คุณจะบอกได้อย่างไรว่าเว็บไซต์คริปโตปลอมหรือไม่?

ทำไมโดเมนที่แน่นอนจึงเป็นการตรวจแรก?

โดเมนคือส่วนเดียวของหน้าที่ผู้โจมตีคัดลอกไม่ได้ การออกแบบหน้า โลโก้ และถ้อยคำคัดลอกได้ฟรี แต่ชื่อในแถบที่อยู่เป็นของผู้ที่จดทะเบียนไว้ คู่มือ Kerberus ลงวันที่ 10 เมษายน 2026 ระบุว่าผู้หลอกลวงจดทะเบียนชื่อที่คล้ายกันด้วยการสลับอักขระเล็กน้อย และบางรายใช้ตัวอักษรซีริลลิกที่ดูเหมือนอักษรละตินทุกประการ

อ่านส่วนที่อยู่ก่อนเครื่องหมายทับเดี่ยวตัวแรก ใน https://examplecoin.com.claim-rewards.example/start เว็บคือ claim-rewards.example และ examplecoin.com เป็นเพียงป้ายชื่อที่วางไว้ข้างหน้า เทคนิคเดียวกันใช้ได้กับชื่อที่มีขีดกลาง เช่น examplecoin-claim.com ซึ่งเป็นคนละโดเมนกับ examplecoin.com กระเป๋าเงินหลายรุ่นย่อที่อยู่ยาวๆ ดังนั้นให้เปิดที่อยู่เต็มก่อนตัดสินใจ

กุญแจล็อกพิสูจน์ได้หรือไม่ว่าเว็บไซต์คริปโตนั้นเป็นของจริง?

ไม่: กุญแจล็อกแสดงว่าการเชื่อมต่อถูกเข้ารหัส ไม่ได้แสดงว่าใครเป็นเจ้าของเว็บไซต์ รายงานของ Blockaid ลงวันที่ 19 มีนาคม 2026 เกี่ยวกับการยึด front-end ในเดือนกุมภาพันธ์ 2026 ระบุว่าผู้โจมตีออกใบรับรอง SSL ใหม่สำหรับแต่ละโดเมนที่ถูกโจมตีในวันที่เกิดเหตุ รวมทั้งใบรับรอง Sectigo แบบชำระเงินและใบรับรองฟรีของ Let's Encrypt และ Google Trust Services และใบรับรองเหล่านั้นทำให้เว็บยังดูปลอดภัยพร้อมกุญแจล็อก

รายงานฉบับเดียวกันอธิบายกรณีที่ผู้ใช้ถูกส่งไปยังโฮสต์ที่คล้ายกัน ขณะที่มีการออกใบรับรอง wildcard สำหรับชื่อจริง ดังนั้นแม้แต่โดเมนจริงที่ถูกยึดก็อาจแสดงใบรับรองที่ถูกต้อง กุญแจล็อกตอบคำถามเดียวคือบุคคลที่สามอ่านทราฟฟิกได้หรือไม่ แต่ไม่ตอบคำถามที่คุณสนใจ คือเจ้าของที่อยู่นี้เป็นโครงการหรือไม่ Let's Encrypt เองแนะนำให้ผู้ใช้รายงานเว็บที่ละเมิดใบรับรองของตนต่อ Google Safe Browsing และ Microsoft SmartScreen

อักษรที่คล้ายกันและ punycode เป็นอย่างไร?

เบราว์เซอร์ซ่อนตัวกรองที่คล้ายกันบางส่วนด้วยการแสดง xn-- แทนตัวอักษร แต่ที่อยู่ที่พิมพ์เองคือการป้องกันที่เชื่อถือได้ เอกสาร Chromium อธิบายว่า Chrome ตรวจแต่ละป้ายชื่อของชื่อโฮสต์ และแสดง punycode เมื่อการตรวจไม่ผ่าน ได้แก่ สคริปต์ผสม เช่น ละตินผสมซีริลลิกหรือกรีก อักขระที่สับสนได้ อักษรตัวเลขที่คล้าย และป้ายชื่อที่โครงร่างตรงกับโดเมนระดับบนยอดนิยม ผลลัพธ์ไม่ขึ้นกับการตั้งค่าภาษาของเบราว์เซอร์ และ Chrome ยังแสดงคำเตือนเต็มหน้าแยกต่างหากสำหรับการนำทางที่คล้ายบางรูปแบบ

การป้องกันเหล่านี้มีขีดจำกัด: เบราว์เซอร์อื่นอาจใช้กฎอื่น และผู้โจมตีใช้อักษรธรรมดาได้ เช่น rn แทน m กลไกพร้อมตัวอย่างอยู่ใน การโจมตี IDN homograph คืออะไร และรูปร่างหลักของชื่อที่คล้ายอยู่ใน ผู้ฟิชชิงจดทะเบียนโดเมนที่คล้ายกันประเภทใดบ้าง

ควรรับลิงก์ทางการของโครงการจากที่ใด?

จากช่องทางที่ยืนยันแล้วของโครงการเอง ตรวจไขว้ในสองแห่ง Kerberus ระบุสัญญาณเตือนแรกว่าไม่มีประกาศบนช่องทางที่ยืนยันแล้วของโครงการ และแนะนำให้บันทึกเว็บทางการและเข้าชมโดยตรงแทนการกดลิงก์ ทำตามลำดับนี้:

1. เปิดเว็บของโครงการจากบุ๊กมาร์กของคุณ
2. อ่านลิงก์ claim หรือ mint ที่นั่น ไม่ใช่จากข้อความที่ส่งคุณมา
3. ตรวจว่าบัญชีโซเชียลที่ยืนยันแล้วชี้ไปยังที่อยู่เดียวกัน
4. ไม่สนใจข้อความส่วนตัวที่เสนอโทเคน ฝ่ายสนับสนุน หรือการเข้าถึงก่อนใคร
5. ปฏิเสธหน้าใดก็ตามที่ขอวลีกู้คืนหรือการชำระเงินเพื่อรับโทเคน Kerberus ระบุว่าแอร์ดรอปจริงให้ฟรี

หากคุณสงสัยเว็บ อย่าเชื่อมต่อกระเป๋าเงิน และรายงานตามขั้นตอนใน วิธีรายงานโดเมนฟิชชิง

ทำไมเรื่องนี้จึงสำคัญตอนนี้?

การแอบอ้างหลอกลวงเพิ่มขึ้นอย่างรวดเร็วในข้อมูล Chainalysis ล่าสุด Chainalysis ในรายงานลงวันที่ 13 มกราคม 2026 ระบุว่าการแอบอ้างหลอกลวงเพิ่มขึ้นมากกว่า 1,400% เมื่อเทียบกับปี 2024 ว่าค่าเฉลี่ยที่จ่ายให้กลุ่มเหล่านั้นเพิ่มขึ้นมากกว่า 600% และค่าเฉลี่ยของการจ่ายเงินหลอกลวงเพิ่มจาก $782 เป็น $2,764 รายงานของ Interisle ลงวันที่ 9 กันยายน 2025 พบว่า 77% ของโดเมนฟิชชิงถูกจดทะเบียนเพื่อการไม่ชอบ และชื่อโดเมนมากกว่า 1.5 ล้านชื่อถูกใช้ในการฟิชชิงระหว่างพฤษภาคม 2024 ถึงเมษายน 2025

ตัวเลขเหล่านั้นอธิบายอุปทานของเว็บปลอมที่ผู้ใช้ไม่สามารถตรวจสอบได้ทีละเว็บ โครงการก็ต้องลงมือด้วย

โครงการทำอะไรได้บ้างเพื่อไม่ให้ผู้ใช้ต้องคอยสังเกตของปลอมเอง?

จดทะเบียนชื่อที่ชัดเจน ชี้ไปยังเว็บทางการ และเผยแพร่รายการลิงก์ทางการเพียงรายการเดียว ผู้ใช้ที่พิมพ์ examplecoin.co หรือ examplecoin.xyz ผิดจะไปถึงเว็บจริงแทนที่จะเป็นหน้าของคนแปลกหน้า จับคู่กับหน้า "ลิงก์ทางการ" สั้นๆ บนเว็บหลักที่ทุกช่องทางที่ยืนยันแล้วทำซ้ำ และกับการควบคุมใน วิธีปกป้องโครงการคริปโตจากโดเมนฟิชชิง

ตามการสำรวจของ Wardmint เมื่อ 12 พฤศจิกายน 2026 ชุดหลักหกนามสกุล (.com, .net, .org, .io, .xyz, .app) มีค่าใช้จ่าย $128.94 ต่อปี และนามสกุลที่ผู้ฟิชชิงใช้เก้ารายการมีค่าใช้จ่าย $212.41 ต่อปี โดยราคาต่ออายุเท่าเดิม Wardmint จดทะเบียนตัวแปรของโครงการสำหรับโครงการนั้นเท่านั้น ไม่ได้จดทะเบียนชื่อที่คล้ายกับแบรนด์อื่น และไม่ได้ทำการเฝ้าระวังหรือการเอาออก คู่มือแสดงเครื่องมือฟรีและเส้นทางการรายงานอย่างเป็นทางการ