Morpho Midnight เปิดผลตรวจสอบความปลอดภัย ไม่พบช่องโหว่ร้ายแรง

Morpho Midnight โปรโตคอลให้กู้ยืมแบบอัตราดอกเบี้ยคงที่และกำหนดวันครบกำหนดคงที่ของ Morpho เปิดเผยผลการตรวจสอบความปลอดภัยจากภายนอก (audit) และข้อมูลการตรวจสอบเชิงรูปแบบ (formal verification) แล้ว ผลตรวจสอบไม่พบช่องโหว่ร้ายแรง แต่การผ่านการตรวจสอบไม่ได้หมายความว่าความเสี่ยงจากการโจมตีทั้งหมดหรือความมั่นคงในการบริหารเงินทุนจะได้รับการรับประกัน

รายงานที่เกี่ยวข้องกับ Morpho Midnight ถูกเผยแพร่ในโฟลเดอร์ตรวจสอบบน GitHub ของโปรเจกต์และในรายการตรวจสอบอย่างเป็นทางการ โดยการตรวจสอบจากภายนอกดำเนินการโดย Spearbit, Blackthorn, Trust Security และ StErMi ร่วมกับการแข่งขันตรวจสอบแบบเปิดของ Cantina ซึ่งจัดขึ้นตั้งแต่เดือนเมษายนถึงกรกฎาคม 2026

ผลการตรวจสอบส่วนใหญ่เป็นข้อบกพร่องระดับต่ำถึงปานกลาง อย่างไรก็ตาม แต่ละรายงานตรวจสอบโค้ดคนละเวอร์ชันและใช้โมเดลภัยคุกคามต่างกัน จึงไม่สามารถตีความขยายผลว่าความเสี่ยงทั้งหมดของโปรโตคอลถูกกำจัดไปแล้ว

Morpho ระบุในเอกสารกรอบความปลอดภัยที่เผยแพร่เมื่อวันที่ 9 กรกฎาคมว่า โค้ดหลักของ Midnight ถูกควบคุมให้อยู่ที่ประมาณ 1,100 บรรทัด โดยยึดหลักความเรียบง่าย ความไม่เปลี่ยนแปลง (immutability) และการไม่เก็บรักษาสินทรัพย์ของผู้ใช้เอง (non-custodial) เป็นแกนกลางของการออกแบบด้านความปลอดภัย ความไม่เปลี่ยนแปลงหมายถึงโครงสร้างที่ทำให้ยากต่อการอัปเกรดหรือแก้ไขสมาร์ทคอนแทรกต์ตามอำเภอใจหลังการดีพลอย ส่วนการไม่เก็บรักษาสินทรัพย์เองหมายถึงโครงสร้างที่โปรโตคอลไม่ถือครองสินทรัพย์ของผู้ใช้โดยตรง

ในคลัง GitHub ยังมีข้อมูลการตรวจสอบเชิงรูปแบบที่ใช้ CVL ของ Certora รวมอยู่ด้วย การตรวจสอบเชิงรูปแบบเป็นวิธีการยืนยันทางคณิตศาสตร์ว่าสมาร์ทคอนแทรกต์เป็นไปตามเงื่อนไขที่กำหนดไว้หรือไม่ โดย Morpho ระบุว่าได้ดำเนินการทดสอบและตรวจสอบเชิงรูปแบบควบคู่กันก่อนการตรวจสอบจากภายนอก

Midnight มีโครงสร้างที่แตกต่างจากตลาดให้กู้ยืม DeFi ทั่วไปที่เน้นอัตราดอกเบี้ยลอยตัว โดยอัตราดอกเบี้ยเงินกู้และวันครบกำหนดจะถูกล็อกไว้ ณ เวลาที่ทำธุรกรรม ผู้ให้กู้และผู้กู้จะซื้อขายหน่วยเครดิตและหน่วยหนี้ระหว่างกัน

ตลาดแต่ละแห่งจะถูกแยกออกจากกันตามสินทรัพย์และวันครบกำหนด และเงื่อนไขของแต่ละตลาดจะไม่เปลี่ยนแปลงหลังจากถูกสร้างขึ้น เอกสารทางการของ Morpho ระบุว่า Midnight ปัจจุบันถูกดีพลอยอยู่บน Base

โครงสร้างอัตราดอกเบี้ยคงที่และวันครบกำหนดคงที่ช่วยให้คาดการณ์ต้นทุนการกู้ยืมและช่วงเวลาชำระคืนได้ง่ายขึ้น แต่ในทางกลับกัน หากสภาพคล่องไม่เพียงพอก่อนถึงวันครบกำหนด การปิดสถานะในเวลาที่ต้องการอาจทำได้ยาก

ความผิดพลาดของออราเคิลที่ส่งราคาหลักประกัน การโจมตีเชิงเศรษฐศาสตร์ และปัญหาในกระบวนการชำระบัญชี (liquidation) เป็นเรื่องที่ยากจะประเมินได้ครบถ้วนด้วยการตรวจสอบความปลอดภัยเพียงอย่างเดียว เนื่องจากการตรวจสอบที่มุ่งหาข้อบกพร่องในโค้ดเฉพาะจุด กับความเสี่ยงจากการเคลื่อนย้ายเงินทุนจริงในตลาด เป็นเป้าหมายการตรวจสอบที่ต่างกัน

การให้กู้ยืมแบบกำหนดวันครบกำหนดคงที่เป็นโครงสร้างที่ชำระเงินต้นและดอกเบี้ยตามวันครบกำหนดที่ถูกกำหนดไว้ตั้งแต่เวลาทำธุรกรรม เนื่องจากอัตราดอกเบี้ยและวันครบกำหนดถูกกำหนดไว้ล่วงหน้า จึงคาดการณ์เงื่อนไขได้แม่นยำสูง แต่ก็มีข้อจำกัดที่ต้องหาคู่สัญญาและสภาพคล่องให้ได้ก่อนถึงวันครบกำหนด

เมอร์ลิน เอกาลิเต (Merlin Egalite) ผู้ดูแลด้านความปลอดภัยของ Morpho ระบุในโพสต์บน LinkedIn ว่าหลักความปลอดภัยของ Midnight คือความเรียบง่าย ความไม่เปลี่ยนแปลง และการไม่เก็บรักษาสินทรัพย์เอง ด้าน Certora ก็ระบุว่าได้ทำการตรวจสอบเชิงรูปแบบในคุณสมบัติที่เกี่ยวกับการแยกตลาด หลักประกัน ความมั่นคงทางการเงินของผู้ใช้ และยอดคงเหลือแล้ว

คำอธิบายทั้งสองส่วนเป็นจุดยืนอย่างเป็นทางการจากฝั่งโปรเจกต์และหน่วยงานตรวจสอบ ยังยากที่จะตีความว่าความเสี่ยงได้รับการพิสูจน์ผ่านการประเมินอิสระจากผู้ใช้ หรือผ่านการดำเนินงานจริงในตลาดขนาดใหญ่แล้ว

ก่อนหน้านี้ มีการกล่าวถึงโครงสร้างที่การให้กู้ยืมบน Base กระจุกตัวอยู่ที่ Morpho พร้อมปัจจัยเสี่ยงอย่างบั๊กในสมาร์ทคอนแทรกต์ มูลค่าหลักประกันลดลง การชำระบัญชีล้มเหลว และความเป็นไปได้ที่การถอนเงินจะล่าช้า สำหรับ Midnight เองก็เช่นกัน นอกเหนือจากผลการตรวจสอบแล้ว ยังต้องติดตามสภาพคล่องของโปรโตคอลและการบริหารหลักประกันควบคู่กันไปด้วย

เช่นเดียวกับกรณีที่ตลาดให้กู้ยืมอัตราดอกเบี้ยคงที่ของ Morpho เพิ่มฟังก์ชันเชื่อมโยงเงินทุนที่รอดำเนินการเข้ากับโครงสร้างผลตอบแทนแบบลอยตัว สำหรับผลิตภัณฑ์อัตราดอกเบี้ยคงที่ การใช้เงินทุนก่อนทำธุรกรรมสำเร็จและการบริหารสภาพคล่องก่อนวันครบกำหนดล้วนมีความสำคัญ ผลตอบแทนและความเสี่ยงที่เกิดขึ้นจริงอาจแตกต่างกันไปตามเงื่อนไขตลาด สินทรัพย์ และการตั้งค่า

การเปิดเผยรายงานตรวจสอบครั้งนี้มีความหมายในแง่ที่ทำให้บุคคลภายนอกสามารถตรวจสอบผลการทบทวนความปลอดภัยของโปรเจกต์ DeFi ได้ อย่างไรก็ตาม คำว่า “ไม่พบช่องโหว่ร้ายแรง” เป็นผลลัพธ์ที่จำกัดเฉพาะโค้ดและขอบเขตการตรวจสอบครั้งนี้เท่านั้น หากต้องการประเมินการเปลี่ยนแปลงของสภาพคล่องและความเป็นไปได้ของการโจมตีเชิงเศรษฐศาสตร์หลังจากขนาดเงินทุนจริงเติบโตขึ้น ยังจำเป็นต้องมีการตรวจสอบเพิ่มเติมอีก