แอปเปิลแก้ไขช่องโหว่คุกคามกระเป๋าสตางค์คริปโตแบบไม่ต้องคลิก

เมื่อวันที่ 25 สิงหาคม 2025 แอปเปิลได้ออกอัปเดตความปลอดภัยด่วนเพื่อแก้ไขช่องโหว่ร้ายแรงแบบไม่ต้องคลิก (CVE-2025-43300) ภายในเฟรมเวิร์ก Image I/O ช่องโหว่นี้อนุญาตให้ประมวลผลไฟล์ภาพที่ถูกสร้างขึ้นมาอย่างพิถีพิถันซึ่งอาจทำให้เกิดการเขียนข้อมูลเกินขอบเขตหน่วยความจำและการรันโค้ดโดยพลการโดยไม่ต้องมีปฏิสัมพันธ์จากผู้ใช้ ประเภทของการโจมตีนี้ซึ่งมักจัดเป็นแบบไม่ต้องคลิก มีความอันตรายอย่างยิ่งสำหรับผู้ถือครองสกุลเงินดิจิทัล เนื่องจากสามารถถูกใช้เพื่อเจาะแอปพลิเคชันกระเป๋าเงินและเข้าถึงกุญแจส่วนตัวที่เก็บอยู่บนอุปกรณ์ได้

คำแนะนำจากแอปเปิลระบุว่ามีหลักฐานว่าได้มีการใช้ช่องโหว่นี้ในโจมตีที่ซับซ้อนในโลกแห่งความจริงกับเป้าหมายที่มีมูลค่าสูง แพลตฟอร์มที่ได้รับผลกระทบได้แก่ iOS 18.6.2, iPadOS 18.6.2 และ 17.7.10, macOS Sequoia 15.6.1, Sonoma 14.7.8 และ Ventura 13.7.8 บริษัทจึงได้ปรับปรุงการตรวจสอบขอบเขตในไลบรารี Image I/O เพื่อแก้ไขปัญหาการจัดการหน่วยความจำที่อนุญาตให้เกิดการเขียนข้อมูลนอกขอบเขต

ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่าลักษณะไม่ต้องคลิกของช่องโหว่นี้ตัดทอนทริกเกอร์ที่มักเกิดจากผู้ใช้ เช่น การเปิดเอกสารหรือการคลิกลิงก์ แทนที่นั้นผู้ประสงค์ร้ายสามารถฝัง payload ภายในเมตาดาต้าของภาพที่แจกจ่ายผ่านแพลตฟอร์มส่งข้อความ เช่น iMessage เมื่อได้รับอุปกรณ์จะประมวลผลข้อมูลที่เป็นอันตรายโดยอัตโนมัติผ่านกระบวนการแสดงผลภาพ ซึ่งจะนำไปสู่การถูกโจมตีและการขโมยข้อมูลสำคัญ — รวมถึงข้อมูลประจำตัวกระเป๋าเงินสกุลเงินดิจิทัล, วลีการกู้คืน และโทเค็นการยืนยันตัวตนในการแลกเปลี่ยน

จูเลียโน ริซโซ่ ผู้ก่อตั้งบริษัทความปลอดภัยไซเบอร์ Coinspect เน้นย้ำถึงความเสี่ยงที่เพิ่มสูงขึ้นกับผู้ใช้สินทรัพย์ดิจิทัล เขาแนะนำให้เป้าหมายที่มีมูลค่าสูงเปลี่ยนกุญแจส่วนตัวทันทีและย้ายสินทรัพย์ไปยังกระเป๋าเงินฮาร์ดแวร์ สำหรับผู้ใช้ทั่วไป แอปเปิลแนะนำให้ติดตั้งอัปเดตความปลอดภัยทันทีและตรวจสอบเวอร์ชันซอฟต์แวร์ที่ติดตั้ง พร้อมเตือนว่าการชะลอการแก้ไขช่องโหว่อาจทำให้อุปกรณ์เสี่ยงต่อการโจมตีเพิ่มเติม

ผู้ให้บริการวิเคราะห์บล็อกเชน CertiK เน้นว่าช่องโหว่แบบไม่ต้องคลิกที่คล้ายคลึงกันถูกใช้โดยกลุ่มภัยคุกคามของรัฐในแคมเปญที่ผ่านมา ช่องโหว่ใหม่ของแอปเปิลนี้ชี้ให้เห็นถึงความจำเป็นในการวิจัยช่องโหว่อย่างต่อเนื่องและแนวปฏิบัติการเปิดเผยข้อมูลอย่างรอบคอบ ทั้งนี้เป็นช่องโหว่ zero-day ครั้งที่หกที่แอปเปิลจัดการในปี 2025 ซึ่งเป็นระดับที่ไม่เคยเกิดขึ้นมาก่อนสะท้อนถึงความสามารถของฝ่ายตรงข้ามที่เพิ่มขึ้นในภาคสนาม

องค์กรที่ดำเนินงานสกุลเงินดิจิทัลในระดับใหญ่จึงถูกแนะนำให้ทำการตรวจสอบอุปกรณ์อย่างละเอียดบังคับใช้นโยบายการอัปเดตอย่างเข้มงวดและพิจารณาใช้โซลูชั่นป้องกันภัยคุกคามบนมือถือที่สามารถตรวจจับพฤติกรรมผิดปกติซึ่งบ่งชี้ถึงการโจมตีแบบไม่ต้องคลิก นักพัฒนาซอฟต์แวร์ในระบบนิเวศคริปโตยังควรแยกกระบวนการกระเป๋าเงินและลดพื้นผิวโจมตีโดยการแยกการลงนามที่สำคัญออกจากโค้ดของแอปพลิเคชันทั่วไป

ด้วยการเปิดตัวแพตช์ในขณะนี้ แอปเปิลยืนยันความมุ่งมั่นในการแก้ไขช่องโหว่อย่างรวดเร็วและร่วมมือกับชุมชนนักวิจัยความปลอดภัย ผู้ใช้ถูกแนะนำให้ติดต่อช่องทางสนับสนุนของแอปเปิลเพื่อขอคำแนะนำในการอัปเดตและคำแนะนำเพิ่มเติมเกี่ยวกับการรักษาความปลอดภัยอุปกรณ์และสินทรัพย์ดิจิทัลในภูมิทัศน์ภัยคุกคามที่เปลี่ยนแปลงอย่างต่อเนื่อง