ทำไมราคาอ้างอิงที่ค้างเก่าจึงเปิดทางให้แฮกเกอร์ดูด 293.7 ล้าน SUPRA จาก Solido Money

กลไกการโจมตีทำงานอย่างไร

ในโปรโตคอลกู้ยืม Oracle มีหน้าที่คล้าย “ป้ายราคากลาง” ให้สัญญาอัจฉริยะใช้ตัดสินว่าหลักประกันมีมูลค่าเท่าใด หากป้ายราคานี้ค้างเก่าหรือชี้ไปยังฟีดผิด ระบบก็อาจอนุมัติวงเงินกู้ที่สูงเกินจริงได้

กรณีของ Solido Money มีลำดับเหตุการณ์สำคัญดังนี้

• ผู้โจมตีใช้ประโยชน์จากฟีดราคา SOLID ที่ล้าสมัยหรือกำหนดผิด ทำให้ SOLID ถูกตีมูลค่าสูงกว่าความเป็นจริง
• จากนั้นจึงนำ SOLID ที่ถูกประเมินราคาเกินจริงไปวางเป็นหลักประกัน
• ระบบเปิดทางให้ผู้โจมตีสร้าง CASH ซึ่งเป็นสเตเบิลคอยน์ของ Solido แล้วเปลี่ยนผลลัพธ์ดังกล่าวเป็น SUPRA
• การโจมตีเกิดขึ้น 2 ระลอก โดยทั้งสองระลอกใช้ช่องโหว่ด้านการประเมินราคาเดียวกัน

ระลอกแรก เกิดขึ้นเวลา 18:21:35 น. UTC ในธุรกรรมเดียวที่เชื่อมหลายขั้นตอนไว้ด้วยกัน ได้แก่ การสลับโทเคน การฝากเป็นหลักประกัน และการสร้าง CASH ธุรกรรมนี้สร้างผลตอบแทนเป็น 266,778,767 SUPRA ต่อมาผู้โจมตีทำรูปแบบเดิมซ้ำอีกครั้ง ทำให้ยอดรวมเพิ่มเป็นประมาณ 293.7 ล้าน SUPRA

บริษัทด้านความปลอดภัยบล็อกเชน PeckShield ยืนยันการโจมตีและประเมินมูลค่าความเสียหายไว้ใกล้เคียงกัน

เงินที่หายไปเป็นของใคร

รายละเอียดที่ช่วยจำกัดขอบเขตผลกระทบคือ เงินประมาณ 90% ของยอดที่ถูกขโมยเป็นทรัพย์สินของ Solido Foundation ไม่ใช่เงินของผู้ให้กู้หรือผู้กู้รายย่อย ดังนั้นความเสียหายโดยตรงส่วนใหญ่จึงตกอยู่กับทุนสำรองหรือกองทุนของโครงการเอง ขณะที่การสอบสวนยังต้องติดตามผลกระทบต่อสภาพคล่องและผู้มีส่วนเกี่ยวข้องอื่น ๆ ต่อไป

ติดตามเส้นทางเงินบนบล็อกเชน

Solido Money เผยแพร่รายงานนิติวิทยาศาสตร์ที่วิเคราะห์เส้นทางธุรกรรมบนเชน โดยพบว่า

• SUPRA ประมาณ 220 ล้านเหรียญ หรือราว 84% ของยอดที่ถูกขโมย ถูกโอนไปยังแอดเดรสที่สงสัยว่าเป็นช่องฝากของ Gate.io
• บางรายงานปัดตัวเลขดังกล่าวเป็น “เกือบ 90%” เมื่อเทียบกับยอดรวม 293.7 ล้าน SUPRA แต่ตัวเลข 84% เป็นสัดส่วนที่ปรากฏในรายงานของโปรโตคอลและรายงานข่าวหลายแห่ง
• นักสืบสวนเชื่อว่าโทเคนดังกล่าวอาจถูกนำไปฝากไว้ที่ Gate.io เพื่อเตรียมขายชำระบัญชีหรือโอนข้ามเครือข่าย อย่างไรก็ตาม การระบุแอดเดรสว่าเกี่ยวข้องกับแพลตฟอร์มใดไม่ได้หมายความว่าแพลตฟอร์มนั้นมีส่วนร่วมกับการโจมตี
• Solido ขอความช่วยเหลือจากศูนย์ซื้อขายสินทรัพย์ดิจิทัลเพื่อระงับและติดตามเงินที่เกี่ยวข้อง

ไม่ใช่เหตุการณ์เดี่ยว: Bonzo Lend ถูกโจมตีก่อน 12 วัน

เหตุการณ์ของ Solido เกิดขึ้นเพียง 12 วัน หลังจาก Bonzo Lend โปรโตคอลกู้ยืมบนเครือข่าย Hedera สูญเสียเงินประมาณ 9.05 ล้านดอลลาร์ จากการโจมตี Oracle เมื่อวันที่ 11 กรกฎาคม 2026

ในกรณีของ Bonzo ผู้โจมตีฝาก 250 SAUCE ซึ่งตามราคาปกติมีมูลค่าเพียงไม่กี่ดอลลาร์ จากนั้นส่งข้อมูลราคา SAUCE/wHBAR ที่ปลอมแปลงจนทำให้มูลค่าโทเคนพุ่งขึ้นราว 12 ลำดับขนาด ช่องโหว่อยู่ที่ตัวตรวจสอบข้อมูลแบบออนไลน์ของ Supra ซึ่งยอมรับข้อมูลราคาที่มีลายเซ็น BLS และคีย์สาธารณะเป็นศูนย์ราวกับเป็นข้อมูลที่ถูกต้อง

ภายในเวลาเพียง 8 วินาที ผู้โจมตีกู้ 6.63 ล้าน USDC และ 34.5 ล้าน wHBAR ออกไปจากพูลสภาพคล่อง

ทั้ง Solido Money และ Bonzo Lend ใช้ Supra เป็นผู้ให้บริการ Oracle แต่ลักษณะความผิดพลาดแตกต่างกัน

• Bonzo Lend: เป็นความล้มเหลวด้านการตรวจสอบลายเซ็นดิจิทัล หรือช่องโหว่ที่ทำให้ลายเซ็นศูนย์ผ่านการตรวจสอบได้
• Solido Money: เป็นการกำหนดฟีดราคาของหลักประกัน SOLID ผิด หรือปล่อยให้ข้อมูลราคาที่ไม่เป็นปัจจุบันถูกนำไปใช้

แม้เป็นช่องโหว่คนละประเภท แต่ทั้งสองเหตุการณ์สะท้อนความเสี่ยงในชั้นโครงสร้างพื้นฐานเดียวกัน นั่นคือวิธีที่ข้อมูลราคาจาก Oracle ถูกส่งต่อ ตรวจสอบ และนำไปใช้ในโปรโตคอล DeFi การเกิดเหตุการณ์ห่างกันไม่ถึงสองสัปดาห์จึงทำให้ระบบนิเวศ Oracle ของ Supra ถูกจับตาเข้มข้นขึ้น

บทเรียนสำคัญสำหรับโปรโตคอล DeFi

1. การตั้งค่า Oracle ผิดอันตรายไม่แพ้การตรวจสอบลายเซ็นที่ล้มเหลว ข้อมูลเก่าหรือฟีดที่แมปผิดสามารถเปิดทางให้กู้เงินเกินหลักประกันได้เช่นเดียวกับลายเซ็นปลอม
2. คลังของโครงการก็เป็นจุดเสี่ยงสำคัญ การที่เงินราว 90% เป็นของ Foundation แสดงให้เห็นว่าความปลอดภัยของทุนสำรองเชื่อมโยงโดยตรงกับความเสี่ยงของโปรโตคอล
3. การพึ่งพา Oracle รายเดียวสร้างความเสี่ยงเชิงระบบ เมื่อหลายโปรโตคอลใช้ผู้ให้บริการเดียวกัน ความผิดพลาดในโครงสร้างพื้นฐานอาจส่งผลต่อหลายตลาดพร้อมกัน
4. ธุรกรรมบนบล็อกเชนช่วยให้ติดตามเงินได้ รายงานของ Solido สามารถชี้เส้นทางประมาณ 84% ของเงินที่ถูกขโมยไปยังแอดเดรสของศูนย์ซื้อขายที่สงสัยว่าเกี่ยวข้อง ทำให้ผู้สืบสวนมีเบาะแสที่ชัดเจนขึ้น
5. การป้องกันต้องครอบคลุมทั้งสายข้อมูล มาตรการที่นักวิเคราะห์เสนอ ได้แก่ การตรวจสอบเวลาอัปเดตอย่างเข้มงวด การจัดการทศนิยมของฟีดราคาให้เป็นมาตรฐาน และการรวมข้อมูลจากหลายแหล่ง

บทเรียนจาก Solido Money ค่อนข้างตรงไปตรงมา: หากราคาที่สัญญาอัจฉริยะเชื่อถือไม่ตรงกับตลาดจริง ไม่ว่าจะเพราะข้อมูลค้างเก่าหรือการตรวจสอบลายเซ็นผิดพลาด ความเสียหายสามารถลุกลามจากหลักประกันเพียงรายการเดียวไปสู่ทั้งระบบนิเวศ DeFi ได้