็นธุรกรรมที่เสียค่าแก๊ส
- ถ้าเป็นการเซ็นข้อความ ได้อ่านเนื้อในจนเข้าใจว่ากำลังยอมอะไรให้ใคร
- ไม่มีคำที่สื่อถึงการให้สิทธิ์ใช้เหรียญ ในงานที่ไม่ควรต้องให้สิทธิ์ เช่นการล็อกอิน
- ที่อยู่ผู้รับสิทธิ์เป็นที่รู้จัก และวันหมดอายุไม่ได้ตั้งไว้ยาวผิดปกติ
- จำนวนที่ขออนุมัติสมเหตุสมผลกับงานที่กำลังทำ ไม่ใช่ยอดคงเหลือทั้งหมด
- ดูผลจำลองแล้วว่ามีอะไรออกจากกระเป๋าบ้าง และตรงกับที่ตั้งใจ
- ถ้าเซ็นด้วยฮาร์ดแวร์วอลเล็ต ได้อ่านบนหน้าจอเครื่องแล้ว ไม่ได้ดูแต่บนคอม
- ถ้าหน้าจอเครื่องแปลไม่ออกทั้งที่เป็นแอปดัง ได้หยุดและตรวจสอบว่าอยู่บนเว็บจริงหรือไม่
- เงินก้อนใหญ่ไม่ได้อยู่ในกระเป๋าใบที่กำลังจะเซ็นนี้
สรุป
ลายเซ็นไม่ใช่การล็อกอินเสมอไป
คำขอบางชนิดคือใบมอบอำนาจให้ดึงเหรียญออกจากกระเป๋าได้เมื่อไหร่ก็ได้ และมันไม่เสียค่าแก๊สจึงดูไม่มีพิษภัย
ค่าแก๊สศูนย์คือสัญญาณให้ระวังขึ้น ไม่ใช่ผ่อนคลาย
การหลอกเกือบทั้งหมดในปี 2026 ใช้ช่องทางการเซ็นนอกเชน เพราะไม่มียอดโชว์ให้เหยื่อสะดุดใจ
อ่านหกจุดทุกครั้ง ใช้เวลาไม่ถึงครึ่งนาที
ที่อยู่เว็บ ค่าแก๊ส คำว่าอนุมัติ ผู้รับสิทธิ์และวันหมดอายุ จำนวนที่ขอ และผลจำลอง
ไม่มีกระเป๋าจริงเจ้าไหนขอให้เซ็นเพื่ออัปเกรดความปลอดภัย
นี่คือคำหลอกที่ใช้กับลายเซ็นมอบสิทธิ์ระดับบัญชี ซึ่งเป็นชนิดที่อันตรายที่สุดในปี 2026
เกิดเหตุแล้วให้ย้ายเงินก่อน ค่อยเพิกถอนสิทธิ์
เพราะการเพิกถอนต้องรอยืนยัน แต่สคริปต์ดูดเงินทำงานเสร็จได้ในเวลาไม่ถึงหนึ่งนาที
แยกกระเป๋าเล่นกับกระเป๋าเก็บ คือเกราะที่ได้ผลที่สุด
ต่อให้พลาดเซ็นผิดจริง ความเสียหายจะจำกัดอยู่แค่เงินที่ตั้งใจเอามาเสี่ยงตั้งแต่แรก
คืนนี้ลองเปิดกระเป๋าที่ใช้อยู่แล้วเช็กสองอย่างง่าย ๆ คือการจำลองผลก่อนเซ็นยังเปิดอยู่ไหม และในกระเป๋าใบที่คุณเอาไปต่อกับเว็บต่าง ๆ ตอนนี้มีเงินอยู่เท่าไหร่ ถ้าคำตอบข้อแรกคือปิดอยู่ และคำตอบข้อสองคือเงินเกือบทั้งหมดของคุณ นั่นแปลว่าคุณกำลังยืนอยู่บนความเสี่ยงที่แก้ได้ในสิบนาทีคืนนี้ ก่อนที่จะต้องมาแก้ตอนที่แก้ไม่ได้แล้ว
