บั๊ก Polymarket เปิดทางให้โจรขโมยข้อมูลเข้าบัญชีเดิม

ประเด็นความปลอดภัยของแพลตฟอร์มทำนายผลกำลังถูกจับตามองอีกครั้ง หลังมีรายงานว่าเกือบ 500 ผู้ใช้งาน Polymarket ในสหรัฐฯ ได้รับผลกระทบจากช่องโหว่ที่ทำให้บุคคลอื่นเข้าถึงบัญชีเดิมได้โดยไม่จำเป็นต้องรู้รหัสผ่าน ชื่อผู้ใช้ หรือควบคุมโทรศัพท์ของเจ้าของบัญชี เหตุการณ์นี้สะท้อนให้เห็นว่า การใช้ข้อมูลส่วนตัวเพื่อยืนยันตัวตนเพียงอย่างเดียวอาจไม่เพียงพอในยุคที่ข้อมูลรั่วไหลเกิดขึ้นอย่างต่อเนื่อง

รายงานจาก Wall Street Journal ระบุว่า ผู้ไม่หวังดีอาจสร้างบัญชีใหม่โดยใช้ข้อมูลส่วนตัวของเทรดเดอร์คนอื่น เช่น หมายเลขประกันสังคม จากนั้นระบบกลับพาเข้าสู่โปรไฟล์ที่มีการใช้งานอยู่แล้ว หากรายละเอียดดังกล่าวเป็นจริง ช่องโหว่นี้ถือว่าร้ายแรง เพราะผู้โจมตีอาจมองเห็นข้อมูลทางการเงิน ตำแหน่งการเดิมพัน บัญชีธนาคาร และบัตรเดบิตที่เชื่อมต่อกับแพลตฟอร์ม

บั๊ก Polymarket เปิดทางให้โจรขโมยข้อมูลเข้าบัญชีเดิม

กรณี บั๊ก Polymarket เปิดทางให้โจรขโมยข้อมูลเข้าบัญชีเดิม เริ่มเป็นที่พูดถึงจากเหตุการณ์ที่เกิดขึ้นในช่วงปลายเดือนกรกฎาคม ผู้ใช้งานรายหนึ่งเล่าว่า เขาเข้าสู่ระบบแล้วพบว่าตำแหน่งการเดิมพันของตัวเองถูกขายออก และเงินกำไรจำนวน 5,783.51 ดอลลาร์ถูกโอนไปยังบัตรเดบิตที่เขาไม่รู้จัก แม้บริษัทจะเติมเงินชดเชยให้ 25 ดอลลาร์ในเบื้องต้น แต่ผู้ใช้งานรายนี้บอกว่ายังไม่ได้รับคำอธิบายที่ชัดเจนเกี่ยวกับเงินที่หายไป

ผู้เสียหายยังระบุว่าได้แจ้งเรื่องต่อเจ้าหน้าที่ตำรวจท้องถิ่น สำนักงานสอบสวนกลางสหรัฐฯ หรือ FBI และคณะกรรมการกำกับการซื้อขายสินค้าโภคภัณฑ์ หรือ CFTC แล้ว อย่างไรก็ตาม เขากล่าวว่าต้องรอการตอบกลับจากฝ่ายสนับสนุนเป็นเวลาหลายสัปดาห์ ก่อนที่บัญชีจะถูกระงับหลังจากส่งข้อมูลยืนยันตัวตนซ้ำถึงสองครั้ง

บั๊ก Polymarket เปิดทางให้โจรขโมยข้อมูลเข้าบัญชีเดิมได้อย่างไร

จากข้อมูลที่ถูกรายงาน ปัญหาอาจเกี่ยวข้องกับกระบวนการสมัครสมาชิกและการตรวจสอบตัวตน เมื่อระบบนำข้อมูลส่วนตัวมาใช้แทนรหัสผ่านหรือปัจจัยยืนยันตัวตนที่เข้มแข็ง ผู้โจมตีที่ครอบครองข้อมูลรั่วไหลก็อาจสวมรอยเป็นเจ้าของบัญชีได้ จุดอ่อนลักษณะนี้อันตรายเป็นพิเศษ เพราะผู้โจมตีไม่จำเป็นต้องเจาะระบบด้วยวิธีซับซ้อน เพียงมีข้อมูลที่ตรงกับฐานข้อมูลก็อาจผ่านขั้นตอนสำคัญได้

ปัญหายิ่งน่ากังวลเมื่อบัญชีดังกล่าวเชื่อมต่อกับช่องทางการเงิน เพราะความเสียหายไม่ได้จำกัดอยู่แค่ข้อมูลส่วนบุคคล ผู้โจมตีอาจขายสถานะการเดิมพัน ถอนเงิน หรือเพิ่มวิธีการชำระเงินของตัวเองเข้ามาแทนที่ ขณะเดียวกันเจ้าของบัญชีอาจตรวจพบความผิดปกติช้า หากไม่มีการแจ้งเตือนทุกครั้งที่มีการเปลี่ยนแปลงข้อมูลหรือทำธุรกรรม

ความเสี่ยงไม่ได้มีแค่ช่องโหว่ด้านการยืนยันตัวตน

เหตุการณ์เดือนกรกฎาคมเกิดขึ้นท่ามกลางปัญหาการฉ้อโกงที่ Polymarket เผชิญมาหลายเดือน ก่อนหน้านั้น ผู้ให้บริการชำระเงิน Checkout.com เคยแจ้งเตือนว่ามีการนำบัตรเดบิตที่ถูกขโมยไปผูกกับบัญชี Polymarket ใหม่หลายพันบัญชี จากนั้นผู้ไม่หวังดีจะใช้เงินดังกล่าววางเดิมพันและพยายามถอนเงินไปยังบัตรหรือบัญชีที่สะอาดกว่า ความพยายามขโมยเงินมีมูลค่าอย่างน้อย 10 ล้านดอลลาร์ตามรายงาน

ในช่วงหนึ่ง Checkout.com ปฏิเสธเงินฝากมากกว่า 80 เปอร์เซ็นต์ที่กำลังดำเนินการให้ Polymarket เนื่องจากถูกมองว่าเป็นธุรกรรมทุจริต ซึ่งสูงกว่าค่ามาตรฐานของอุตสาหกรรมที่อยู่ราว 1 เปอร์เซ็นต์อย่างมาก ต่อมา Polymarket จำกัดจำนวนบัตรเดบิตที่ใช้ต่อบัญชี และว่าจ้าง Riskified ผู้ให้บริการต่อต้านการฉ้อโกง ทำให้อัตราการทุจริตลดลงกลับมาใกล้เคียงระดับปกติในเดือนพฤษภาคม

ปัญหาความปลอดภัยของ Polymarket ที่ควรติดตาม

• ช่องโหว่การสมัครสมาชิก: ผู้ไม่หวังดีอาจใช้ข้อมูลส่วนตัวของผู้อื่นเพื่อเข้าสู่บัญชีที่มีอยู่แล้ว
• การฉ้อโกงผ่านบัตรชำระเงิน: บัตรที่ถูกขโมยถูกนำมาใช้เติมเงินและพยายามถอนเงินออกจากแพลตฟอร์ม
• ความเสี่ยงจากผู้ให้บริการภายนอก: ในเดือนมิถุนายน บริษัทเคยระบุว่าผู้ให้บริการภายนอกถูกเจาะระบบจนมีการใส่สคริปต์อันตรายเข้าไปในหน้าเว็บไซต์
• การตอบสนองล่าช้า: ผู้ใช้งานบางรายกล่าวว่าต้องรอคำตอบจากฝ่ายสนับสนุนเป็นเวลานาน ขณะที่เงินยังสูญหายหรือบัญชีถูกระงับ

เหตุการณ์จากผู้ให้บริการภายนอกดังกล่าวทำให้เงินของผู้ใช้งานถูกดูดออกไปราว 3.1 ล้านดอลลาร์ในรูปโทเคน PUSD บนเครือข่าย Polygon และกระทบกระเป๋าเงินอย่างน้อย 11 ใบ Polymarket ระบุว่าได้ลบส่วนประกอบที่มีปัญหาออก และจะคืนเงินให้ผู้ได้รับผลกระทบเต็มจำนวน แม้บริษัทจะยืนยันว่าไม่มีความเสียหายสุทธิสำหรับผู้ใช้งานหลังการคืนเงิน แต่เหตุการณ์นี้ยังชี้ให้เห็นถึงความสำคัญของการตรวจสอบซัพพลายเชนดิจิทัลอย่างละเอียด

ผู้ใช้งานควรป้องกันตัวเองอย่างไร

แม้การแก้ไขระบบจะเป็นความรับผิดชอบของแพลตฟอร์ม แต่ผู้ใช้งานก็สามารถลดความเสี่ยงได้ด้วยการตรวจสอบบัญชีอย่างสม่ำเสมอ ไม่ควรเก็บเงินจำนวนมากไว้ในระบบที่ยังมีข้อสงสัย และควรเปิดใช้การยืนยันตัวตนหลายขั้นตอนหากมีให้บริการ นอกจากนี้ควรตรวจสอบรายการเคลื่อนไหว การเปลี่ยนแปลงบัตร การถอนเงิน และอีเมลแจ้งเตือนทุกครั้ง

ผู้ใช้งานควรหลีกเลี่ยงการส่งหมายเลขประกันสังคม สำเนาเอกสาร หรือข้อมูลสำคัญผ่านช่องทางที่ไม่เป็นทางการ หากสงสัยว่าบัญชีถูกเข้าถึง ควรรีบเปลี่ยนรหัสผ่าน ยกเลิกบัตรที่เชื่อมต่อ แจ้งธนาคาร เก็บภาพหน้าจอธุรกรรม และติดต่อฝ่ายสนับสนุนโดยใช้ช่องทางที่ยืนยันได้ การแจ้งหน่วยงานที่เกี่ยวข้องก็สำคัญ โดยเฉพาะเมื่อมีเงินสูญหายหรือพบการใช้ข้อมูลประจำตัวโดยไม่ได้รับอนุญาต

นอกจากเรื่องความปลอดภัยแล้ว Polymarket ยังเผชิญคำถามด้านการกำกับดูแล การใช้ข้อมูลภายใน และข้อถกเถียงว่าสัญญาทายผลกีฬาเข้าข่ายการพนันหรือไม่ แพลตฟอร์มทำนายผลเติบโตอย่างรวดเร็ว โดยปริมาณการซื้อขายรวมของ Polymarket และ Kalshi เพิ่มขึ้นอย่างมากในช่วงที่ผ่านมา การเติบโตดังกล่าวดึงดูดทั้งผู้ใช้งาน นักลงทุน ผู้สนับสนุนชื่อดัง และผู้ประกอบการรับพนันแบบดั้งเดิม แต่ยิ่งมีเงินหมุนเวียนมากเท่าไร มาตรฐานด้านความปลอดภัยและการคุ้มครองผู้บริโภคก็ยิ่งต้องเข้มงวดขึ้นเท่านั้น

ท้ายที่สุดแล้ว บั๊ก Polymarket เปิดทางให้โจรขโมยข้อมูลเข้าบัญชีเดิม เป็นบทเรียนสำคัญสำหรับทุกแพลตฟอร์มที่ใช้ข้อมูลส่วนตัวเป็นกุญแจเข้าสู่บัญชี ระบบที่ดีไม่ควรพึ่งพาข้อมูลที่อาจถูกขโมยจากเหตุการณ์อื่นเพียงอย่างเดียว แต่ควรใช้การยืนยันหลายชั้น การแจ้งเตือนแบบเรียลไทม์ และกระบวนการรับมือเหตุฉุกเฉินที่โปร่งใส หากคุณใช้งานแพลตฟอร์มการเงินหรือการทำนายผล ควรตรวจสอบบัญชีของตัวเองตั้งแต่วันนี้ และอย่ารอให้เกิดความเสียหายก่อนจึงเริ่มป้องกัน

ที่มา – Polymarket Bug Reportedly Let Identity Thieves Into Existing Accounts