Solana คิดค่ารายงานบั๊ก 1 SOL สยบสแปมจาก AI

AI กำลังถล่มระบบตรวจสอบ Bug Bounty บน SolanaSOL-1.60%

เครื่องมือปัญญาประดิษฐ์หรือ AI ช่วยให้นักพัฒนาเขียนโค้ดได้เร็วยิ่งขึ้น ทว่าสำหรับทีมความปลอดภัยของคริปโต AI กำลังสร้างความท้าทายใหม่ที่คาดไม่ถึง

Jump Crypto ซึ่งเป็นทีมพัฒนา Firedancer ไคลเอนต์ตัวใหม่ของ Solana ได้ประกาศปรับเปลี่ยนครั้งใหญ่ในโครงการ Bug Bounty โดยนักวิจัยด้านความปลอดภัยจะต้องเผาเหรียญ 1 SOL คิดเป็นมูลค่าราว 100 ดอลลาร์ ทิ้งอย่างถาวรสำหรับทุกๆ รายงานบั๊กที่ส่งเข้ามา

มาตรการขั้นเด็ดขาดนี้เกิดขึ้นหลังจากงานแข่งขันตรวจสอบความปลอดภัยระยะเวลาหนึ่งเดือน โดนสแปมรายงานจาก AI ถล่มเป็นร้อยๆ ฉบับ ถึงแม้ AI จะช่วยให้สร้างรายงานบั๊กได้ง่ายและมีต้นทุนต่ำ แต่การตรวจสอบรายงานเหล่านั้นยังคงต้องใช้เวลาของวิศวกรที่เป็นคนจริงๆ

Firedancer คืออะไร และทำไมถึงสำคัญ?

ถ้าอยากเข้าใจว่าทำไม Jump Crypto ถึงต้องใช้มาตรการนี้ ลองมาดูการทำงานของเครือข่าย Solana กันก่อน คอมพิวเตอร์เฉพาะทางที่เรียกว่า Validator จะรันซอฟต์แวร์ไคลเอนต์เพื่อประมวลผลธุรกรรมและทำให้บล็อกเชนซิงก์ตรงกัน

ปัจจุบัน Validator ส่วนใหญ่บน Solana ใช้ซอฟต์แวร์ที่ชื่อ Agave ทาง Jump Crypto จึงสร้าง Firedancer ขึ้นมาเพื่อเป็นทางเลือกที่เป็นอิสระและมีประสิทธิภาพสูง หวังช่วยเพิ่มความเสถียรให้กับเครือข่าย

การมีซอฟต์แวร์ไคลเอนต์หลายตัวช่วยปกป้องเครือข่ายได้ดีขึ้น เพราะหากไคลเอนต์ตัวหนึ่งเจอบั๊ก อีกตัวก็ยังช่วยรันธุรกรรมต่อไปได้ แต่หาก Firedancer เกิดมีข้อผิดพลาดร้ายแรง คอมพิวเตอร์ Validator ก็อาจจะค้าง หรือคำนวณยอดเงินในบัญชีไม่ตรงกัน ซึ่งจะส่งผลกระทบต่อการเทรดและการโอนเงินทั้งเครือข่าย Solana

เจาะลึกการแข่งขันตรวจสอบโค้ดชิงเงินรางวัล 1 ล้านดอลลาร์

เพื่อทดสอบ Firedancer อย่างเข้มข้นก่อนเปิดใช้งานจริง Jump Crypto ได้จัดงานแข่งขันตรวจสอบความปลอดภัยชิงเงินรางวัล 1 ล้านดอลลาร์ ระหว่างวันที่ 9 เมษายน ถึง 9 พฤษภาคม

การแข่งขันครั้งนี้มีรายงานส่งเข้ามาทั้งหมด 809 ฉบับจากนักวิจัย 162 คน ฟังดูเหมือนจะดีในหน้ากระดาษ แต่ทีมวิศวกรกลับพบความจริงอย่างรวดเร็วว่า คุณภาพของรายงานที่ส่งเข้ามานั้นต่ำกว่าที่คิดไว้มาก

• จากรายงานทั้งหมด 809 ฉบับ มีข้อค้นพบด้านความปลอดภัยที่ไม่ซ้ำกันเพียง 127 รายการเท่านั้น
• เกือบครึ่งหนึ่งของรายงานที่ใช้งานได้ จริงๆ แล้วเป็นรายงานที่ซ้ำกับที่มีคนส่งมาก่อนหน้า
• มีรายงานหลายร้อยฉบับที่แจ้งปัญหาที่ไม่ได้เกิดความเสี่ยงจริง หรือเป็นข้อกล่าวอ้างที่ไม่ถูกต้อง

Jump Crypto เชื่อว่าเกือบทุกรายงานที่ส่งเข้าแข่งขัน มีการใช้เครื่องมือ AI ช่วยค้นหาหรือช่วยเขียนขึ้นมา

ทำไมรายงานบั๊กจาก AI ถึงสร้างปัญหาระดับคอขวด?

เครื่องมือสร้างข้อความ AI สามารถสร้างรายงานทางเทคนิคที่ดูน่าเชื่อถือได้อย่างรวดเร็ว แต่ทีมวิศวกรที่เป็นคนก็ยังต้องมานั่งทดสอบซ้ำทุกกรณี เพื่อยืนยันว่าปัญหานั้นสามารถใช้โจมตีได้จริงหรือไม่

AI ทำให้การค้นหาบั๊กมีราคาถูกลง แต่การตรวจสอบและตัดสินยังคงมีต้นทุนที่สูงมาก

รายงานจาก AI จำนวนมากชี้ให้เห็นจุดอ่อนในส่วนหนึ่งของ Firedancer โดยมองไม่เห็นระบบป้องกันที่สร้างไว้ในส่วนอื่น ส่งผลให้วิศวกรต้องเสียเวลาหลายชั่วโมงไปกับการตรวจสอบช่องโหว่ที่ไม่ไดัมีอยู่จริง

ในช่วงที่แย่ที่สุด มีรายงานค้างอยู่ในคิวรอการตรวจสูงถึง 299 ฉบับ และเมื่อการตรวจล่าช้าลง นักวิจัยคนอื่นก็ค้นพบบั๊กเดียวกันแล้วส่งเข้ามาซ้ำซ้อนกับของเดิมที่ยังค้างอยู่ในคิว

ข้อมูลชี้ว่าประมาณ 80% ของรายงานที่ซ้ำกัน ถูกส่งมาหลังจากรายงานฉบับแรกเกินกว่าสามวัน ซึ่งยิ่งทำให้ระบบคิวการตรวจสอบอุดตันหนักกว่าเดิม

กติกาใหม่ เผา 1 SOL ป้องกันสแปม ทำงานอย่างไร?

ภายใต้เงื่อนไขใหม่ที่ประกาศเมื่อวันจันทร์ นักวิจัยต้องแสดงหลักฐานว่าได้เผาเหรียญ 1 SOL ทิ้งอย่างถาวรก่อนจะส่งรายงาน ซึ่งการเผาเหรียญเป็นการนำเหรียญนั้นออกจากระบบหมุนเวียนไปอย่างสิ้นเชิง

• ค่าธรรมเนียม 1 SOL นี้จะไม่สามารถขอคืนได้ทุกกรณี ต่อให้รายงานนั้นจะไม่ถูกต้อง หรือไม่อยู่ในขอบเขตก็ตาม
• การส่งรายงานซ้ำจะโดนริบค่าธรรมเนียม 1 SOL ที่เผาไป โดยไม่มีข้อยกเว้น
• รายงานที่ส่งมาโดยไม่มีหลักฐานการเผาเหรียญจะถูกตัดสิทธิ์ทันที
• แต่ละส่วนหลักของรายงานบั๊ก จะถูกจำกัดความยาวไม่เกิน 3,000 ตัวอักษร

ในการแข่งขันครั้งก่อน Jump Crypto เคยคิดค่าธรรมเนียมส่งรายงาน 100 ดอลลาร์ และจำกัดให้ส่งได้วันละ 1 รายงาน แต่นโยบายนั้นก็ยังไม่เพียงพอที่จะหยุดสแปมอัตโนมัติจาก AI ได้

เพิ่มรางวัลจูงใจ ให้เหล่านักวิจัยตัวจริง

แม้ Jump Crypto จะเพิ่มต้นทุนในการส่งรายงาน แต่พวกเขาก็เพิ่มเงินรางวัลให้กับผู้ที่ค้นพบช่องโหว่จริงอย่างมีนัยสำคัญด้วยเช่นกัน

ตั้งแต่วันนี้ถึง 20 พฤศจิกายน รายงานที่ผ่านเกณฑ์จะได้รับเงินรางวัลเพิ่มขึ้นเป็นสองเท่าจากอัตราปกติ ยิ่งไปกว่านั้น ยังมอบเงินรางวัลถึงสามเท่า สำหรับบั๊กที่พบใน Alpenglow ซึ่งเป็นระบบลงคะแนนเสียงตัวใหม่ของ Solana

ช่องโหว่ระดับร้ายแรงที่พบใน Alpenglow มีสิทธิ์รับรางวัลสูงสุดถึง 300,000 ดอลลาร์ เป้าหมายก็เพื่อลดสแปมที่ไร้คุณภาพ ขณะเดียวกันก็ให้ผลตอบแทนที่คุ้มค่าเพื่อดึงดูดให้นักวิจัยระดับท็อปตั้งใจเข้ามาตรวจเช็กโค้ดของ Firedancer

พบบั๊กร้ายแรงทันเวลา ก่อนเปิดใช้งาน Mainnet

แม้จะเจอปริมาณสแปมมหาศาล แต่งานแข่งขันตรวจสอบโค้ดครั้งนี้ก็ประสบความสำเร็จในการค้นหาบั๊กร้ายแรง ได้ก่อนที่จะส่งผลกระทบต่อบล็อกเชนจริง

ตัวอย่างเช่น นักวิจัยได้พบข้อผิดพลาดในการจัดลำดับการทำงาน ที่อาจทำให้ Firedancer ประมวลผลธุรกรรมผิดลำดับ ซึ่งหากปล่อยไว้โดยไม่แก้ไข Validator ที่รัน Firedancer ก็จะประมวลผลข้อมูลไม่ตรงกับ Validator ตัวอื่นบน Solana จนส่งผลกระทบต่อฉันทามติ (Consensus) ของเครือข่ายได้

ผลกระทบเป็นวงกว้างของ AI ต่อความปลอดภัยในโลกคริปโต

Solana ไม่ใช่เครือข่ายเดียวที่ต้องรับมือกับความท้าทายด้านความปลอดภัยของโค้ด อย่างเมื่อเร็วๆ นี้ ทีมพัฒนา EthereumETH-1.03% ก็เพิ่งแก้ไขบั๊กในการอัปเดต Glamsterdam ที่อาจส่งผลให้เงินฝาก Staking ถูกโอนผิดไปยัง Block Builder

เมื่อโครงสร้างพื้นฐานของบล็อกเชนเติบโตขึ้น การคัดกรองเสียงรบกวนจาก AI ควบคู่ไปกับการเปิดรับรายงานบั๊กจากสาธารณะ จะยังคงเป็นเรื่องที่ต้องรักษาสมดุลอย่างระมัดระวังสำหรับทีมพัฒนาทั่วทั้งอุตสาหกรรม

สรุปส่งท้ายและข้อความเตือนความเสี่ยง

การตัดสินใจของ Jump Crypto ที่กำหนดให้ต้องเผาเหรียญ 1 SOL ถือเป็นการบีบให้นักวิจัยต้องมีส่วนได้ส่วนเสียทางการเงิน เพื่อให้มั่นใจว่ารายงานทุกฉบับผ่านการกลั่นกรองมาเป็นอย่างดีและไม่ซ้ำซ้อน

ข้อความปฏิเสธความรับผิดชอบและการแจ้งเตือนความเสี่ยง: สินทรัพย์ดิจิทัล เช่น SOL มีความเสี่ยงด้านตลาดและความผันผวนของราคาที่สูง ผลการดำเนินงานในอดีตของสินทรัพย์ดิจิทัลไม่ได้เป็นสิ่งรับประกันผลลัพธ์ในอนาคต โปรดศึกษารายละเอียดจากเอกสารทางเทคนิคอย่างเป็นทางการและประเมินสภาวะตลาดอยู่เสมอ ก่อนที่จะมีปฏิสัมพันธ์กับสมาร์ทคอนแทร็กต์ หรือโครงสร้างพื้นฐานของเครือข่าย