สรุปข่าว
- Liquid Network ถูกสูบ 4,000 BTC คิดเป็นมูลค่ากว่า $320 ล้าน จนต้องสั่งหยุดเครือข่ายชั่วคราว
- แม้จะทำรายการผ่านบริการ Peg-out ของ SideSwap แต่การตรวจสอบพบว่ากุญแจ PAK ไม่ได้หลุด ทว่าเกิดจากบั๊กในซอฟต์แวร์
- แฮกเกอร์ทิ้งรหัสข้อความ OP_RETURN บนบล็อกเชนระบุว่าตนเป็นหมวกขาว และขอให้ติดต่อเจรจาด่วนท่ามกลางความลุ้นระทึกของตลาด
แนวโน้มผลกระทบ: Bearish
เครือข่าย Liquid Network ต้องสั่งระงับการทำงานชั่วคราวหลังเกิดเหตุการณ์ความไม่ปลอดภัยที่ทำให้ผู้โจมตีสามารถเบิกถอน Bitcoin ไปได้ถึง 3,996 BTC มูลค่าราว 10,000 ล้านบาท จากการฉวยโอกาสใช้ช่องโหว่ อย่างไรก็ตาม ฝ่ายผู้โจมตีได้ทิ้งข้อความบนบล็อกเชนอ้างตนเป็นแฮกเกอร์หมวกขาวพร้อมขอให้ทีมงานติดต่อกลับโดยด่วน
ท่ามกลางสภาวะตลาดที่นักลงทุนกำลังต้องการความมั่นใจมากที่สุด แต่ล่าสุดเครือข่ายชื่อดังอย่าง Liquid Network กลับตกเป็นเหยื่อของการโจมตีครั้งใหญ่ ส่งผลให้ Bitcoin จำนวนมหาศาลถูกสูบออกไปจากกระเป๋า สร้างความตื่นตระหนกไปทั่วทั้งตลาดในชั่วข้ามคืน
การโจมตีในครั้งนี้ Liquid Network ออกมายอมรับเองเมื่อเช้ามืดว่าเครือข่ายถูกขโมยสินทรัพย์ราว 4,000 BTC คิดเป็นมูลค่ากว่า $320 ล้าน ( 10,500 ล้านบาท) จากกระเป๋าของทาง Liquid Federation จนทำให้พวกเขาต้องออกมารีบระงับการใช้งานเครือข่ายไว้ชั่วคราว
Liquid Network อ้างว่าการถอนเงินมีการใช้กุญแจอนุมัติ Peg-out ของ SideSwap แบบไม่ได้ผ่านการอนุมัติตามกระบวนการปกติ และตัวกุญแจ PAK ของ SideSwap เองจะไม่ได้ถูกเจาะระบบ ซึ่งถือเป็นเบาะแสสำคัญในการสร้างความชัดเจนว่าเกิดอะไรขึ้นกันแน่
ในขณะเดียวกัน ฝ่ายผู้ก่อเหตุได้ทิ้งข้อความบนบล็อกเชนเอาไว้ โดยพบข้อความรหัส OP_RETURN ระบุชัดเจนว่า “เราคือแฮกเกอร์หมวกขาว (we are whitehats) โปรดติดต่อเราผ่านบล็อกเชน” ปรากฏอยู่ในธุรกรรมรหัส c103de…e69a19
ด้าน ErgoBTC ผู้เชี่ยวชาญด้านข้อมูล On-chain ตรวจพบว่า มีการโอน Bitcoin ล็อตใหญ่จำนวนราว 3,996 BTC ผ่านธุรกรรมรหัส 8db751…a7b140 โดยปลายทางถูกส่งไปยังกระเป๋า bc1qgs…c6wt7p ซึ่งได้รับการยืนยันแล้วบนบล็อกบิตคอยน์ที่ 965,783
ความผิดพลาดของระบบ
สำหรับต้นตอของปัญหา นักเทรดต้องทำความเข้าใจในระบบของ Liquid ที่ทำงานผ่านกลไก Two-way peg ก่อน โดยผู้ใช้ต้องนำ BTC มาล็อกไว้เพื่อแลกเหรียญ Liquid Bitcoin (LBTC) ขึ้นมาใช้งาน และเมื่อต้องการถอน BTC กลับ ก็ต้องทำรายการเผา LBTC ทิ้ง
ในการปลดล็อกเพื่อถอน Bitcoin ออกจากระบบ (Peg-out) ปกติจะต้องผ่านการอนุมัติด้วยกุญแจพิเศษที่เรียกว่า Peg-out Authorization Key (PAK) ซึ่งถูกออกแบบมาเพื่อความปลอดภัยสูงสุด โดยเอกสารระบุว่า ต่อให้เจ้าหน้าที่ดูแลระบบจะถูกแฮกหรือแทรกแซง ระบบ PAK นี้ก็ยังสามารถป้องกันไม่ให้ผู้โจมตีแอบโอนเงินของผู้ใช้ไปยังที่อยู่อื่นที่เป็นของแฮกเกอร์ได้
นอกจากนี้ ระบบยังมีการคานอำนาจอย่างเข้มงวด โดยการอนุมัติบล็อกในระบบจะต้องใช้เสียงยืนยันอย่างน้อย 2 ใน 3 ของผู้ลงนามบล็อกทั้งหมด แต่หากเป็นการทำรายการเบิกจ่าย Bitcoin ที่สมาพันธ์ถือครองอยู่ ระบบจะเพิ่มความเข้มงวดขึ้นไปอีก โดยต้องได้รับอนุมัติผ่านเกณฑ์สัดส่วนที่มากกว่า 2 ใน 3 ของผู้ดูแลระบบจึงจะสามารถโยกย้ายเงินออกไปได้
จากกรณีที่เกิดขึ้น หากกุญแจ PAK ของ SideSwap ไม่ได้ถูกเจาะระบบแต่กลับถูกนำมาใช้ทำรายการอนุมัติได้สำเร็จ คำถามสำคัญในขณะนี้จึงตกไปอยู่ที่ว่า ความผิดพลาดเกิดขึ้นในขั้นตอนใดของเส้นทางการควบคุมระบบกันแน่ ซึ่งหลักฐานเบื้องต้นที่มีอยู่ในปัจจุบันยังคงยืนยันได้ว่าเครือข่าย Bitcoin ไม่ได้มีปัญหาหรือความผิดปกติใดๆ แต่เกิดจากบั๊กในซอฟต์แวร์ Elements ที่ทำให้สร้าง LBTC ปลอมขึ้นมาแลกเอา BTC ดั้งเดิมออกไปได้อย่างแยบยล
หมวกขาวจริงหรือไม่?
โดยปกติแล้ว พฤติกรรมของแฮกเกอร์หมวกขาวคือการเจาะระบบเพื่อชี้เป้าช่องโหว่ แลกกับเงินรางวัล หรือในบางกรณีก็อาจเป็นการขโมยสินทรัพย์ไปจริงๆ ก่อนที่จะโอนคืนในภายหลังแลกกับส่วนแบ่งเล็กน้อย เช่น 10% เพื่อเตือนแพลตฟอร์มว่า ระบบมีช่องโหว่
แต่ในกรณีนี้ แม้คนร้ายจะแอบอ้างตัวว่าเป็นฝ่ายดี ทว่าด้วยข้อมูลที่มีอยู่ในตอนนี้ทำให้ผู้มีส่วนเกี่ยวข้องยังไม่สามารถยืนยันถึงเจตนาที่แท้จริงของพวกเขาได้ และทาง Blockstraem ก็กำลังอยู่ในขั้นตอนการสืบสวนและติดต่อไปยังแฮกเกอร์เหล่านี้อยู่
เหตุการณ์ดังกล่าวส่งผลทำให้ตลาดคริปโทฯยังคงมีความเสี่ยงที่จะต้องเผชิญหน้ากับแรงเทขายและความหวาดกลัวระลอกใหม่ ซึ่งนักเทรดก็ต้องมาตามกันต่อว่าแฮกเกอร์กลุ่มนี้จะเจรจาค่าตอบแทนสำเร็จ หรือเผยธาตุแท้แล้วเทขายอัดใส่ตลาดฉุดราคาให้ร่วงดิ่งไปตามกัน
ที่มา: Cryptopolitan
มุมมองผู้เขียน : เหตุการณ์นี้ไม่ได้เป็นเพียงบททดสอบด้านความปลอดภัยของ Liquid เท่านั้น แต่ยังกลายเป็นบททดสอบครั้งใหญ่ต่อระดับความไว้วางใจที่ผู้ใช้ Bitcoin มีต่อระบบสะพานเชื่อมแบบ Federated Bridge ว่าจะยังคงเป็นตัวเลือกที่ปลอดภัยพอในสายตาของตลาดหรือไม่
