เป้าหมายของการโจมตีคือหนึ่งใน Asgard vaults ของ THORChain ซึ่งเป็นระบบ vault หลักที่เก็บและบริหารสภาพคล่องสำหรับการสวอปสินทรัพย์ข้ามบล็อกเชน
vault เหล่านี้เก็บสินทรัพย์จากหลายเครือข่ายพร้อมกัน และใช้ระบบการลงนามแบบกระจาย (distributed signing) จากโหนด validator หลายตัวเพื่ออนุมัติธุรกรรม
เมื่อระบบตรวจพบกิจกรรมผิดปกติ THORChain จึง หยุดการเทรดและการลงนามธุรกรรมชั่วคราว เพื่อป้องกันการถอนเงินเพิ่มเติมระหว่างการตรวจสอบเหตุการณ์
คำอธิบายทางเทคนิคหลักชี้ไปที่การใช้งาน GG20 Threshold Signature Scheme (TSS) ของ THORChain
ระบบนี้เป็นรูปแบบหนึ่งของ multi‑party computation (MPC) ซึ่งใช้ในกระเป๋าเงินคริปโตระดับโครงสร้างพื้นฐาน
แทนที่จะเก็บ private key ไว้ในที่เดียว GG20 จะ แบ่งส่วนกุญแจออกเป็นหลายส่วน และกระจายไปยังโหนดหลายตัว ธุรกรรมจะถูกอนุมัติได้ก็ต่อเมื่อมีจำนวนโหนดที่กำหนดรวม key share เข้าด้วยกัน
นักสืบด้านความปลอดภัยเชื่อว่าผู้โจมตีอาศัยช่องโหว่ในระบบนี้ และอาจเกี่ยวข้องกับ โหนดที่เพิ่งถูกเพิ่มเข้ามาในชุด validator ของเครือข่าย
หลักฐานบ่งชี้ว่า ผู้โจมตีสามารถ ค่อย ๆ ดึงหรือรั่วไหลข้อมูล key‑share จากผู้เข้าร่วมในระบบ จนสุดท้ายสามารถประกอบข้อมูลเพียงพอสำหรับสร้างลายเซ็นที่ถูกต้องได้
เมื่อ reconstruct กุญแจได้แล้ว ผู้โจมตีก็สามารถลงนามธุรกรรมถอนเงินจาก vault ได้เหมือนเป็นธุรกรรมที่ถูกต้อง
อย่างไรก็ตาม ระบบตรวจจับความผิดปกติของ THORChain ตรวจพบพฤติกรรมดังกล่าวและหยุดกระบวนการลงนาม ทำให้ความเสียหายถูกจำกัดไว้ที่ระดับประมาณสิบล้านดอลลาร์
หนึ่งในประเด็นที่สร้างความสับสนมากที่สุดหลังเหตุการณ์คือ ข้อมูลที่ไม่ตรงกันเกี่ยวกับการชดเชยผู้ใช้
สื่อคริปโตบางแห่งรายงานว่า THORChain เปิดตัว พอร์ทัลกู้คืนแบบ self‑custodial เมื่อวันที่ 16 พฤษภาคม โดยใช้กองทุนคลัง (treasury) มูลค่า 10 ล้านดอลลาร์ เพื่อชดเชยผู้ได้รับผลกระทบ
ตามรายงานเหล่านั้น ผู้ใช้สามารถ:
พอร์ทัลดังกล่าวถูกระบุว่าจะเปิดให้ยื่นคำร้อง 21 วัน และปิดในวันที่ 4 มิถุนายน โดยมี 12,847 กระเป๋าเงิน ที่มีสิทธิ์ยื่นคำร้อง
อย่างไรก็ตาม รายงานและคำแถลงบางส่วนที่อ้างถึงทีม THORChain กลับระบุในทางตรงกันข้าม โดยเตือนว่ามี ข้อมูลเท็จและพอร์ทัลปลอม เกี่ยวกับการคืนเงินกำลังแพร่กระจายอยู่ในชุมชนคริปโต
ด้วยเหตุนี้ ผู้ใช้จึงได้รับคำแนะนำให้ ตรวจสอบข้อมูลผ่านช่องทางทางการของ THORChain เท่านั้น ก่อนจะเชื่อมต่อกระเป๋าเงินหรือคลิกลิงก์ใด ๆ
หลังการแฮ็ก THORChain ออกประกาศเตือนว่ามี มิจฉาชีพจำนวนมากพยายามหลอกผู้ใช้ที่ได้รับผลกระทบ
บัญชีปลอมจำนวนหนึ่งโปรโมตโครงการปลอม เช่น
ทีมงานเตือนว่าการโจมตีแบบฟิชชิงมักเพิ่มขึ้นทันทีหลังเกิดเหตุแฮ็ก DeFi ขนาดใหญ่ และผู้ใช้ควรหลีกเลี่ยงลิงก์ที่ไม่ได้มาจากช่องทางทางการ
ข่าวการแฮ็กส่งผลต่อความเชื่อมั่นของตลาดอย่างรวดเร็ว
โทเค็นประจำโปรโตคอล RUNE ลดลงประมาณ 11–12% ภายใน 24 ชั่วโมง และเคยแตะระดับราว 0.51 ดอลลาร์ หลังเหตุการณ์
ความผันผวนของราคาสะท้อนความกังวลของนักลงทุนเกี่ยวกับ
การโจมตี THORChain ชี้ให้เห็นปัญหาเชิงโครงสร้างของ DeFi คือ ความเสี่ยงที่รวมศูนย์อยู่ในระบบลายเซ็นคริปโตกราฟี ของโครงสร้าง cross‑chain
โปรโตคอลอย่าง THORChain ต้องพึ่งพา multi‑party computation และ threshold signatures เพื่อบริหารสินทรัพย์จากหลายบล็อกเชนพร้อมกัน
หากระบบเหล่านี้มีช่องโหว่ หรือโหนดบางตัวทำงานอย่างเป็นอันตราย สินทรัพย์จากหลายเครือข่ายสามารถถูกเปิดช่องให้โจมตีได้ในเวลาเดียวกัน
เหตุการณ์นี้ยังสะท้อนอีกประเด็นหนึ่งของความปลอดภัยยุคใหม่ใน DeFi นั่นคือ ความเสี่ยงจากการสื่อสารหลังการโจมตี (post‑exploit communication)
ความสับสนเกี่ยวกับพอร์ทัลคืนเงินหรือโปรแกรมชดเชยสามารถถูกใช้เป็นเครื่องมือหลอกลวงเพิ่มเติมได้ หากผู้ใช้ถูกชักจูงให้เชื่อมกระเป๋าเงินหรือเซ็นธุรกรรมปลอม
การสืบสวนยังดำเนินต่อไป นักวิจัยด้านความปลอดภัยและบริษัทวิเคราะห์บล็อกเชนกำลังติดตามเส้นทางเงินที่ถูกขโมย
ข้อมูล on‑chain บางส่วนชี้ว่ากระเป๋าเงินของผู้โจมตีอาจถูกเตรียมไว้ หลายสัปดาห์ก่อนการโจมตีจริง ซึ่งบ่งชี้ว่าการโจมตีครั้งนี้อาจถูกวางแผนล่วงหน้า
ในระหว่างนี้ ทีมพัฒนา THORChain กำลังประเมินการปรับปรุงโครงสร้างคริปโตกราฟีของระบบ รวมถึงความเป็นไปได้ในการอัปเกรดหรือเปลี่ยนระบบ threshold signature ที่ใช้อยู่
จนกว่าจะมีรายงาน post‑mortem อย่างละเอียด เหตุการณ์นี้ยังคงเป็นตัวอย่างสำคัญที่เตือนว่า แม้แต่โปรโตคอล cross‑chain ขั้นสูงก็ยังสามารถเผชิญช่องโหว่ร้ายแรงได้ และการสื่อสารอย่างโปร่งใสหลังเหตุการณ์ก็สำคัญไม่แพ้การแก้ไขทางเทคนิค
Comments
0 comments