เว็บ3 สะเทือน! อินฟรา 버셀(Vercel) ถูกแฮ็ก โปรเจกต์คริปโตเร่งเปลี่ยน API 키 หวั่นเสี่ยงทั้งระบบนิเวศ

เหตุการณ์ ‘อินฟรา’ ของแพลตฟอร์มเว็บชื่อดังอย่าง 버셀(Vercel) ถูกเจาะ ทำให้โครงการคริปโตจำนวนมากต้องเร่งเปลี่ยน ‘API 키’ และตรวจสอบระบบความปลอดภัยกันยกใหญ่ สะท้อนความเสี่ยงด้านโครงสร้างพื้นฐานของเว็บ3 ที่ยังพึ่งพาบริการรวมศูนย์อย่างหนัก

เมื่อวันที่ 20 (เวลาท้องถิ่น) สื่อในวงการไอทีรายงานว่า บริษัทโครงสร้างพื้นฐานเว็บ 버셀(Vercel) ยอมรับว่าเกิดเหตุแฮ็กเกอร์สามารถเข้าถึงการตั้งค่าภายใน และอาจทำให้ ‘API 키’ บางส่วนถูกเปิดเผยได้ ‘API 키’ เปรียบเสมือนรหัสผ่านดิจิทัลที่ใช้เชื่อมต่อแอปพลิเคชันเข้ากับกระเป๋าเงิน ฐานข้อมูล หรือบริการภายนอก หากหลุดไปอยู่ในมือคนร้าย อาจถูกใช้ปลอมตัวเป็นบริการจริง ดึงทราฟฟิกไปใช้เอง หรือสั่งให้ระบบทำงานผิดปกติได้

แม้ขณะนี้ขอบเขตความเสียหายยังไม่ชัดเจน แต่ในฟอรัมอาชญากรรมไซเบอร์ ‘브리치포럼(BreachForums)’ มีการโพสต์ประกาศขายข้อมูลที่อ้างว่าเป็น ‘데이터ของ버셀’ พร้อมคีย์เข้าถึงและซอร์สโค้ด ในราคา 2 ล้านดอลลาร์สหรัฐ (ราว 29억4,780만 원) อย่างไรก็ตาม ข้อมูลดังกล่าวยังไม่มีการยืนยันจากหน่วยงานอิสระหรือผู้เชี่ยวชาญว่าของจริงหรือไม่

‘ความคิดเห็น’ กรณีนี้ไม่ได้มีแค่ประเด็นข้อมูลรั่วไหลเท่านั้น แต่ยังโยงไปถึงความน่าเชื่อถือของผู้ให้บริการโครงสร้างพื้นฐาน ที่เป็นฐานรองรับบริการคริปโตจำนวนมากทั่วโลก

‘ช่องโหว่’ มาจากเครื่องมือ AI ภายนอก – ขยายสิทธิ์จนเข้าถึงระบบภายใน

버셀 ชี้แจงว่า จุดเริ่มต้นของการถูกเจาะในครั้งนี้มาจากเครื่องมือ AI ภายนอกชื่อ ‘Context.ai’ ที่พนักงานใช้ในการทำงาน เมื่อบัญชี Context.ai ที่เชื่อมต่อกับ ‘Google Workspace’ ถูก compromise แฮ็กเกอร์จึงค่อยๆ ขยายสิทธิ์และสามารถเข้าถึงสภาพแวดล้อมภายในบางส่วนของบริษัทได้

ทางบริษัทระบุว่า ตัวแปรสภาพแวดล้อมที่ถูกตั้งค่าว่าเป็นข้อมูล ‘สำคัญ/อ่อนไหว’ จะถูกจัดเก็บในรูปแบบเข้ารหัส ทำให้ไม่สามารถอ่านค่าได้โดยตรง และจนถึงตอนนี้ยังไม่พบหลักฐานชัดเจนว่ามีการเข้าถึงข้อมูลดังกล่าว แต่ก็ยังไม่ตัดความเป็นไปได้ บริษัทจึงอยู่ระหว่างการทำงานร่วมกับบริษัทความปลอดภัยภายนอกและหน่วยงานสืบสวน เพื่อวิเคราะห์ขอบเขตความเสียหายและตรวจสอบว่ามีข้อมูลหรือคีย์ใดถูกดึงออกไปจริงหรือไม่

‘ความคิดเห็น’ เหตุนี้ชี้ให้เห็นว่า แม้โครงสร้างเก็บข้อมูลจะถูกออกแบบให้ปลอดภัยแค่ไหน ถ้าจุดอ่อนอยู่ที่ ‘เครื่องมือเสริม’ ที่เชื่อมต่อเข้ามาในระบบ ก็อาจกลายเป็นประตูให้ผู้ไม่หวังดีทะลุเข้าถึงโครงสร้างหลักได้อยู่ดี

คริปโตโดนเต็มๆ – พึ่งพา ‘API 키’ และ 버셀 จนกลายเป็นจุดเสี่ยง

แตกต่างจากบริษัทโฮสติ้งทั่วไป 버셀ทำหน้าที่เป็น ‘โครงสร้างพื้นฐานฟรอนต์เอนด์’ ให้กับเว็บและแอปจำนวนมาก รวมถึงโปรเจกต์คริปโตและเว็บ3 ทั่วโลก อีกทั้งยังเป็นทีมหลักที่ดูแลเฟรมเวิร์กชื่อดังอย่าง ‘Next.js’ ที่นักพัฒนานิยมใช้สร้างเว็บแอปสมัยใหม่

หลายโปรเจกต์เว็บ3 เลือกใช้버셀เพื่อรันอินเทอร์เฟซกระเป๋าเงิน หน้าแดชบอร์ดของดีแอป และเชื่อมต่อกับผู้ให้บริการข้อมูลบล็อกเชนหรือบริการแบ็กเอนด์ผ่าน ‘API 키’ ที่ตั้งค่าไว้ในสภาพแวดล้อมการดีพลอย เมื่อเกิดเหตุอินฟราถูกเจาะ จึงไม่ใช่แค่ปัญหาเชิงเทคนิคของบริษัทเดียว แต่สะท้อน ‘โครงสร้างการพึ่งพา’ ที่อาจกลายเป็นช่องโหว่ระดับระบบนิเวศ

หนึ่งในตัวอย่างที่ได้รับผลกระทบโดยตรงคือ ‘ออร์กา(Orca)’ โปรโตคอลดีแฟย อิงบนโซลานา(SOL) ที่ยืนยันว่ากำลังรันฟรอนต์เอนด์ผ่าน버셀 ทีมงานของออร์การะบุว่า หลังได้รับแจ้งเหตุได้รีบ ‘เปลี่ยน credential การดีพลอยทั้งหมดทันที’ เพื่อป้องกันความเสี่ยงเชิงรุก พร้อมย้ำว่า ส่วนของโปรโตคอลออนเชนและเงินทุนของผู้ใช้งาน ‘ไม่ได้รับผลกระทบ’ จากเหตุครั้งนี้

‘ความคิดเห็น’ จุดสำคัญคือ แม้สัญญาอัจฉริยะบนบล็อกเชนอาจจะปลอดภัย แต่หากฟรอนต์เอนด์หรือคีย์ที่เชื่อมไปยังบริการเบื้องหลังถูกเจาะ ผู้โจมตีอาจหลอกให้ผู้ใช้โต้ตอบกับอินเทอร์เฟซปลอม หรือบังคับส่งทรานส์แอ็กชันไปยังปลายทางที่ไม่ถูกต้องได้

อินฟรากลายเป็น ‘จุดบอด’ – ถึงเวลาทบทวนความเสี่ยงเว็บ3 ใหม่ทั้งระบบ

กรณี버셀ทำให้โลกคริปโตต้องหันกลับมามองว่า บางครั้ง ‘บล็อกเชน’ อาจไม่ใช่จุดอ่อนที่สุดในระบบ แต่เป็น ‘โครงสร้างพื้นฐานเว็บ’ ที่พยุงบริการทั้งหมดต่างหากที่มีพื้นที่ให้โจมตีมากกว่า แม้โปรเจกต์จำนวนมากจะยกประเด็น ‘การกระจายอำนาจ’ เป็นจุดขาย แต่เอาเข้าจริง การรันเว็บ ฟรอนต์เอนด์ และเครื่องมือเสริมจำนวนมากยังผูกอยู่กับผู้ให้บริการรวมศูนย์ไม่กี่ราย

ผู้เชี่ยวชาญด้านความปลอดภัยในวงการเว็บ3 ชี้ว่า การรับมือเหตุการณ์ลักษณะนี้ไม่ควรหยุดแค่ ‘การเปลี่ยน API 키’ เท่านั้น แต่ต้องมองไปถึงการจัดการสิทธิ์เข้าถึง (access control) การจำกัดการใช้เครื่องมือภายนอก ภายในองค์กร การดูแลตัวแปรสภาพแวดล้อม และการตั้งระบบตรวจจับความผิดปกติให้รัดกุมกว่านี้

‘ความคิดเห็น’ ในระยะยาว ยิ่งตลาดคริปโตเติบโตและดึงดูดทุนมากขึ้นเท่าไร แรงจูงใจของแฮ็กเกอร์ในการโจมตีก็ยิ่งสูงขึ้นตามไปด้วย โปรเจกต์ที่ลงทุนจริงจังกับความปลอดภัยเชิงปฏิบัติการของอินฟรา ตั้งแต่เลเยอร์บล็อกเชนไปจนถึงฟรอนต์เอนด์และ API อาจกลายเป็นผู้ชนะตัวจริงในรอบถัดไปของการแข่งขันในโลกเว็บ3