สรุปข่าว
- LayerZero ออกแถลงการณ์เมื่อวันที่ 9 พ.ค. 2569 ยอมรับอย่างเป็นทางการว่าตัวเองทำผิดพลาดในการปล่อยให้ใช้ระบบยืนยันธุรกรรมแบบตัวเดียว (1-of-1 DVN) รักษาความปลอดภัยเงินมูลค่าสูง ซึ่งเป็นช่องโหว่ที่นำไปสู่การถูกแฮก $292 ล้านของ KelpDAO
- เหตุการณ์เกิดขึ้นเมื่อวันที่ 18 เม.ย. 2569 กลุ่ม Lazarus ของเกาหลีเหนือเจาะระบบโดยการปลอมข้อมูลผ่าน RPC node ที่ถูกยึดครอง ขโมย rsETH กว่า 116,500 หน่วย มูลค่าราว $292 ล้าน
- LayerZero ประกาศยกเลิกการใช้ระบบยืนยันแบบตัวเดียว และจะเปลี่ยนไปใช้ระบบ 3-of-3 validator ที่ต้องมีผู้ยืนยันครบ 3 ราย พร้อมขอโทษที่สื่อสารล่าช้าและกล่าวโทษ KelpDAO ก่อนหน้านี้
แนวโน้มผลกระทบต่อราคา Bearish
การที่ LayerZero ยอมรับความผิดอย่างเป็นทางการในคดีแฮก $292 ล้าน สะท้อนให้เห็นถึงความเปราะบางของโครงสร้างพื้นฐาน cross-chain ที่ใช้งานกันอย่างแพร่หลายใน DeFi ความไว้วางใจต่อโปรโตคอลเชื่อมบล็อกเชนอาจลดลงในระยะสั้น โดยเฉพาะโปรเจกต์ที่ยังใช้การตั้งค่า DVN แบบตัวเดียวอยู่
เมื่อวันที่ 9 พ.ค. 2569 ตามรายงานจาก CoinDesk LayerZero โปรโตคอลเชื่อมบล็อกเชนข้ามเครือข่าย ได้ออกแถลงการณ์อย่างเป็นทางการยอมรับว่าตัวเองทำผิดพลาดในเหตุการณ์ที่ KelpDAO ถูกแฮกสูญเงินกว่า $292 ล้าน โดย LayerZero ระบุว่า “รับผิดชอบ” ต่อการตัดสินใจปล่อยให้ validator ของตัวเองทำหน้าที่รักษาความปลอดภัยสำหรับการโอนเงินมูลค่าสูง ด้วยการตั้งค่าที่มีช่องโหว่แบบ 1-of-1 DVN (Decentralized Verification Network) ซึ่งตรงข้ามกับที่บริษัทเคยสื่อสารออกไปในช่วงแรกว่าเป็นความผิดพลาดในการตั้งค่าของนักพัฒนา (KelpDAO) ฝ่ายเดียว
เกิดอะไรขึ้นในการแฮก Kelp DAO เมื่อเดือนเมษายน
เหตุการณ์ต้นเรื่องเกิดขึ้นเมื่อวันที่ 18 เม.ย. 2569 เมื่อกลุ่ม Lazarus ของเกาหลีเหนือ (ฝ่าย TraderTraitor) เจาะระบบ cross-chain bridge ของ KelpDAO ที่ใช้โครงสร้างพื้นฐานของ LayerZero สำหรับ rsETH ซึ่งเป็นโทเคนในโครงการ liquid restaking ผู้โจมตียึด RPC node ภายใน และใช้การโจมตีแบบ DDoS ต่อ node ภายนอก เพื่อป้อนข้อมูลเท็จเข้าสู่ระบบยืนยันตัวเดียวที่ใช้อยู่ ทำให้สัญญาอัจฉริยะบน Ethereum หลงเชื่อว่ามีการเผาโทเคนเกิดขึ้นจริง และปล่อยเงินออกมา ทั้งที่ไม่มีธุรกรรมนั้นอยู่เลย ในที่สุดมีการขโมย rsETH ไป 116,500 หน่วย คิดเป็นประมาณ 18% ของ rsETH ที่หมุนเวียนอยู่ทั้งหมด
สิ่งสำคัญที่ต้องเข้าใจคือนี่ไม่ใช่การโจมตีผ่านช่องโหว่ของสัญญาอัจฉริยะ แต่เป็นการโจมตีโครงสร้างพื้นฐานนอก chain ซึ่งซับซ้อนกว่ามาก KelpDAO หยุดสัญญาได้ภายใน 46 นาที ขัดขวางความพยายามโจมตีเพิ่มเติมอีก 2 ครั้ง และป้องกันการสูญเสียเพิ่มเติมอีก $95 ล้านไว้ได้ อย่างไรก็ตามความเสียหายที่เกิดขึ้นแล้วก็ใหญ่มากพอที่จะทำให้ TVL ในวงการ DeFi โดยรวมหดหายไปราว $10,000-15,000 ล้านในชั่วข้ามคืน
LayerZero ยอมรับความผิด หลังเคยโยนให้ KelpDAO ก่อนหน้า
ในช่วงแรกหลังเหตุการณ์ LayerZero ออกมาระบุว่าปัญหามาจากการตั้งค่า DVN แบบ 1-of-1 ของ KelpDAO เอง ซึ่งไม่ได้รับการแนะนำสำหรับโปรเจกต์ที่มีมูลค่าสูง แต่ KelpDAO ออกมาโต้แย้งเมื่อวันที่ 6 พ.ค. 2569 ว่าการตั้งค่าแบบนี้ไม่ได้เป็นเรื่องผิดปกติ เพราะ OApp กว่า 47% ที่ใช้ LayerZero ก็ใช้การตั้งค่าแบบเดียวกัน และการตั้งค่านี้ได้รับการอนุมัติจากทีมงาน LayerZero เองระหว่างขั้นตอนการ integration
ต่อมา Bryan Pellegrino ผู้ร่วมก่อตั้งและ CEO ของ LayerZero Labs ได้โพสต์ข้อความเมื่อวันที่ 4 พ.ค. 2569 ยอมรับว่าระบบของตัวเองล้มเหลวในการป้องกันหรือแจ้งเตือนเรื่องการตั้งค่าความปลอดภัยแบบ 1/1 นี้ และถือเป็นความบกพร่องทั้งในด้านการออกแบบผลิตภัณฑ์และการสื่อสารกับลูกค้า โดยยอมรับว่าบริษัทสันนิษฐานอย่างผิดพลาดว่าจะไม่มีแอปพลิเคชันไหนนำเงินหลายพันล้านดอลลาร์มาวางบนการตั้งค่าที่เปราะบางขนาดนี้ ล่าสุด LayerZero ประกาศยกเลิกระบบยืนยันแบบตัวเดียวทั้งหมด และเปลี่ยนไปใช้ระบบ 3-of-3 threshold ที่ต้องการผู้ยืนยัน 3 รายพร้อมกันทุกครั้ง
ก่อนหน้านี้ Siam Blockchain ได้รายงานว่า Kelp โต้ LayerZero ปมบริดจ์ถูกแฮก $292 ล้าน ก่อนย้ายไป Chainlink CCIP และ LayerZero ทุ่ม 10,000 ETH หนุน Aave และขยาย GHO ใน DeFi United รวมถึง Kelp DAO ย้าย rsETH เกือบ $1 พันล้านจาก LayerZero สู่ Chainlink CCIP แล้ว
ความเสียหายที่กว้างขวางและความพยายามฟื้นฟู
นอกจาก KelpDAO แล้ว เหตุการณ์ครั้งนี้ยังส่งผลกระทบเป็นลูกโซ่ต่อโปรโตคอล DeFi อื่นๆ โดย Aave ต้องแช่แข็งตลาด rsETH ไว้ชั่วคราว และต้องออกมาระดมทุน $161 ล้านเพื่อปิดหนี้เสียที่เกิดขึ้น ด้าน Arbitrum Security Council ลงมติ 9-of-12 เพื่อกู้คืน ETH กว่า 30,766 ETH ที่มูลค่าราว $71-75 ล้าน ซึ่งแฮกเกอร์ได้โอนมาไว้บน Arbitrum เมื่อวันที่ 21 เม.ย. 2569 และล่าสุดศาลแมนฮัตตันได้อนุมัติการโอนคืนแล้ว ตามที่ Siam Blockchain รายงานไว้
ในด้านของการฟื้นฟู DeFi United ได้ประกาศแผนกู้คืน rsETH และระดมทุนได้กว่า $300 ล้านจากผู้สนับสนุนกว่า 14 ราย ภายในวันที่ 28 เม.ย. 2569 ทั้งนี้ Lazarus Group ยังถูกเชื่อมโยงกับการแฮก Drift Protocol มูลค่า $285 ล้านเมื่อวันที่ 1 เม.ย. 2569 ด้วย ทำให้ยอดรวมที่กลุ่มนี้ขโมยจาก DeFi ในช่วงเพียง 18 วันพุ่งสูงถึงราว $575 ล้าน
ส่วนตัวผู้เขียนมองว่าการที่ LayerZero ยอมรับความผิดในครั้งนี้ถือเป็นก้าวที่ดีกว่าการออกมาโยนความผิดให้ฝั่งอื่นต่อไปเรื่อยๆ แต่คำถามที่น่ากังวลกว่าคือทำไมการตั้งค่าแบบ 1-of-1 ถึงปล่อยให้ใช้งานได้มาตลอด ทั้งที่มีเงินมูลค่ามหาศาลอยู่ในระบบ และใครควรเป็นคนตรวจสอบความเหมาะสมของการตั้งค่าความปลอดภัย ระหว่างตัวโปรโตคอลเองกับนักพัฒนาที่นำไปใช้ต่อ เรื่องนี้ยังไม่มีคำตอบที่ชัดเจน สิ่งที่ต้องจับตาต่อไปคือโปรเจกต์อื่นๆ ที่ยังใช้ DVN แบบตัวเดียวอยู่ เพราะถ้า 47% ของ OApp ใช้การตั้งค่าแบบนี้ตามที่ KelpDAO อ้าง นั่นหมายความว่าความเสี่ยงแบบเดียวกันนี้ยังมีอยู่ในระบบอีกหลายแห่ง แม้ LayerZero จะประกาศอัปเกรดแล้วก็ตาม
ที่มา: CoinDesk
ภาพจาก AI
