แฮ็กเกอร์ดูดเงินบัตรคริปโต 1.1 ล้านดอลลาร์ ทุบโทเคน Avici ร่วง 49%

ช่องโหว่ในสัญญาอัจฉริยะ (Smart Contract) เวอร์ชันเก่าที่เลิกใช้แล้วของ Rain ผู้ให้บริการโครงสร้างพื้นฐานบัตรคริปโตที่เป็น Visa Principal Member ทำให้แฮ็กเกอร์ดูดเงินจากหลายแพลตฟอร์มที่ใช้เทคโนโลยีของ Rain บนเครือข่าย Solana ไปรวมกว่า 1.1 ล้านดอลลาร์ โดยความเสียหายหนักที่สุดตกอยู่กับสอง Neobank คริปโตคือ Avici และ Tria

 

Rain ยืนยันว่าระบบเฝ้าระวังความปลอดภัยของบริษัทตรวจพบช่องโหว่ในสัญญาเวอร์ชันเก่านี้ และได้อัปเกรดแพลตฟอร์มทั้งหมดที่ยังใช้เวอร์ชันที่มีปัญหาอยู่ทันที พร้อมยืนยันว่าไม่พบกิจกรรมที่เป็นอันตรายเพิ่มเติมหลังจากนั้น

 

วิธีการโจมตี: ปลอมเป็นผู้ดูแลระบบดูดเงินจากบัญชีค้ำประกันบัตร

ผู้ก่อเหตุอาศัยช่องโหว่ด้วยการส่งคำขออนุญาตที่ลงลายเซ็นซ้ำๆ ต่อเนื่อง เพื่อแทรกตัวเองเข้าไปเป็นผู้ดูแลระบบ (Administrator) บนกระเป๋าเงินค้ำประกันบัตรของผู้ใช้แต่ละราย ก่อนจะดึงเงินออกไป หลังขโมยเงินได้แล้ว ผู้ก่อเหตุแปลง Stablecoin เป็น Solana (SOL) แล้วบริดจ์ข้ามไปยัง Ethereum ก่อนจะฟอกเงินต่อผ่านบริการมิกเซอร์ Tornado Cash ทั้งนี้ Coin Bureau เคยแจ้งเตือนตั้งแต่ช่วงแรกที่เกิดเหตุว่า กระเป๋าเงินของแฮ็กเกอร์ได้รับเงินทุนเริ่มต้นผ่านสะพานเชื่อมข้ามเชน deBridge

 

Avici เสียหายหนักสุด 500,800 ดอลลาร์ กระทบผู้ใช้ 1,685 ราย

Avici แพลตฟอร์ม Neobank แบบ Self-Custody ที่ให้ผู้ใช้ใช้จ่ายคริปโตผ่านบัตรเครดิตที่เชื่อมกับ Visa เปิดเผยว่าได้รับความเสียหายรวม 500,800 ดอลลาร์ กระทบผู้ถือบัตร 1,685 ราย โดยระบุว่าการโจมตีจำกัดอยู่แค่สัญญาอัจฉริยะเฉพาะบน Solana ที่เก็บเงินที่ผู้ใช้เติมเข้าไปในยอดบัตรเท่านั้น ส่วนกระเป๋าเงินที่ผู้ใช้ควบคุมเองบนเครือข่าย Solana และเครือข่ายที่เข้ากันได้กับ Ethereum ยังคงปลอดภัยไม่ได้รับผลกระทบ

 

Avici ประกาศจะชดเชยยอดเงินในบัตรที่ได้รับผลกระทบให้ผู้ใช้ทุกรายเต็มจำนวน พร้อมยื่นเรื่องร้องเรียนอย่างเป็นทางการต่อศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ตของ FBI (IC3) แล้ว แต่ยังไม่เปิดเผยรายละเอียดเรื่องกำหนดเวลาคืนเงินหรือแหล่งเงินทุนที่จะใช้ชดเชย หลังเกิดเหตุ โทเคน AVICI ร่วงลงถึง 49% จากจุดสูงสุดในรอบ 24 ชั่วโมงที่ 0.43 ดอลลาร์ ลงไปแตะจุดต่ำสุดใหม่ที่ 0.217 ดอลลาร์ ก่อนจะทรงตัวกลับขึ้นมาอยู่ที่ราว 0.378 ดอลลาร์

 

Tria เจอด้วย เสียหาย 430,000 ดอลลาร์ กระทบ 636 ราย

Tria อีกหนึ่ง Neobank ที่ใช้โครงสร้างพื้นฐานของ Rain เช่นกัน เปิดเผยว่ามีผู้ใช้ถูกกระทบ 636 ราย ความเสียหายรวมกันเกิน 430,000 ดอลลาร์ บริษัทยืนยันจะชดเชยเต็มจำนวนให้ผู้ใช้ที่ได้รับผลกระทบเช่นกัน ด้านโทเคนของ Tria เองก็ผันผวนหนัก ร่วงลงชั่วคราวกว่า 10% หลังข่าวนี้เผยแพร่ออกไป

 

ทั้งสองบริษัทยังไม่เปิดเผยว่ามีแพลตฟอร์มอื่นที่ใช้ Rain ได้รับผลกระทบด้วยหรือไม่ และตัวเลขความเสียหายรวมทั้งหมดยังไม่ชัดเจน โดยส่วนต่างระหว่างตัวเลข 1.1 ล้านดอลลาร์ที่ติดตามได้จากข้อมูลบนเชน กับยอดความเสียหายที่ Avici เปิดเผยเพียง 500,800 ดอลลาร์ บ่งชี้ว่าอาจมีแพลตฟอร์มอื่นที่เชื่อมกับ Rain ถูกโจมตีด้วยเช่นกัน

 

บทเรียนเรื่อง Custody: เงินในกระเป๋าตัวเองปลอดภัย แต่เงินในยอดบัตรเสี่ยง

เหตุการณ์นี้เกิดขึ้นท่ามกลางการเติบโตอย่างรวดเร็วของการใช้บัตรคริปโต โดยปริมาณธุรกรรมผ่านบัตรคริปโตที่มีการติดตามพุ่งขึ้นกว่า 3 เท่าตัวแตะ 1,040 ล้านดอลลาร์ในเดือนกรกฎาคมที่ผ่านมา และ Stablecoin คิดเป็นสัดส่วนถึง 70% ของธุรกรรมกว่า 10 ล้านรายการ

 

เหตุการณ์นี้ตอกย้ำจุดที่ผู้บริโภคควรเข้าใจให้ชัดเจน คือทรัพย์สินที่เก็บไว้ในกระเป๋าแบบ Self-Custody ของ Avici ยังคงปลอดภัยตลอด แต่เงินที่โอนเข้าไปเป็นยอดใช้จ่ายในบัตรกลับต้องเข้าไปอยู่ในโครงสร้างสัญญาของบุคคลที่สาม ซึ่งเป็นจุดที่มีช่องโหว่เกิดขึ้นจริง ตามข้อตกลงการให้บริการของ Avici ระบุว่า Third National ทำหน้าที่เป็นผู้ออกบัตรอย่างเป็นทางการ ส่วน Rain เป็นผู้ให้บริการโครงสร้างพื้นฐานด้านเทคโนโลยีเบื้องหลัง

 

ความเห็นบรรณาธิการ Bitcoinaddict

เคสนี้เป็นตัวอย่างชัดเจนของความเสี่ยงที่มักถูกมองข้ามในผลิตภัณฑ์บัตรคริปโต เพราะผู้ใช้ส่วนใหญ่มักเข้าใจว่าแค่กระเป๋าเงินหลักของตัวเองปลอดภัยก็เพียงพอแล้ว แต่ในความเป็นจริง เงินที่ถูกโอนเข้าไปพักไว้เพื่อใช้จ่ายผ่านบัตร มักต้องผ่านสัญญาของผู้ให้บริการบุคคลที่สามอย่าง Rain ซึ่งเป็นจุดเสี่ยงแยกต่างหากที่ผู้ใช้ควบคุมไม่ได้เอง สำหรับคนไทยที่กำลังสนใจใช้บัตรคริปโตแบบเชื่อม Visa หรือ Mastercard ควรศึกษาให้ดีว่าเงินที่เติมเข้าไปในยอดบัตรถูกเก็บไว้ในโครงสร้างแบบไหน และผู้ให้บริการเบื้องหลังมีประวัติความปลอดภัยอย่างไรบ้าง ก่อนเติมเงินก้อนใหญ่เข้าไปในระบบ

 

📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
เส้นทางฟอกเงินผ่าน Tornado Cash แบบเดียวกันนี้ เราเคยรายงานไว้ในกรณีแฮ็กอื่นก่อนหน้านี้
👉 แฮ็กเกอร์ Unleash เริ่มฟอก 1,337 ETH ผ่าน Tornado Cash หลังดูดเงินราว $3.9M จากโปรโตคอล

🔗 อ้างอิงต้นฉบับ: CoinDesk, Blockonomi

 

— รายงานโดยทีมข่าว Bitcoinaddict.com