Gravity Bridge ถูกดูดเงิน 5.4 ล้านดอลลาร์ จากเหตุสงสัยคีย์ลงนามรั่วไหล ไม่ใช่บั๊ก Smart Contract

รายละเอียดของสินทรัพย์ที่ถูกขโมยแสดงให้เห็นภาพที่ชัดเจน:

• USDC ประมาณ 4.3 ล้านดอลลาร์
• 274 ETH (ประมาณ 553,000 ดอลลาร์)
• USDT มูลค่า 434,000 ดอลลาร์
• โทเคน PAYG มูลค่าประมาณ 64,000 ดอลลาร์

จนถึงขณะนี้ เจ้าหน้าที่ของ Gravity Bridge ยังไม่ได้ออกมาตอบสนองต่อเหตุการณ์อย่างเป็นทางการ

ร่องรอยการฟอกเงิน: ChangeNOW, Binance และเงินก้อนใหญ่ที่ยังไม่ขยับ

แทนที่จะรีบแปลงเงินทั้งหมดเป็นเงินสดทันที แฮกเกอร์ใช้วิธีการแบบเป็นขั้นตอน PeckShield ติดตามพบว่าเงินที่ถูกขโมยส่วนหนึ่งถูกย้ายผ่าน ChangeNOW ซึ่งเป็นบริการสลับสินทรัพย์แบบไม่เก็บรักษาทรัพย์สินของผู้ใช้ (non-custodial swap) และ Binance ซึ่งเป็นกระดานเทรดคริปโตแบบรวมศูนย์ที่ใหญ่ที่สุดในโลก

อย่างไรก็ตาม รายละเอียดที่น่าสนใจที่สุดสำหรับนักสืบบนเชนคือสิ่งที่แฮกเกอร์ ไม่ได้ เคลื่อนย้าย จากการอัปเดตล่าสุด กระเป๋าเงินของแฮกเกอร์ยังคงถือ 2,102 ETH มูลค่าประมาณ 4.23 ล้านดอลลาร์ นั่นบ่งชี้ว่าผู้โจมตีได้แปลงเหรียญ Stablecoin และโทเคนที่ขโมยมาเป็น ETH แต่หยุดไว้ก่อนที่จะถอนออกจนหมด ซึ่งอาจเป็นเพราะกังวลว่าจะถูกอายัดโดยกระดานเทรดอื่นๆ เพิ่มเติม หรือดึงดูดความสนใจจากหน่วยงานบังคับใช้กฎหมายมากเกินไป

ยอดคงเหลือที่แฮกเกอร์ยังถืออยู่เปรียบเสมือนรอยเท้าดิจิทัลที่ยังมีชีวิต นักวิจัยด้านความปลอดภัยและบริษัทวิเคราะห์บล็อกเชนยังคงเฝ้าติดตามกระเป๋าเงินนี้ และการเคลื่อนไหวใดๆ ในอนาคตมีแนวโน้มที่จะเรียกใช้การแจ้งเตือนบนแพลตฟอร์มการปฏิบัติตามกฎระเบียบหลักๆ

Gravity Bridge คืออะไร และทำไมมันถึงสำคัญ

Gravity Bridge คือบล็อกเชนแบบกระจายศูนย์และไม่ต้องพึ่งพาความไว้วางใจ (trustless) ที่ถูกสร้างขึ้นมาเพื่อเชื่อมต่อระบบนิเวศของ Ethereum และ Cosmos ผ่าน โปรโตคอล IBC (Inter-Blockchain Communication) มันทำให้ผู้ใช้สามารถโอนสินทรัพย์ ERC-20 อย่าง USDC, DAI และ WETH เข้าสู่จักรวาลของ Cosmos และในทางกลับกัน โดยไม่ต้องพึ่งพาตัวกลางรับฝากทรัพย์สิน

ภายในกลางปี 2026 Gravity Bridge ได้สะสมปริมาณการโอนข้ามเชนสะสมไปแล้วกว่า 50,000 ล้านดอลลาร์ และดำเนินการด้วยชุดผู้ตรวจสอบความถูกต้อง (validator set) มากกว่า 100 รายเพื่อความสมบูรณ์ของการชำระธุรกรรม สะพานนี้ถูกออกแบบให้มีความเป็นกลางและไร้การขออนุญาต โดยมีการกระจายอำนาจการปกครองไปยังผู้มีส่วนได้เสียหลายฝ่าย ก่อนการโจมตีในวันที่ 30 พฤษภาคม มูลค่ารวมที่ถูกล็อกไว้ (TVL) อยู่ที่ประมาณ 11.5 ล้านดอลลาร์ จากการติดตามบนเชนที่ถูกอ้างถึงในการรายงานข่าว

การละเมิดครั้งนี้ได้เปิดโปงความตึงเครียดพื้นฐานในการออกแบบสะพานข้ามเชน สถาปัตยกรรมของ Gravity Bridge มีความเป็นกระจายศูนย์ในระดับการปกครองและผู้ตรวจสอบความถูกต้อง แต่การใช้คีย์ลงนามที่มีสิทธิ์พิเศษเพื่ออนุมัติการถอนเงินฝั่ง Ethereum ได้สร้างจุดที่ความไว้วางใจถูกรวมศูนย์ เมื่อคีย์ดังกล่าวถูกละเมิด แฮกเกอร์ก็สามารถดูดเงินได้โดยไม่ต้องเอาชนะโมเดลความปลอดภัยในวงกว้างของสะพาน

เดือนมหาโหดของสะพานข้ามเชน

การโจมตี Gravity Bridge ไม่ใช่เหตุการณ์ที่เกิดขึ้นเพียงลำพัง ภายในกลางเดือนพฤษภาคม 2026 PeckShield ได้บันทึกเหตุการณ์แฮกสะพานข้ามเชนครั้งใหญ่ถึง 8 ครั้ง โดยมียอดสินทรัพย์ที่ถูกขโมยรวมกัน 328.6 ล้านดอลลาร์ ในปี 2026 รายชื่อประกอบด้วย:

Gravity Bridge กลายเป็นรายที่เก้าที่ถูกเพิ่มเข้ามาในบันทึกอันน่าสลดหดหู่นี้ ซึ่งน่าจะผลักดันยอดรวมในปี 2026 ให้ทะลุ 330 ล้านดอลลาร์ก่อนเดือนมิถุนายน ความถี่และขนาดของเหตุการณ์เหล่านี้ได้ยกระดับความปลอดภัยของสะพานให้เป็นหนึ่งในปัญหาเร่งด่วนที่สุดของอุตสาหกรรม

จุดอ่อนซ้ำซาก: การจัดการคีย์แบบรวมศูนย์

หากมีเส้นเรื่องร่วมที่ดำเนินผ่านการโจมตีเหล่านี้ มันไม่ใช่คุณภาพของโค้ด แต่เป็น สถาปัตยกรรมการจัดการคีย์

เหตุการณ์ Kelp/LayerZero ในเดือนเมษายนคิดเป็นความเสียหายถึง 292 ล้านดอลลาร์เพียงลำพัง และเช่นเดียวกับเหตุการณ์ Gravity Bridge มันก็ทำให้เกิดคำถามเกี่ยวกับกลไกการอนุญาต มากกว่าที่จะเป็นบั๊กเชิงเทคนิคเพียงอย่างเดียว เมื่อความปลอดภัยของสะพานพึ่งพาคีย์ลงนามเพียงไม่กี่ชุด คีย์ใดๆ ที่ถูกละเมิดก็สามารถกลายเป็นกุญแจดอกหลักให้แฮกเกอร์ได้

การโจมตี Gravity Bridge ตอกย้ำข้อโต้แย้งที่นักวิจัยด้านความปลอดภัยย้ำมานานหลายปีว่า: การมีฉันทามติแบบกระจายศูนย์ในชั้นหนึ่งของสแต็ก ไม่ได้ชดเชยการจัดการคีย์แบบรวมศูนย์ในอีกชั้นหนึ่ง เทคโนโลยีต่างๆ เช่น กระเป๋าเงินแบบ Multi-party Computation (MPC), แผนการลงนามแบบ Threshold และโมดูลความปลอดภัยฮาร์ดแวร์ (HSM) ถูกนำเสนอขึ้นมาเพื่อบรรเทาปัญหา แต่การนำไปใช้ยังคงไม่สอดคล้องกันทั่วทั้งภูมิทัศน์ของสะพานข้ามเชน

เหตุการณ์นี้ยังเน้นย้ำถึงความเป็นจริงในทางปฏิบัติสำหรับผู้สืบสวน เนื่องจากแฮกเกอร์ได้แปลง Stablecoin ที่ขโมยมาเป็น ETH และทิ้งเงินส่วนใหญ่ไว้ในกระเป๋าที่สามารถติดตามได้ การละเมิดครั้งนี้จึงกลายเป็นกรณีศึกษาแบบเรียลไทม์สำหรับการกู้คืนสินทรัพย์และการติดตามทางกฎหมาย ไม่ว่ามันจะนำไปสู่การคืนเงิน หรือเป็นเพียงการเพิ่มอีกหนึ่งที่อยู่ในบัญชีดำบนโลกออนเชนที่ไม่มีที่สิ้นสุด ก็ยังคงเป็นเรื่องที่ต้องติดตามต่อไป