โปรโตคอล Balancer ซึ่งเป็นทั้ง Decentralized Exchange (DEX) และ Automated Market Maker (AMM) รายใหญ่ของโลก DeFi กำลังตกอยู่ภายใต้แรงกดดัน หลังถูกแฮ็กครั้งใหญ่ สูญสินทรัพย์ดิจิทัลมูลค่ามากกว่า $100 ล้านดอลลาร์สหรัฐ ทั้งที่ก่อนหน้านี้ผ่านการตรวจสอบความปลอดภัย (Audit) จากบริษัทชั้นนำหลายแห่ง

แฮ็กครั้งนี้เกิดขึ้นใน Balancer V2 Stable Pools

ทีมงาน Balancer ยืนยันผ่านโพสต์บน X เมื่อวันจันทร์ว่า

“เหตุการณ์นี้จำกัดอยู่เฉพาะใน V2 Composable Stable Pools เท่านั้น และ ไม่กระทบกับ Balancer V3 หรือพูลอื่นๆ”

พร้อมระบุว่าโปรโตคอลได้ผ่านการ ตรวจสอบความปลอดภัยจากหลายบริษัทชั้นนำ และมี Bug Bounty สำหรับนักพัฒนาอิสระมาอย่างต่อเนื่อง ซึ่งยิ่งทำให้เกิดคำถามว่า “ทำไมถึงยังถูกเจาะได้”

ผ่าน Audit มากกว่า 10 ครั้ง แต่ยังถูกแฮ็ก

Suhail Kakar หัวหน้าฝ่าย Developer Relations ของบล็อกเชน TAC กล่าวบน X ว่า

“Balancer ผ่านการ Audit มากกว่า 10 ครั้ง และ Vault ของมันยังถูกตรวจแยกต่างหากโดย 3 บริษัท แต่สุดท้ายก็ยังโดนเจาะกว่า $110 ล้าน... ถึงเวลาแล้วที่วงการต้องยอมรับว่า คำว่า ‘Audited by X’ ไม่ได้แปลว่าปลอดภัย”

ข้อมูลจาก GitHub ของ Balancer ระบุว่า มีบริษัทตรวจสอบอย่างน้อย 4 แห่ง ที่เคยเข้ามาตรวจโค้ดของ Balancer ได้แก่

• OpenZeppelin

• Trail of Bits

• Certora

• ABDK

รวมทั้งหมดกว่า 11 Audit Report โดยรายงานล่าสุดจาก Trail of Bits ตรวจสอบพูล Stable Pool เมื่อเดือนกันยายน 2022

ผู้เชี่ยวชาญคาดช่องโหว่เกิดจาก “Faulty Access Check”

รายงานจาก Nansen ชี้ว่า สาเหตุของการโจมตีครั้งนี้อาจมาจาก ช่องโหว่ในการตรวจสอบสิทธิ์ (access check) ที่อนุญาตให้ผู้โจมตีส่งคำสั่งถอนเงินโดยไม่ได้รับอนุญาต

การโจมตีดังกล่าวทำให้สินทรัพย์ที่ถูกดูดออกจาก Balancer รวมมูลค่ากว่า $116 ล้านดอลลาร์
ได้แก่

• StakeWise Staked ETH (osETH)

• Wrapped Ether (WETH)

• Lido Wrapped Staked ETH (wstETH)

สินทรัพย์ทั้งหมดถูกย้ายไปยังกระเป๋าใหม่ที่เพิ่งสร้างขึ้นไม่กี่ชั่วโมงก่อนการโจมตี

Balancer เสนอค่าตอบแทน White Hat 20% หากคืนเงิน

ในธุรกรรมบนบล็อกเชน ทีมงาน Balancer ได้ส่งข้อความถึงผู้โจมตีโดยตรง เสนอ White Hat Bounty 20% ของเงินทั้งหมด หากแฮ็กเกอร์ยอมคืนสินทรัพย์ภายใน 48 ชั่วโมง

ข้อความระบุว่า

“หากคุณไม่ร่วมมือ เราได้ติดต่อผู้เชี่ยวชาญด้าน Forensics และหน่วยงานบังคับใช้กฎหมายหลายแห่งแล้ว”

จนถึงขณะเผยแพร่ข่าวนี้ Balancer ยังไม่มีความคืบหน้าเพิ่มเติมเกี่ยวกับการเจรจาหรือการได้สินทรัพย์คืน

Audit ยังสำคัญ แต่ไม่ใช่คำตอบสุดท้ายของความปลอดภัย

เหตุการณ์นี้สะท้อนให้เห็นถึง ปัญหาความปลอดภัยเชิงระบบในโลก DeFi ที่แม้จะผ่านการตรวจสอบหลายรอบ แต่ยังคงมีจุดบอดในเชิงตรรกะของสมาร์ตคอนแทรกต์

นักพัฒนาและผู้เชี่ยวชาญหลายรายจึงเรียกร้องให้วงการ DeFi ต้องมอง “Audit เป็นเพียงจุดเริ่มต้น ไม่ใช่จุดจบของความปลอดภัย”

อ้างอิง : cointelegraph.com

ภาพ cryptoslate.com