สรุปข่าว
- Aave ประกาศปรับเกณฑ์รับสินทรัพย์ใหม่ครั้งใหญ่ หลังเหตุแฮก rsETH ผ่านช่องโหว่ bridge ของ LayerZero เมื่อวันที่ 18 เม.ย. 2569 ส่งผลให้เกิดหนี้เสียสูงสุดถึง 230 ล้านดอลลาร์
- Aave Labs เผยแพร่รายงานหลังเหตุการณ์ฉบับสมบูรณ์เมื่อ 31 พ.ค. และโพสต์ Technical Asset Listing Framework ใหม่เมื่อ 28 พ.ค. ครอบคลุม Aave V3, V4 และ Horizon
- กรอบการประเมินใหม่จะตรวจสอบทั้งด้านความปลอดภัยทางไซเบอร์ การทำงานร่วมกันข้ามเครือข่าย และสถาปัตยกรรมทางเทคนิคของสินทรัพย์ก่อนได้รับการรับรองให้ใช้เป็นหลักประกัน
แนวโน้มผลกระทบต่อราคา Bearish
เหตุการณ์นี้เผยให้เห็นความเสี่ยงที่ซ่อนอยู่ในระบบ bridge ข้ามเครือข่ายซึ่งเป็นโครงสร้างพื้นฐานสำคัญของ DeFi การที่ Aave ต้องออกมาตรฐานใหม่สะท้อนว่าความเชื่อมั่นในสินทรัพย์ประเภท Liquid Staking Token ที่ผ่าน bridge ยังคงสั่นคลอน ซึ่งอาจทำให้สภาพคล่องใน DeFi ลดลงชั่วคราวจากข้อกำหนดที่เข้มงวดขึ้น
ตามรายงานจาก CoinDesk เมื่อวันที่ 1 มิ.ย. 2569 Aave ได้ประกาศปรับมาตรฐานการรับสินทรัพย์เข้าโปรโตคอลครั้งใหญ่ หลังจากรายงานหลังเหตุการณ์อย่างเป็นทางการระบุว่าสาเหตุหลักของการแฮก rsETH เมื่อวันที่ 18 เม.ย. ที่ผ่านมา มาจากช่องโหว่ในการยืนยันธุรกรรมของ bridge ระบบ LayerZero โดยผู้โจมตีสามารถปลอมข้อความข้ามเครือข่าย ทำให้ระบบเข้าใจผิดว่ามีการเผา (burn) โทเคน rsETH บน Unichain แล้ว จึงเสก rsETH ปลอมจำนวน 116,500 โทเคน บน Ethereum mainnet โดยไม่มีสินทรัพย์หนุนหลัง มูลค่าความเสียหายรวมอยู่ที่ประมาณ 292-293 ล้านดอลลาร์ ขณะที่หนี้เสียของ Aave อยู่ที่สูงสุดราว 230 ล้านดอลลาร์ ทำให้นี่กลายเป็นเหตุการณ์แฮก DeFi ที่ใหญ่ที่สุดของปี 2569
ช่องโหว่ LayerZero กับบทเรียนที่แพงที่สุดของ DeFi ปี 2569
รายงานหลังเหตุการณ์ระบุชัดว่าต้นตอของปัญหาคือการที่ KelpDAO ใช้การตั้งค่า DVN (Decentralized Verifier Network) แบบ 1-of-1 หรือพูดง่ายๆ คือใช้ผู้ยืนยันธุรกรรมเพียงรายเดียว ซึ่งเปราะบางต่อการโจมตีแบบ RPC poisoning ที่มุ่งเป้าไปที่โครงสร้างพื้นฐานของ LayerZero โดยตรง ผู้โจมตีนำ rsETH ปลอมที่เสกขึ้นมาจำนวน 89,567 โทเคน ไปวางเป็นหลักประกันใน Aave V3 บน Ethereum และ Arbitrum จากนั้นกู้ยืม WETH กว่า 82,650 เหรียญและ wstETH อีก 821 เหรียญออกมาได้สำเร็จ Aave Guardian ตรวจพบและระงับตลาด rsETH ทั้งหมดได้ภายใน 00:52 น. ตามเวลาไทย (17:52 UTC) ของวันเดียวกัน
หลังเหตุการณ์ดังกล่าว LayerZero ประกาศเมื่อ 20 เม.ย. ว่าจะหยุดการรับรองข้อความสำหรับแอปพลิเคชันที่ยังใช้การตั้งค่า single-validator DVN ทันที และบังคับให้ทุกโปรเจกต์อัพเกรดสู่ระบบ multi-verifier ส่วน KelpDAO เองได้เสริมความปลอดภัยให้ LayerZero ต้องการผู้ยืนยันอิสระถึง 4 รายต่อธุรกรรม พร้อมเพิ่มจำนวน block confirmation จาก 42 เป็น 64 และเริ่มย้ายเส้นทาง bridge ไปสู่ระบบ CCIP ของ Chainlink ในระยะยาว
Aave ปรับกรอบรับสินทรัพย์ใหม่ครอบคลุม V3 V4 และ Horizon
เมื่อวันที่ 28 พ.ค. ที่ผ่านมา Aave Labs ได้โพสต์ Technical Asset Listing Framework ฉบับใหม่ลงในฟอรั่มกำกับดูแล โดยกำหนดข้อกำหนดพื้นฐานสำหรับการรับสินทรัพย์ใหม่และการขยายพารามิเตอร์ที่สำคัญ ครอบคลุมทุก deployment ทั้ง Aave V3, V4 และ Horizon กรอบการทำงานใหม่นี้จะเพิ่มการตรวจสอบในมิติที่ไม่เคยมีมาก่อน ได้แก่ การประเมินความปลอดภัยทางไซเบอร์ของโปรโตคอลต้นทาง การวิเคราะห์การทำงานร่วมกันข้ามเครือข่าย (interoperability) รวมถึงการตรวจสอบสถาปัตยกรรมทางเทคนิคเบื้องหลังของสินทรัพย์นั้นๆ อย่างละเอียด
นอกจากนี้ ยังมีกรอบประเมิน bridge โดยเฉพาะ (Bridge Assessment Framework) ที่กำลังอยู่ระหว่างการพัฒนา ซึ่งเป็นการตอบสนองโดยตรงต่อเหตุการณ์ที่เกิดขึ้น ด้านการฟื้นฟู ตั้งแต่ 13-26 พ.ค. rsETH backing ได้รับการฟื้นฟูเต็มจำนวนแล้วใน 5 งวด รวม rsETH ที่ฝากเข้า LayerZero OFT adapter ทั้งสิ้น 116,131.72 โทเคน ขณะที่กองทุนฟื้นฟูพิเศษของ Aave และการอนุมัติโอน ETH จำนวน 30,765 เหรียญ (มูลค่าเกือบ 71 ล้านดอลลาร์) จาก Arbitrum DAO กำลังรอการดำเนินการต่อในศาล
ก่อนหน้านี้ Siam Blockchain ได้รายงานว่า Arbitrum อนุมัติการโอน ETH มูลค่า 71 ล้านดอลลาร์คืนผู้เสียหาย และ Aave ระดมทุน $161 ล้าน คืบหน้า 80% ปิดหนี้เสียจากเหตุแฮก Kelp DAO ซึ่งเป็นส่วนหนึ่งของกระบวนการฟื้นฟูที่ดำเนินมาอย่างต่อเนื่อง
ส่วนตัวผู้เขียนมองว่าเหตุการณ์นี้เป็นบทเรียนราคาแพงที่เน้นย้ำว่าความเสี่ยงของ DeFi ในยุคนี้ไม่ได้อยู่แค่ใน smart contract อีกต่อไป แต่ย้ายไปซ่อนอยู่ใน layer ของ bridge และโครงสร้างพื้นฐานระหว่างเครือข่ายแล้ว การที่ KelpDAO ใช้ผู้ยืนยันเพียงรายเดียวมันดูเป็นจุดบอดที่หลายคนน่าจะมองข้ามไป สิ่งที่น่าจับตาต่อจากนี้คือมาตรฐานใหม่ของ Aave จะเข้มงวดแค่ไหน และมีสินทรัพย์ที่ถูกรับไว้แล้วกี่ตัวที่อาจไม่ผ่านเกณฑ์ใหม่นี้ ถ้าสินทรัพย์ที่มีสภาพคล่องสูงโดนจำกัดพารามิเตอร์ นั่นอาจส่งผลต่อ TVL ของ Aave พอสมควรในระยะกลาง
ที่มา: CoinDesk
ภาพจาก AI
