สรุปเหตุการณ์แฮ็ก THORChain มูลค่า 10 ล้านดอลลาร์: ช่องโหว่ GG20 ทำงานอย่างไร และผู้ใช้ควรรู้อะไรบ้าง

เป้าหมายของการโจมตีคือหนึ่งใน Asgard vaults ของ THORChain ซึ่งเป็นระบบ vault หลักที่เก็บและบริหารสภาพคล่องสำหรับการสวอปสินทรัพย์ข้ามบล็อกเชน

vault เหล่านี้เก็บสินทรัพย์จากหลายเครือข่ายพร้อมกัน และใช้ระบบการลงนามแบบกระจาย (distributed signing) จากโหนด validator หลายตัวเพื่ออนุมัติธุรกรรม

เมื่อระบบตรวจพบกิจกรรมผิดปกติ THORChain จึง หยุดการเทรดและการลงนามธุรกรรมชั่วคราว เพื่อป้องกันการถอนเงินเพิ่มเติมระหว่างการตรวจสอบเหตุการณ์

ช่องโหว่ GG20 ถูกใช้โจมตีได้อย่างไร

คำอธิบายทางเทคนิคหลักชี้ไปที่การใช้งาน GG20 Threshold Signature Scheme (TSS) ของ THORChain

ระบบนี้เป็นรูปแบบหนึ่งของ multi‑party computation (MPC) ซึ่งใช้ในกระเป๋าเงินคริปโตระดับโครงสร้างพื้นฐาน

แทนที่จะเก็บ private key ไว้ในที่เดียว GG20 จะ แบ่งส่วนกุญแจออกเป็นหลายส่วน และกระจายไปยังโหนดหลายตัว ธุรกรรมจะถูกอนุมัติได้ก็ต่อเมื่อมีจำนวนโหนดที่กำหนดรวม key share เข้าด้วยกัน

นักสืบด้านความปลอดภัยเชื่อว่าผู้โจมตีอาศัยช่องโหว่ในระบบนี้ และอาจเกี่ยวข้องกับ โหนดที่เพิ่งถูกเพิ่มเข้ามาในชุด validator ของเครือข่าย

หลักฐานบ่งชี้ว่า ผู้โจมตีสามารถ ค่อย ๆ ดึงหรือรั่วไหลข้อมูล key‑share จากผู้เข้าร่วมในระบบ จนสุดท้ายสามารถประกอบข้อมูลเพียงพอสำหรับสร้างลายเซ็นที่ถูกต้องได้

เมื่อ reconstruct กุญแจได้แล้ว ผู้โจมตีก็สามารถลงนามธุรกรรมถอนเงินจาก vault ได้เหมือนเป็นธุรกรรมที่ถูกต้อง

อย่างไรก็ตาม ระบบตรวจจับความผิดปกติของ THORChain ตรวจพบพฤติกรรมดังกล่าวและหยุดกระบวนการลงนาม ทำให้ความเสียหายถูกจำกัดไว้ที่ระดับประมาณสิบล้านดอลลาร์

รายงานที่ขัดแย้งกันเกี่ยวกับพอร์ทัลคืนเงิน

หนึ่งในประเด็นที่สร้างความสับสนมากที่สุดหลังเหตุการณ์คือ ข้อมูลที่ไม่ตรงกันเกี่ยวกับการชดเชยผู้ใช้

สื่อคริปโตบางแห่งรายงานว่า THORChain เปิดตัว พอร์ทัลกู้คืนแบบ self‑custodial เมื่อวันที่ 16 พฤษภาคม โดยใช้กองทุนคลัง (treasury) มูลค่า 10 ล้านดอลลาร์ เพื่อชดเชยผู้ได้รับผลกระทบ

ตามรายงานเหล่านั้น ผู้ใช้สามารถ:

• ตรวจสอบสิทธิ์ในการรับชดเชย
• ยกเลิก token approval ที่เป็นอันตราย
• ส่งคำขอคืนเงิน

พอร์ทัลดังกล่าวถูกระบุว่าจะเปิดให้ยื่นคำร้อง 21 วัน และปิดในวันที่ 4 มิถุนายน โดยมี 12,847 กระเป๋าเงิน ที่มีสิทธิ์ยื่นคำร้อง

อย่างไรก็ตาม รายงานและคำแถลงบางส่วนที่อ้างถึงทีม THORChain กลับระบุในทางตรงกันข้าม โดยเตือนว่ามี ข้อมูลเท็จและพอร์ทัลปลอม เกี่ยวกับการคืนเงินกำลังแพร่กระจายอยู่ในชุมชนคริปโต

ด้วยเหตุนี้ ผู้ใช้จึงได้รับคำแนะนำให้ ตรวจสอบข้อมูลผ่านช่องทางทางการของ THORChain เท่านั้น ก่อนจะเชื่อมต่อกระเป๋าเงินหรือคลิกลิงก์ใด ๆ

คำเตือนเรื่องการหลอกลวงหลังเหตุการณ์

หลังการแฮ็ก THORChain ออกประกาศเตือนว่ามี มิจฉาชีพจำนวนมากพยายามหลอกผู้ใช้ที่ได้รับผลกระทบ

บัญชีปลอมจำนวนหนึ่งโปรโมตโครงการปลอม เช่น

• โปรแกรมคืนเงิน
• แอร์ดรอป
• ระบบเคลมเงินชดเชย

ทีมงานเตือนว่าการโจมตีแบบฟิชชิงมักเพิ่มขึ้นทันทีหลังเกิดเหตุแฮ็ก DeFi ขนาดใหญ่ และผู้ใช้ควรหลีกเลี่ยงลิงก์ที่ไม่ได้มาจากช่องทางทางการ

ผลกระทบต่อตลาด: ราคา RUNE ร่วง

ข่าวการแฮ็กส่งผลต่อความเชื่อมั่นของตลาดอย่างรวดเร็ว

โทเค็นประจำโปรโตคอล RUNE ลดลงประมาณ 11–12% ภายใน 24 ชั่วโมง และเคยแตะระดับราว 0.51 ดอลลาร์ หลังเหตุการณ์

ความผันผวนของราคาสะท้อนความกังวลของนักลงทุนเกี่ยวกับ

• ความปลอดภัยของกระเป๋าเงินแบบ MPC
• โครงสร้างพื้นฐาน cross‑chain
• ความเสี่ยงจาก validator nodes

ทำไมเหตุการณ์นี้สำคัญต่อระบบ DeFi

การโจมตี THORChain ชี้ให้เห็นปัญหาเชิงโครงสร้างของ DeFi คือ ความเสี่ยงที่รวมศูนย์อยู่ในระบบลายเซ็นคริปโตกราฟี ของโครงสร้าง cross‑chain

โปรโตคอลอย่าง THORChain ต้องพึ่งพา multi‑party computation และ threshold signatures เพื่อบริหารสินทรัพย์จากหลายบล็อกเชนพร้อมกัน

หากระบบเหล่านี้มีช่องโหว่ หรือโหนดบางตัวทำงานอย่างเป็นอันตราย สินทรัพย์จากหลายเครือข่ายสามารถถูกเปิดช่องให้โจมตีได้ในเวลาเดียวกัน

เหตุการณ์นี้ยังสะท้อนอีกประเด็นหนึ่งของความปลอดภัยยุคใหม่ใน DeFi นั่นคือ ความเสี่ยงจากการสื่อสารหลังการโจมตี (post‑exploit communication)

ความสับสนเกี่ยวกับพอร์ทัลคืนเงินหรือโปรแกรมชดเชยสามารถถูกใช้เป็นเครื่องมือหลอกลวงเพิ่มเติมได้ หากผู้ใช้ถูกชักจูงให้เชื่อมกระเป๋าเงินหรือเซ็นธุรกรรมปลอม

ขั้นตอนต่อไปของ THORChain

การสืบสวนยังดำเนินต่อไป นักวิจัยด้านความปลอดภัยและบริษัทวิเคราะห์บล็อกเชนกำลังติดตามเส้นทางเงินที่ถูกขโมย

ข้อมูล on‑chain บางส่วนชี้ว่ากระเป๋าเงินของผู้โจมตีอาจถูกเตรียมไว้ หลายสัปดาห์ก่อนการโจมตีจริง ซึ่งบ่งชี้ว่าการโจมตีครั้งนี้อาจถูกวางแผนล่วงหน้า

ในระหว่างนี้ ทีมพัฒนา THORChain กำลังประเมินการปรับปรุงโครงสร้างคริปโตกราฟีของระบบ รวมถึงความเป็นไปได้ในการอัปเกรดหรือเปลี่ยนระบบ threshold signature ที่ใช้อยู่

จนกว่าจะมีรายงาน post‑mortem อย่างละเอียด เหตุการณ์นี้ยังคงเป็นตัวอย่างสำคัญที่เตือนว่า แม้แต่โปรโตคอล cross‑chain ขั้นสูงก็ยังสามารถเผชิญช่องโหว่ร้ายแรงได้ และการสื่อสารอย่างโปร่งใสหลังเหตุการณ์ก็สำคัญไม่แพ้การแก้ไขทางเทคนิค