โครงการเหรียญ DeFi ชื่อดัง ForceDAO ถูกแฮ็คหลังจากเปิดตัวไม่กี่ชั่วโมง

ForceDAO หรือโครงการด้าน decentralized finance ( DeFi) ตัวใหม่ล่าสุดดูเหมือนว่าจะถูกแฮ็คโดย hacker ทั้งหมด 5 รายในช่วงคืนที่ผ่านมา ส่งผลทำให้ผู้คนเริ่มหันมาตั้งคำถามกับวงการ DeFi อีกครั้ง เนื่องจากว่าปัจจุบันยังมีเม็ดเงินจากนักลงทุนที่ไหลเข้ามาไม่หยุด

ATTENTION

Our team is aware of the xFORCE contract exploit and has identified the nature of the issue.

There are no further funds available on the xFORCE contract to be exploited.

All other vaults are safe.

We will provide a post-mortem and next steps over the coming hours.

— Force (@force_dao) April 4, 2021

เมื่อสัปดาห์ที่แล้วนักพัฒนาโปรโตคอลดังกล่าวกล่าวว่าพวกเขาจะทำการ airdrop เหรียญโทเคนให้กับผู้ใช้งานของโปรโตคอล DeFi ตัวอื่น เพื่อให้แน่ใจว่าการเปิดตัวจะเป็นไปด้วยความยุติธรรม และจะสามารถดึงดูดผู้ใช้งานรายอื่น ๆ ให้เข้ามาใช้ ForceDAO ด้วย ซึ่งมีการวางแผนว่าจะแจกจ่ายเหรียญ FORCE จำนวน 25 ล้านเหรียญ (จาก supply ทั้งหมดที่ 100 ล้าน) ให้กับผู้ stake บน Aave, Alchemix, Badger, Balancer, Curve, Maker DAO, Synthetix, Sushi, Vesper, และ Yearn Finance

ทว่าอย่างไรก็ตามเมื่อคืนที่ผ่านมา ก็ได้เกิดเหตุการณ์ที่ทุกคนไม่คาดคิด เมื่อโปรเจคดังกล่าวถูกโจมตี และคาดการณ์ว่ามีนักแฮ็คทั้งหมด 5 ออกมาโพสต์ airdrop ส่งผลทำให้ราคาของเหรียญ FORCE นั้นร่วงลงกว่า 90% เลยทีเดียว

Interesting situation going on with ForceDAO. Liquidity has been withdrawn, price is down 90%+ and there are indications that it could have been a white hat "hack" pic.twitter.com/Y5aUcvvuG0

— Larry Cermak (@lawmaster) April 4, 2021

ForceDAO ถูกโจมตี

นาย Mudit Gupta หรือหัวหน้าฝ่าย Blockchain จาก Polymath Network ได้ออกมาอธิบายบน Twitter ของเขาถึงสิ่งที่เกิดขึ้น โดยหลัก ๆ นั้นเขาบอกว่า hacker ได้ค้นพบช่องโหว่ใน Solidity (ภาษาโปรแกรมของ Ethereum) ที่ทำให้ผู้ใช้งานสามารถรับเหรียญ FORCE ผ่านขั้นตอนที่ผิดกฎ

hacker สามารถที่จะเปลี่ยนแปลงวิธีการที่จะส่งต่อเหรียญ FORCE (ซึ่งถือเป็น FORCE เวอร์ชันที่มีค่าเท่ากับ 1 หุ้นของ FORCE profit – sharing pool) และทำให้พวกเขาได้รับเหรียญนั้นไป พร้อมกล่าวเสริมว่า

xFORCE contract from @force_dao hacked and drained by a whitehacker. In the FORCE token, the transfer functions return false rather than reverting when the sender doesn't have enough balance. The xFORCE contract assumes FORCE will revert and does not handle the returned value. pic.twitter.com/lPo9vJ48bs

— Mudit Gupta (@Mudit__Gupta) April 4, 2021

“ใน FORCE token ฟังค์ชัน transfer นั้นส่งค่า false กลับมา แทนที่จะ reverting ในกรณีที่ผู้ส่งไม่มีเหรียญอยู่ แต่ xFORCE contract เข้าใจว่า FORCE จะ revert และไม่ handle ค่า return value” กล่าวโดยนาย Gupta

พร้อมเสริมว่า

“นั่นหมายความว่าใครก็ได้สามารถที่เรียกฟังค์ชัน ‘deposit’ จาก xFORCE contract แม้ว่าพวกเขาจะไม่มีเหรียญ FORCE token สักเหรียญเลยก็ตาม ซึ่ง xFORCCE contract จะทำการสร้างเหรียญ xFORCE ใหม่แม้ว่ามันจะไม่สามารถล็อคเหรียญ FORCE ที่ไม่มีอยู่จริงก็ตาม”

นาย Gupta กล่าวว่ามีนัก hack ทั้งหมด 5 รายด้วยกันที่ทำการโจมตีโครงการดังกล่าว โดยหลังจากที่เขาทำการตรวจสอบดู address ที่คาดว่าน่าจะเป็นของนักแฮ็คนั้นแล้ว ก็พบว่ามีราย 1 ที่เป็น white hat (นักแฮ็คสายธรรมะ) ที่ทำการส่งเหรียญกลับคืนมาสู่เครือข่าย ในขณะที่รายอื่น ๆ นำเหรียญดังกล่าวไปขายในตลาด

Hacker 4 – Drained about 300k FORCE tokens, sold most of them on DEXs for ~50 ETH ($100k).https://t.co/YME1GUGpib

Hacker 5 – Drained about 1.1m FORCE tokens, sold some for ~45 ETH ($95k).https://t.co/1upadhvjOU@etherscan Can you please tag these accounts as hackers as well?

— Mudit Gupta (@Mudit__Gupta) April 4, 2021

มีเหรียญ ETH มูลค่าราว ๆ 350,000 ดอลลาร์ที่ถูกนำไปเทขายโดยกลุ่มนักแฮ็ค ในขณะเดียวกันทางทีมงาน ForceDAO ก็ได้ออกมาประกาศเตือนผู้ใช้งานให้หลีกเลี่ยงการเทรดเหรียญดังกล่าวบนเว็บเทรด จนกว่าปัญหาดังกล่าวจะถูกแก้ไข