ตลาดคริปโตปี 2025 สูญ 972 ล้านดอลลาร์ ช่องโหว่หลักย้ายจากโค้ดสู่การจัดการคีย์และระบบกำกับดูแล

ปีนี้ตลาดคริปโตเผชิญความเสียหายครั้งใหญ่ที่มาจาก ‘ช่องโหว่ด้านการดำเนินงานและโครงสร้างการกำกับดูแล’ มากกว่าปัญหา ‘ช่องโหว่ในสมาร์ตคอนแทรกต์’ แบบเดิม นักวิเคราะห์ชี้ว่าจุดอ่อนใหม่ไม่ได้อยู่ที่โค้ดเพียงอย่างเดียวอีกต่อไป แต่ย้ายมาที่ ‘การจัดการคีย์’ และ ‘โครงสร้างการตัดสินใจ’ ของโปรโตคอลและองค์กรแบบกระจายศูนย์

ในกรณีของโครงการโทเคนมีมบนเครือข่ายโซลานาอย่าง บองค์(BONK) DAO ผู้โจมตีใช้เงินราว 4 ล้านดอลลาร์สหรัฐ (ประมาณ 58 ล้านบาท) เข้าซื้อโทเคนและฉวยโอกาสจาก ‘อัตราการเข้าร่วมโหวตที่ต่ำ’ จนสามารถครอบงำการลงคะแนนในระบบกำกับดูแลของ DAO ได้ในที่สุด ผลลัพธ์คือมีสินทรัพย์ราว 20 ล้านดอลลาร์สหรัฐ (ประมาณ 290 ล้านบาท) ถูกดูดออกจากโปรโตคอล ทั้งที่สมาร์ตคอนแทรกต์ทำงาน ‘ตามกติกา’ ไม่มีบั๊กใด ๆ แต่ตัว ‘กฎของเกม’ เองกลับกลายเป็นช่องทางโจมตี

ในเดือนมิถุนายนที่ผ่านมา โปรเจกต์ด้านระบุตัวตนบนเชนอย่าง ฮิวแมนิตี โปรโตคอล(Humanity Protocol) ก็เกิดเหตุความเสียหายกว่า 30 ล้านดอลลาร์สหรัฐ (ประมาณ 435 ล้านบาท) ฝั่งทีมพัฒนาชี้แจงว่าต้นตอมาจากการที่คีย์ส่วนตัวของสมาชิกทีมคนหนึ่งถูกขโมยไป ใช้เป็นประตูสู่การยึดครองสิทธิ์ควบคุมภายใน ไม่ได้เกี่ยวข้องกับข้อบกพร่องของโค้ดสมาร์ตคอนแทรกต์โดยตรง

เมื่อรวมทุกเหตุการณ์เข้าด้วยกัน มูลค่าความเสียหายในตลาดคริปโตปีนี้พุ่งแตะราว 972 ล้านดอลลาร์สหรัฐ (ประมาณ 1.41 แสนล้านบาท) ขณะที่จำนวนเคสเพิ่มขึ้นอย่างต่อเนื่อง เส้นทางที่เงินไหลออกกลับย้ายจาก ‘ช่องโหว่โค้ด’ ไปสู่ ‘โซนที่ไม่ใช่โค้ด’ มากขึ้นเรื่อย ๆ ไม่ว่าจะเป็นกระบวนการอนุมัติธุรกรรม การถือครองคีย์ หรือโครงสร้างการโหวตภายใน

การวิเคราะห์เหตุโจมตี 425 เคส ระหว่างปี 2021 ถึง 2025 เผยให้เห็นว่าความล้มเหลวทางการปฏิบัติงานเพียงส่วนน้อย กลับสร้างความเสียหายเป็นสัดส่วนใหญ่ของเงินที่ถูกแฮ็กไป โดยเฉพาะในช่วงปี 2024–2025 ที่มีเหตุโจมตี 191 ครั้ง พบว่า 54.6% เกิดจากปัญหาในการจัดการคีย์ของกระดานเทรดแบบรวมศูนย์ การดูแลสินทรัพย์ (คัสโตดี) และสถาปัตยกรรมการลงนามธุรกรรม มากกว่าจะเป็นปัญหาจากช่องโหว่ในสัญญาอัจฉริยะ

‘ความคิดเห็น’ เคสเหล่านี้ย้ำชัดว่าการผ่านการตรวจสอบโค้ด (Audit) อย่างเดียวไม่เพียงพอจะเรียกว่า ‘ปลอดภัย’ ได้ ตัวอย่างหนึ่งคือโปรโตคอลรายใหญ่ที่แม้จะผ่านการตรวจสอบไปแล้วถึง 11 รอบ แต่สุดท้ายก็ยังสูญเสียทรัพย์สินกว่า 128 ล้านดอลลาร์สหรัฐ (ประมาณ 1.86 แสนล้านบาท) เนื่องจากช่องโหว่ที่อยู่นอกขอบเขตการตรวจสอบก่อนหน้า

แม้จุดสนใจจะหันไปที่การจัดการคีย์และการกำกับดูแล แต่ไม่ได้หมายความว่าปัญหาสมาร์ตคอนแทรกต์ได้รับการแก้ไขแล้ว รายงานด้านความปลอดภัยพบว่า โปรเจกต์ที่เปิดให้ใช้งานมากกว่า 5 ปีถึง 93.9% ถูกตรวจพบ ‘ช่องโหว่ร้ายแรง’ อย่างน้อยหนึ่งจุด และประมาณ 20% ของช่องโหว่ที่ถูกรายงานทั้งหมดถูกจัดอยู่ในระดับความเสี่ยงสูงสุด ซึ่งเพียงพอให้ผู้โจมตีสามารถยึดครองทรัพย์สินทั้งหมดในโปรโตคอลได้หากปล่อยทิ้งไว้

อย่างไรก็ตาม โครงสร้างการป้องกันก็มีพัฒนาการไปพร้อมกัน หลายโปรเจกต์หันมาใช้โปรแกรมบักบาวน์ตีแบบเปิดถาวร ร่วมกับระบบมอนิเตอร์แบบเรียลไทม์ ที่ช่วยให้ ‘นักล่าบั๊ก’ และระบบตรวจจับอัตโนมัติสามารถค้นเจอจุดอ่อนก่อนที่แฮกเกอร์จะลงมือได้ ในทางเศรษฐศาสตร์ความปลอดภัย รูปแบบนี้ถือว่ามีประสิทธิภาพสูง เพราะด้วยเงินรางวัลเฉลี่ยราว 2 หมื่นดอลลาร์สหรัฐ (ประมาณ 2.9 ล้านบาท) สามารถป้องกันเหตุแฮ็กที่อาจสร้างความเสียหายระดับ 25 ล้านดอลลาร์สหรัฐ (ประมาณ 3.63 หมื่นล้านบาท) ได้

‘ความคิดเห็น’ ในมุมของผู้เชี่ยวชาญคำว่า ‘ตรวจสอบแล้ว’ หรือ ‘Audit เสร็จสมบูรณ์’ จึงไม่ใช่ใบรับรองความปลอดภัยอีกต่อไป หากขอบเขตการวิเคราะห์ยังจำกัดอยู่แค่ตัวโค้ด แต่ไม่ครอบคลุมไปถึงกระบวนการเก็บรักษาคีย์ วิธีมอบอำนาจลงนาม ธรรมาภิบาลของ DAO และปัจจัยด้านมนุษย์ด้วย

จุดตัดสินอนาคตของความปลอดภัยในคริปโตจึงไม่ได้อยู่ที่การตรวจสอบแบบครั้งเดียวจบ แต่อยู่ที่ระบบ ‘การตรวจสอบต่อเนื่อง’ และ ‘โครงสร้างแรงจูงใจ’ ที่ออกแบบมาให้ทุกฝ่ายมีเหตุผลจะช่วยกันค้นหาและอุดช่องโหว่ ทั้งในระดับโค้ด คีย์ บุคลากร และการกำกับดูแล หากองค์ประกอบเหล่านี้ไม่ถูกประเมินควบคู่กัน โอกาสเกิดเหตุแฮ็กครั้งใหญ่ก็จะยังคงวนกลับมาในรูปแบบใหม่ ๆ อย่างไม่สิ้นสุด