สรุปข่าว
- งานวิจัยใหม่พบว่า มีการใช้งานที่อยู่กระเป๋าบน Ethereum และ BNB Chain ผิดวิธี 65,340 เคส เชื่อมโยงกับความเสียหายราว 574.8 ล้านดอลลาร์ หรือราว 1.9 หมื่นล้านบาท
- ปัญหาหลักมาจากการนำที่อยู่กระเป๋าไปใช้ผิดเครือข่าย, Private Key ที่หลุด และการใช้ที่อยู่ซ้ำข้าม Chain
- นักวิจัยแนะให้ผู้ใช้ตรวจสอบ Network และ Contract ให้แน่ใจก่อนโอนเงิน พร้อมเรียกร้องให้ Wallet มีระบบเตือนเมื่อพบที่อยู่ที่มีความเสี่ยง
แนวโน้มผลกระทบ: Bearish
งานวิจัยใหม่จากมหาวิทยาลัยชั้นนำพบการใช้งานที่อยู่กระเป๋าเงินบนเครือข่าย Ethereum และ BNB Chain ผิดวิธีถึง 65,340 รายการ ส่งผลให้เกิดความเสียหายประมาณ 574.8 ล้านดอลลาร์ หรือราว 1.9 หมื่นล้านบาท ตั้งแต่การนำที่อยู่จาก Testnet ไปใช้บน Mainnet ไปจนถึงการส่งเงินไปยังบัญชีที่ Private Key หลุด ขณะที่ EIP-7702 ยังเปิดช่องให้ผู้โจมตีนำความผิดพลาดเหล่านี้มาใช้ขโมยเงินได้ งานวิจัยจึงแนะนำให้ผู้ใช้ตรวจสอบ Network, Smart Contract และ Private Key ให้แน่ใจก่อนโอน โดยเฉพาะเพราะธุรกรรมที่ขึ้นว่า “สำเร็จ” ไม่ได้หมายความว่าเงินจะไปถึงกระเป๋าปลายทางที่ต้องการเสมอไป
ความผิดพลาดจากการกรอกที่อยู่ Address กระเป๋าเงินคริปโตฯ ผิดพลาด อาจทำให้เงินของผู้ใช้หายไปตลอดกาล งานวิจัยใหม่พบว่า การกรอกที่อยู่กระเป๋าเงินผิดวิธีบน Ethereum และ BNB Chain ถึง 65,340 กรณี เชื่อมโยงกับความเสียหายรวมกว่า 574.8 ล้านดอลลาร์ หรือราว 1.9 หมื่นล้านบาท
งานวิจัยจากมหาวิทยาลัยชั้นนำอย่าง Sun Yat-sen University, Zhejiang University และ Peking University ตรวจสอบที่อยู่กระเป๋าเงินมากกว่า 10 ล้านรายการ รวมถึง Private Key ที่รั่วไหลกว่า 16 ล้านรายการ และธุรกรรมราว 2.5 ล้านรายการ โดยระบบตรวจจับมีความแม่นยำถึง 99.11%
ที่อยู่เดียวกัน ไม่ได้แปลว่าเป็น Contract เดียวกัน
ปัญหากลุ่มแรกเกิดจากปรากฏการณ์ Contract Account (CA) Misuse หรือการนำที่อยู่ Address กระเป๋าเงินที่ไม่มีโค้ด Smart Contract อยู่จริงไปใช้งาน ซึ่งจากการวิจัยพบกรณีลักษณะนี้สูงถึง 49,344 รายการ สร้างความเสียหายรวมกว่า 22,738.41 ETH และ 8,681.41 BNB
ต้นเหตุสำคัญมักเกิดจากการนำที่อยู่กระเป๋าเงินจาก เครือข่าย Testnet ไปใช้บน เครือข่าย Mainnet โดยผู้ใช้งานมักเข้าใจผิดว่า แม้ที่อยู่บนทั้งสองเครือข่ายจะเป็นชุดตัวเลขเดียวกัน แต่นั่นไม่ได้หมายความว่าจะมี Smart Contract ตัวเดียวกันเปิดใช้งานอยู่เบื้องหลังเสมอไป
งานวิจัยได้ยกตัวอย่างกรณีของ Uniswap V2 Router บน Sepolia Testnet ซึ่งเป็นที่อยู่ที่นักพัฒนาคุ้นเคยกันเป็นอย่างดี แต่ในช่วงเวลาที่มีการศึกษานั้น ที่อยู่เดียวกันบน Ethereum Mainnet กลับยังไม่มีการติดตั้งโค้ด Smart Contract ไว้เลย
ทว่าผู้ใช้งานบางส่วนยังคงส่งคำสั่งและโอน ETH ไปยังที่อยู่ดังกล่าว เนื่องจากเข้าใจว่าเป็น Contract ตัวเดียวกัน ที่น่ากลัวไปกว่านั้นคือ ธุรกรรมเหล่านี้ ไม่ได้ล้มเหลว แต่กลับถูกประมวลผลเป็นการโอน ETH ทั่วไป ส่งผลให้เงินถูกส่งไปยังที่อยู่ที่ไม่มี Smart Contract คอยควบคุม และกลายเป็นเงินที่ไม่สามารถกู้คืนกลับมาได้อีกเลย
Private Key หลุด เงินเข้าปุ๊บอาจถูกโอนออกทันที
อีกปัญหาคือ Externally Owned Account (EOA) Misuse หรือการส่งเงินไปยังบัญชีที่ Private Key ถูกเปิดเผย งานวิจัยพบเคสนี้มีจำนวนว่า 15,996 รายการ คิดเป็นความเสียหายกว่า 104,224.53 ETH และ 9,045.29 BNB
กรณีนี้เกิดขึ้นเมื่อผู้ใช้ส่งเงินไปยังที่อยู่กระเป๋าเงินที่ Private Key ที่เคยเปิดเผยต่อสาธารณะ เช่น หลุดอยู่ใน GitHub หรือแหล่งข้อมูลสำหรับนักพัฒนา
เมื่อ Private Key ตกอยู่ในมือผู้โจมตี บัญชีนั้นก็สามารถถูกควบคุมได้ทันที แฮกเกอร์ยังสามารถใช้ระบบอัตโนมัติเฝ้าดูที่อยู่เหล่านี้ และโอนเงินออกทันทีที่มีเงินใหม่ถูกส่งเข้ามา
จากความผิดพลาด กลายเป็น “กับดัก” ของแฮกเกอร์
งานวิจัยพบกรณีศึกษา 469 กรณีที่แฮกเกอร์ใช้ประโยชน์จากความผิดพลาดของผู้ใช้งาน ที่นำที่อยู่ Address เดียวกันไปใช้ซ้ำข้ามเครือข่าย
โดยเมื่อผู้ใช้โอนเงินผิดไปยังที่อยู่ที่ยังไม่มี Smart Contract รองรับ แฮกเกอร์จะใช้โอกาสนำ Smart Contract ที่แฝงโค้ดอันตรายไปติดตั้งทับในที่อยู่กระเป๋าเงินดังกล่าว เพื่อดึงเงินที่ติดค้างอยู่ออกมา
กรณีเหล่านี้สร้างความเสียหายไปแล้วถึง 3,446.37 ETH และ 431.79 BNB ซึ่งสะท้อนให้เห็นว่านี่ไม่ใช่เพียง “การส่งเงินผิดที่อยู่” ธรรมดา แต่กลายเป็นช่องโหว่ที่ผู้โจมตีจงใจเฝ้ารอเพื่อใช้เป็นกับดักในการขโมยทรัพย์สิน
EIP-7702 : เมื่อบัญชีถูกตั้งค่าให้โอนเงินออกอัตโนมัติ
อีกหนึ่งความเสี่ยงที่น่าจับตาคือช่องโหว่ที่เกิดจาก EIP-7702 ซึ่งเป็นข้อเสนอของ Ethereum ที่อนุญาตให้บัญชีผู้ใช้งานทั่วไป (EOA) สามารถมอบหมายการทำงานบางส่วนให้กับ Smart Contract ได้
งานวิจัยพบความเชื่อมโยงถึง 17,270 กรณีในบัญชีที่ Private Key เคยรั่วไหล โดยผู้โจมตีอาศัยช่องทาง EIP-7702 มอบสิทธิ์บัญชีเหล่านั้นให้กับ Contract อันตราย เพื่อตั้งค่าคำสั่งให้ระบบโอนเงินที่เพิ่งไหลเข้าบัญชี ส่งต่อไปยังกระเป๋าของแฮกเกอร์โดยอัตโนมัติ แม้ตัวเลข 17,270 กรณีจะไม่ได้เกิดความเสียหายทั้งหมด แต่ก็พบความสูญเสียจากช่องทางนี้ไปแล้วประมาณ 25.86 ETH และ 33.45 BNB
วิธีป้องกัน: เช็กให้ชัวร์ก่อนโอน
นักวิจัยแนะนำให้ผู้ใช้ตรวจสอบ 3 เรื่องก่อนทำธุรกรรม ได้แก่ Network, Contract และ Private Key
ต้องเช็กก่อนว่ากำลังใช้งานเครือข่ายที่ถูกต้องหรือไม่ โดยเฉพาะเมื่อที่อยู่เดียวกันปรากฏอยู่ทั้งบน Testnet และ Mainnet หากกำลังโต้ตอบกับ Smart Contract ก็ควรตรวจสอบว่า ที่อยู่นั้นมี Contract Code อยู่จริงบนเครือข่ายดังกล่าว
ส่วนบัญชีและ Private Key ที่ใช้สำหรับ Testnet ควรแยกออกจากเงินทุนจริงอย่างเด็ดขาด และควรตรวจสอบที่อยู่จากเอกสารทางการของโปรเจกต์ก่อนทำธุรกรรม
นักวิจัยยังเสนอให้ผู้ให้บริการกระเป๋าเงินคริปโตฯ เพิ่มระบบแจ้งเตือน หากผู้ใช้กำลังส่งเงินไปยังที่อยู่ที่ไม่มี Smart Contract บนเครือข่ายปัจจุบัน หรือเป็นที่อยู่ที่มีประวัติว่า Private Key เคยรั่วไหล
ที่มา:cryptopotato
มุมมองผู้เขียน: งานวิจัยไม่ได้ชี้ว่า Ethereum หรือ BNB Chain ถูกเจาะแฮกระบบโดยตรง แต่สะท้อนจุดอ่อนระหว่างคนกับ Blockchain ที่มักถูกมองข้าม เพราะในโลกคริปโตฯ การตรวจสอบที่อยู่กระเป๋าเงินและเครือข่ายให้แน่ใจก่อนกดโอน อาจสำคัญไม่แพ้การเก็บ Private Key ให้ปลอดภัย
