สะพาน DeFi 3 แห่งถูกเจาะใน 24 ชั่วโมง สูญเสียรวม 35.55 ล้านดอลลาร์

AFX Trade — สูญเสีย 24.15 ล้านดอลลาร์ (22 กรกฎาคม)

การโจมตีครั้งใหญ่ที่สุดเกิดขึ้นที่ AFX Trade ซึ่งเป็นแพลตฟอร์มซื้อขายอนุพันธ์แบบกระจายอำนาจ (Decentralized Perpetuals Exchange) ที่ทำงานบนเครือข่าย Arbitrum บริษัทรักษาความปลอดภัย Blockaid ตรวจพบการโจมตีในช่วงประมาณ 21:30 UTC ของวันที่ 22 กรกฎาคม 2026

แฮ็กเกอร์สามารถบุกรุก คีย์เซ็นต์ร้อน (Hot-signing keys) ของ Validator สะพานถึง 5 ใน 7 ตัว ซึ่งหมายความว่า ตรรกะของสัญญาอัจฉริยะ (Smart Contract Logic) ไม่ได้ถูกเลี่ยงผ่าน — การอนุมัติถอนเงินเกิดจากลายเซ็นของ Validator ที่ถูกต้องตามกลไกของระบบ จึงทำให้สัญญาอัจฉริยะทำงานตามที่ออกแบบไว้ทุกประการ แฮ็กเกอร์ถอน USDC ออกจากสะพานข้ามเครือข่ายของ AFX มูลค่าประมาณ 24.15 ล้านดอลลาร์ จากนั้นจึงโยกย้ายสินทรัพย์ไปยัง Ethereum และแลกเปลี่ยนเป็น ETH ประมาณ 12,467.5 เหรียญ โดยรวม ETH ทั้งหมดไว้ในกระเป๋าเดียว

AFX Trade ตอบสนองโดยการระงับการทำงานของสะพานทันที เริ่มการสอบสวนร่วมกับผู้เชี่ยวชาญด้านความปลอดภัยภายนอก และเสนอ ค่าหัว 30% (ประมาณ 7.2 ล้านดอลลาร์) ให้แฮ็กเกอร์ หากส่งคืนเงินอีก 70% ที่เหลือ โปรโตคอลยืนยันว่าโครงสร้างพื้นฐานการซื้อขาย Mainnet และส่วนประกอบอื่น ๆ ไม่ได้รับผลกระทบ Offchain Labs ซึ่งเป็นผู้พัฒนาเครือข่าย Arbitrum ยืนยันว่าสะพานหลักของ Arbitrum (Native Bridge) ไม่ถูกบุกรุก มีเพียงสะพานของบุคคลที่สามที่ดำเนินการโดย AFX เท่านั้นที่ถูกโจมตี

Verus-Ethereum Bridge — สูญเสีย 7.54 ล้านดอลลาร์ (23 กรกฎาคม)

สะพานข้ามเครือข่าย Verus-Ethereum ถูกโจมตีในช่วงประมาณ 03:45 UTC ของวันที่ 23 กรกฎาคม 2026 วิธีการโจมตีคือการปลอมแปลงหลักฐานการยืนยันข้ามเครือข่าย (Forged Cross-chain Proof) โดยแฮ็กเกอร์ใช้ประโยชน์จากเส้นทางนำเข้าข้อมูล (Import Path) ของสะพานเพื่อกระตุ้นการจ่ายเงินบนฝั่ง Ethereum โดยไม่มีการสำรองสินทรัพย์ที่ล็อคไว้บนฝั่ง Verus

ที่น่ากังวลคือ การโจมตีครั้งนี้เป็น การใช้ช่องโหว่และเส้นทางสัญญา (Contract Entry Path) เดียวกันกับการโจมตีมูลค่า 11.58 ล้านดอลลาร์ที่เกิดขึ้นในเดือนพฤษภาคม 2026 ซึ่งเป็นจุดบกพร่องที่ยังไม่ได้รับการแก้ไขอย่างสมบูรณ์ หลังจากการโจมตีในเดือนพฤษภาคม Verus สามารถกู้คืนเงินส่วนใหญ่คืนมาได้ผ่านการเสนอค่าหัว แต่จากนั้นก็นำเงินที่กู้คืนมาได้กลับเข้าสะพานเดิมอีกครั้งในวันที่ 8 กรกฎาคม 2026 — เพียงสองสัปดาห์ก่อนที่จะถูกโจมตีซ้ำ

แฮ็กเกอร์ถอนสินทรัพย์ออกไปประมาณ 7.54 ล้านดอลลาร์ ซึ่งประกอบด้วยสินทรัพย์หลากหลาย เช่น ETH ประมาณ 1,137 เหรียญ, tBTC, USDC, USDT, EURC, MKR และ scrvUSD จากนั้นสินทรัพย์ที่ถูกขโมยถูกแปลงเป็น ETH ประมาณ 3,916.1 เหรียญ และส่งต่อไปยัง Tornado Cash เพื่ออำพรางเส้นทาง บริษัทรักษาความปลอดภัย Blockaid และ PeckShield ร่วมกันสอบสวนเหตุการณ์นี้ ซึ่งถูกวิพากษ์วิจารณ์อย่างหนักถึงความไม่ปลอดภัยของช่องโหว่ที่ยังไม่ถูกแก้ไข

B² Network — สูญเสีย 3.86 ล้านดอลลาร์ (23 กรกฎาคม)

B² Network ซึ่งเป็นโปรเจกต์ Layer 2 ของ Bitcoin บนเครือข่าย BNB Chain สูญเสียเงินประมาณ 3.86 ล้านดอลลาร์ จากการโจมตีที่นักวิเคราะห์ออนเชน Specter ตรวจพบในวันที่ 23 กรกฎาคม (เวลา UTC+8) การโจมตีครั้งนี้แตกต่างจากอีกสองเหตุการณ์ ตรงที่ ไม่ใช่การเจาะระบบสะพานเพื่อถอนสินทรัพย์ แต่เป็นการบุกรุกคีย์ระบบบริหาร (Administrative Key Compromise) โดยแฮ็กเกอร์สามารถเข้าถึงอำนาจการอัปเกรดสัญญา (Contract Upgrade Authority) โดยไม่ได้รับอนุญาต และใช้สิทธิ์นี้ในการถ่ายโอนโทเค็น B2 ออกไป

แฮ็กเกอร์ถอนโทเค็น B2 ไปประมาณ 8.591 ล้านโทเค็น จากนั้นแลกเปลี่ยนเป็น WBNB ประมาณ 5,409 เหรียญ (มูลค่าประมาณ 3.11 ล้านดอลลาร์) แล้วโยกย้ายไปยัง Ethereum และมีรายงานว่าได้ส่งต่อไปยัง Zcash ผ่านทาง NEAR Intents แรงกดดันจากการขาย (Sell Pressure) ทำให้ราคาของ B2 ลดลงอย่างรุนแรง B² Network ตอบสนองโดยการระงับการ Stake โทเค็นทันทีหลังจากตรวจพบการเข้าถึงโดยไม่ได้รับอนุญาต

แฮ็กเกอร์ AFX Trade ใช้ THORChain ฟอกเงิน

ในวันที่ 25 กรกฎาคม 2026 — ประมาณสามวันหลังจากการโจมตีครั้งแรก — แฮ็กเกอร์ของ AFX Trade เริ่มเคลื่อนย้ายเงินที่ถูกขโมยไป แฮ็กเกอร์ใช้ THORChain ซึ่งเป็นโปรโตคอลสภาพคล่องข้ามเครือข่ายแบบกระจายอำนาจ ในการแลกเปลี่ยน ETH เป็น BTC วิธีการนี้จะเลี่ยงกระบวนการ KYC ของศูนย์ซื้อขายแบบรวมศูนย์ (Centralized Exchange) ทำให้ยากต่อการติดตาม

ตามรายงาน ณ วันที่ 25 กรกฎาคม ETH จำนวนประมาณ 655 เหรียญ (จากทั้งหมดประมาณ 12,467.5 ETH) ได้ถูกแปลงเป็น BTC ประมาณ 18.86 เหรียญ นักวิเคราะห์ออนเชน Ash และ EmberCN รายงานว่าแฮ็กเกอร์เริ่มทำการสวอปประมาณหนึ่งชั่วโมงก่อนที่รายงานจะถูกเผยแพร่ ETH ส่วนใหญ่ยังคงอยู่ในกระเป๋าของแฮ็กเกอร์ในขณะนั้น และการแปลงเป็น BTC ผ่าน THORChain ยังคงดำเนินอยู่

ประเด็นสำคัญ

• การโจมตีทั้งสามครั้ง ไม่ได้เกิดจากการเจาะระบบเข้ารหัส แต่เกิดจากการที่ คีย์ส่วนตัวถูกบุกรุก (Compromised Private Keys) หรือ ช่องโหว่ในตรรกะของสัญญาอัจฉริยะที่ยังไม่ได้รับการแก้ไข
• การโจมตี Verus-Ethereum Bridge เป็น การทำซ้ำช่องโหว่ที่เคยถูกใช้ในเดือนพฤษภาคม 2026 ซึ่งเน้นย้ำถึงความเสี่ยงจากการแก้ไขช่องโหว่ที่ไม่สมบูรณ์หลังจากถูกโจมตีครั้งแรก
• แฮ็กเกอร์ทั้งสามรายมีรูปแบบการดำเนินการคล้ายกันคือ รีบแปลงสินทรัพย์ที่ถูกขโมยเป็น ETH หรือ BTC อย่างรวดเร็ว และโยกย้ายเงินผ่าน เครื่องมือที่เน้นความเป็นส่วนตัว (Privacy-focused Tools) เช่น Tornado Cash, THORChain และ NEAR Intents เพื่ออำพรางเส้นทาง
• ความเสียหายรวมประมาณ 35.55 ล้านดอลลาร์ในครั้งนี้ ผลักดันให้มูลค่าความเสียหายจากสะพานในเดือนกรกฎาคม 2026 แตะเกือบ 100 ล้านดอลลาร์ ซึ่งมากกว่ายอดรวมของเดือนมิถุนายน