Cozy Finance ถูกเจาะซ้ำบน Optimism: ช่องโหว่ Oracle ปล่อยเงินชดเชยปลอม สูญเกือบทั้งระบบฝั่งเครือข่าย

Cozy Finance ซึ่งเป็นโปรโตคอล DeFi สำหรับสร้างตลาดคุ้มครองความเสี่ยง ถูกโจมตีบนเครือข่าย Optimism เป็นครั้งที่สองในรอบราว 1 ปี เมื่อวันที่ 7 กันยายน 2026 ผู้โจมตีใช้คำตัดสินอันเป็นเท็จที่ไม่มีผู้คัดค้านใน UMA Optimistic Oracle เพื่อทำให้ตลาดคุ้มครองของ Cozy จ่ายเงินชดเชย ส่งผลให้สินทรัพย์ถูกถอนออกราว 160,000–170,000 ดอลลาร์สหรัฐ ซึ่งดูเหมือนจะเกือบทั้งหมดของมูลค่าที่ Cozy มีอยู่บน Optimism ในขณะนั้น 67

การโจมตีเกิดขึ้นอย่างไร

ธุรกรรมโจมตีหลักเกิดขึ้นเวลา 05:43 น. UTC ของวันที่ 7 กันยายน มีการโอนออกไปราว 163,326 USDC.e ผ่านการโอนโทเคน 63 รายการ และมีการเผา Cozy PToken (CPT) ประมาณ 1.6 ล้านโทเคน 7

ลำดับการโจมตีมีสาระสำคัญดังนี้

1. ผู้โจมตีเข้าซื้อ PToken ในตลาดคุ้มครองที่อ้างอิง Aave v2 และ Curve
2. จากนั้นเสนอคำตอบ “YES” ต่อ UMA Optimistic Oracle เพื่อระบุว่าเหตุการณ์ที่อยู่ภายใต้ความคุ้มครองเกิดขึ้นแล้ว
3. คำตอบดังกล่าวไม่มีใครยื่นโต้แย้งในช่วงเวลาที่กำหนด จึงผ่านกระบวนการของ Oracle
4. กลไก trigger ของ Cozy ไม่ได้ตรวจสอบแยกต่างหากว่า Aave หรือ Curve เกิดเหตุล้มเหลวตามที่อ้างจริงหรือไม่ อีกทั้งสิทธิรับเงินไม่ได้ผูกกับภาพรวมผู้ถือ PToken ก่อนมีการเสนอคำตอบ
5. เมื่อตลาดถูกตั้งสถานะเป็น triggered ผู้โจมตีก็เผา PToken และรับ USDC ออกไป 6

ตัวเลขความเสียหายจึงมีรายงานต่างกันเล็กน้อย: ฝั่งการประเมินเหตุการณ์ด้านความปลอดภัยระบุราว 160,000 ดอลลาร์ ขณะที่ข้อมูลธุรกรรมระบุประมาณ 170,000 ดอลลาร์ หรือ 163,326 USDC.e แต่ทั้งสองชุดข้อมูลกล่าวถึงเหตุการณ์เดียวกัน 67

เตรียมการล่วงหน้า และย้ายเงินออกภายใน 13 นาที

สัญญาที่ใช้โจมตีถูกนำขึ้นใช้งานตั้งแต่วันที่ 2 กันยายน หรือ 5 วันก่อนเกิดเหตุ ขณะที่กระเป๋าของผู้โจมตีได้รับเงินตั้งต้นจาก Relay solver 7

หลังดูดเงินออก ผู้โจมตีอนุมัติโทเคนและบริดจ์สินทรัพย์ออกไปเมื่อเวลา 05:56 น. UTC เพียง 13 นาทีหลังธุรกรรมหลัก และเกิดขึ้นก่อนการแจ้งเตือนต่อสาธารณะของ Blockaid รายงานระบุว่า ณ จุดนั้นยังไม่พบความเคลื่อนไหวถัดไปจากกระเป๋าดังกล่าว 7

ความเร็วนี้สะท้อนปัญหาสำคัญของการรับมือเหตุโจรกรรมบน DeFi: แม้ธุรกรรมบนเชนจะตรวจสอบย้อนหลังได้ แต่การย้ายสินทรัพย์ข้ามเครือข่ายสามารถทำได้รวดเร็ว จนโปรโตคอลมีเวลาน้อยมากในการหยุดหรือจำกัดความเสียหาย โดยสถาปัตยกรรมบริดจ์ของ Optimism ใช้ OptimismPortal เป็นจุดเชื่อมระดับล่างสำหรับการฝากและถอน ส่วน token bridge ทำงานอยู่บนชั้นการส่งข้อความข้ามโดเมน 2

ต่างจากเหตุเดือนสิงหาคม 2025 แต่ตอกย้ำความเสี่ยงเดิม

Cozy เคยสูญเงินบน Optimism ไปแล้วราว 427,000 ดอลลาร์ ในเดือนสิงหาคม 2025 จากช่องโหว่ในโค้ดการถอนที่ไม่ได้ยืนยันตัวตนของฝ่ายที่มาดำเนินการไถ่ถอนอย่างเพียงพอ 7

เหตุปี 2025 และ 2026 ไม่ใช่ช่องโหว่แบบเดียวกัน:

• ปี 2025: ความล้มเหลวด้านการอนุญาตสิทธิในการถอนหรือไถ่ถอน
• ปี 2026: ความล้มเหลวในการออกแบบการยืนยันเหตุเคลม การ trigger และการจ่ายเงินที่เชื่อมกับ Oracle

แต่ข้อเท็จจริงที่ทั้งสองเกิดกับโปรโตคอลเดียวกันชี้ว่า การแก้บั๊กในสัญญาตัวหนึ่งไม่ได้หมายความว่าความเสี่ยงหายไปจากตรรกะโดยรอบ เช่น การชำระบัญชี Oracle และการไถ่ถอน 67

ความเสียหายไม่ใหญ่เมื่อเทียบกับตลาด แต่หนักต่อ Cozy บน Optimism

ขณะเกิดเหตุ Cozy มีมูลค่าที่ล็อกไว้ทั้งหมด หรือ TVL (Total Value Locked) ราว 1.3 ล้านดอลลาร์ และมีอยู่บน Optimism ราว 172,000 ดอลลาร์ ดังนั้นการถูกดูดเงินในเดือนกันยายนจึงน่าจะกวาดมูลค่าเกือบทั้งหมดของการใช้งานฝั่ง Optimism ไป 7

ประเด็นนี้สำคัญเป็นพิเศษ เพราะ Cozy ทำตลาดคุ้มครองสำหรับผู้ที่ต้องการป้องกันความเสี่ยงจากความล้มเหลวของโปรโตคอล DeFi อื่น ๆ ความน่าเชื่อถือของการตัดสินว่า “เหตุคุ้มครองเกิดขึ้นจริงหรือไม่” และการจ่ายค่าสินไหมจึงเป็นแกนกลางของผลิตภัณฑ์ ไม่ใช่เพียงส่วนประกอบรอง 7

บทเรียนสำหรับ DeFi: Oracle ไม่ใช่ชั้นความปลอดภัยที่ใช้แทนการตรวจสอบได้

เหตุการณ์นี้ไม่ได้แปลว่า UMA Oracle เป็นผู้ตัดสินความจริงเพียงฝ่ายเดียว แต่สะท้อนความเสี่ยงจาก การออกแบบระบบที่นำ Oracle แบบ optimistic ซึ่งอาศัยการคัดค้าน มาใช้สั่งจ่ายเงินอัตโนมัติที่มีมูลค่าสูง หากคำตอบเท็จผ่านไปได้โดยไม่มีผู้โต้แย้ง และโปรโตคอลที่เชื่อมต่อไม่มีการตรวจสอบเพิ่มเติม ไม่มีแรงจูงใจที่เหมาะสมให้ผู้คัดค้าน หรือไม่มีมาตรการคุ้มกันการจ่ายเงิน ความเสี่ยงก็เกิดจากระบบที่ประกอบเข้าด้วยกันทั้งหมด 6

บทเรียนหลักมีอย่างน้อย 4 ข้อ:

• ความเสี่ยงของ Oracle คือความเสี่ยงของแอปพลิเคชัน — การใช้กลไก dispute ไม่ควรถูกตีความว่าเป็นการยืนยันเหตุการณ์จริงโดยอัตโนมัติสำหรับการจ่ายเงินมูลค่าสูง
• Composability เพิ่มพื้นที่โจมตี — เหตุนี้เชื่อมตลาด PToken, การตัดสินเหตุการณ์ผ่าน UMA, trigger ของ Cozy, กติกาไถ่ถอน และเส้นทางออกผ่านบริดจ์ แต่ละส่วนอาจดูสมเหตุผลเมื่อแยกกัน ทว่าเมื่อประกอบกันกลับสร้างเส้นทางให้ถอนมูลค่าออกได้ 67
• TVL น้อยไม่ใช่เกราะป้องกัน — แม้ตัวเลขความเสียหายจะไม่เท่าการแฮ็กคริปโตรายใหญ่ แต่สำหรับผู้ให้สภาพคล่องและความเชื่อมั่นต่อโปรโตคอลคุ้มครอง ความเสียหายที่กินเกือบทั้ง deployment ย่อมมีนัยสำคัญมาก 7
• การตามรอยไม่เท่ากับการกู้คืน — การบริดจ์ออกอย่างรวดเร็ว รวมถึงความเป็นไปได้ที่จะมีการสวอปหรือใช้เครื่องมือเพิ่มความเป็นส่วนตัวในภายหลัง ทำให้การอายัดหรือคืนเงินต้องอาศัยความร่วมมือของโปรโตคอล ผู้ให้บริการบริดจ์ กระดานซื้อขาย บริษัทวิเคราะห์บล็อกเชน และหน่วยงานบังคับใช้กฎหมาย 27

ในสัปดาห์เดียวกัน ภาค DeFi ยังเผชิญเหตุโจมตีต่อเนื่อง โดยมีรายงานว่า Notional Finance สูญเงินราว 1.73 ล้านดอลลาร์ จากช่องโหว่ที่เกี่ยวข้องกับ integer overflow ขณะที่มีเหตุอื่น ๆ เช่น Full Sail สูญราว 91,000 ดอลลาร์ และกรณีการถอน Bitcoin จาก Liquid Network ราว 320 ล้านดอลลาร์ซึ่งมีข้อพิพาทว่าเป็นการโจมตีหรือการดำเนินการแบบ white hat 7

สำหรับผลิตภัณฑ์ DeFi ที่ขายแนวคิด “ประกัน” หรือ “การคุ้มครอง” บทเรียนจาก Cozy คือ ต้องป้องกันตลอดวงจรของการเคลม ไม่ใช่เฉพาะสมาร์ตคอนแทรกต์จุดใดจุดหนึ่ง: ตรวจสอบเหตุการณ์ให้แท้จริง เฝ้าระวังการโต้แย้งของ Oracle กำหนด snapshot ผู้ถือสิทธิ อนุญาตการไถ่ถอนอย่างรัดกุม มี circuit breaker และซ้อมแผนรับมือสำหรับกรณีสินทรัพย์ถูกย้ายข้ามเชนอย่างรวดเร็ว