โคอินเบส(COIN) ถูกแฮกโทเคน 300,000 ดอลลาร์ จากช่องโหว่สมาร์ตคอนแทรกต์ Swapper

เมื่อวันที่ 3 (เวลาท้องถิ่น) นักวิจัยด้านความปลอดภัยจากบริษัท เบน เน็ตเวิร์ก ออกมาเปิดเผยว่า โคอินเบส(COIN) แพลตฟอร์มซื้อขายคริปโตที่ใหญ่ที่สุดในสหรัฐ ถูก *ขโมยโทเคน* มูลค่าราว 300,000 ดอลลาร์สหรัฐ (ประมาณ 4.17 ล้านบาท) เนื่องจากความผิดพลาดในการอนุมัติสมาร์ตคอนแทรกต์ของตนเอง

เหตุการณ์ครั้งนี้มีจุดเริ่มต้นจากการที่โคอินเบสให้สิทธิ์การเข้าถึงโทเคนของตนผ่าน ‘วอลเล็ตสำหรับองค์กร’ ไปยังสมาร์ตคอนแทรกต์ของโปรเจกต์ 0x ที่ชื่อว่า Swapper ซึ่งถูกออกแบบให้ทำงานในแบบ *ไม่ต้องได้รับการอนุญาต (Permissionless)* โดยผู้ไม่หวังดีสามารถเรียกใช้งานได้อิสระ ทำให้ *MEV bot (Maximum Extractable Value)* อาศัยช่องโหว่นี้เข้ามาดึงเงินทุนออกไปได้ภายในเวลาไม่กี่วินาที

ดีบีซ(Deebeez) นักวิจัยจากเบน เน็ตเวิร์ก ระบุว่า สัญญา Swapper เดิมนั้นถูกออกแบบมาเพื่อใช้ในการแลกเปลี่ยนโทเคน ไม่ได้คำนึงถึงการจำกัดสิทธิ์หรือระบุกระเป๋าเฉพาะที่จะได้รับอนุญาต เมื่อโคอินเบสมอบสิทธิ์ให้กับโทเคนอย่าง Amp, MyOneProtocol, DEXTools และ Swell Network ผ่านบัญชีสำหรับเก็บค่าส่วนต่างของธุรกรรม กลับกลายเป็นว่า MEV bot สามารถ *ใช้สิทธิ์นี้อัตโนมัติ* เพื่ออ้างอิงสัญญา Swapper และโอนเงินไปยังกระเป๋าอื่นได้ทันที

ในอดีต สัญญา Swapper นี้ก็เคยตกเป็นปัญหา เมื่อมีเหตุการณ์ลักษณะเดียวกันเกิดขึ้นกับการเคลมโทเคน Zora บนเชนของเบส(Base) การเกิดซ้ำแบบนี้แสดงให้เห็นถึงปัญหาเชิงระบบที่ยังไม่ได้รับการแก้ไข

ความคิดเห็นจากผู้เชี่ยวชาญชี้ว่า ความผิดพลาดครั้งนี้สะท้อนถึงการ *ละเลยหลักพื้นฐานของความปลอดภัยในสมาร์ตคอนแทรกต์* โดยเฉพาะการอนุมัติให้ใช้ฟังก์ชันกับคอนแทรกต์ที่สามารถเรียกใช้งานได้โดยไม่จำกัดตัวตน เท่ากับเป็นการ ‘มอบคริปโตให้ใครก็ไม่รู้ไปตรงๆ’

ผู้เชี่ยวชาญยังเสนอว่า แพลตฟอร์มขนาดใหญ่อย่างโคอินเบสควรมี *กระบวนการตรวจสอบสมาร์ตคอนแทรกต์ที่รัดกุมและเข้มงวดมากขึ้น* เพื่อหลีกเลี่ยงข้อผิดพลาดพื้นฐานที่อาจนำไปสู่การสูญเสียสินทรัพย์ในอนาคต