การวิเคราะห์เชิงลึก: ผลกระทบต่ออุตสาหกรรมจากเหตุการณ์ด้านความปลอดภัยของ Aave สรุปไว้ด้านหน้าก่อน: 1. เรื่องความปลอดภัยของ L2 ล้มเหลวแล้ว เพราะก่อนหน้านี้อ้างว่าปลอดภัยเท่ากับเน็ตเวิร์กหลัก แต่ตอนนี้ดูเหมือนต้องเสีย rsETH บน L2 2. เรื่องราวการ restake ของ ETH ล้มเหลวอย่างสมบูรณ์ หลังจากผ่านการซ้อนทับหลายชั้นผ่าน EigenLayer ผู้ใช้พบว่าผลตอบแทนที่ได้ (เช่น การ质押โหนดความปลอดภัย AVS) น้อยกว่าความเสี่ยงที่เกิดจากการซ้อนทับ 3. DeFi ย่ำแย่แล้ว ไม่ได้ล่มสลายทั้งหมด แต่การหดตัวอย่างรุนแรงเป็นเรื่องหลีกเลี่ยงไม่ได้ เพราะผู้ใช้พบว่าปัญหาความปลอดภัยบนโซ่ไม่สามารถหลีกเลี่ยงได้ และเมื่อเสียเงิน แพลตฟอร์มก็แค่ลุกเดินจากไป (ความเสี่ยงตัวแทนแบบคลาสสิก) 4. เหตุการณ์นี้ต้องมีผู้ใช้สูญเสียแน่นอน เพราะ Kelp นั้นจนแทบไม่มีเงินชดเชย --------------------------------------------------------- ไม่จำเป็นต้องวิเคราะห์รายละเอียดขั้นตอนอีก เพราะผู้อื่นได้วิเคราะห์ไว้อย่างละเอียดแล้ว โดยสรุปสั้นๆ คือ แฮกเกอร์จากเกาหลีเหนือบุก Kelp แล้วใช้ LayerZero ข้ามโซ่เพื่อพิมพ์เหรียญอากาศบน L2 และปล้นคลังของ Aave ตอนนี้ Kelp, LayerZero และ Aave กำลังถกเถียงกันเรื่องการแบ่งความรับผิดชอบ 1. เรื่องความปลอดภัยของ L2 ก่อนหน้านี้ L2 ทุกประเภทไม่ว่าจะเป็น Optimistic Rollup หรือ ZK Rollup มักอ้างว่ามีความปลอดภัยเทียบเท่า Ethereum Mainnet อย่างเข้มงวดแล้ว ปัญหาครั้งนี้ไม่ได้เกิดจากการโจมตีกลไกการให้สัตยาบันหรือ sequencer ของ L2 โดยตรง แต่ผู้ใช้ไม่สนใจหรอกว่าพื้นฐานคือสะพานข้ามโซ่ถูกโจมตีหรือ L2 ล่ม ผลลัพธ์คือ “rsETH ที่พิมพ์บน L2 กลายเป็นเหรียญอากาศ ในขณะที่เน็ตเวิร์กหลักซึ่งไม่ผ่านสะพานข้ามโซ่รอดพ้นจากภัยคุกคาม” คำตอบอย่างเป็นทางการของ Aave คือ “rsETH บน Mainnet ถูกค้ำประกันเต็มจำนวน” ในขณะเดียวกันก็ระงับ WETH และ rsETH ในตลาด L2 ทั้งหมด เช่น Arbitrum, Base, Mantle, Linea กล่าวอีกนัยหนึ่งคือผู้ใช้บน Mainnet และ L2 ไม่เท่าเทียมกัน — ผู้ใช้ L2 กลายเป็นพลเมืองชั้นสอง https://t.co/14aPSMvLlJ 2. เรื่องราวการ restake ของ ETH ล้มเหลวอย่างสมบูรณ์ บริการตรวจสอบความปลอดภัย AVS ของ EigenLayer ผ่านไปสองปียังไม่มีโมเดลรายได้ที่ชัดเจน ใช่ — คุณอาจเห็น EigenLayer อ้างรายได้จำนวนมาก แต่ถ้าดูให้ละเอียดจะพบว่าส่วนใหญ่เป็นรายได้จากเงินอุดหนุน EigenToken เหมือน Filecoin — เรื่องพูดกันใหญ่โตแต่การใช้งานจริงมีน้อยมาก... สุดท้ายก็กลายเป็นการขายโทเค็น (ฉันให้คุณโทเค็น Eigen มูลค่า 4 ล้านดอลลาร์สหรัฐ ปลดล็อกหลังสองปี เพื่อแลกกับการที่คุณจ่ายเงิน 1 ล้านดอลลาร์สหรัฐเพื่อซื้อบริการของ EigenLayer...) สำหรับผู้ใช้ เมื่อ Kelp เกิดปัญหา คนทั่วไปจึงตระหนักว่าอัตราดอกเบี้ยการ质押เพิ่มเติม 2% ยังน้อยกว่าความเสี่ยงที่เพิ่มขึ้น เพราะยิ่งซ้อนทับมากเท่าไร โอกาสเกิดปัญหาก็เพิ่มขึ้นเท่านั้น ในสถานการณ์สุดขั้ว ผลตอบแทนเป็นเชิงเส้น แต่ความเสี่ยงเป็นเชิงเอ็กซ์โพเนนเชียล 3. DeFi ย่ำแย่แล้ว แนวคิดเรื่อง “permissionless” (ไม่มีการอนุญาต) ใน Web3 เป็นเพียงจินตนาการเท่านั้น เพราะมีปัญหาพื้นฐานหลายประการที่ไม่มีทางแก้ไขได้ แทบทุกโปรโตคอล DeFi ในความเป็นจริงคือ “โค้ดที่ควบคุมโดยกระเป๋าเงินแบบมัลติซิก” 1) เรื่องความเร็ว vs. ความปลอดภัย นี่คือปัญหาที่แก้ไม่ได้ ทำไมการโอนเงินในธนาคารแบบดั้งเดิมถึงแพงและช้า? ส่วนใหญ่เพราะความปลอดภัย — จำเป็นต้องมีระบบควบคุมความเสี่ยงและการตรวจสอบหลายขั้นตอน (คุณเคยได้ยินใครโดนขโมยเงินในบัญชีธนาคารบ้างไหม?) แล้ว DeFi จะจัดการอย่างไร? จะไม่มีทางใส่ตรรกะการควบคุมความเสี่ยงทั้งหมดลงในสัญญาอัจฉริยะให้ทุกคนมาตรวจสอบได้นะ? 2) permissionless vs. การป้องกันการฟอกเงิน เช่นเดียวกับระบบควบคุมความเสี่ยง กฏระเบียบและกระบวนการตรวจสอบการฟอกเงินถูกกำหนดโดยมนุษย์ และมีเงื่อนไขเฉพาะในการกระตุ้น — เป็นไปไม่ได้ที่จะ “ไม่มีการอนุญาต” และ “ป้องกันการฟอกเงิน” พร้อมกันไปได้ — แม้ว่าจะใช้ AI เพื่อตรวจสอบ ก็ยังเป็นมนุษย์ที่กำหนดกฎของ AI แน่นอนคุณอาจบอกว่า DeFi ไม่จำเป็นต้องป้องกันการฟอกเงิน — แต่显然ประเทศส่วนใหญ่จะไม่อนุมัติ สิ่งที่เกิดขึ้นตอนนี้คือพวกเขากำลังให้โอกาสเราอยู่เท่านั้น ในศตวรรษที่ 21 การทำธุรกรรมทางการเงินหลีกเลี่ยงการฟอกเงินไม่ได้ — เป็นเพียงเรื่องของเวลาเท่านั้น 3) ส่วนประกอบของมนุษย์ไม่มีทางกำจัดออกได้ แทบทุกโปรโตคอล DeFi ในความเป็นจริงคือ “โค้ดที่ควบคุมโดยกระเป๋าเงินแบบมัลติซิก” — เหตุผลก็เรียบง่าย: a) ในโปรโตคอลสินเชื่อ การเพิ่มเหรียญใหม่ พารามิเตอร์สินเชื่อต่างๆ การตั้งค่า oracle — ทั้งหมดถูกกำหนดและปรับเปลี่ยนโดยมนุษย์ b) ส่วนใหญ่ของโปรโตคอลสามารถอัปเกรดได้ — หากกุญแจส่วนตัวถูกขโมย เช่น Drift ก็จบเกมทันที c) เว็บไซต์หน้าเว็บถูกควบคุมโดยทีมงาน — เช่น @pendle_fi, @Morpho และโปรโตคอล DeFi อื่นๆ สามารถเลิกให้บริการตลาดบางอย่าง, ซ่อน, หรือทำเครื่องหมายว่าเป็นความเสี่ยงได้ — อุปกรณ์ของนักพัฒนาถูกแฮ็ก, การโจมตีซัพพลายเชน, การโจมตีโดเมน (เช่น การโจมตีโดเมนของ CoW Swap เมื่อไม่นานมานี้) คุณถามว่ามีโปรโตคอล DeFi “Web3” แบบสมบูรณ์แบบไหม? ผมสามารถนึกถึงหนึ่งเดียว: Tornado Cash — และผลลัพธ์ที่เกิดขึ้นทุกคนรู้ดี หากคุณบอกว่านี่คืออนาคตของ DeFi ผมก็ไม่มีอะไรจะพูดเพิ่มแล้ว 4) การไม่สมดุลของความเสี่ยงของตัวแทนอาชีพ เมื่อโปรโตคอล Web3 ถูกขโมย เจ้าหน้าที่และผู้พัฒนาจะรับผิดชอบความเสียหายอย่างจำกัด — โดยเฉพาะอย่างยิ่งในแง่ความรับผิดทางอาญา ให้ผมยกตัวอย่างชัดเจนที่สุด: @arc — เป็นโซ่ L1 โดย Circle (บริษัทแม่ของ USDC) — มีรางวัลสูงสุดสำหรับผู้รายงานช่องโหว่ (white-hat hacker) เท่าไหร่? 5,000 เหรียญสหรัฐ https://t.co/OJ0Zo6KynS ช่องโหว่ระดับสูงสุดอาจทำให้มูลค่าความเสียหายเกินหลายพันล้านดอลลาร์สหรัฐ — การให้รางวัลเพียง $5K U เป็นสิ่งที่คนปกติไม่มีทางคิดออก เหตุผลก็เรียบง่าย: การให้รางวัลแก่นักทดสอบความปลอดภัยมาจากกระเป๋าเงินของตนเอง ส่วนเงินที่หายไปเมื่อถูกแฮ็กเป็นของคนอื่น ลองเปรียบเทียบกับอุตสาหกรรมการเงินแบบดั้งเดิม เช่นธนาคารและบริษัทพันธบัตร: - หากแฮกเกอร์ขโมยเงินจริงๆ คนบริหารที่เกี่ยวข้องอาจถูกดำเนินคดีในข้อหาละเลยหน้าที่และต้องจำคุก - มาตรฐานความปลอดภัยระดับสาม/สี่... การจัดหมวดหมู่ข้อมูลทางการเงินเป็นห้าระดับ โดยระบุมาตรการป้องกันสำหรับแต่ละระดับ — ข้อมูลบัญชีสำคัญต้องสำรองเป็นประจำไปยังคลังแม็กเนติกหรือแผ่นแสงแบบออฟไลน์ และจัดเก็บในสถานที่อื่น... DeFi มีอะไรบ้าง? — ไม่มีกฎเกณฑ์ใดๆ เลย — พึ่งพาความสมัครใจของโปรโตคอลเท่านั้น สุดท้าย DeFi พาเราวนกลับมาพบว่าสุดท้ายแล้วมันกลับกลายเป็น CeDeFiเวลาได้กำไร ก็คือ xxx Lab ไปรับเงิน แต่เมื่อขาดทุน กลับมาพูดว่าเราเป็น DeFi คุณไม่ได้ทำ DYOR ใช่ โปรโตคอล DeFi สามารถเพิ่มเวลาล็อก กลไกการจัดการความเสี่ยงต่างๆ การหน่วงเวลาการตรวจสอบ การต่อต้านการฟอกเงิน หรือแม้แต่ KYC (เร็วๆ นี้ก็ต้องมีแน่นอน) แต่หลังจากประดับประดาบนขี้แล้ว ก็พบว่าสุดท้ายมันกลับกลายเป็นเหมือนระบบการเงินแบบดั้งเดิมมากขึ้นเรื่อยๆ (อีกอย่าง ไม่มีนักลงทุนสถาบันรายไหนจะเข้ามาในอุตสาหกรรมที่ถูกขโมยเงินบ่อยขนาดนี้ ดังนั้นอย่าฝันถึงเรื่องเล่า RWA ของนักลงทุนสถาบันเลย) ถ้าคุณเชื่อในเรื่องเล่าของ Web3 คุณควรเชื่อว่าลัทธิคอมมิวนิสต์จะสำเร็จแทน 4. เหตุการณ์ครั้งนี้มีผู้ใช้สูญเสียแน่นอน ข้อตกลงในอุตสาหกรรมคือ Kelp รับผิดชอบอย่างน้อย 40% Aave และ LayerZero อาจชดเชยบางส่วน แต่จะไม่ร่วมจ่ายส่วนที่ Kelp ควรรับผิดชอบ ทีม Kelp ยากจนมาก ในช่วงที่ rsETH หลุดจากการผูกพัน พวกเขาลงสนามเองเพื่อทำ arbitrage และขัดขวางผู้ใช้รายอื่นในการถอนเงิน นั่นคือการแย่งชิงเงินเล็กๆ จากผู้ใช้ ตามสถานการณ์ปัจจุบัน Kelp มีแนวโน้มสูงที่จะประกาศปิดโปรโตคอลหรือล้มละลาย แค่มีเงินเท่านั้น ถ้าคุณมีความสามารถก็ไปฟ้องศาลได้ ดังนั้น ส่วนความรับผิดชอบของ Kelp เอง ผู้ใช้จะต้องรับความสูญเสียอย่างน้อยบางส่วน นอกจากนี้ ฉันยังเห็นบางคนแท็ก Sun Ge, CZ เป็นต้น เพื่อให้พวกเขาเป็นอัศวินขาว... คงยังไม่ตื่นจากความฝันนะ ครั้งที่แล้ว Tether ก็ให้ยืมเงินกับ Drift เป็นเพียงกลลวงเท่านั้น ไม่นานเมื่อแผนชดเชยออกมา คุณจะเข้าใจเอง เพราะฉันเคยโพสต์ไว้แล้ว สรุป: เหตุการณ์นี้โจมตีสามแนวคิดหลักพร้อมกัน—L2, Restaking และความเชื่อมั่นใน DeFi—ถือเป็น “การฆ่าแนวคิดสามครั้ง” ต่อไป ผู้คนอาจเรียกเดือนเมษายนปี 2026 ว่า “เดือนเมษายนสีดำ” ของ Web3 หรือ DeFi (และเดือนเมษายนยังเหลืออีก 10 วัน...) คำแนะนำของฉันคือตอนนี้อย่าเล่น DeFi อีกแล้ว ใส่เงินไว้ที่แพลตฟอร์มแลกเปลี่ยนเพื่อรับดอกเบี้ยดีกว่า