การโจมตีอีกครั้งที่มีมูลค่าหลายล้านดอลลาร์ได้กระทบภาค DeFi หลังจากผู้ให้สภาพคล่องและผู้ทำตลาด TrustedVolumes ตกเป็นเหยื่อของการเจาะระบบสัญญาอัจฉริยะในคืนวันพฤหัสบดี
ปริมาณการซื้อขายที่เชื่อถือได้ถูกโจมตีด้วยการโจรกรรม 6.7 ล้านดอลลาร์สหรัฐ
ในวันพฤหัสบดี แพลตฟอร์ม DeFi TrustedVolumes หนึ่งในผู้ให้สภาพคล่องและผู้ทำตลาดของ 1inch ได้รับการโจมตีใหม่ที่ทำให้ทรัพย์สินหลายประเภทมูลค่าหลายล้านดอลลาร์ถูกดูดออกไปจากโครงการ
ตามรายงานจากบริษัทด้านความปลอดภัยบล็อกเชน PeckShield และ Blockaid ผู้โจมตีได้ขโมยเงินประมาณ 6 ล้านดอลลาร์สหรัฐในรูปแบบ Wrapped Ethereum (WETH) Wrapped Bitcoin (WBTC) USDT และ USDT หลังจากใช้ช่องโหว่ในตรรกะการตรวจสอบลายเซ็นหลักของโปรโตคอล ซึ่งทำให้พวกเขาสามารถข้ามการตรวจสอบการอนุญาตและปลอมคำสั่งซื้อขาย
ที่น่าสังเกตคือ แฮกเกอร์ได้แลกเปลี่ยนสินทรัพย์ทั้งหมดเป็น 2.513 ETH บนแพลตฟอร์มแลกเปลี่ยนแบบกระจายศูนย์ (DEX) และกระจายไปยังที่อยู่สามแห่ง โดยในโพสต์บน X TrustedVolumes ยืนยัน เหตุการณ์ดังกล่าว พร้อมแชร์ที่อยู่ที่เก็บเงินที่ถูกขโมยไว้และอัปเดตการสูญเสียที่ประมาณ 6.7 ล้านดอลลาร์สหรัฐ
ช่องโหว่นี้เป็นตัวแทนการแลกเปลี่ยน RFQ แบบกำหนดเองที่ควบคุมโดย TrustedVolumes นักวิจัยด้านคริปโตฮัมฟรีย์ อธิบาย ว่า “สัญญา Custom RFQ Swap Proxy มีฟังก์ชันที่ออกแบบมาเพื่อจัดการรายการที่ได้รับอนุญาตสำหรับผู้ลงนามคำสั่งที่ได้รับอนุญาต กลไกรายการที่ได้รับอนุญาตเช่นนี้พบได้บ่อยใน DeFi—เฉพาะที่อยู่ที่อยู่ในรายการที่ได้รับอนุญาตเท่านั้นที่สามารถส่งคำสั่งธุรกรรมที่ถูกต้องแทนโปรโตคอลได้”
อย่างไรก็ตาม เขาชี้ให้เห็นว่า “ฟังก์ชันการลงทะเบียนนี้เป็นสาธารณะและไม่มีตัวแก้ไขสิทธิ์ใดๆ” ดังนั้น ผู้โจมตีจึงใช้ประโยชน์จากฟังก์ชันสาธารณะนี้ภายในสัญญา ลงทะเบียนตัวเองเป็นผู้ลงนามคำสั่งที่ได้รับอนุญาต
“เนื่องจากที่อยู่ภายนอกใดๆ ก็สามารถเรียกฟังก์ชันนี้ได้ มันจึงเทียบเท่ากับการให้ทุกคนมีความสามารถในการทำสำเนากุญแจของตู้นิรภัย” นักวิจัยกล่าวต่อ
แฮกเกอร์คนเดิม การโจมตีที่ต่างกัน
รายงานออนไลน์เปิดเผยว่าผู้โจมตีคือแฮกเกอร์เดียวกันที่ รับผิดชอบ ต่อการโจมตีสัญญาการชำระเงิน 1inch Fusion V1 มูลค่า 5 ล้านดอลลาร์สหรัฐในเดือนมีนาคม 2025 ซึ่ง TrustedVolumes เป็นผู้เสียหายหลัก
ฮัมฟรีย์ชี้ให้เห็นว่าแม้บุคคลเดียวกันจะก่อเหตุทั้งสองครั้ง การโจมตี แต่ทั้งสองเหตุการณ์มีความแตกต่างอย่างมากในระดับเทคนิค ตามโพสต์ดังกล่าว ช่องโหว่ปี 2025 เกี่ยวข้องกับการจัดการหน่วยความจำระดับต่ำของ EVM ในสัญญา 1inch Fusion V1 Settlement
ในเวลานั้น แฮกเกอร์ “เริ่มต้นการเจรจาบนโซ่อย่างสมัครใจ” โดยเสนอคืนสินทรัพย์ที่ถูกขโมยเป็นรางวัลไวท์แฮต แพลตฟอร์ม DeFi รับข้อเสนอดังกล่าว และเงินส่วนใหญ่ถูกคืนกลับอย่างปลอดภัย
ตอนนี้ TrustedVolumes ยืนยันว่า “เปิดรับการสื่อสารเชิงสร้างสรรค์เกี่ยวกับโปรแกรมบั๊กบันตี้และการแก้ไขที่ทั้งสองฝ่ายยอมรับได้”
ตัวรวมการแลกเปลี่ยนแบบกระจายศูนย์ 1inch ชี้แจง ว่าไม่มีผลกระทบต่อระบบ โครงสร้างพื้นฐาน หรือเงินทุนของผู้ใช้ โดยอธิบายว่า “TrustedVolumes ดำเนินการอย่างอิสระในฐานะผู้ให้สภาพคล่อง ซึ่งถูกใช้งานโดยโปรโตคอลหลายแห่งทั่วอุตสาหกรรม และไม่ได้เป็นของเฉพาะ 1inch”
การโจมตี DeFi เพิ่มขึ้นอย่างประวัติศาสตร์การโจมตีครั้งนี้ตามมาหลังจากคลื่นการถูกโจมตีที่สั่นคลอนภาค DeFi ในช่วงเดือนที่ผ่านมา เมื่อสัปดาห์ที่แล้ว PeckShield เปิดเผยว่าพื้นที่คริปโตมีการถูกโจมตีใหญ่ 40 ครั้งในเดือนเมษายน ซึ่งทำให้สูญเสียเงินประมาณ 647 ล้านดอลลาร์
ตัวเลขนี้แสดงถึงการเพิ่มขึ้น 1,140% เมื่อเทียบกับเดือนก่อนหน้า (MoM) จาก $52.2 ล้านในเดือนมีนาคม และยังแสดงถึงการเพิ่มขึ้น 292% จาก $165 ล้านที่ภาค DeFi สูญเสียไปในช่วงไตรมาสแรกของปี 2026
ที่สังเกตได้ชัดเจน สองเหตุการณ์ที่ใหญ่ที่สุดของเดือนนี้ ได้แก่ การถูกโจมตีของ Drift Protocol มูลค่า 285 ล้านดอลลาร์ และการถูกโจมตีของ KelpDAO มูลค่า 290 ล้านดอลลาร์ คิดเป็น 91% ของเงินที่สูญหายในเดือนที่ผ่านมา นอกจากนี้ เหตุการณ์เหล่านี้ยังอยู่ในอันดับ Top 10 ของการถูกโจมตีนับตั้งแต่ปี 2021
