ตรา Audit คริปโตอาจหลอกตา! เผย Q3 ยอดโดนแฮกพุ่งแตะ 1.18 พันล้านดอลลาร์

ทำไมตราประทับความปลอดภัยอาจทำให้เราเข้าใจผิด

การเห็นตราประทับ security audit บนโปรเจกต์คริปโต มักจะช่วยให้นักลงทุนอุ่นใจขึ้น ทว่ารายงานฉบับใหม่กลับชี้ว่า ตราประทับความปลอดภัยเหล่านี้อาจกำลังสร้างความรู้สึกปลอดภัยแบบผิดๆ ให้กับผู้คน

ข้อมูลจาก Hacken บริษัทความปลอดภัยบล็อกเชนระบุว่า แฮกเกอร์กวาดเงินไปสูงถึง 1.18 พันล้านดอลลาร์ จาก 107 เหตุการณ์ในไตรมาสที่สามเพียงไตรมาสเดียว ซึ่งเพิ่มขึ้นถึง 55% เมื่อเทียบกับไตรมาสก่อนหน้า

ที่น่าสนใจคือ ความเสียหายส่วนใหญ่ไม่ได้เกิดจากช่องโหว่ในโค้ด smart contract ที่ผ่านการตรวจแล้ว แต่ประมาณ 906.8 ล้านดอลลาร์ หรือราว 77% ของความเสียหายทั้งหมด เกิดจากซัพพลายเออร์ถูกเจาะ เครื่องมือของนักพัฒนา การไม่ติดตั้งแพตช์ความปลอดภัย หรือส่วนประกอบที่ไม่ได้ถูกนับรวมในการตรวจสอบ

ปัญหาเรื่องขอบเขตของการตรวจสอบ

ทำไมช่องโหว่จำนวนมากถึงรอดสายตาไปได้? Andrii Matiukhin ผู้ร่วมก่อตั้งและกรรมการบริหารของ Hacken อธิบายว่า ปัญหาหลักๆ อยู่ที่ขอบเขตของการตรวจสอบความปลอดภัย

ปัญหามันอยู่ที่ขอบเขตเสมอ การตรวจครอบคลุมทุกส่วนที่แตะต้องเงินหรือระบบเศรษฐกิจมันแพงมาก ทำให้หลายทีมเลือกทางลัด ด้วยการตรวจเฉพาะส่วนสำคัญที่สุดของบริการเท่านั้น

Matiukhin อธิบายเพิ่มเติมว่า พอผู้ใช้เห็นตรา audit ก็มักจะเหมาเอาว่าทั้งแพลตฟอร์มปลอดภัยแล้ว แต่ในความเป็นจริง ผู้ตรวจสอบอาจจะดูแค่ smart contract โดยมองข้ามโครงสร้างพื้นฐานสำคัญอย่างกระเป๋าเงิน ระบบลงนาม หรือเครื่องมือภายนอกไป

ปกติแล้ว พอผู้ใช้เห็นโปรเจกต์ใหม่และเห็นตรา audit ก็จะคิดว่าครอบคลุมทั้งระบบแล้ว สุดท้ายเลยต้องเสียเงินไปกับคีย์ ซัพพลายเออร์ หรือการตั้งค่าที่ไม่เคยถูกทดสอบเลย

เคสเจาะระบบครั้งใหญ่ใน Q3: กระดานเทรด บริดจ์ และฮาร์ดแวร์

ไตรมาสที่สามมีการโจมตีครั้งใหญ่เกิดขึ้นหลายครั้ง ในหลายส่วนของระบบนิเวศคริปโต

เคสกระดานเทรด Bitget

การโจมตีครั้งใหญ่ที่สุดในไตรมาสนี้เกิดขึ้นกับกระดานเทรด Bitget ในเดือนกันยายน โดยแฮกเกอร์ใช้ช่องโหว่ในผลิตภัณฑ์ความปลอดภัยภายนอก เพื่อเข้าถึงระบบการถอนเงินของ Bitget และกวาดเงินไปอย่างน้อย 352 ล้านดอลลาร์

การโจมตีห่วงโซ่อุปทานและการดัดแปลงฮาร์ดแวร์

Ledger ผู้ผลิตฮาร์ดแวร์วอลเล็ตรายงานว่า พบชิปดักฟังที่ไม่ได้รับอนุญาตในอุปกรณ์ที่ขายโดย Crypto Bilis ตัวแทนจำหน่ายในเอเชียตะวันออกเฉียงใต้ การเจาะห่วงโซ่อุปทานครั้งนี้สร้างความเสียหายไปราว 93 ล้านดอลลาร์

ซอฟต์แวร์วอลเล็ตก็เสี่ยงไม่แพ้กัน ซอฟต์แวร์วอลเล็ตของ Coldcard ถูกเจาะช่องโหว่จนทำให้เกิดความเสียหายราว 114 ล้านดอลลาร์

ช่องโหว่ของบริดจ์เชื่อมต่อบล็อกเชน (Cross-Chain Bridge)

โปรโตคอลข้ามเชนยังคงเป็นเป้าหมายหลัก ในเดือนกรกฎาคม บริดจ์คริปโต 3 แห่งโดนโจมตีจนสูญเงินไปกว่า 35 ล้านดอลลาร์ ภายในช่วงเวลาเพียง 6 ชั่วโมง โดย AFX Trade เสียหายหนักสุดถึง 24 ล้านดอลลาร์ หลังจากผู้โจมตีเข้าควบคุม validator key ได้

ส่วนที่อื่นๆ Liquid Network โดนเจาะเป็นมูลค่ารวม 319 ล้านดอลลาร์ ขณะที่ Tectonic โปรโตคอลกู้ยืมแบบกระจายศูนย์ เสียหายไปอย่างน้อย 75 ล้านดอลลาร์

ความเสี่ยงจากการรวมศูนย์ในตลาดอนุพันธ์

Hacken ยังได้สำรวจกระดานเทรดอนุพันธ์และตลาดคาดการณ์ 12 แห่งเพื่อประเมินความปลอดภัย แล้วพบว่าสินทรัพย์มูลค่ามากกว่า 700 ล้านดอลลาร์ บน 2 แพลตฟอร์มใหญ่ พึ่งพาการจัดเก็บคีย์แบบ multisig 3-in-4 หรือคีย์แอดมินที่ถือโดยบุคคลที่ไม่ระบุตัวตน

แม้ Matiukhin จะระบุว่า Hacken ไม่พบบั๊กในระบบ ณ ตอนที่ตรวจ แต่นับว่าการจัดการคีย์ยังไม่รัดกุมพอ เมื่อเทียบกับปริมาณเงินของผู้ใช้ที่แพลตฟอร์มเหล่านี้ดูแลอยู่

เรายังไม่พบบั๊กในระบบของแพลตฟอร์มที่ตรวจ แต่สิ่งที่เราพบคือการตั้งค่าคีย์ยังไม่ปลอดภัยพอเมื่อเทียบกับขนาดของแพลตฟอร์มเหล่านั้น

การอัปเดตแพตช์ช้าทำแพลตฟอร์มเสี่ยง

อีกหนึ่งอันตรายใหญ่ที่ระบุในรายงานคือ ความล่าช้าในการติดตั้งแพตช์ความปลอดภัย เพราะเวลาที่บล็อกเชนหลายแห่งใช้ซอฟต์แวร์พื้นฐานเดียวกัน พวกเขามักไม่ได้อัปเดตอุดช่องโหว่พร้อมกัน

บางครั้งทีมงานก็ประเมินช่องโหว่ระดับวิกฤตไว้แค่ระดับต่ำ ทำให้การติดตั้งแพตช์ล่าช้า หรือถึงขั้นปฏิเสธที่จะแก้ไขด้วยซ้ำ

Hacken สรุปว่า ความรับผิดชอบสูงสุดอยู่ที่บริษัทที่ถือครองเงินของลูกค้า แพลตฟอร์มต้องคอยติดตามช่องโหว่ใหม่ๆ และติดตั้งแพตช์ความปลอดภัยทันที แทนที่จะหวังพึ่งแค่ตรา audit เก่าๆ