แอปเปิลแก้ไขช่องโหว่รุกล้ำกระเป๋าเงินคริปโตแบบไม่ต้องคลิก

เมื่อวันที่ 25 สิงหาคม 2025 แอปเปิลได้ออกอัปเดตด้านความปลอดภัยเร่งด่วนเพื่อแก้ไขช่องโหว่ zero-click ที่ร้ายแรง (CVE-2025-43300) ภายในเฟรมเวิร์ก Image I/O ช่องโหว่นี้อนุญาตให้ประมวลผลไฟล์ภาพที่ถูกจัดเตรียมมาอย่างเจาะจงซึ่งอาจก่อให้เกิดการเขียนข้อมูลเกินขอบเขตของหน่วยความจำและการรันโค้ดโดยพลการโดยไม่ต้องมีปฏิสัมพันธ์จากผู้ใช้ ช่องโหว่ประเภทนี้ซึ่งมักถูกจัดให้อยู่ในกลุ่ม zero-click มีอันตรายอย่างยิ่งต่อผู้ถือครองคริปโตเคอร์เรนซีเนื่องจากสามารถถูกใช้เพื่อเจาะระบบแอปกระเป๋าเงินดิจิทัลและเข้าถึงกุญแจส่วนตัวที่เก็บอยู่บนอุปกรณ์ได้

คำแนะนำจากแอปเปิลระบุว่ามีหลักฐานชี้ให้เห็นว่าช่องโหว่นี้ถูกใช้ในโจมตีระดับสูงที่ซับซ้อนต่อเป้าหมายมูลค่าสูง แพลตฟอร์มที่ได้รับผลกระทบรวมถึง iOS 18.6.2, iPadOS 18.6.2 และ 17.7.10, macOS Sequoia 15.6.1, Sonoma 14.7.8 และ Ventura 13.7.8 บริษัทได้เพิ่มความเข้มงวดในการตรวจสอบขอบเขตภายในไลบรารี Image I/O เพื่อแก้ไขปัญหาการจัดการหน่วยความจำที่ทำให้เกิดการเขียนข้อมูลออกนอกขอบเขตได้

ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่าลักษณะของช่องโหว่ zero-click นี้ลบปัจจัยกระตุ้นจากการกระทำของผู้ใช้ทั่วไป เช่น การเปิดเอกสารหรือการคลิกลิงก์ นักร้ายสามารถฝัง payload ภายในข้อมูลเมตาของภาพที่ส่งผ่านแพลตฟอร์มส่งข้อความอย่าง iMessage เมื่อรับภาพ อุปกรณ์จะดำเนินการเรนเดอร์ภาพโดยอัตโนมัติซึ่งจะประมวลผลข้อมูลที่เป็นอันตราย นำไปสู่การเจาะระบบอุปกรณ์และอาจถูกขโมยข้อมูลสำคัญ เช่น ข้อมูลกระเป๋าเงินคริปโต รหัสกู้คืน และโทเค็นตรวจสอบตัวตนของการแลกเปลี่ยน

จูเลียโน ริซโซ ผู้ก่อตั้งบริษัทไซเบอร์ซีเคียวริตี้ Coinspect เน้นย้ำถึงความเสี่ยงที่สูงขึ้นต่อผู้ใช้สินทรัพย์ดิจิทัล เขาแนะนำให้เป้าหมายมูลค่าสูงรีบเปลี่ยนกุญแจส่วนตัวและย้ายเงินไปยังฮาร์ดแวร์วอลเล็ต สำหรับผู้ใช้ทั่วไป แอปเปิลแนะนำให้ติดตั้งอัปเดตด้านความปลอดภัยโดยเร็วและตรวจสอบเวอร์ชันซอฟต์แวร์ที่ติดตั้งไว้ พร้อมเตือนว่าการล่าช้าอาจทำให้อุปกรณ์ตกเป็นเป้าหมายการโจมตีเพิ่มเติม

ผู้ให้บริการวิเคราะห์บล็อกเชน CertiK เน้นว่าช่องโหว่ zero-click ที่คล้ายกันนี้เคยถูกกลุ่มแฮกเกอร์รัฐชาติใช้ในแคมเปญที่ผ่านมา ข้อผิดพลาดใหม่ของแอปเปิลนี้ตอกย้ำถึงความจำเป็นของการวิจัยช่องโหว่อย่างต่อเนื่องและการเปิดเผยข้อมูลเชิงรุก ถือเป็น zero-day ครั้งที่หกที่แอปเปิลแก้ไขในปี 2025 ซึ่งเป็นอัตราที่สูงเป็นประวัติการณ์สะท้อนศักยภาพของฝ่ายตรงข้ามในโลกไซเบอร์ที่เพิ่มขึ้น

องค์กรที่ดำเนินงานคริปโตเคอร์เรนซีระดับใหญ่ถูกแนะนำให้ตรวจสอบอุปกรณ์อย่างละเอียดบังคับใช้นโยบายอัปเดตที่เข้มงวดและพิจารณาใช้โซลูชันป้องกันภัยคุกคามบนมือถือที่สามารถตรวจจับพฤติกรรมผิดปกติที่บ่งชี้ถึงการโจมตี zero-click นักพัฒนาซอฟต์แวร์ในระบบนิเวศคริปโตยังได้รับคำแนะนำให้แยกกระบวนการกระเป๋าเงินและลดพื้นที่เสี่ยงโดยการแยกฟังก์ชันการเซ็นต์ดิจิทัลที่สำคัญออกจากโค้ดของแอปพลิเคชันทั่วไป

ขณะที่การปล่อยแพตช์ได้ดำเนินการแล้ว แอปเปิลยืนยันความมุ่งมั่นต่อการแก้ไขช่องโหว่อย่างรวดเร็วและความร่วมมือกับชุมชนนักวิจัยด้านความปลอดภัย ผู้ใช้ถูกแนะนำให้ติดต่อช่องทางสนับสนุนของแอปเปิลเพื่อรับคำแนะนำในการอัปเดตและการรักษาความปลอดภัยอุปกรณ์และสินทรัพย์ดิจิทัลในบริบทภัยคุกคามที่เปลี่ยนแปลงอย่างรวดเร็ว