Full Sail ปิดตัวถาวรบน Sui หลังแฮกเกอร์เจาะ Oracle Switchboard ดูดเงิน 91,000 ดอลลาร์

Full Sail โปรโตคอล DeFi (การเงินแบบกระจายศูนย์บน Blockchain ไม่มีตัวกลาง) บนเครือข่าย Sui ประกาศปิดตัวถาวรเมื่อวันอังคารที่ผ่านมา ผ่านทาง X หลังเกิดเหตุแฮกเกอร์เจาะช่องโหว่ระบบ Oracle (ระบบที่ทำหน้าที่ป้อนข้อมูลราคาจากภายนอกเข้าสู่ Blockchain) ของ Switchboard จนสามารถดูดเงินออกจาก Vault อัตโนมัติของ Full Sail ไปได้ราว 91,000 ดอลลาร์

กลไกการโจมตี: ปลอมราคาผ่าน Oracle ที่ถูกแฮก

ตามรายละเอียดที่เปิดเผย แฮกเกอร์แทรกกุญแจลงนาม (Signing Key กุญแจดิจิทัลที่ใช้ยืนยันความถูกต้องของข้อมูล) ที่ไม่ได้รับอนุญาตเข้าไปใน Oracle Feed ที่กำลังทำงานอยู่ จากนั้นบิดเบือนราคาที่รายงานให้ต่ำกว่าราคาตลาดจริงราว 100 เท่า แล้วนำเงินเข้าไปฝากใน Vault ที่อัตราแลกเปลี่ยนบิดเบือนนี้ ก่อนจะปรับราคากลับสู่ปกติ แล้วถอนเงินออกมาในจำนวนที่มากกว่าที่ฝากเข้าไปตั้งแต่แรกมาก เหตุการณ์นี้เกิดขึ้นเมื่อวันที่ 29 สิงหาคมที่ผ่านมา ส่งผลให้ Switchboard ต้องหยุดการทำงานของเครือข่าย Oracle ทั้งหมดบน Sui, Aptos, IOTA และ Movement ทันที

ความเสียหายที่ Full Sail และ Virtue Protocol

นอกจาก Full Sail ที่สูญเสียเงินราว 91,000 ดอลลาร์จาก 3 Vault แล้ว โปรโตคอล Virtue (ผู้ออกเหรียญ Stablecoin ชื่อ VUSD บนเครือข่าย IOTA) ก็ได้รับผลกระทบหนักกว่ามาก โดยแฮกเกอร์ใช้วิธีบิดเบือนราคาทั้งสองทิศทางเพื่อกระตุ้นให้เกิดการ Liquidation (การบังคับปิดสถานะเมื่อหลักประกันไม่เพียงพอ) โดยไม่ได้รับอนุญาต ส่งผลให้ผู้ใช้ 45 รายถูก Liquidate รวมมูลค่าหนี้ที่ถูกล้างออกไปราว 455,103 ดอลลาร์ และทำให้สินทรัพย์ค้ำประกันที่หนุนหลังเหรียญ VUSD เสียหายไปด้วย

ไทม์ไลน์เหตุการณ์

วันเสาร์ที่ผ่านมา Full Sail เปิดเผยเหตุการณ์นี้เป็นครั้งแรก พร้อมระงับการฝาก-ถอนเงินทันทีเพื่อความปลอดภัย ในวันเดียวกัน Switchboard ก็ออกแถลงการณ์ยอมรับว่าโครงสร้างพื้นฐานของตนอาจถูกบุกรุก ก่อนที่ในวันอังคารถัดมา Full Sail จะประกาศตัดสินใจปิดตัวโปรโตคอลอย่างถาวร ปิดรับเงินฝากใหม่และการเคลม Reward ของผู้ให้สภาพคล่องทันที ส่วน Pool ปกติจะเปลี่ยนเป็นโหมดถอนเงินได้อย่างเดียวหลังผ่านการตรวจสอบความปลอดภัยรอบสุดท้าย

แผนคืนเงินผู้ใช้ และ Mysten Labs ปฏิเสธให้ความช่วยเหลือ

Full Sail ระบุว่าจะนำสภาพคล่องที่โปรโตคอลถือครองอยู่มาใช้ชดเชยผู้ใช้ก่อน ส่วนที่ขาดเหลือทีมงานจะรับผิดชอบเองเพื่อให้ผู้ฝากเงินในชุมชนได้รับเงินคืนเป็นลำดับแรก โดยคาดว่าจะมีคำแนะนำขั้นตอนการถอนเงินและเคลมสิทธิ์ออกมาภายในไม่กี่วัน ที่น่าสนใจคือทีม Full Sail เคยติดต่อขอความช่วยเหลือทางการเงินจาก Mysten Labs องค์กรผู้พัฒนาเครือข่าย Sui แต่คำขอดังกล่าวถูกปฏิเสธ ด้าน Switchboard เองก็ยังไม่ได้ให้รายละเอียดทางเทคนิคเพิ่มเติมหรือให้คำมั่นเรื่องการชดเชยความเสียหายแต่อย่างใด นับถึงวันที่ 1 กันยายนที่ผ่านมา

📎 อ่านเพิ่มเติม: Cointelegraph, Coingabbar, Coin-Turk

💬 ความเห็นบรรณาธิการ Bitcoinaddict: เหตุการณ์นี้ตอกย้ำความเสี่ยงที่มักถูกมองข้ามในวงการ DeFi นั่นคือความเสี่ยงจากบุคคลที่สาม (Third-Party Risk) แม้โปรโตคอลตัวเองจะเขียนโค้ดปลอดภัยแค่ไหน แต่ถ้าระบบ Oracle ที่ใช้ป้อนข้อมูลราคาถูกเจาะ ความเสียหายก็เกิดขึ้นได้เหมือนกัน ที่น่ากังวลกว่านั้นคือ Mysten Labs ปฏิเสธให้ความช่วยเหลือทีม Full Sail ทั้งที่เป็นโปรโตคอลบนเครือข่ายของตัวเอง สะท้อนว่าความเสี่ยงจากช่องโหว่ของบุคคลที่สามยังคงเป็นภาระที่แต่ละโปรโตคอลต้องรับผิดชอบเอง ไม่มีเครือข่ายไหนรับประกันความปลอดภัยให้แอปพลิเคชันที่สร้างอยู่บนตัวเองทั้งหมด นักลงทุนที่ใช้งาน DeFi จึงควรตรวจสอบว่าโปรโตคอลที่ใช้พึ่งพา Oracle จากผู้ให้บริการรายใดบ้าง ไม่ใช่ดูแค่ความปลอดภัยของตัวโปรโตคอลเพียงอย่างเดียว

— รายงานโดยทีมข่าว Bitcoinaddict.com