การจัดการคีย์ คือภัยจริงของ 'ออนเชนวอลต์' ซีอีโอเวดาเตือน

ความเสี่ยงที่แท้จริงของ 'ออนเชนวอลต์' (onchain vault) ไม่ได้อยู่ที่บั๊กในสมาร์ทคอนแทรกต์ แต่อยู่ที่การจัดการคีย์และความปลอดภัยด้านปฏิบัติการ นี่คือข้อสรุปล่าสุดจากวงการคริปโต ที่ชี้ว่าเมื่อสินทรัพย์ของผู้ใช้ถูกโยกเข้าสู่กลยุทธ์ดีไฟ (DeFi) อัตโนมัติ สิ่งที่ต้องจับตาไม่ใช่แค่โค้ด แต่รวมถึงสิทธิ์การเข้าถึง การเซ็นธุรกรรม และการควบคุมการถอนเงินด้วย

ซัน รากูปาธี (Sun Raghupathi) ผู้ร่วมก่อตั้งและซีอีโอของเวดา (Veda) กล่าวกับ CryptoBriefing เมื่อวันที่ 10 ว่า “ภัยคุกคามที่แท้จริงของออนเชนวอลต์ไม่ใช่บั๊กในสมาร์ทคอนแทรกต์ แต่คือการจัดการคีย์” คำพูดนี้สะท้อนว่าแม้โค้ดจะผ่านการตรวจสอบมาอย่างดี แต่หากขั้นตอนจัดการคีย์หละหลวม ความเสี่ยงก็ยังคงอยู่ เวดาเป็นบริษัทที่พัฒนาโครงสร้างพื้นฐานวอลต์ให้เอ็กซ์เชนจ์และแอปพลิเคชันต่างๆ นำไปใช้เสนอกลยุทธ์ทำกำไรแบบดีไฟ

ออนเชนวอลต์คือโครงสร้างที่นำสินทรัพย์ซึ่งผู้ใช้ฝากไว้ไปจัดสรรเข้ากลยุทธ์บนสมาร์ทคอนแทรกต์ สำหรับผู้ใช้แล้วหน้าตาอาจดูเหมือนหน้าจอฝากเงินธรรมดา แต่เบื้องหลังมีทั้งสิทธิ์การสั่งรันกลยุทธ์ การโยกย้ายสินทรัพย์ และขั้นตอนอนุมัติการถอนที่เชื่อมโยงกันอยู่

การจัดการคีย์ หมายถึงกระบวนการสร้าง จัดเก็บ และใช้งานกุญแจเข้ารหัสที่จำเป็นสำหรับสิทธิ์ผู้ดูแลระบบและการเซ็นธุรกรรม หากคีย์ถูกขโมยหรือการตั้งค่าสิทธิ์ผิดพลาด ต่อให้โค้ดสมาร์ทคอนแทรกต์ไม่มีข้อบกพร่องเลยก็ยังเกิดการโยกย้ายสินทรัพย์โดยไม่ได้รับอนุญาตได้

เวดาระบุในเอกสารความปลอดภัยอย่างเป็นทางการว่าองค์ประกอบหลักของความปลอดภัยวอลต์ประกอบด้วย △ระบบความปลอดภัยอัตโนมัติ △การจัดการคีย์ขั้นสูง △การติดตามตรวจสอบตลอดวงจรชีวิตของวอลต์ พร้อมระบุว่าคีย์ของผู้ดูแลระบบจะถูกเก็บไว้ในอุปกรณ์ที่ป้องกันด้วยเทคนิคเข้ารหัส

บริษัทยังออกแบบสมาร์ทคอนแทรกต์เพื่อลดพื้นที่เสี่ยงต่อการโจมตี โดยจำกัดฟังก์ชันที่วอลต์เปิดเผยต่อภายนอกให้น้อยที่สุด และให้เฉพาะการทำงานที่ได้รับอนุมัติล่วงหน้าเท่านั้นที่จะรันได้ผ่านการตรวจสอบแบบ Merkle พร้อมวางกลไกควบคุมอย่างการถอนเงินแบบหน่วงเวลา การติดตามธุรกรรมบนเชน และการตรวจสอบโดยหน่วยงานภายนอก

การตรวจสอบแบบ Merkle คือวิธียืนยันทางการเข้ารหัสว่าคำขอทำธุรกรรมนั้นอยู่ในรายการที่ได้รับอนุมัติไว้ล่วงหน้าหรือไม่ ส่วนการถอนเงินแบบหน่วงเวลาคือกลไกที่เว้นช่วงเวลาระหว่างคำขอถอนกับการโยกย้ายสินทรัพย์จริง เพื่อเปิดโอกาสให้ตรวจจับและรับมือกับความเคลื่อนไหวผิดปกติได้ทัน

เวดาเปิดเผยว่านับตั้งแต่ก่อตั้งในปี 2024 บริษัทประมวลผลเงินทุนไปแล้วกว่า 32,000 ล้านดอลลาร์ผ่านวอลต์มากกว่า 200 แห่ง และมีผู้ใช้งานที่เคลื่อนไหวอยู่มากกว่า 300,000 ราย โดยเชื่อมต่อกับเครือข่ายออนเชนมากกว่า 100 แห่ง

ข้อมูลที่เวดาเผยแพร่เมื่อวันที่ 10 มิถุนายน ระบุว่าเงินฝากในวอลต์ Kraken DeFi Earn ของคราเคน (Kraken) อยู่ที่ 400 ล้านดอลลาร์ และมีผู้ใช้งานมากกว่า 65,000 ราย ต่อมาบัญชี LinkedIn ทางการของเวดาโพสต์ตัวเลขใหม่ ระบุเงินฝาก 600 ล้านดอลลาร์ และผู้ใช้งานมากกว่า 80,000 ราย

วอลต์แต่ละแห่งของ Kraken DeFi Earn บริหารโดยผู้จัดการความเสี่ยงอิสระ โดยคราเคนเองไม่ได้ควบคุมเงินฝากในวอลต์โดยตรง ขณะที่กระเป๋าเงินแบบฝังตัว (embedded wallet) ก็อยู่ภายใต้การควบคุมของผู้ใช้เอง เมื่อหน้าจอให้บริการกับผู้บริหารสินทรัพย์จริงเป็นคนละส่วนกัน ผู้ใช้จึงควรแยกแยะขอบเขตอำนาจของแต่ละฝ่ายให้ชัดเจน

โครงสร้างที่ให้ผู้จัดการความเสี่ยงมืออาชีพกำหนดหลักประกันและเพดานความเสี่ยงของวอลต์ กำลังขยายตัวในตลาดดีไฟ ก่อนหน้านี้ TokenPost เคยรายงานว่าเงินทุนที่บริหารโดยผู้จัดการความเสี่ยงมืออาชีพกระจุกตัวอยู่ในวอลต์ที่คัดสรรบนอีเธอเรียม(ETH) และเบส (Base)

อย่างไรก็ตาม การที่ความสำคัญของการจัดการคีย์เพิ่มขึ้น ไม่ได้แปลว่าความเสี่ยงจากสมาร์ทคอนแทรกต์หายไป คราเคนเองก็ยังแจ้งเตือนผู้ใช้ Defi Earn ถึงความเสี่ยงทั้งข้อบกพร่องของสมาร์ทคอนแทรกต์ หนี้เสีย และสภาพคล่องที่อาจไม่เพียงพอ

แม้แต่วอลต์บิตคอยน์(BTC) ของคราเคนก็เป็นผลิตภัณฑ์ที่อัตราผลตอบแทนสามารถผันผวนได้ และมีโอกาสขาดทุน การเสริมความปลอดภัยด้านปฏิบัติการไม่ได้แปลว่าความเสี่ยงจากข้อบกพร่องของโปรโตคอลพื้นฐานหรือสภาพคล่องในตลาดที่อาจแย่ลงจะหมดไป

OpenZeppelin เปิดเผยข้อมูลเมื่อวันที่ 11 มีนาคม ว่าความสูญเสียด้านคริปโตส่วนใหญ่ในช่วง 2 ปีที่ผ่านมา เกิดจากการโจมตีนอกเชนอย่างฟิชชิงและการจัดการคีย์ที่หละหลวม มากกว่าบั๊กในสมาร์ทคอนแทรกต์ ขณะที่ Blockaid ก็วิเคราะห์เมื่อวันที่ 17 มิถุนายน ว่าความสูญเสียในดีไฟช่วงปี 2025 ถึงต้นปี 2026 ส่วนใหญ่มีต้นตอจากโครงสร้างพื้นฐานกระเป๋าเงินและคีย์ส่วนตัวที่ถูกเจาะ

ผู้ใช้ออนเชนวอลต์จึงควรตรวจสอบไม่ใช่แค่ผลตอบแทน แต่รวมถึง △ผู้บริหารสินทรัพย์ตัวจริง △วิธีจัดเก็บคีย์ของผู้ดูแลระบบ △กลไกหน่วงเวลาการถอนเงิน △ระบบติดตามธุรกรรมผิดปกติ การตรวจสอบโค้ดและความปลอดภัยด้านปฏิบัติการไม่ใช่สิ่งที่แทนกันได้ แต่ต้องทำงานควบคู่กันไปเป็นระบบควบคุมความเสี่ยงเดียวกัน

แหล่งอ้างอิงที่ตรวจสอบแล้ว: CryptoBriefing, Veda, Veda Docs, Veda About, Kraken FAQ, OpenZeppelin, Blockaid