ทรูบิท(TRU) ถูกแฮก สูญทรัพย์กว่า 380 ล้านบาท ราคาดิ่ง 99% เหตุช่องโหว่สมาร์ตคอนแทรค

โครงการบล็อกเชน ‘ทรูบิท(Truebit)’ ถูกเจาะระบบจากข้อผิดพลาดสำคัญในสัญญาอัจฉริยะ ส่งผลให้มูลค่าสินทรัพย์ถูกขโมยไปกว่า 380 ล้านบาท และราคาของโทเคนทรูบิท(TRU) ร่วงลงถึง 99% ถือเป็นอีกหนึ่งกรณีที่ตอกย้ำว่า แม้โปรเจกต์จะมีการดำเนินงานมาอย่างยาวนาน ก็ยังไม่สามารถหลีกเลี่ยงความเสี่ยงด้านความปลอดภัยได้

เมื่อวันที่ 24 ตามเวลาท้องถิ่น Cointelegraph รายงานว่า กลไกในสัญญาอัจฉริยะของทรูบิทถูกใช้ประโยชน์จากช่องโหว่ด้านตรรกะ เปิดทางให้แฮกเกอร์สามารถสร้างโทเคนจำนวนมากได้โดยไม่ต้องเสียค่าใช้จ่ายเป็นอีเธอเรียม(ETH) ส่งผลให้ถูกขโมยทรัพย์สินไปคิดเป็นมูลค่ารวมประมาณ 26 ล้านดอลลาร์ หรือราว 383 ล้านบาท

บริษัทด้านความปลอดภัย SlowMist วิเคราะห์ว่าปัญหาเกิดจากการคำนวณค่าผิดพลาดในกรณีที่ไม่มีระบบป้องกันการ ‘โอเวอร์โฟลว์’ ในกระบวนการบวกตัวเลขภายในสมาร์ตคอนแทรค ส่งผลให้การประเมินปริมาณ ETH ที่ต้องจ่ายต่ำกว่าความเป็นจริง และแฮกเกอร์อาศัยจุดอ่อนดังกล่าวในการสร้างโทเคน TRU จำนวนมากแทบไม่เสียค่าใช้จ่ายใด ๆ

อีกประเด็นสำคัญคือ สมาร์ตคอนแทรคดังกล่าวพัฒนาด้วยเวอร์ชันเก่าของ Solidity คือเวอร์ชัน 0.6.10 ซึ่งไม่มีระบบตรวจสอบโอเวอร์โฟลว์โดยอัตโนมัติ หากค่าคำนวณเกินขอบเขตของข้อมูลประเภท uint256 จะถูกรีเซ็ตกลับไปค่าต่ำสุดโดยไม่ได้ตั้งใจ ทำให้แฮกเกอร์สามารถเจาะโค้ดได้อย่างง่ายดาย

ทรูบิทเปิดตัวอย่างเป็นทางการบนเมนเน็ตของอีเธอเรียมในเดือนเมษายน ปี 2021 และได้รับความเชื่อมั่นด้านเทคนิคจากผู้ใช้ไม่น้อย แต่เหตุการณ์นี้แสดงให้เห็นว่า ถึงจะเป็นโปรเจกต์ที่มีชื่อเสียง ก็ยังต้องให้ความสำคัญต่อ ‘ความปลอดภัยในสมาร์ตคอนแทรค’ อย่างต่อเนื่อง

นอกจากการเจาะโค้ดโดยแฮกเกอร์แล้ว รายงานจาก Anthropic ยังเปิดเผยว่า ปัญญาประดิษฐ์ที่กำลังพัฒนาอยู่ในขณะนี้สามารถออกแบบการโจมตีสมาร์ตคอนแทรคได้เอง โดย ‘Claude Opus 4.5’ และ ‘Sonnet 4.5’ ของบริษัท รวมถึง GPT-5 ของ OpenAI สามารถออกแบบแผนการแฮกในวงเงินถึง 4.6 ล้านดอลลาร์ หรือประมาณ 67 ล้านบาท ได้อย่างสมบูรณ์ ความคิดเห็น: ประเด็นนี้สะท้อนถึงศักยภาพของ AI ที่อาจถูกนำมาใช้ในอาชญากรรมไซเบอร์ หากไม่ได้รับการกำกับดูแลอย่างเหมาะสม

รายงานประจำปีของ SlowMist ระบุว่า ในปี 2025 พบการเจาะระบบผ่านสมาร์ตคอนแทรคมากถึง 56 กรณี คิดเป็นสัดส่วน 30.5% ของอาชญากรรมสินทรัพย์ดิจิทัลทั้งหมด รองลงมาคือการขโมยบัญชีผู้ใช้ 50 กรณี (24%) และการรั่วไหลของคีย์ส่วนตัวตามมาเป็นลำดับ (8.5%)

ขณะเดียวกัน SlowMist ยังชี้ว่ารูปแบบอาชญากรรมเริ่มเบนเข็มจากการโจมตีเชิงเทคนิคไปสู่ ‘การหลอกลวงทางจิตวิทยา’ หรือที่เรียกกันว่า ‘Social Engineering’ บนเครือข่ายบล็อกเชนโดยตรง โดยเฉพาะ ‘ฟิชชิง’ ที่กลายเป็นภัยอันดับสองของปี 2025 ด้วยจำนวนเหตุการณ์สูงถึง 248 กรณี ความเสียหายรวมกว่า 722 ล้านดอลลาร์ หรือราว 1.06 หมื่นล้านบาท แม้ว่าจำนวนจะลดลงจากปีก่อน 38% แต่ก็ยังถือว่าอยู่ในระดับที่น่ากังวล

แพลตฟอร์มด้านความปลอดภัยอย่าง เซอร์ติค(CertiK) ยังเตือนว่าการโจมตีลักษณะนี้มักมาในรูปแบบลิงก์ปลอม แทรกซึมไปยังผู้ใช้และขโมยข้อมูลกระเป๋าสตางค์โดยไม่ใช้โค้ดอันตรายด้วยซ้ำ ทำให้หลายคนตกเป็นเหยื่อเพราะขาดความระมัดระวัง

เหตุการณ์แฮก Trubit ครั้งนี้สะท้อนอย่างชัดเจนว่า ‘การตรวจสอบด้านความปลอดภัย’ ไม่ควรหยุดอยู่แค่ช่วงเปิดตัวโปรเจกต์ แต่จำเป็นต้องมีอย่างสม่ำเสมอทั้งขณะใช้งาน และช่วงมีการอัปเดตโค้ด พร้อมกันนั้น ความเสี่ยงจากความผิดพลาดของผู้ใช้งานเองก็ไม่ควรมองข้าม ความปลอดภัยในโลกคริปโตจึงควรเป็น ‘ระบบที่ครอบคลุมทั้งเทคโนโลยีและการให้ความรู้แก่ผู้ใช้’ อย่างแท้จริง