สะพานและโปรโตคอลข้ามโซ่ของคริปโตกำลังมีวันที่เลวร้าย
อย่างน้อยสามรายการถูกดึงออกอย่างต่อเนื่องภายในช่วงเวลา 6 ชั่วโมง รวมเป็นมูลค่าเกินกว่า 35 ล้านดอลลาร์สหรัฐ ตามข้อมูลบล็อกเชนที่ประเมินโดย CoinDesk และรายงานโดยบริษัทด้านความปลอดภัย BlockAid และ Peckshield
การโจมตีที่ผ่านมาล้วนมีจุดร่วมกัน ไม่มีการโจมตีใดที่ทำลายการเข้ารหัสพื้นฐาน — การโจมตีแต่ละครั้งเป็นข้อบกพร่องทางตรรกะ ซึ่งโค้ดทำงานตามที่เขียนไว้แต่กฎยังอนุญาตให้เงินไหลออก หรือเป็นกุญแจที่ถูกโจมตีเข้าถึงและมอบการควบคุมให้ผู้โจมตีซึ่งพวกเขาไม่ควรมีสิทธิ์
สิ่งที่ร้ายแรงที่สุดคือเครือข่ายบล็อกเชน Verus Blockaid ตรวจจับการโจมตี บนสะพาน Verus-Ethereum เมื่อเช้าวันพฤหัสบดีที่ทำให้เงินEther, Bitcoin ที่ถูกแปลงเป็นโทเค็น และ Stablecoin หลายชนิดถูกดูดออกไปประมาณ 7.54 ล้านดอลลาร์
🚨 Blockaid ตรวจพบการโจมตีช่องโหว่ของ Ethereum Bridge สำหรับ @VerusCoin บน Ethereum
ผู้โจมตีใช้เส้นทางการนำเข้าสะพานเพื่อกระตุ้นการจ่ายเงินบนด้าน Ethereum ที่ไม่มีหลักประกัน ทำให้สูญเสีย ETH, tBTC, USDC, USDT, EURC, MKR และ scrvUSD จากกองทุนสำรองของสะพานประมาณ 7.54 ล้านดอลลาร์สหรัฐ
รายละเอียดเพิ่มเติมใน 🧵
บริษัทระบุว่าการโจมตีครั้งนี้ใช้สัญญาสะพานและเส้นทางการเข้าถึงเดียวกันกับการถูกโจมตีก่อนหน้า โดยใช้ช่องโหว่ประเภทเดียวกัน CoinDesk รายงานเหตุการณ์ก่อนหน้านี้ การสูญเสีย 11.5 ล้านดอลลาร์สหรัฐ ในเดือนพฤษภาคม
สะพานคือเครื่องมือที่อิงบนบล็อกเชน ซึ่งช่วยให้สินทรัพย์สามารถเคลื่อนย้ายระหว่างสองเครือข่ายที่ไม่สามารถติดต่อกันได้โดยปกติ มันจะเก็บโทเค็นจริงไว้ด้านหนึ่ง และออกสิทธิ์เรียกร้องต่อโทเค็นเหล่านั้นในอีกด้านหนึ่ง โดยความปลอดภัยของมันขึ้นอยู่กับการตรวจสอบอย่างถูกต้องว่าการถอนทุกครั้งมีสินทรัพย์ที่ถูกล็อกไว้บนบล็อกเชนอีกด้านหนึ่งรองรับจริง
ข้อบกพร่องของ Verus ทำให้ผู้โจมตีสามารถกระตุ้นการจ่ายเงินบนด้าน Ethereum ที่ไม่ได้รับการรองรับอย่างถูกต้องบนด้าน Verus จึงทำให้สะพานปล่อยเงินจริงออกมาเพื่อตอบสนองต่อคำเรียกร้องที่มีมูลค่าเกือบเป็นศูนย์
ผู้โจมตีคืนเงินส่วนใหญ่กลับมาเป็นค่าตอบแทนหลังการโจมตีในเดือนพฤษภาคม จากนั้น Verus จึงฝากเงินที่กู้คืนกลับเข้าไปในสะพานเชื่อมเดิมอีกครั้งเมื่อวันที่ 8 กรกฎาคม ตาม บันทึกบนโซ่ ที่รวบรวมโดยนักวิจัยด้านความปลอดภัย และสะพานเชื่อมดังกล่าวถูกดูดเงินอีกครั้งสองสัปดาห์ต่อมา
ต้นทุนของความเชื่อมั่นนั้นสามารถมองเห็นได้จากตัวเลขของโปรโตคอลเอง วีรัสเคยมีมูลค่าที่ถูกล็อกไว้ใกล้เคียงกับ 100 ล้านดอลลาร์สหรัฐในช่วงต้นปี 2025 ตามข้อมูลจาก DefiLlama ขณะนี้มีมูลค่าอยู่ที่ประมาณ 9 ล้านดอลลาร์สหรัฐ นับตั้งแต่วันพฤหัสบดี ซึ่งเป็นการค่อยๆ ลดลงอย่างช้าๆ ที่ถูกเร่งโดยการลดลงครั้งใหม่ในสัปดาห์นี้หลังจากการถูกโจมตีล่าสุดเกิดขึ้น
ความล้มเหลวซ้ำๆ เช่นนี้ไม่เพียงแต่ทำให้สูญเสียเงินที่ถูกขโมยในการโจมตีแต่ละครั้ง แต่ยังทำลายความเชื่อมั่นที่ทำให้ผู้ใช้ยังคงเก็บสินทรัพย์ไว้บนแพลตฟอร์ม
การโจมตีอีกครั้งที่ยืนยันแล้วคือ B² Network ซึ่งเป็นเครือข่ายการปรับขนาดที่สร้างขึ้นเพื่อทำให้การทำธุรกรรม Bitcoin ถูกลงและเร็วขึ้น
B² กล่าว ในช่วงเช้าของเอเชียเมื่อวันพฤหัสบดี ผู้โจมตีได้รับการเข้าถึงโดยไม่ได้รับอนุญาตต่อสิทธิ์การอัปเกรดของสัญญาการเดิมพันโทเค็น ซึ่งเป็นสิทธิ์การบริหารจัดการที่ควบคุมวิธีการทำงานของสัญญาดังกล่าว
บริษัทด้านความปลอดภัย Lookonchain ติดตามเงินประมาณ 3.86 ล้านดอลลาร์สหรัฐ ในโทเค็น B2 ที่ถูกขาย แปลงเป็นอีเธอร์และ Stablecoin แล้วเคลื่อนย้ายไป B² ระบุว่าได้ควบคุมเหตุการณ์นี้แล้ว ระงับการstaking และจะชดเชยผู้ใช้งานที่ได้รับผลกระทบอย่างเต็มจำนวน
สัญญาอัจฉริยะปลอดภัยได้แค่ระดับกุญแจและสิทธิ์ที่ควบคุมมัน หากผู้โจมตียึดอำนาจในการเปลี่ยนแปลงวิธีการทำงานของสัญญา โค้ดไม่จำเป็นต้องมีบั๊ก เพราะผู้โจมตีสามารถเขียนกฎใหม่หรือดึงเงินทุนออกโดยตรง
นี่คือรูปแบบความล้มเหลวที่อยู่เบื้องหลังการขโมยครั้งใหญ่ที่สุดในประวัติศาสตร์ของคริปโต ตั้งแต่การโจมตีช่องทาง Wormhole และ Nomad ในปี 2022 จนถึงการสูญเสียประมาณ 290 ล้านดอลลาร์สหรัฐของ KelpDAO เมื่อต้นปีนี้
และมันกำลังจะยากขึ้นในการป้องกัน ใน การวิเคราะห์ที่เผยแพร่เมื่อสัปดาห์ที่ผ่านมา OpenAI เปิดเผยว่า ในระหว่างการประเมินภายใน โมเดล AI ของพวกเขามีการหลุดออกจากสภาพแวดล้อมการทดสอบและเข้าถึงเซิร์ฟเวอร์ของ Hugging Face โดยใช้ข้อมูลรับรองที่ขโมยมาและช่องโหว่ของซอฟต์แวร์ที่ยังไม่เคยมีการเปิดเผยมาก่อน
โมเดลเหล่านี้มีขีดจำกัดด้านความปลอดภัยถูกลดลงสำหรับการทดสอบ ดังนั้นนี่จึงไม่ใช่ระบบที่ทำงานด้วยตัวเอง แต่เป็นการสาธิตที่ชัดเจนว่า AI ตอนนี้สามารถดำเนินงานการบุกรุกที่ต้องใช้ความอดทนและหลายขั้นตอน ซึ่งก่อนหน้านี้ต้องใช้ทีมมนุษย์ที่มีทักษะ
ในอุตสาหกรรมส่วนใหญ่ การรั่วไหลหมายถึงการตอบสนองต่อเหตุการณ์และในที่สุดก็การกู้คืน แต่ในโลกคริปโต ที่สัญญาที่ถูกดูดเงินหมดเป็นสิ่งสุดท้ายและไม่มีการคืนเงิน ความสามารถเดียวกันนี้กลับชี้ไปที่ภัยคุกคามที่ไม่มีปุ่มยกเลิก
ในช่วง 24 ชั่วโมง ทีมสี่ทีม — Verus, B², AFX และ Balance — ถูกดูดเงินออกด้วยเหตุผลเดียวกัน ไม่มีทีมใดถูกโจมตีด้วยรหัสลับที่พัง แต่ละทีมสูญเสียการควบคุมที่เชื่อถือได้ และเครื่องมือในการค้นหาการควบคุมเหล่านี้กำลังมีความแม่นยำมากขึ้นเรื่อยๆ