แฮ็กบริดจ์ครอสเชนระอุ วันเดียวสูญกว่า 3,500만달러 สะท้อนจุดอ่อนความปลอดภัยสะสม

การแฮ็ก ‘บริดจ์คริปโต’ กลับมาสั่นคลอนความเชื่อมั่นอีกครั้ง ในช่วง 24 ชั่วโมงที่ผ่านมาเพียงวันเดียว มูลค่าความเสียหายจากการโจมตีสามเหตุการณ์พุ่งเกิน 3,500만달러 ครอบคลุมทั้ง เว루스 브리지, AFX และโครงการ BSquared สะท้อนช่องโหว่ด้านความปลอดภัยของโครงสร้าง ‘ครอสเชนบริดจ์’ ที่ยังแก้ไม่ตก

เมื่อวันที่ 23 (เวลาท้องถิ่น) ‘คอยน์เทเลกราฟ’ รายงานว่า เว루스 브리지(Verus Bridge) สูญเสียเงินไปอีกราว 750만달러 จากการโจมตีรูปแบบเดิมที่เคยเกิดขึ้นเมื่อสองเดือนก่อน ซึ่งครั้งนั้นผู้พัฒนาประกาศให้ ‘ไวต์แฮต(Whitehat)’ สามารถรับเงินรางวัล 25% ของมูลค่าทรัพย์สิน แลกกับการส่งคืนเงินที่ถูกขโมย ทำให้ได้เงินบางส่วนกลับคืนมา ทว่า ‘คราวนี้สถานการณ์ต่างออกไปอย่างชัดเจน’

บริษัทตรวจสอบบล็อกเชน ‘สโล็วมิสต์(SlowMist)’ วิเคราะห์ว่า แฮ็กทั้งสองครั้งบนเวรูส 브리지มีจุดร่วมสำคัญคือช่องโหว่ด้าน ‘การตรวจสอบข้อมูลครอสเชน (Cross-chain input validation)’ ที่ไม่รัดกุม ส่งผลให้ผู้โจมตีสามารถสร้างธุรกรรมปลอมและดูดสภาพคล่องออกจากบริดจ์ได้ โดยในเหตุการณ์ล่าสุด มีรายงานว่าคนร้ายได้โอนสินทรัพย์ไปยังบริการมิกซ์เหรียญ ‘โทนาโดแคช(Tornado Cash)’ แล้วไม่น้อยกว่า 3,916 อีเธอเรียม(ETH) หรือราว 660만달러 ทำให้โอกาสติดตามและกู้คืนทรัพย์สินยิ่งน้อยลงไปอีก

ในวันเดียวกัน บริดจ์ USDC บนเครือข่าย อาร์บิทรัม(ARB) ของแพลตฟอร์ม AFX ก็ถูกโจมตี สูญเสียทรัพย์สินมากกว่า 2,400만달러 บริษัทด้านความปลอดภัยบล็อกเชน ‘บล็อกเซ็ก(BlockSec)’ ชี้ว่า คนร้ายอาจใช้ประโยชน์จาก ‘กุญแจของตัวตรวจสอบ (Approved validator key)’ ที่ถูกอนุมัติไว้แล้ว และใช้กลไกการลงนามแบบ 5-of-7 ให้ผ่านฉันทามติได้อย่างถูกต้องตามระบบ จึงยิ่งทำให้การโจมตีตรวจจับได้ยาก AFX ระบุว่าได้หยุดการทำงานของบริดจ์ชั่วคราวและอยู่ระหว่างสืบหาต้นตอ ขณะเดียวกันยืนยันว่า เมนเน็ต ระบบเทรด และเครือข่ายอาร์บิทรัมโดยรวมไม่ถูกกระทบ

เพื่อจูงใจให้คนร้ายคืนสินทรัพย์ AFX เสนอ ‘เงินรางวัล’ สูงถึง 30% ของมูลค่าที่ถูกขโมย หรือราว 720만달러 หากมีการส่งคืนเงินที่เหลือทั้งหมด อย่างไรก็ดี ผู้เชี่ยวชาญด้านความปลอดภัยบางส่วนแสดง ‘ความคิดเห็น’ ว่าข้อเสนอในลักษณะนี้ อาจกลายเป็นการเปิดช่องให้แฮ็กเกอร์ใช้เป็นฐานต่อรองมากกว่าจะช่วยให้ปัญหาถูกแก้ไขในเชิงโครงสร้าง ข้อมูลจากบริษัทความปลอดภัย ‘เพ็กชิล드(PeckShield)’ ระบุว่า ณ ตอนนี้ผู้โจมตีได้แปลงสินทรัพย์เป็นอีเธอเรียมมากกว่า 12,000 ETH แล้ว และยังคงถือครองไว้ในที่อยู่บนเครือข่ายอีเธอเรียม

ด้านโครงการ BSquared ซึ่งเป็นโปรเจกต์ AI เอเยนต์บนบิตคอยน์(BTC) ก็ไม่รอดพ้นจากการโจมตี โดยถูกใช้สิทธิ ‘อัปเกรดสัญญาสเตกกิง’ โดยไม่ได้รับอนุญาต ทำให้สูญเสียสินทรัพย์ไปอีกราว 400만달러 ทีมพัฒนา BSquared ระบุว่าจะชดเชยความเสียหายให้ผู้ใช้เต็มจำนวน พร้อมเสนอเงินรางวัลให้ผู้โจมตีในสัดส่วนที่ค่อนข้างเป็นมาตรฐานคือประมาณ 10% ของทรัพย์สินที่ถูกขโมย ด้านบริษัทวิเคราะห์บล็อกเชน ‘สเปกเตอร์(Specter)’ ติดตามเส้นทางเงินพบว่า ทรัพย์สินส่วนใหญ่ถูกแลกเป็น WBNB ก่อนถูกเคลื่อนย้ายข้ามไปยังเครือข่ายอีเธอเรียม และถูกเปลี่ยนต่อไปยังเหรียญในโปรโตคอลความเป็นส่วนตัวอย่าง แซดแคช(ZEC)

เหตุการณ์โจมตีต่อเนื่องบน ‘บริดจ์ครอสเชน’ เหล่านี้ตอกย้ำจุดอ่อนเชิงโครงสร้างของอินฟราสตรักเจอร์เชื่อมโยงข้ามบล็อกเชนอีกครั้ง เมื่อรวมเฉพาะการแฮ็กที่เกี่ยวข้องกับบริดจ์ตั้งแต่ต้นสัปดาห์ที่แล้ว มูลค่าความเสียหายรวมแตะอย่างน้อย 4,000만달러แล้ว ‘ความคิดเห็น’ จากในตลาดกำลังชี้ไปในทิศทางเดียวกันว่า ปัญหาไม่ได้หยุดแค่ตัวเลขมูลค่าเงินที่สูญหาย แต่สะท้อนถึงการจัดการ ‘กุญแจตัวตรวจสอบ (Validator key)’, กลไกตรวจสอบธุรกรรม, รวมถึงการควบคุมอำนาจการอัปเกรดสัญญาอัจฉริยะ ซึ่งทั้งหมดจำเป็นต้องถูกทบทวนและยกระดับความปลอดภัยอย่างจริงจัง หากต้องการให้บริดจ์ครอสเชนยังคงเป็นโครงสร้างพื้นฐานหลักในระบบนิเวศสินทรัพย์ดิจิทัลต่อไป