แฮ็ก AFX เทรดบนอาร์บิทรัม(ARB) สูญ 24.15 ล้านดอลลาร์ จุดไฟดีไฟต้องยกเครื่องความปลอดภัยออฟเชน

อาร์บิทรัม(ARB) บนดีไฟ(DeFi) กลายเป็นประเด็นอีกครั้ง หลังจากแพลตฟอร์มเทรดอนุพันธ์ AFX เทรด ถูกแฮ็กสูญเงินราว ‘2,415 ล้านดอลลาร์สหรัฐ’ หรือประมาณ 356 ล้านบาท โดยต้นตอไม่ใช่ช่องโหว่ ‘สมาร์ตคอนแทร็กต์’ แต่เป็นการถูกขโมย ‘คีย์ออฟเชน(off-chain key)’ ที่ใช้ยืนยันธุรกรรม สะท้อนสัญญาณเตือนด้านโครงสร้าง ‘ความปลอดภัยของดีไฟ’ ชัดเจนขึ้น

เหตุโจมตีครั้งนี้ถูกพบจากข้อมูลออนเชนเมื่อวันที่ 23 กรกฎาคม (เวลาท้องถิ่น) โดย AFX เทรด ซึ่งเป็นตลาดฟิวเจอร์สแบบถาวรที่ชำระด้วยสเตเบิลคอยน์ดอลลาร์สหรัฐ USDC ถูกดึงเงินจากบริดจ์ออกไป หลัง ‘คีย์เซ็นของตัวตรวจสอบธุรกรรม (validator signing key)’ ที่ใช้ควบคุมบริดจ์ถูกแฮ็กเกอร์ยึดไป ส่งผลให้เงินทุนในโปรโตคอลถูกโอนออกอย่างถูกต้องตามขั้นตอนบนระบบ

‘สมาร์ตคอนแทร็กต์’ ทำงานปกติ ปัญหาอยู่ที่ ‘คีย์เซ็นที่ถูกขโมย’

แกนกลางของเหตุการณ์นี้คือ มันไม่ใช่บั๊กของสมาร์ตคอนแทร็กต์บนอาร์บิทรัม แต่เป็นจุดอ่อนของ ‘คีย์ส่วนตัว (private key)’ ที่บริหารจัดการนอกเชน แฮ็กเกอร์สามารถยึดคีย์ของฮอตวอลเล็ตฝั่งตัวตรวจสอบบริดจ์ และใช้สร้างลายเซ็นให้ดูเหมือนคำสั่งถอนเงินตามปกติ ทำให้สัญญาอัจฉริยะมองคำสั่งดังกล่าวเป็นธุรกรรมถูกต้องและอนุมัติให้โอนทรัพย์สินออกไป

สตีเวน โกลด์เฟเดอร์(Steven Goldfeder) ผู้ร่วมก่อตั้งออฟเชนแล็บส์(Offchain Labs) ผู้พัฒนาอาร์บิทรัม ย้ำว่า ‘บริดจ์เนทีฟของอาร์บิทรัมไม่ได้ถูกแฮ็ก’ พร้อมระบุว่า ‘ปัญหาเกิดจากโปรโตคอลของบุคคลที่สาม’ กล่าวคือ นี่ไม่ใช่ข้อบกพร่องเชิงโครงสร้างของอาร์บิทรัมทั้งระบบ แต่เป็นความล้มเหลวเฉพาะจุดของ AFX เทรด ตัวโค้ดบริดจ์ยังคงทำงานตามที่ออกแบบ ไม่มีการเปลี่ยนแปลงหรือถูกฝังโค้ดอันตรายเพิ่ม

‘5 คีย์เซ็น’ เปิดทางถอนเงินอย่างถูกกติกา แต่ถูกใช้ผิดฝั่ง

ข้อมูลจากบริษัทความปลอดภัย บล็อกเอ이드 ระบุว่า แฮ็กเกอร์สามารถควบคุมคีย์เซ็นของตัวตรวจสอบได้รวม 5 ชุด ทำให้ผ่านเกณฑ์โหวตขั้นต่ำราว 2 ใน 3 ที่ใช้อนุมัติธุรกรรมบนบริดจ์ ส่งผลให้มูลค่า 24.15 ล้าน USDC ถูกส่งออกจากโปรโตคอลเข้าสู่กระเป๋าของผู้โจมตีอย่างถูกต้องตามขั้นตอนสมาร์ตคอนแทร็กต์

ระบบของบริดจ์ดำเนินการตามปกติ โดยรอครบช่วงเวลาโต้แย้ง (dispute period) 200 วินาที ก่อนอนุมัติธุรกรรมถอนเงินดังกล่าว ดังนั้นในมุมมองของสัญญาอัจฉริยะ ทุกอย่างถือเป็น ‘ธุรกรรมถูกต้องตามกฎ’ ทั้งหมด ปัญหาแท้จริงคือ ลายเซ็นที่ใช้ยืนยันคำสั่งนั้น ถูกสร้างจากคีย์ที่ถูกยึดไปแล้ว

หลังจากดูดเงินสำเร็จ แฮ็กเกอร์ได้บริดจ์ USDC ที่ขโมยไปกลับสู่เครือข่ายอีเธอเรียม(ETH) แล้วแลกเปลี่ยนเป็นอีเธอร์ราว ‘12,467 ETH’ ซึ่งในขณะนี้ยังคงพักอยู่ในกระเป๋าเดียว โดยยังไม่ถูกแตกย่อยหรือฟอกผ่านโปรโตคอลอื่นอย่างมีนัยสำคัญ

ดีไฟเจอโจมตีออฟเชนถี่ขึ้น เปลี่ยนแพตเทิร์นความเสี่ยง

เหตุการณ์กับ AFX เทรด มีความคล้ายกับกรณี ‘ดริฟต์ โปรโตคอล’ ในเดือนเมษายนที่ผ่านมา ที่สร้างความเสียหายกว่า 285 ล้านดอลลาร์สหรัฐ ซึ่ง ‘ความคิดเห็น’ ของผู้เชี่ยวชาญด้านความปลอดภัยจำนวนมากชี้ตรงกันว่า จุดร่วมคือการโจมตี ‘สิทธิ์การเข้าถึงและการจัดการคีย์’ มากกว่าการจู่โจมช่องโหว่โค้ดบนออนเชน

แนวโน้มล่าสุดของ ‘แฮ็กดีไฟ’ สะท้อนชัดว่าภัยคุกคามกำลังขยับจากการไล่หาข้อผิดพลาดของสมาร์ตคอนแทร็กต์ ไปสู่การมุ่งเป้า ‘การจัดการคีย์, สิทธิ์การเซ็น, ระบบบริดจ์ และโครงสร้างพื้นฐานนอกเชน’ มากขึ้นเรื่อยๆ

ข้อมูลในไตรมาส 2 ปี 2026 ถูกมองว่าเป็นหนึ่งในช่วงเวลาที่มีมูลค่าความเสียหายจากการแฮ็กคริปโตสูงที่สุดในประวัติศาสตร์ โดยในระบบนิเวศของอาร์บิทรัม(ARB) เอง เพียงหนึ่งสัปดาห์ก่อนหน้า ก็เพิ่งเกิดเหตุบนแพลตฟอร์ม RWA อย่าง ‘ออสเทียม’ ที่ถูกโจมตีผ่านออราเคิล สูญเงินไปราว 18 ล้านดอลลาร์สหรัฐ สะท้อนภาพเหตุการณ์เชื่อมต่อกันเป็นลูกโซ่

โจมตีตอน TVL จุดพีค เหมือน ‘ยกเคลื่อนย้ายทั้งคลัง’

จังหวะที่แฮ็กเกอร์เลือกลงมือก็เป็นอีกประเด็นที่ต้องจับตา ข้อมูลจากดีไฟลามา(DeFiLlama) ระบุว่า AFX เทรด มีปริมาณการเทรดพุ่งสูงตั้งแต่กลางเดือนกรกฎาคม แตะระดับสูงสุดในรอบหลายเดือน ทำให้จำนวนเงินฝากในโปรโตคอล (TVL) เพิ่มขึ้นอย่างรวดเร็วตามปริมาณผู้ใช้งาน

เม็ดเงิน 24.15 ล้านดอลลาร์สหรัฐที่ถูกถอนออกไป แทบจะเทียบเท่ากับ ‘TVL ทั้งระบบ’ ของโปรโตคอลในช่วงนั้น แปลว่า แฮ็กเกอร์เลือกเวลาที่สภาพคล่องอยู่ในระดับสูงที่สุด เพื่อ ‘ยกเคลื่อนย้ายเงินในคลังเกือบทั้งหมด’ ออกไปในการโจมตีครั้งเดียว

เหตุการณ์โจมตี AFX เทรดบนอาร์บิทรัม(ARB) จึงตอกย้ำชัดว่า ‘ความปลอดภัยของดีไฟ’ ไม่อาจยึดติดแค่การออดิทสมาร์ตคอนแทร็กต์อีกต่อไป สิ่งที่ต้องออกแบบและตรวจสอบอย่างจริงจังคือ ‘สถาปัตยกรรมความปลอดภัยทั้งระบบ’ ตั้งแต่การจัดเก็บและหมุนเวียนคีย์ส่วนตัว, การกระจายอำนาจของผู้เซ็น, กลไกตรวจจับคีย์รั่ว ไปจนถึงระบบแจ้งเตือนและปิดฉุกเฉิน ก่อนที่ลายเซ็นที่ถูกยึดไป จะกลายเป็น “ใบอนุญาตถอนเงินถูกกฎหมาย” ให้แฮ็กเกอร์เหมือนในกรณีนี้อีกครั้ง