แฮกเกอร์ใช้ Flash Loan สูบเงินจาก DeFi ไปกว่า 1.2 พันล้านดอลลาร์ใน 4 ปี

ลองจินตนาการดูนะครับว่า คุณยืมเงินสดหลายล้านดอลลาร์ นำไปเทรดความเร็วสูงหลายสิบรายการ แล้วคืนเงินกู้ทั้งหมดภายในเศษเสี้ยววินาที—โดยไม่ต้องใช้วางหลักประกันเลยสักบาทเดียว

นั่นคือหลักการทำงานของ Flash Loan ในโลกการเงินไร้ตัวกลาง (DeFi) แม้ผู้พัฒนาจะสร้างเครื่องมือนี้ขึ้นมาสำหรับการเทรดอย่างถูกต้อง แต่เหล่าแฮกเกอร์ก็เปลี่ยนมันให้กลายเป็นอาวุธ จากงานวิจัยใน Journal of Financial Crime พบว่า การโจมตีด้วย Flash Loan ได้สูบเงินไปถึง 1.211 พันล้านดอลลาร์ จากแพลตฟอร์ม DeFi ในช่วงกุมภาพันธ์ 2020 ถึงกรกฎาคม 2024

Flash Loan คืออะไรกันแน่?

ในการธนาคารแบบเดิม การขอสินเชื่อต้องใช้เวลา เอกสาร ตรวจสอบเครดิต และหลักประกันอย่างบ้านหรือหุ้น แต่ DeFi เปลี่ยนกฎนั้นด้วยการใช้ Smart Contract ที่ช่วยให้ใครก็กู้เงินมหาศาลได้ทันทีโดยไม่ต้องวางหลักประกัน

แต่มีเงื่อนไขสำคัญข้อเดียวครับ คือคุณต้องคืนสินเชื่อที่กู้มาภายในธุรกรรมเดียวกันบนบล็อกเชน หากผู้กู้ไม่คืนเงินก่อนที่ธุรกรรมจะจบลง บล็อกเชนจะยกเลิกกระบวนการทั้งหมดโดยอัตโนมัติ เสมือนว่าไม่เคยเกิดขึ้นเลย

แฮกเกอร์จึงอาศัยช่องทางนี้กู้เงินมหาศาลในไม่กี่วินาที แล้วใช้วงเงินก้อนโตนั้นปั่นราคาโทเคน หรือสะกิดจุดอ่อนทางเทคนิคใน Smart Contract ที่มีช่องโหว่

ขนาดการโจมตีอันมหาศาล

งานวิจัยแบบเจาะลึกนี้จัดทำโดยศาสตราจารย์ Tim Hall จาก University of Winchester และ Remo Stieger อดีตพาร์ทเนอร์จาก SyntiFi บริษัทประเมินความเสี่ยงจากสวิตเซอร์แลนด์ โดยพวกเขาได้ตรวจสอบเหตุการณ์ที่แพลตฟอร์ม DeFi ถูกแฮกสำเร็จถึง 254 ครั้งตลอด 4 ปี

จากการถูกแฮกทั้งหมด 254 ครั้ง แฮกเกอร์ได้ขโมยเงินไปรวมกันสูงถึง 6.568 พันล้านดอลลาร์ โดยการโจมตีผ่าน Flash Loan คิดเป็น 72 เหตุการณ์ ซึ่งคิดเป็น 18.44% ของมูลค่าความเสียหายทั้งหมดใน DeFi ช่วงเวลานั้น

ตอนนี้เรากำลังเจอกับอาชญากรรมในรูปแบบที่ไม่เคยเห็นมาก่อน ซึ่งสามารถขโมยเงินจำนวนมหาศาลอย่างน่าตกใจ และบ่อยครั้งที่มูลค่าพุ่งสูงถึงหลายสิบล้านดอลลาร์

EthereumETH-1.95% คือเป้าหมายหลัก

งานวิจัยชี้ว่า มากกว่า 80% ของความเสียหายจากการโจมตีด้วย Flash Loan เกิดขึ้นบนเครือข่าย Ethereum เนื่องจาก Ethereum เป็นศูนย์รวมของเงินทุนและ Liquidity Pool ที่หนาแน่นที่สุด จึงตกเป็นเป้าหมายหลักของการแฮกที่มีมูลค่าสูงโดยธรรมชาติ

มูลค่าการโจมตีแต่ละครั้งมีความต่างกันมาก ตั้งแต่ 80,000 ดอลลาร์ไปจนถึงสถิติสูงสุดที่ 197 ล้านดอลลาร์ในครั้งเดียว อย่างไรก็ตาม ความเสียหายส่วนใหญ่กองอยู่ที่เคสใหญ่ๆ โดยการแฮกที่ขโมยเงิน 10 ล้านดอลลาร์ขึ้นไป คิดเป็นสัดส่วนสูงถึง 88% ของเงินที่สูญเสียไปทั้งหมด

กลยุทธ์การโจมตีที่เปลี่ยนไปตามเวลา

นักวิจัยระบุประเภทของการโจมตีด้วย Flash Loan ไว้ถึง 14 รูปแบบ ซึ่งแบ่งออกเป็น 2 กลุ่มหลัก ได้แก่:

• Price feed manipulation: การบิดเบือนราคาโทเคนบนเครือข่าย Oracle
• Protocol logic flaws: การฉวยโอกาสจากช่องโหว่เชิงตรรกะในโค้ดของ Smart Contract

แม้การโจมตีช่องโหว่เชิงตรรกะจะเกิดขึ้นน้อยกว่าการปั่นราคา แต่กลับสร้างความเสียหายเฉลี่ยสูงกว่ามาก เมื่อแพลตฟอร์มต่างๆ เริ่มอุดช่องโหว่เรื่องราคา แฮกเกอร์ก็ปรับตัวและหันไปเจาะช่องโหว่ที่ลึกขึ้นใน Smart Contract แทน

ในช่วงกุมภาพันธ์ 2020 ถึงมกราคม 2022 การโจมตีช่องโหว่เชิงตรรกะคิดเป็น 28% ของความเสียหายจาก Flash Loan แต่พอถึงช่วงกุมภาพันธ์ 2022 ถึงกรกฎาคม 2024 ตัวเลขนี้พุ่งสูงขึ้นถึง 55% ของความเสียหายทั้งหมด

4 รูปแบบการโจมตีที่สร้างความเสียหายหนักที่สุด

จากทั้งหมด 14 รูปแบบ มีเพียง 4 ประเภทการโจมตีเท่านั้นที่สร้างความเสียหายกวาดเงินไป มากกว่า 81% ของเงินที่ถูกขโมยทั้งหมด:

1. การโจมตี Price Oracle
2. การโจมตีช่องโหว่เชิงตรรกะในฟังก์ชัน Donate
3. การโจมตีแบบ Reentrancy
4. การโจมตี Governance (รวมถึงเคสเดียวที่สูญเงินสูงถึง 181 ล้านดอลลาร์)

เบื้องหลัง: ผลกระทบต่อทีมงานและผู้ตกเป็นเหยื่อ

นักวิจัยได้สัมภาษณ์ทีมงานโปรเจกต์รายหนึ่งที่ไม่เปิดเผยนาม ซึ่งเคยตกเป็นเหยื่อการโจมตีครั้งใหญ่ด้วย Flash Loan ตัวแทนทีมเล่าว่า จุดอ่อนในโค้ดนั้นซ่อนรอดสายตาบนบล็อกเชนมานานกว่าหนึ่งปี โดยผ่านการตรวจสอบทั้งจากนักพัฒนาภายในและบริษัท Audit ภายนอกมาหลายแห่งแล้ว

หลังเกิดเหตุ ผลกระทบทางจิตใจนั้นรุนแรงมาก ศาสตราจารย์ Hall ระบุว่า แฮกเกอร์ได้เย้ยหยันแพลตฟอร์มอย่างเปิดเผยบนโซเชียลมีเดีย ทำให้ผู้เสียหายที่โศกเศร้าส่งข้อความหาทีมงานโดยตรง เพื่อบอกเล่าว่าเงินที่ถูกขโมยไปนั้นทำลายชีวิตของพวกเขาอย่างไร

ตัวแทนโปรเจกต์ได้แบ่งกลุ่มแฮกเกอร์ออกเป็น 2 ค่ายหลักๆ:

• Hobbyist individual researchers: นักพัฒนาอิสระที่ควานหาช่องโหว่ในโค้ดเป็นงานอดิเรก
• Professional groups: เครือข่ายอาชญากรรมจัดตั้งและกลุ่มที่ได้รับการสนับสนุนจากรัฐ รวมถึงกลุ่มที่เชื่อมโยงกับเกาหลีเหนือ

ในมุมมองด้านความปลอดภัย ตัวแทนชี้ว่า การโจมตีจากกลุ่มที่รัฐสนับสนุน ไม่ได้มีความซับซ้อนเลยแม้แต่น้อย แต่พวกเขาสำเร็จได้จากการฉวยโอกาสจากความผิดพลาดง่ายๆ ของมนุษย์อย่างเลือดเย็น และแม้จะตามเงินที่ถูกขโมยกลับคืนมาได้ เหตุการณ์แฮกก็มักจะทำให้ทีมผู้พัฒนาร้าวฉานและแตกสลายในที่สุด

DeFi กำลังเผชิญกับภัยคุกคามถึงขั้นล่มสลายจริงหรือ?

แม้จะมีข่าวใหญ่เหล่านี้ แต่การใช้งาน Flash Loan ก็ยังคงเติบโตอย่างต่อเนื่องบนเครือข่ายคริปโต โดยความเสียหายเคยเกิน 0.5% ของมูลค่าการกู้ยืมทั้งหมดผ่าน Flash Loan เพียงช่วงเวลา 6 เดือนเดียวเท่านั้น ตลอดระยะเวลาการศึกษานาน 4 ปี

ด้วยเหตุนี้ ผู้เขียนงานวิจัยจึงอธิบายว่า การโจมตีด้วย Flash Loan แม้จะอันตรายและคาดเดายาก แต่ ไม่ได้เป็นภัยคุกคามถึงชีวิต ต่อการอยู่รอดของ DeFi

ถึงกระนั้น ความเสียหายต่อแต่ละโปรเจกต์อาจถึงขั้นปิดตัวลงได้ ในเดือนตุลาคม 2025 หลังงานวิจัยสิ้นสุดลง แพลตฟอร์มเทรดแบบไร้ตัวกลางอย่าง Bunni ต้องปิดให้บริการถาวร หลังโดนโจมตีด้วย Flash Loan มูลค่า 8.4 ล้านดอลลาร์ โดยระบุว่าไม่สามารถแบกรับต้นทุนทางการเงินในการเปิดตัวใหม่ได้อย่างปลอดภัย

ทำไมงานวิจัยนี้จึงมีความสำคัญ

ศาสตราจารย์ Hall เน้นย้ำว่า งานวิจัยนี้มอบมุมมองเชิงลึกที่เป็นรูปธรรมเกินกว่าแค่วงการวิชาการ สำหรับโปรเจกต์คริปโต หน่วยงานกำกับดูแล และหน่วยงานบังคับใช้กฎหมาย ที่กำลังร่วมมือกันทำให้ตลาดการเงินไร้ตัวกลางมีความปลอดภัยยิ่งขึ้น

ผลการดำเนินงานในอดีตของสินทรัพย์ดิจิทัลหรือข้อมูลความปลอดภัยในอดีต ไม่ได้เป็นสิ่งบ่งชี้ถึงผลลัพธ์ในอนาคต ผู้ใช้งานควรระมัดระวังเมื่อทำธุรกรรมกับโปรโตคอลการเงินไร้ตัวกลาง