Across Protocol ถูกยึดเว็บ เว็บปลอมหลอกเซ็นอนุมัติ ผู้ฝาก Aave รายเดียวเสียราว 3 แสนดอลลาร์ ตาม Bitquery

Bitquery บริษัทวิเคราะห์ข้อมูลบล็อกเชน ประเมินเมื่อ 12 พฤศจิกายน 2569 ว่าเหตุยึดโดเมนเว็บไซต์ของ Across Protocol เมื่อวันที่ 10 พฤศจิกายน ทำให้ผู้ใช้เสียเงินรวมราว 401,900 ดอลลาร์ (ราว 13.5 ล้านบาท) จาก 9 กระเป๋าใน 5 บล็อกเชน โดยผู้ฝากเงินใน Aave รายเดียวเสียโทเคนเงินฝากราว 305,000 ดอลลาร์ (ราว 10.2 ล้านบาท) หรือราว 76% ของยอดที่ตามรอยได้ ตามที่ CryptoSlate รายงานเมื่อ 13 พฤศจิกายน

Across Protocol (บริดจ์ที่ใช้โอนสินทรัพย์ข้ามบล็อกเชน) แจ้งว่าโดเมนถูกยึดจากการหลอกลวงที่เกี่ยวกับรีจิสทราร์ Namecheap และคุมโดเมนคืนได้เมื่อ 11 พฤศจิกายน พร้อมสัญญาว่าจะชดเชยผู้ได้รับผลกระทบทั้งหมดและเผยแพร่ postmortem (รายงานสรุปเหตุการณ์) ตามที่ CryptoSlate รายงาน เนื้อข่าวนี้ใช้ตัวเลขของ Bitquery ซึ่งเป็นการประเมินจากการตามรอยบล็อกเชน ไม่ใช่ตัวเลขที่ Across ยืนยัน

Across แจ้งอะไรในวันเกิดเหตุ

Across โพสต์บน X เมื่อ 10 พฤศจิกายน ราว 14:05 น. เวลานิวยอร์ก ตามที่ TFTC รายงาน ให้ผู้ใช้อย่าเข้าแอป เชื่อมกระเป๋า หรือเซ็นธุรกรรมและการอนุมัติใดๆ บนโดเมนนั้นจนกว่าจะมีแจ้งใหม่ เพราะกำลังตรวจสอบปัญหาของโดเมน ตอนนั้น Across ยังไม่ระบุว่าเกิดอะไรขึ้นหรือเว็บไซต์ถูกเจาะหรือไม่ ตามที่ Cointelegraph รายงานวันเดียวกัน

Cointelegraph รายงานว่ามีผู้ใช้บน X ระบุว่าเสีย 9,000 ดอลลาร์ใน USDC และอีกรายระบุว่าเสีย 7,053 USDT0 ใน 7 ธุรกรรมบนบล็อกเชน Plasma ส่วนรายที่สามบอกว่ากระเป๋าถูกดูดเงินหลังใช้บริดจ์หลายครั้ง และกล่าวหาว่าเว็บไซต์ถูกเจาะ Across ขอให้ผู้ที่เสียเงินส่งรายละเอียดธุรกรรม Cointelegraph ระบุว่ายังไม่ได้ตรวจสอบรายงานเหล่านี้ด้วยตัวเอง ส่วน TFTC ระบุว่า Across ยังไม่ยืนยันรายงานเหล่านี้ และ Across ยังไม่ยืนยันตัวเลขความเสียหายรวม

ต่อมา Across แจ้งว่าโดเมนถูกยึดเมื่อ 10 พฤศจิกายนผ่านการหลอกลวง (social engineering) ที่เกี่ยวกับรีจิสทราร์ Namecheap และเมื่อ 11 พฤศจิกายนโดเมนกลับมาอยู่ในการควบคุมของ Across ตามที่ CryptoSlate รายงาน ข้อกล่าวถึง Namecheap เป็นคำของ Across และในแหล่งที่เราอ่านไม่มีคำชี้แจงจาก Namecheap

Bitquery ประเมินความเสียหายเท่าไร

ตัวเลขล่าสุดของ Bitquery เมื่อ 12 พฤศจิกายนอยู่ที่ 401,900 ดอลลาร์ จาก 9 กระเป๋าใน 5 บล็อกเชน คำนวณที่ราคาตอนที่สินทรัพย์ถูกขโมย ตัวเลขนี้เพิ่มการดูด ETH อีกครั้งที่ตกหล่นไปก่อนหน้า คือ 26.38 ETH จากเหยื่ออีกราย มูลค่าราว 54,000 ดอลลาร์ (ราว 1.8 ล้านบาท) ตามที่ CryptoSlate สรุป

ในยอดนี้ ผู้ฝากเงินใน Aave รายเดียวเสียโทเคน aWETH 148.60 โทเคน มูลค่าราว 304,500 ดอลลาร์ ณ เวลาที่ถูกย้าย (Aave คือโปรโตคอลให้กู้ยืมแบบกระจายศูนย์ ส่วน aWETH คือโทเคนที่แทนเงินฝาก ETH ในโปรโตคอลนั้น) CryptoSlate ปัดตัวเลขนี้เป็น 305,000 ดอลลาร์ในพาดหัว

เงินฝาก Aave ถูกดูดออกมาได้อย่างไร

CryptoSlate อ้างเอกสารของ Aave ว่าโทเคนเงินฝากของ Aave โอนได้ และสามารถใช้ permit (ลายเซ็นที่อนุญาตให้บัญชีอื่นใช้โทเคนแทนเจ้าของ) มอบสิทธิ์ให้บัญชีอื่นใช้โทเคนนั้นได้ ตามการสร้างเหตุการณ์ย้อนหลังของ Bitquery เว็บไซต์ปลอมที่ถูกยึดเป็นตัวขอ permit จากผู้ใช้ จากนั้นคนร้ายใช้ permit ย้ายโทเคนเงินฝากออกจากกระเป๋า ทำให้ตำแหน่งเงินฝากใน Aave ซึ่งอยู่นอกตัวบริดจ์ถูกเอื้อมถึงด้วย

ธุรกรรมแรกเมื่อ 10 พฤศจิกายน บันทึกการอนุมัติแบบไม่จำกัดวงเงิน ตามด้วยการย้าย aWETH ราว 115.23 โทเคนไปกระเป๋าหนึ่ง และ 28.81 โทเคนไปอีกกระเป๋า Bitquery ระบุว่าสองกระเป๋านั้นคือกระเป๋าของคนร้ายและกระเป๋าค่าธรรมเนียมของ drainer (โปรแกรมดูดเงินจากกระเป๋าเหยื่อ) ซึ่งตรงกับการแบ่ง 80 ต่อ 20 ประวัติโอนของผู้ฝากรายนี้แสดงการดึงเงิน 4 ครั้ง สิ้นสุดภายใน 3 นาทีหลังครั้งแรก เจ้าของยกเลิกการอนุมัติหนึ่งนาทีหลังการดึงครั้งสุดท้าย แต่การโอนทั้งหมดเกิดขึ้นไปแล้ว

ตัวเลขความเสียหายที่ไม่ตรงกัน

ก่อนหน้านี้มีตัวเลขราว 294,000 ดอลลาร์ที่เผยแพร่บน X โดยบัญชี @SolanaFloor ตามที่ TFTC รายงานว่ายังไม่ได้รับการยืนยันจาก Across Bitquery ระบุว่าตัวเลข 294,000 ดอลลาร์ตรงกับยอดคงเหลือของกระเป๋าค่าธรรมเนียมซึ่งมีเงินที่มีอยู่ก่อนเหตุ Across ปนอยู่ด้วย จึงไม่ใช่ยอดที่ถูกขโมยในครั้งนี้ทั้งหมด

Bitquery ยังระบุว่าตามรอยเหตุกับ Across จากเวลาและกระเป๋าผู้รับ ไม่ใช่จากการเห็นเว็บที่เหยื่อเข้าจริง เพราะข้อมูลบล็อกเชนไม่แสดงว่าผู้ใช้เปิดเว็บไหนหรือเซ็นลายเซ็นนอกเชนตอนไหน ตัวเลข 401,900 ดอลลาร์จึงเป็นการประเมินที่อาจเปลี่ยนเมื่อมีข้อมูลเพิ่ม

ผู้ใช้ควรตรวจอะไรหลังเหตุแบบนี้

TFTC อธิบายว่าการตัดการเชื่อมกระเป๋า (disconnect) ไม่ได้ยกเลิกสิทธิ์ที่เคยอนุมัติบนบล็อกเชน สิทธิ์เหล่านั้นอยู่จนกว่าจะส่งธุรกรรมยกเลิก (revoke) แยกต่างหาก TFTC แนะนำให้ผู้ที่เคยเชื่อมกระเป๋ากับ Across หรือบริดจ์ใน EVM ตรวจสิทธิ์ที่ยังเปิดอยู่ผ่านเครื่องมือ Token Approvals ของ Etherscan หรือเอ็กซ์พลอเรอร์ของเชนที่ใช้ และยกเลิกสิทธิ์ที่ไม่ใช้แล้ว โดยต้องเสียค่าแก๊สต่อรายการ

TFTC ยังระบุว่า Across ไม่ได้ออกคำสั่งให้ผู้ใช้ยกเลิกสิทธิ์ที่เคยอนุมัติในตอนที่แจ้งเตือนแรก และ TFTC เขียนว่า Across มียอดโอนสะสมกว่า 40,000 ล้านดอลลาร์และกระเป๋าที่เคยใช้งานกว่า 5 ล้านกระเป๋า ตัวเลขชุดนี้เป็นของ TFTC เราไม่ได้ตรวจกับ Across โดยตรง

สิ่งที่รายงานยังไม่ได้บอก

จากแหล่งที่เราอ่าน Across ยังไม่ได้เผยแพร่ postmortem และยังไม่เห็นรายละเอียดวิธีชดเชย เช่น วงเงินรวม ผู้มีสิทธิ์ หรือกำหนดเวลา Bitquery ยังไม่ได้ยืนยันว่าเหยื่อทุกรายเข้าเว็บที่ถูกยึดจริง และ CryptoSlate ไม่ได้ระบุว่า Namecheap ตอบข้อกล่าวถึงของ Across อย่างไร ตัวเลขความเสียหายจึงต้องรอ postmortem ของ Across เพื่อเทียบกับการประเมินของ Bitquery

ข้อมูลสำหรับผู้อ่านในไทย

สำหรับผู้ใช้ DeFi (การเงินบนบล็อกเชนที่ไม่มีตัวกลาง) ในไทยที่เคยใช้ Across หรือฝากเงินใน Aave ข่าวนี้เตือนว่าลายเซ็นอนุมัติเพียงครั้งเดียวบนเว็บที่ถูกยึดทำให้เงินฝากอีกโปรโตคอลหนึ่งถูกเอื้อมถึงได้ ผู้ที่ใช้บริดจ์ควรตรวจสิทธิ์อนุมัติที่ค้างอยู่ตามที่ TFTC แนะนำ แหล่งข่าวที่เราอ่านไม่ได้กล่าวถึงหน่วยงานกำกับดูแลของไทย และไม่ได้บอกว่าผู้ใช้ในไทยได้รับผลกระทบเท่าใด

 

📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:

เรื่องเว็บไซต์ DeFi ถูกยึดหรือโจมตีที่เราเคยรายงานไว้ก่อนหน้านี้

👉 เว็บไซต์ของ Galxe ถูกโจมตี DNS โดยมีความสูญเสียกว่า 5.5 ล้านบาท และยังคงเพิ่มขึ้นเรื่อย ๆ

👉 ZachXBT เตือน!!! เลี่ยงใช้เว็บไซต์ Compound Finance เสี่ยงถูกแฮ็กจากฟิชชิ่ง

🔗 อ้างอิงต้นฉบับ: CryptoSlate (13 พ.ย. 2569), Cointelegraph (10 พ.ย. 2569) และ TFTC (10 พ.ย. 2569)

 

💬 ความเห็นบรรณาธิการ Bitcoinaddict

ข้อสังเกตคือตัวเลข 401,900 ดอลลาร์เป็นการประเมินของ Bitquery จากเวลาและกระเป๋าผู้รับ ไม่ใช่ตัวเลขที่ Across ยืนยัน และเงินฝาก Aave ที่หายราว 305,000 ดอลลาร์เป็นของผู้ใช้รายเดียว ไม่ได้แปลว่า Aave ถูกเจาะ สิ่งที่ควรตามต่อคือ postmortem ของ Across แผนชดเชย และตัวเลขความเสียหายสุดท้าย สำหรับผู้อ่านในไทย ผู้ใช้บริดจ์ควรตรวจสิทธิ์อนุมัติที่ค้างอยู่ของกระเป๋าตัวเอง ข้อมูลนี้ไม่ใช่คำแนะนำการลงทุน

 

ภาพปก: ภาพประกอบสร้างด้วย AI โดยทีมข่าว Bitcoinaddict.com

 

รายงานโดยทีมข่าว Bitcoinaddict.com