ข่าว 
ข้อมูลเหรียญ 
แนะนำสื่อ 
แอดเดรสเสี่ยงสูงบนเครือข่ายอีเธอเรียม(ETH)และบีเอ็นบีเชน(BNB Chain)ที่ถูกจัดว่าเป็นกรณี 'ใช้แอดเดรสผิดวิธี' มีจำนวนรวม 65,340 แอดเดรส และความเสียหายที่เกี่ยวข้องถูกประเมินไว้สูงกว่า 574.8 ล้านดอลลาร์ ต้นตอของปัญหาไม่ได้อยู่ที่ช่องโหว่ของสมาร์ทคอนแทรกต์ แต่อยู่ที่ความผิดพลาดพื้นฐานอย่างการใช้แอดเดรสซ้ำ การเผยแพร่คีย์ส่วนตัวโดยไม่ตั้งใจ และความสับสนระหว่างเชน
งานวิจัยชื่อ 'Lost in Blockchain Address Misuse: Hidden Cross-Platform Risks and Their Security Impact' ซึ่งได้รับการตอบรับให้นำเสนอในงาน USENIX Security '26 วิเคราะห์ข้อมูลจากรีโพซิทอรีบน GitHub จำนวน 63,004 แห่ง และข้อมูลจาก Stack Exchange จนได้ผลลัพธ์ดังกล่าว ทีมวิจัยคัดกรองแอดเดรสที่ไม่ซ้ำกัน 10,312,572 แอดเดรส และคีย์ส่วนตัวที่ตัดรายการซ้ำแล้วอีก 16,305,399 คีย์ ก่อนนำไปเทียบกับธุรกรรมจริงบนอีเธอเรียมและบีเอ็นบีเชน
งานวิจัยแบ่งการใช้แอดเดรสผิดวิธีออกเป็นสองกลุ่มหลัก คือ 'การใช้ผิดวิธีแบบ CA' (CA Misuse) ซึ่งหมายถึงการปฏิบัติต่อแอดเดรสที่ไม่ใช่คอนแทรกต์เสมือนเป็นแอดเดรสคอนแทรกต์ และ 'การใช้ผิดวิธีแบบ EOA' (EOA Misuse) ที่เกิดจากการโต้ตอบกับบัญชีภายนอก (EOA) ที่คีย์ส่วนตัวหลุดออกไปแล้ว
ตัวเลขที่พบคือกรณี CA Misuse 49,344 ครั้ง และ EOA Misuse 15,996 ครั้ง โดยความเสียหายจาก CA Misuse อยู่ที่ 22,738.41 ETH และ 8,681.41 BNB ขณะที่ EOA Misuse สร้างความเสียหาย 104,244.53 ETH และ 9,045.29 BNB
เมื่อรวมทั้งหมด พบธุรกรรมที่เกี่ยวข้องราว 2.5 ล้านรายการ ความเสียหายรวม 126,982.94 ETH และ 17,726.7 BNB ทีมวิจัยใช้ราคาอ้างอิงเดือนพฤษภาคม 2025 ที่อีเธอเรียม(ETH) 4,408 ดอลลาร์ และบีเอ็นบี(BNB) 847 ดอลลาร์ แปลงมูลค่าความเสียหายรวมออกมาได้มากกว่า 574.8 ล้านดอลลาร์
อย่างไรก็ตาม ตัวเลขนี้ไม่ใช่มูลค่าความเสียหาย ณ เวลาที่เกิดธุรกรรมจริง ทีมวิจัยระบุว่าเป็นเพียง 'ดัชนีมาตรฐาน' ที่ใช้ราคาอ้างอิงเดียวกันเพื่อเปรียบเทียบความรุนแรงเชิงเศรษฐกิจในปัจจุบัน และเนื่องจากขอบเขตการวิเคราะห์เน้นเฉพาะกลุ่มเชนที่รองรับ EVM และโทเคนหลักของแต่ละเชน ทีมวิจัยจึงมองว่าตัวเลขที่ได้ใกล้เคียงกับ 'ขอบล่างแบบระมัดระวัง' มากกว่าตัวเลขจริงทั้งหมด
เวกเตอร์การโจมตีรูปแบบใหม่ที่งานวิจัยนี้ระบุไว้แยกออกเป็นสองแบบ แบบแรกคือ CA Misuse ที่อาศัยการใช้แอดเดรสซ้ำระหว่างเทสต์เน็ตกับเมนเน็ต ผู้โจมตีฝังคอนแทรกต์อันตรายไว้บนแอดเดรสเมนเน็ตที่ตรงกับแอดเดรสซึ่งเคยใช้บนเทสต์เน็ต แล้วดึงเงินที่ติดค้างอยู่ออกไป พบกรณีลักษณะนี้ 469 ครั้ง ความเสียหายรวม 3,446.37 ETH และ 431.79 BNB
แบบที่สองคือ EOA Misuse ที่อาศัยมาตรฐาน EIP-7702 โดยหลอกให้ EOA ที่คีย์ส่วนตัวหลุดออกไปแล้วมอบสิทธิ์ (delegate) ให้กับคอนแทรกต์อันตราย จากนั้นเงินที่โอนเข้ามาจะถูกดึงออกทันที รูปแบบนี้พบ 17,270 ครั้ง สร้างความเสียหาย 25.86 ETH และ 33.45 BNB
สื่อคริปโต CryptoSlate แยกคำนวณความเสียหายทางตรงจากเวกเตอร์การโจมตีใหม่ทั้งสองแบบไว้ต่างหาก อยู่ที่ราว 15.7 ล้านดอลลาร์ ซึ่งเป็นตัวเลขคนละชุดกับประมาณการรวม 574.8 ล้านดอลลาร์ เพราะเป็นการนับเฉพาะความเสียหายที่สังเกตเห็นโดยตรงจากการโจมตีที่เกิดขึ้นจริงในเวกเตอร์ใหม่เท่านั้น
ประเด็นที่งานวิจัยนี้ต้องการชี้ให้เห็นไม่ใช่การแฮ็กครั้งใดครั้งหนึ่ง แต่เป็น 'โครงสร้าง' ที่ทำให้โค้ดตัวอย่างในรีโพซิทอรีสาธารณะ คีย์ที่หลงเหลืออยู่ในกระทู้ถาม-ตอบ ความสับสนระหว่างเทสต์เน็ตกับเมนเน็ต และการชนกันของแอดเดรสรูปแบบเดียวกันระหว่างเชนต่างๆ นำไปสู่การสูญเสียเงินจริงในที่สุด
โดยทั่วไป การพูดถึงความปลอดภัยของบล็อกเชนมักโฟกัสอยู่ที่ข้อบกพร่องของโค้ดสมาร์ทคอนแทรกต์และการถูกโจมตีบริดจ์เป็นหลัก แต่งานวิจัยชิ้นนี้ชี้ให้เห็นว่าความผิดพลาดในการจัดการแอดเดรสและคีย์ที่เกิดขึ้นนอกตัวคอนแทรกต์ ก็เป็นอีกหนึ่งแกนสำคัญของความเสียหายบนเชนที่แยกต่างหากออกมาเช่นกัน
พฤติกรรมที่ดูเหมือนเล็กน้อยอย่างนักพัฒนาปล่อยแอดเดรสตัวอย่างทิ้งไว้ในโค้ด หรือผู้ใช้คัดลอกแอดเดรสจากแหล่งที่ไม่เป็นทางการ ล้วนกลายเป็นความเสี่ยงด้านความปลอดภัยได้ทั้งสิ้น ยิ่งในสภาพแวดล้อมที่แต่ละเชนใช้รูปแบบแอดเดรสเดียวกัน โอกาสที่เครือข่ายซึ่งผู้ใช้ตั้งใจจะโอนเงินไปกับเครือข่ายที่รับโอนจริงจะไม่ตรงกันก็ยิ่งสูงขึ้นตามไปด้วย
ทีมวิจัยระบุว่าได้ดำเนินกระบวนการเปิดเผยข้อมูลอย่างมีความรับผิดชอบ (responsible disclosure) ไปยังผู้ให้บริการวอลเล็ตและเอ็กซ์เชนจ์ที่เกี่ยวข้องแล้ว พร้อมเสนอแนวทางรับมือ อาทิ △การแจ้งเตือนจากฝั่งวอลเล็ต △การแจ้งเตือนเมื่อโอนเงินผิดเชน และ △การปรับปรุงโปรโตคอลให้รวม 'chain ID' เข้าไปในกระบวนการสร้างแอดเดรสตั้งแต่ต้น
งานวิจัยนี้ยังเป็นเครื่องเตือนใจสำหรับผู้ใช้คริปโตในไทยด้วยเช่นกันว่า การตรวจสอบแอดเดรสวอลเล็ตและการเลือกเครือข่ายให้ถูกต้องยังคงเป็นเรื่องสำคัญ เพราะขั้นตอนง่ายๆ อย่างการเลือกเครือข่ายถอนเงินบนเอ็กซ์เชนจ์แบบรวมศูนย์ หรือการวางแอดเดรสในวอลเล็ตส่วนตัว ก็สามารถนำไปสู่การสูญเสียสินทรัพย์จริงได้เช่นกัน
บนเว็บไซต์ทางการของ USENIX งานวิจัยชิ้นนี้ถูกระบุไว้ในฐานะบทความที่ได้รับการตอบรับให้นำเสนอในงาน USENIX Security '26 เรียบร้อยแล้ว และคาดว่าการนำเสนอผลงานรวมถึงการตอบสนองจากภาคอุตสาหกรรมในระยะต่อไปจะทำให้เกิดการหารือเรื่องระบบแจ้งเตือนของวอลเล็ตและวิธีระบุเชนที่ชัดเจนขึ้นต่อไป
แหล่งอ้างอิงสำหรับตรวจสอบข้อมูล: หน้าเว็บบทความที่ได้รับการตอบรับจาก USENIX, เอกสารงานวิจัยฉบับเต็ม
ความคิดเห็น 0