Arbitrum AFX Bridge ถูกโจมตี: ถูกขโมย USDC มูลค่า 24.15 ล้านดอลลาร์สหรัฐในโจมตีข้ามโซ่
2026/07/24 14:59:00
สะพาน AFX ประสบการโจมตีข้ามโซนอย่างรุนแรงเมื่อวันที่ 22 กรกฎาคม 2026 ทำให้ผู้โจมตีสามารถถอน USDC มูลค่า 24.15 ล้านดอลลาร์สหรัฐผ่านสัญญาสะพานของบุคคลที่สามที่ทำงานบน Arbitrum การแจ้งเตือนด้านความปลอดภัยเบื้องต้นของ Blockaid และบันทึกบนโซนบ่งชี้ว่าคำขอที่หลอกลวงมีลายเซ็นจากตัวตรวจสอบเพียงพอเพื่อตอบสนองเกณฑ์การอนุมัติของสะพาน ซึ่งชี้ไปที่ข้อมูลการลงนามถูกโจมตีมากกว่าช่องโหว่ใน Arbitrum โดยตรง ผู้โจมตีจากนั้นได้โอนสินทรัพย์ที่ขโมยไปยัง Ethereum และแปลงเป็น ETH ประมาณ 12,467.5 ETH สตีเวน โกลด์เฟเดอร์ ผู้ร่วมก่อตั้ง Offchain Labs ยืนยันว่าสะพานพื้นฐานของ Arbitrum ไม่ได้ถูกโจมตี ในขณะที่ AFX ต่อมาได้ระบุว่ากำลังร่วมมือกับบริษัทด้านความปลอดภัย แพลตฟอร์มแลกเปลี่ยน พันธมิตรในระบบนิเวศ และหน่วยงานที่เกี่ยวข้องเพื่อเพิ่มประสิทธิภาพในการกู้คืนสินทรัพย์ของผู้ใช้ รายงานยังชี้ว่า AFX เสนอข้อตกลงแบบไวท์แฮตแก่ผู้โจมตี โดยจะคืนสินทรัพย์ที่ถูกขโมย 70% ในขณะที่อนุญาตให้เก็บไว้ 30% เป็นรางวัล การเกิดเหตุการณ์นี้เน้นย้ำถึงความสำคัญที่เพิ่มขึ้นของการป้องกันกุญแจตัวตรวจสอบ การตรวจสอบสะพานอย่างอิสระ และความปลอดภัยในการดำเนินงานทั่ว โปรโตคอลการเชื่อมต่อข้ามโซน และแอปพลิเคชันแบบกระจายศูนย์
การโจมตี AFX Bridge ทำให้สูญเสีย USDC มูลค่า 24.15 ล้านดอลลาร์บน Arbitrum
การโจมตีสะพาน AFX ทำให้มีการถอน USDC จำนวน 24.15 ล้านหน่วยอย่างไม่ได้รับอนุญาตเมื่อวันที่ 22 กรกฎาคม 2026 ทำให้เป็นหนึ่งในการโจมตีสะพานข้ามโซนที่ใหญ่ที่สุดที่รายงานในเดือนนั้น บันทึกบนโซนแสดงว่าผู้โจมตีส่งคำขอถอนผ่านสัญญาสะพานของบุคคลที่สามของ AFX บน Arbitrum เวลา 21:26:55 UTC คำขอนี้มีลายเซ็นจากตัวตรวจสอบร้อน 5 รายการ ซึ่งคิดเป็น 7,142 จากหน่วยการลงคะแนนทั้งหมด 10,000 หน่วยของสะพาน หรือคิดเป็น 71.42% ของอำนาจตัวตรวจสอบทั้งหมด เนื่องจากโปรโตคอลต้องการการอนุมัติจากมากกว่าสองในสามของน้ำหนักตัวตรวจสอบ ลายเซ็นเหล่านี้จึงเพียงพอที่จะอนุญาตให้ทำธุรกรรมได้ การถอนถูกดำเนินการเสร็จสิ้นเมื่อเวลา 21:30:25 UTC เพียง 210 วินาทีหลังจากถูกสร้างขึ้น ทำให้สามารถโอนยอดคงเหลือ USDC ทั้งหมดก่อนที่จะมีการใช้สิทธิ์ยับยั้งหรือการตอบสนองฉุกเฉินเพื่อหยุดยั้งได้ นักวิจัยด้านความปลอดภัยเชื่อว่าได้ใช้ข้อมูลรับรองตัวตรวจสอบที่ถูกโจมตี แม้ว่าวิธีการที่แน่นอนที่ผู้โจมตีได้มาซึ่งลายเซ็นเหล่านี้ยังไม่เป็นที่ทราบแน่ชัด เนื่องจากยังไม่มีรายงานการสอบสวนเชิงลึกจาก AFX
จำนวนที่ถูกขโมยมีค่าใกล้เคียงกับทุนทั้งหมดที่ถูกฝากไว้ในโปรโตคอล โดย DefiLlama รายงานว่ามีมูลค่าที่ถูกล็อกไว้ (TVL) ของ AFX ประมาณ 24.18 ล้านดอลลาร์สหรัฐในช่วงเวลาที่เกิดการโจมตี บทบาทของ USDC ซึ่งเป็น Stablecoin ที่มีหลักประกันเป็นเงิน Fiat ที่ใช้ทั่ว DeFi ช่วยอธิบายได้ว่าทำไมโทเค็นนี้จึงเป็นศูนย์กลางของระบบการซื้อขาย การตั้งtlement และสภาพคล่องข้ามเครือข่ายของ AFX การสูญเสียดังกล่าวคิดเป็นประมาณ 99.9% ของ TVL ที่รายงานของ AFX แม้ว่าข้อมูลโปรโตคอลแบบเรียลไทม์อาจใช้เวลาในการสะท้อนการถอนหลังการโจมตีก็ตาม ผู้โจมตีจากนั้นได้ย้ายเงินที่ถูกขโมยไปยัง Ethereum และรายงานว่าแลกเปลี่ยน USDC เป็น ETH ประมาณ 12,467.5 ETH เพื่อลดโอกาสที่ Stablecoin จะถูกแช่แข็ง ขณะเดียวกันก็ทำให้ ETH ที่ได้รับสามารถติดตามได้บนบล็อกเชน แม้ว่าการโจมตีจะเกิดผ่านสัญญาที่ถูกปรับใช้บน Arbitrum แต่สะพานหลักของเครือข่าย กลไกความเห็นพ้องต้องกัน และโครงสร้างพื้นฐานหลักไม่ได้ถูกโจมตี การละเมิดจำกัดอยู่ที่สะพานของบุคคลที่สามที่ AFX ดำเนินการ ซึ่งมีระบบควอรัมผู้ตรวจสอบและระบบความปลอดภัยในการถอนของตนเอง จึงชี้ให้เห็นว่าแอปพลิเคชันข้ามเครือข่ายสามารถสร้างความเสี่ยงด้านการดำเนินงานที่แยกต่างหากได้ แม้ว่าบล็อกเชนพื้นฐานจะยังคงทำงานปกติ
วิธีที่กุญแจตัวตรวจสอบที่ถูกโจมตีทำให้เกิดการโจมตีข้ามโซ่ AFX
ตัวตรวจสอบที่ร้อนแรงเปลี่ยนข้อมูลรับรองที่ถูกขโมยให้เป็นการอนุญาตที่ถูกต้อง
ตัวตรวจสอบที่ใช้งานอยู่อย่างต่อเนื่องจะยังคงเชื่อมต่อกับโครงสร้างพื้นฐานออนไลน์เพื่อสามารถลงนามข้อความข้ามโซ่ได้อย่างรวดเร็วและประมวลผลการถอนโดยไม่มีความล่าช้าระยะยาว สิ่งนี้ช่วยเพิ่มความเร็วในการทำธุรกรรม แต่ยังเพิ่มความเสี่ยงต่อมัลแวร์ การบุกรุกเซิร์ฟเวอร์ ตัวแปรสภาพแวดล้อมรั่วไหล และการเข้าถึงโดยผู้ดูแลระบบโดยไม่ได้รับอนุญาต หากผู้โจมตีได้รับกุญแจส่วนตัวของตัวตรวจสอบ ลายเซ็นที่ได้จะดูเหมือนถูกต้องตามทางคริปโตกราฟีสำหรับสัญญาสะพาน สัญญาไม่สามารถแยกแยะอัตโนมัติระหว่างผู้ดำเนินการที่ถูกต้องกับผู้โจมตีที่ใช้ข้อมูลรับรองที่ถูกขโมยได้ เพราะทั้งสองฝ่ายสร้างข้อความที่ได้รับการอนุมัติในรูปแบบเดียวกัน ดังนั้น การอธิบายหลักสำหรับการโจมตีข้ามโซ่ของ AFX จึงเป็นความล้มเหลวด้านความปลอดภัยของกุญแจการดำเนินงาน มากกว่าการโจมตีที่สามารถทำลายคริปโตกราฟีของ Arbitrum จำเป็นต้องมีการทบทวนหลังเหตุการณ์อย่างสมบูรณ์เพื่อระบุว่าข้อมูลรับรองถูกดึงออกมาจากเซิร์ฟเวอร์ตัวตรวจสอบ ถูกเปิดเผยผ่านการตั้งค่าที่ไม่ปลอดภัย ถูกได้มาผ่านทางสังคมวิทยา หรือถูกทำลายด้วยวิธีอื่น
ความเข้มข้นของตัวตรวจสอบสร้างความพึ่งพาด้านความปลอดภัยที่ร้ายแรง
ความปลอดภัยของสะพานขึ้นอยู่กับปัจจัยมากกว่าแค่จำนวนผู้ตรวจสอบที่โปรโตคอลแสดงให้เห็น มันยังขึ้นอยู่กับการกระจายอำนาจในการลงคะแนนเสียง และว่าผู้ตรวจสอบใช้โครงสร้างพื้นฐาน การควบคุมการเข้าถึง และระบบจัดเก็บกุญแจที่เป็นอิสระอย่างแท้จริงหรือไม่ ระบบเครือข่ายอาจดูเหมือนกระจายอำนาจ แต่ผู้ลงนามหลายคนยังคงมีความเสี่ยงจากบัญชีคลาวด์ ผู้ให้บริการซอฟต์แวร์ ผู้ดูแลระบบ หรือกระบวนการปรับใช้เดียวกัน หากกุญแจผู้ตรวจสอบหลายคู่ถูกจัดเก็บหรือจัดการภายใต้สภาพแวดล้อมด้านความปลอดภัยร่วมกัน การโจมตีระบบปฏิบัติการหนึ่งระบบอาจให้การเข้าถึงลายเซ็นเพียงพอที่จะอนุมัติข้อความข้ามโซ่ที่เป็นอันตราย เหตุการณ์ AFX แสดงให้เห็นว่าทำไมความเป็นอิสระของผู้ตรวจสอบและการออกแบบควอรัมจึงมีความสำคัญเท่ากับจำนวนผู้ตรวจสอบทั้งหมด การออกแบบที่แข็งแกร่งจะกระจายอำนาจไปยังองค์กร อุปกรณ์ ตำแหน่งทางภูมิศาสตร์ และนโยบายด้านความปลอดภัยที่แตกต่างกัน เพื่อให้การละเมิดโครงสร้างพื้นฐานเพียงครั้งเดียวไม่สามารถสร้างการอนุมัติเพียงพอที่จะปล่อยทรัพย์สินของสะพานได้
การควบคุมเพิ่มเติมอาจช่วยจำกัดความเสียหาย
ลายเซ็นของตัวตรวจสอบควรเป็นเพียงชั้นเดียวในระบบความปลอดภัยของสะพาน รายการถอนมูลค่าสูงสามารถป้องกันได้ด้วยขีดจำกัดธุรกรรม ระยะเวลาล็อกที่ยาวขึ้น การตรวจจับความผิดปกติอัตโนมัติ การควบคุมอัตรา และเบรกฉุกเฉิน การร้องขอที่เกี่ยวข้องกับสัดส่วนของสภาพคล่องที่ถูกฝากอย่างผิดปกติควรกระตุ้นข้อกำหนดการอนุมัติเพิ่มเติมหรือระงับการสรุปผลชั่วคราวขณะที่ตัวตรวจสอบอิสระตรวจสอบ โมดูลความปลอดภัยทางฮาร์ดแวร์สามารถเก็บกุญแจลงนามไว้ห่างจากเซิร์ฟเวอร์ทั่วไป ขณะที่การคำนวณหลายฝ่ายสามารถแบ่งอำนาจการลงนามเพื่อให้ไม่มีกุญแจส่วนตัวสมบูรณ์อยู่ในที่เดียว สะพานสามารถลดความเสี่ยงเพิ่มเติมได้โดยหมุนเวียนข้อมูลประจำตัวของตัวตรวจสอบ แยกการเข้าถึงการพัฒนาออกจากโครงสร้างพื้นฐานการผลิต และต้องการการอนุมัติด้วยตนเองจากตัวตรวจสอบแบบเย็นสำหรับการถอนที่ผิดปกติ มาตรการเหล่านี้ไม่สามารถขจัดการโจมตีข้ามโซ่ทุกรูปแบบได้ แต่สามารถป้องกันไม่ให้กุญแจร้อนที่ถูกโจมตีกลายเป็นการสูญเสียสภาพคล่องของโปรโตคอลทันที สำหรับ AFX คำถามที่ยังไม่มีคำตอบสำคัญไม่ใช่เพียงว่าข้อมูลประจำตัวถูกโจมตีอย่างไร แต่ยังรวมถึงเหตุใดระบบตรวจสอบและมาตรการฉุกเฉินรอบข้างจึงล้มเหลวในการควบคุมคำร้องขอที่ไม่ได้รับอนุญาต
สะพานเนทีฟของ Arbitrum ไม่ได้รับผลกระทบ: หมายความว่าอย่างไรต่อผู้ใช้และความปลอดภัยของ DeFi จากการถูกโจมตีของ AFX
การโจมตีช่องทาง AFX สร้างความไม่แน่นอนทั่วทั้งระบบนิเวศ Arbitrum เนื่องจากธุรกรรมที่มีเจตนาไม่ดีถูกประมวลผลบน Arbitrum และเกี่ยวข้องกับช่องทางที่เชื่อมต่อกับเครือข่าย อย่างไรก็ตาม หลักฐานที่มีอยู่ยืนยันว่าช่องทางพื้นฐานของ Arbitrum ระบบคอนเซนซัส และโครงสร้างพื้นฐาน rollup หลักไม่ได้ถูกโจมตี การเข้าใจว่าระบบขยายขนาดบล็อกเชนระดับ 1 และระดับ 2 แตกต่างกันอย่างไร ช่วยแยกความปลอดภัยระดับเครือข่ายของ Arbitrum ออกจากมาตรการควบคุมที่เป็นอิสระของช่องทางเฉพาะแอปพลิเคชัน ผู้โจมตีเป้าหมายช่องทางที่ดำเนินการโดย AFX ซึ่งใช้ผู้ตรวจสอบของตนเอง กฎการลงนาม และขั้นตอนการถอนเงินของตนเองเพื่อโอน USDC ระหว่าง Arbitrum กับ Layer 1 เจ้าของตนเองของ AFX การแยกนี้มีความสำคัญเพราะช่องทางจากบุคคลที่สามไม่ได้รับประกันความปลอดภัยทั้งหมดที่บล็อกเชนที่โฮสต์สัญญาอัจฉริยะของมันให้ไว้อัตโนมัติ ในขณะที่ Arbitrum ยังคงประมวลผลธุรกรรมตามปกติ ระบบผู้ตรวจสอบและดำเนินการที่เป็นอิสระของ AFX ล้มเหลวในการป้องกันการถอนเงินโดยไม่ได้รับอนุญาต เหตุการณ์นี้จึงให้บทเรียนที่กว้างขึ้นแก่ผู้ใช้ DeFi: ความปลอดภัยของเครือข่ายและความปลอดภัยของแอปพลิเคชันเชื่อมโยงกัน แต่ไม่ใช่สิ่งเดียวกัน โปรโตคอลสามารถทำงานบนบล็อกเชนที่มีความน่าเชื่อถือสูง แต่ยังคงสร้างความเสี่ยงเพิ่มเติมผ่านกุญแจส่วนตัว บัญชีที่มีสิทธิ์พิเศษ เซิร์ฟเวอร์ภายนอก ผู้ตรวจสอบช่องทาง และกลไกการควบคุมฉุกเฉิน
การโจมตีเปิดเผยความล้มเหลวด้านความปลอดภัยระดับแอปพลิเคชัน
สตีเวน โกลด์เฟเดอร์ ผู้ร่วมก่อตั้ง Offchain Labs ได้ชี้แจงว่าธุรกรรมที่เป็นอันตรายเกิดขึ้นจากโปรโตคอลของบุคคลที่สาม และสะพานหลักของ Arbitrum ไม่ได้ถูกโจมตีหรือถูกใช้ประโยชน์ AFX ดำเนินระบบข้ามโซ่ที่แยกต่างหากซึ่งออกแบบมาเพื่อรองรับการฝากและถอนสำหรับแพลตฟอร์มอนุพันธ์แบบกระจายศูนย์ของตน ดังนั้นความรับผิดชอบในการป้องกันข้อมูลรับรองของตัวตรวจสอบ การตรวจสอบคำขอการถอน และการเปิดใช้งานมาตรการป้องกันฉุกเฉินจึงยังคงอยู่กับ AFX แทนที่จะเป็นองค์กรพัฒนาหลักของ Arbitrum เครือข่ายพื้นฐานประมวลผลธุรกรรมที่ส่งเข้ามาตามกฎปกติของมัน เพราะสัญญาสะพานได้รับการอนุญาตที่ดูเหมือนจะถูกต้องตามทางคริปโตกราฟี Arbitrum ไม่สามารถระบุได้ว่าลายเซ็นเหล่านั้นมาจากผู้ดำเนินการที่ถูกต้องหรือผู้โจมตีที่ใช้ข้อมูลรับรองที่ถูกคอมพิวเตอร์เจาะเข้าไป จากมุมมองของบล็อกเชน สัญญาได้ดำเนินการคำสั่งที่สอดคล้องกับเงื่อนไขที่โปรแกรมไว้
การโจมตีเกิดขึ้นผ่านสะพานที่ถูกใช้งานบน Arbitrum แต่ไม่ได้แสดงถึงจุดอ่อนในระบบสะพานหลักหรือความปลอดภัยของ rollup ของ Arbitrum ความเสี่ยงที่คล้ายกันมีอยู่ในระบบนิเวศบล็อกเชนหลายแห่ง เนื่องจากแอปพลิเคชันแบบกระจายศูนย์มักจะสร้างกลุ่มตัวตรวจสอบของตนเอง วอลเล็ตแบบหลายลายเซ็น ตัวบ่งชี้ราคา และสิทธิ์ผู้ดูแลระบบ องค์ประกอบเพิ่มเติมเหล่านี้สร้างขอบเขตความปลอดภัยที่แยกจากกัน ซึ่งผู้ใช้ต้องประเมินอย่างเป็นอิสระ บล็อกเชนสามารถทำงานและรักษาความปลอดภัยได้แม้ว่าแอปพลิเคชันหนึ่งที่สร้างขึ้นบนมันจะประสบกับความล้มเหลวของโครงสร้างพื้นฐานอย่างรุนแรง การรายงานที่ถูกต้องจึงควรระบุผู้ดำเนินการสะพานที่ได้รับผลกระทบ อธิบายความสัมพันธ์ของมันกับเครือข่ายพื้นฐาน และหลีกเลี่ยงการบ่งชี้ว่าทุกโปรโตคอลหรือผู้ใช้บน Arbitrum ต่างเผชิญกับความเสี่ยงในระดับเดียวกัน
ผู้ใช้จำเป็นต้องพิจารณาสมมติฐานความเชื่อถือของสะพานข้ามโซ่
การโจมตีข้ามโซ่ของ AFX แสดงให้เห็นว่าผู้ใช้ควรพิจารณาเหนือกว่าการสร้างแบรนด์ ความเร็วในการทำธุรกรรม และคุณสมบัติการซื้อขายที่โฆษณาเมื่อประเมินสะพานเชื่อม หนึ่งในคำถามที่สำคัญที่สุดคือใครมีอำนาจในการอนุมัติการถอน และอำนาจดังกล่าวกระจายอย่างไร สะพานเชื่อมอาจอธิบายตัวเองว่าเป็นแบบกระจายศูนย์ ขณะที่กลุ่มผู้ตรวจสอบจำนวนไม่มากนักควบคุมอำนาจการลงคะแนนเพียงพอที่จะปล่อยสินทรัพย์ที่ถูกฝากไว้ ผู้ใช้ควรตรวจสอบว่าผู้ตรวจสอบเหล่านั้นได้รับการจัดการโดยองค์กรอิสระ ใช้โครงสร้างพื้นฐานที่แยกจากกัน และจัดเก็บข้อมูลประจำตัวผ่านโมดูลความปลอดภัยทางฮาร์ดแวร์หรือระบบลงนามแบบกระจาย พวกเขาควรทบทวนขีดจำกัดการถอน เวลาหน่วง ช่วงเวลาอุทธรณ์ ผู้ดูแลฉุกเฉิน การรายงานสำรองแบบเรียลไทม์ และเงื่อนไขที่โปรโตคอลสามารถระงับกิจกรรมที่น่าสงสัยได้ คุณสมบัติเหล่านี้สามารถกำหนดได้ว่ากุญแจที่ถูกขโมยจะก่อให้เกิดเหตุการณ์จำกัดหรือการสูญเสียที่ส่งผลกระทบต่อสภาพคล่องของสะพานเชื่อมส่วนใหญ่
ผู้ใช้ AFX ที่ได้รับผลกระทบควรติดตามการสื่อสารอย่างเป็นทางการเพื่อตรวจสอบว่าจุดอ่อนด้านความปลอดภัยเดิมได้รับการระบุและแก้ไขแล้วหรือไม่ การพัฒนาที่สำคัญจะรวมถึงรายงานการวิเคราะห์เชิงลึกหลังเหตุการณ์ การเปลี่ยนรหัสผ่านของตัวตรวจสอบที่อาจถูกเปิดเผย การเปลี่ยนแปลงเกณฑ์การลงนาม ขีดจำกัดการถอนที่เข้มงวดขึ้น และการทบทวนโดยอิสระต่อโครงสร้างพื้นฐานที่อัปเดตแล้ว ผู้ใช้ควรระวังข้อมูลเกี่ยวกับการกู้คืนสินทรัพย์ การมีส่วนร่วมของเจ้าหน้าที่บังคับใช้กฎหมาย การเจรจา vớiผู้โจมตี และแผนการชดเชยใดๆ ที่เสนอ การฟื้นฟูการฝากหรือการถอนโดยตัวมันเองจะไม่สามารถยืนยันได้ว่าแพลตฟอร์มนั้นปลอดภัย กระบวนการกู้คืนที่น่าเชื่อถือจะต้องอธิบายว่าการถูกโจมตีเกิดขึ้นได้อย่างไร ทำไมระบบตรวจสอบเดิมล้มเหลว และมาตรการควบคุมทางเทคนิคใดบ้างที่ป้องกันไม่ให้ช่องทางการโจมตีเดิมเกิดซ้ำอีก จนกว่าคำถามเหล่านี้จะได้รับคำตอบ ผู้ใช้อาจไม่สามารถประเมินความเสี่ยงที่เหลืออยู่ได้อย่างแม่นยำ
การตรวจสอบ DeFi ต้องรวมถึงการดำเนินงานและความปลอดภัยหลัก
สะพาน AFX ได้รับการประเมินความปลอดภัยโดย Zellic ก่อนเกิดการโจมตี แต่ขอบเขตของการตรวจสอบมีความสำคัญต่อการเข้าใจสิ่งที่ได้และไม่ได้ตรวจสอบ รายงานการตรวจสอบสะพาน AFX ที่เผยแพร่ได้ตรวจสอบส่วนประกอบสะพานที่เลือกไว้และบันทึกข้อค้นพบ 11 ข้อในระดับความรุนแรงต่างๆ รวมถึงสองข้อที่จัดอยู่ในระดับวิกฤต อย่างไรก็ตาม ระบบการจัดเก็บหลัก โครงสร้างพื้นฐานของโครงการ และระบบหน้าเว็บถูกยกเว้นอย่างชัดเจนจากการประเมิน รายงานยังระบุข้อจำกัดที่เกี่ยวข้องกับส่วนประกอบภายนอก และแนะนำให้มีการประเมินใหม่ในวงกว้างหลังจากการแก้ไขปัญหา ปัจจุบันยังไม่มีหลักฐานยืนยันว่าผู้โจมตีใช้ช่องโหว่สัญญาอัจฉริยะใดๆ ที่อธิบายไว้ในการตรวจสอบ แทนที่จะเป็นเช่นนั้น คำอธิบายหลักเกี่ยวข้องกับข้อมูลรับรองผู้ตรวจสอบ ซึ่งอยู่ในพื้นที่ปฏิบัติการที่อยู่นอกเหนือขอบเขตที่ระบุไว้ในการทบทวน
สิ่งนี้ไม่ได้ทำให้การตรวจสอบสัญญาอัจฉริยะไม่สำคัญ แต่แสดงให้เห็นว่าทำไมป้ายการตรวจสอบควรได้รับการพิจารณาว่าไม่ใช่การรับประกันว่าโปรโตคอลนั้นปลอดภัยอย่างสมบูรณ์ แอปพลิเคชัน DeFi ขึ้นอยู่กับสิ่งอื่นนอกจากโค้ดสัญญาที่มองเห็นได้ ความปลอดภัยของมันยังสามารถได้รับผลกระทบจากบัญชีคลาวด์ กระบวนการปรับใช้ สิทธิ์ของนักพัฒนา เซิร์ฟเวอร์ตัวตรวจสอบ วอลเล็ตของผู้ดูแลระบบ และระบบตอบสนองต่อเหตุการณ์ การวิจัยด้านความปลอดภัยของ Hacken ในไตรมาสที่ 2 ปี 2026 รายงานว่ามีเงินถูกขโมยประมาณ 763.9 ล้านดอลลาร์สหรัฐจากเหตุการณ์ 67 ครั้ง โดยกุญแจที่ถูกโจมตี ผู้ลงนาม และโครงสร้างพื้นฐานคิดเป็น 88.3% ของมูลค่าที่สูญเสียไป ช่องโหว่ของสัญญาอัจฉริยะปรากฏบ่อย แต่คิดเป็นเปอร์เซ็นต์ที่น้อยกว่ามากของยอดสูญเสียโดยรวม แสดงให้เห็นว่าผู้โจมตีมีแนวโน้มเป้าหมายไปที่การเข้าถึงด้านการดำเนินงานที่สามารถควบคุมกองทรัพย์สินขนาดใหญ่ได้
นักพัฒนาสะพานข้ามโซ่สามารถลดความเสี่ยงเหล่านี้ได้โดยการแยกสภาพแวดล้อมการลงนาม กระจายตัวตรวจสอบไปยังผู้ดำเนินการที่เป็นอิสระ และต้องการการอนุมัติเพิ่มเติมสำหรับการถอนเงินที่มีขนาดใหญ่ผิดปกติ การป้องกันอื่นๆ ได้แก่ การตรวจจับความผิดปกติอัตโนมัติ ขีดจำกัดอัตรา เวลาหน่วงที่ยาวขึ้น ระบบปิดฉุกเฉิน และการตรวจสอบอย่างต่อเนื่องโดยผู้ให้บริการด้านความปลอดภัยที่เป็นอิสระ ตัวตรวจสอบแบบออฟไลน์ควรได้รับเวลาและอำนาจเพียงพอในการหยุดกิจกรรมที่น่าสงสัยก่อนที่ธุรกรรมจะไม่สามารถย้อนกลับได้ การหมุนเวียนกุญแจอย่างสม่ำเสมอ การทบทวนการเข้าถึง และการจำลองการตอบสนองต่อเหตุการณ์ยังสามารถเปิดเผยจุดอ่อนที่การตรวจสอบเน้นสัญญาอาจไม่สามารถระบุได้ การโจมตี AFX แสดงให้เห็นว่าความปลอดภัยของ DeFi ต้องครอบคลุมระบบปฏิบัติการทั้งหมด ตั้งแต่ตรรกะของสัญญาอัจฉริยะไปจนถึงบุคคล เซิร์ฟเวอร์ และข้อมูลรับรองที่สามารถอนุมัติธุรกรรมได้
สรุป
การโจมตีสะพาน AFX แสดงให้เห็นว่าข้อมูลรับรองของตัวตรวจสอบที่ถูกเจาะสามารถคุกคามสภาพคล่องเกือบทั้งหมดที่ระบบข้ามโซ่เฉพาะแอปพลิเคชันควบคุม แม้ว่าบล็อกเชนพื้นฐานจะยังคงปลอดภัยก็ตาม เหตุการณ์นี้ไม่ได้ทำให้สะพานหลักของ Arbitrum ถูกโจมตี แต่เปิดเผยจุดอ่อนร้ายแรงในการรวมตัวของตัวตรวจสอบ AFX การตรวจสอบการถอน และการควบคุมด้านความปลอดภัยในการดำเนินงาน การกู้คืนสินทรัพย์ที่ถูกขโมยจะขึ้นอยู่กับการตอบสนองของผู้โจมตีต่อข้อเสนอแบบไวท์แฮตที่ AFX รายงาน การติดตามอย่างต่อเนื่องบนบล็อกเชน และความร่วมมือจากบริษัทด้านความปลอดภัย แพลตฟอร์มแลกเปลี่ยน และหน่วยงานที่เกี่ยวข้อง สำหรับผู้ใช้และนักพัฒนา DeFi บทเรียนที่กว้างขึ้นคือ การตรวจสอบสัญญาอัจฉริยะเพียงอย่างเดียวไม่สามารถป้องกันโปรโตคอลจากกุญแจที่ถูกโจมตีหรือความล้มเหลวของโครงสร้างพื้นฐานได้ สะพานข้ามโซ่ต้องการตัวตรวจสอบอิสระ ระบบลงนามที่ได้รับการป้องกัน ขีดจำกัดการถอน ช่วงเวลาท้าทายที่มีประสิทธิภาพ และการควบคุมฉุกเฉินที่สามารถหยุดธุรกรรมผิดปกติก่อนที่จะกลายเป็นถาวร
🔥 เข้าร่วมแคมเปญการซื้อขายครบรอบปีที่ 9 ของ KuCoinKuCoin กำลังเฉลิมฉลองครบรอบ 9 ปีด้วยแคมเปญพิเศษบนแพลตฟอร์มที่เต็มไปด้วยรางวัลสุดพิเศษ กิจกรรมการซื้อขาย และข้อเสนอจำกัดเวลา อย่าพลาดโอกาสในการเข้าร่วมและเพลิดเพลินกับสิทธิประโยชน์ต่างๆ ขณะที่แพลตฟอร์มแลกเปลี่ยนก้าวผ่านเก้าปีแห่งการเติบโตและนวัตกรรม ไปที่หน้าแคมเปญอย่างเป็นทางการได้เลย:
|
คำถามที่พบบ่อย
AFX คืออะไร และสะพานของมันสนับสนุนโปรโตคอลได้อย่างไร
AFX เป็น Layer 1 ที่มีอธิปไตยออกแบบมาสำหรับอนุพันธ์แบบกระจายศูนย์และการซื้อขายแบบเพอร์พิวอิตี้ บริดจ์ของมันช่วยให้ผู้ใช้สามารถโอนสินทรัพย์เช่น USDC ระหว่าง Arbitrum กับสภาพแวดล้อมการซื้อขายของ AFX สร้างระบบความปลอดภัยที่แยกต่างหากด้วยตัวตรวจสอบและขั้นตอนการถอนของตนเอง
ผู้ใช้ Arbitrum ทั้งหมดได้รับผลกระทบจากการโจมตี AFX หรือไม่?
ไม่ เหตุการณ์ดังกล่าวส่งผลกระทบหลักต่อสินทรัพย์ที่ถูกฝากผ่านโครงสร้างพื้นฐานที่ AFX ดำเนินการ ผู้ใช้ที่ถือสินทรัพย์บน Arbitrum โดยไม่ได้โต้ตอบกับโปรโตคอล AFX หรือสะพานของมัน ไม่ได้รับผลกระทบจากความล้มเหลวด้านความปลอดภัยเดียวกันโดยอัตโนมัติ
ผู้ใช้สามารถตรวจสอบได้อย่างไรว่าพวกเขาได้โต้ตอบกับสะพาน AFX หรือไม่
ผู้ใช้สามารถค้นหาที่อยู่วอลเล็ตของตนบน Arbiscan และตรวจสอบการโต้ตอบสัญญาที่ผ่านมา การโอนโทเค็น และการอนุมัติ USDC ควรเปรียบเทียบที่อยู่สัญญา vớiเอกสาร AFX ที่ได้รับการยืนยัน เนื่องจากเว็บไซต์หลอกลวงอาจเลียนแบบโปรโตคอลหลังจากการโจมตีที่ได้รับการรายงานอย่างกว้างขวาง
ผู้ใช้ควรเพิกถอนการอนุญาตโทเค็นที่เชื่อมโยงกับ AFX หรือไม่?
การเพิกถอนการอนุญาตที่ไม่ได้ใช้งานสามารถลดความเสี่ยงของการโอนโทเค็นโดยไม่ได้รับอนุญาตในอนาคต โดยเฉพาะอย่างยิ่งหากผู้ใช้เคยให้สิทธิ์แก่โปรโตคอลในการใช้ USDC ในจำนวนมากหรือไม่จำกัด การเพิกถอนไม่สามารถกู้คืนสินทรัพย์ที่ถูกถอนออกไปแล้ว แต่สามารถถอดการอนุญาตให้สัญญาเข้าถึงโทเค็นที่ยังคงเหลืออยู่ในวอลเล็ต
สามารถยกเลิกธุรกรรม Arbitrum หลังจากการโจมตีช่องโหว่ของสะพานได้หรือไม่?
ธุรกรรมบล็อกเชนที่ได้รับการยืนยันแล้วโดยทั่วไปไม่สามารถยกเลิกได้ Arbitrum ไม่สามารถยกเลิกการถอนที่เสร็จสิ้นแล้วได้โดยง่าย หากไม่มีการแทรกแซงระดับเครือข่ายอย่างผิดปกติ ซึ่งจะไม่เหมาะสมสำหรับเหตุการณ์เฉพาะแอปพลิเคชัน การกู้คืนมักขึ้นอยู่กับการติดตามสินทรัพย์ การระบุผู้โจมตี หรือการแช่แข็งเงินทุนเมื่อถึงบริการที่ร่วมมือ
ข้อจำกัดความรับผิด: บทความนี้มีจุดประสงค์เพื่อให้ข้อมูลเท่านั้น และไม่ถือเป็นคำแนะนำด้านการเงิน กฎหมาย หรือการลงทุน สินทรัพย์ที่ถูกแปลงเป็นโทเค็นมีความเสี่ยงด้านตลาด กฎระเบียบ การเก็บรักษา และสัญญาอัจฉริยะ โปรดทำการวิจัยด้วยตนเองเสมอ
คำปฏิเสธความรับผิดชอบ: หน้านี้แปลโดยใช้เทคโนโลยี AI เพื่อความสะดวกของคุณ สำหรับข้อมูลที่ถูกต้องที่สุด โปรดดูต้นฉบับภาษาอังกฤษ