เจาะลึกเหตุแฮ็ก THORChain, Verus Bridge และ Echo Protocol เดือนพฤษภาคม 2026

ระหว่าง 15–18 พฤษภาคม 2026 ระบบการเงินแบบกระจายศูนย์ (DeFi) เผชิญเหตุโจมตีสำคัญสามครั้งที่เกิดขึ้นแทบจะต่อเนื่องกัน ได้แก่ THORChain, Verus–Ethereum Bridge และ Echo Protocol

แม้จะเกิดในช่วงเวลาเพียงสี่วัน แต่การโจมตีทั้งสาม ไม่ได้เชื่อมโยงกัน และแต่ละเหตุการณ์ก็ใช้ช่องโหว่คนละประเภท ตั้งแต่ระบบลงนามของ validator ไปจนถึงตรรกะการตรวจสอบ cross‑chain และการเข้าถึงกุญแจผู้ดูแลระบบ

โดยรวมแล้ว มีเงินคริปโตถูกถอนออกจริงประมาณ 22 ล้านดอลลาร์ ขณะที่เหตุของ Echo Protocol มีการสร้างสินทรัพย์สังเคราะห์มูลค่า กว่า 76 ล้านดอลลาร์ ชั่วคราว ก่อนที่โทเค็นส่วนใหญ่จะถูกเผาทำลายในภายหลัง

---

1) เหตุแฮ็ก THORChain — 15 พฤษภาคม 2026

ความเสียหายโดยประมาณ: 10.7–10.8 ล้านดอลลาร์

THORChain ซึ่งเป็นโปรโตคอลสภาพคล่องข้ามบล็อกเชนสำหรับการสวอปสินทรัพย์แบบ native ระหว่างเครือข่ายต่าง ๆ ตรวจพบการไหลออกของเงินที่ผิดปกติจากหนึ่งใน Asgard vaults และตัดสินใจหยุดการซื้อขายทันที

การสืบสวนพบว่ามีสินทรัพย์ประมาณ 10.7–10.8 ล้านดอลลาร์ ถูกถอนออกจากหลายเครือข่าย เช่น Bitcoin, Ethereum, BNB Chain และ Base

รายงานด้านความปลอดภัยชี้ว่า ผู้โจมตีอาจใช้ช่องโหว่ในระบบ GG20 Threshold Signature Scheme (TSS) ซึ่งเป็นกลไกการลงนามแบบหลายฝ่าย (MPC) ที่ใช้ควบคุมกุญแจของ vault

สมมติฐานหลักคือมี validator node ที่ถูกเจาะหรือเป็นอันตราย ทำให้สามารถรวบรวมสิทธิ์การลงนามได้ และท้ายที่สุดนำไปสู่การเข้าถึงเงินใน vault

จุดสำคัญคือ THORChain ระบุว่า เงินผู้ใช้และเงินของผู้ให้สภาพคล่อง (LP) ไม่ได้รับผลกระทบ โดยความเสียหายอยู่ที่สินทรัพย์ของโปรโตคอลเอง

การตอบสนองของโปรโตคอล

• ตรวจพบกิจกรรมผิดปกติและ หยุดการซื้อขายและการลงนามธุรกรรมทันที
• ผู้ดำเนินการโหนดหยุดกระบวนการ churn ของ vault
• เริ่มตรวจสอบ validator ที่เพิ่งถูกเพิ่มเข้าระบบซึ่งถูกสงสัยว่าเกี่ยวข้องกับการโจมตี

เหตุการณ์นี้ทำให้เกิดคำถามใหม่เกี่ยวกับความปลอดภัยของระบบ MPC/TSS wallet ซึ่งแม้จะออกแบบมาเพื่อกระจายการควบคุมกุญแจ แต่ยังคงพึ่งพาพฤติกรรมของโหนดและการออกแบบระบบอย่างมาก

---

2) เหตุแฮ็ก Verus–Ethereum Bridge — 18 พฤษภาคม 2026

ความเสียหายโดยประมาณ: 11.5–11.6 ล้านดอลลาร์

เพียงสามวันต่อมา ผู้โจมตีหันไปโจมตี สะพาน cross‑chain ระหว่าง Verus และ Ethereum โดยถอนสินทรัพย์ออกไปประมาณ 11.58 ล้านดอลลาร์

สินทรัพย์ที่ถูกขโมยประกอบด้วย

• 103.6 tBTC
• 1,625 ETH
• ประมาณ 147,000 USDC

จากนั้นผู้โจมตีได้แลกสินทรัพย์เหล่านี้เป็น ETH และรวมไว้ในกระเป๋าเดียว

นักวิจัยด้านความปลอดภัยระบุว่าการโจมตีเกิดจาก ข้อความโอนข้ามเชนปลอม (forged transfer message) ที่สะพานยอมรับว่าเป็นข้อมูลถูกต้อง

สาเหตุหลักคือ ช่องว่างในการตรวจสอบข้อมูลระหว่างสองฝั่งของ bridge โดยทั้ง Verus และสัญญาใน Ethereum ต่างตรวจสอบข้อมูลบางส่วน แต่ ไม่มีฝ่ายใดตรวจสอบว่ามูลค่าที่ล็อกในต้นทางตรงกับจำนวนที่ปล่อยในปลายทางจริงหรือไม่

ผลคือผู้โจมตีสามารถสร้างหลักฐานที่ดูถูกต้อง แต่แทบไม่ได้ฝากสินทรัพย์จริงเข้าไป

การตอบสนองของโปรโตคอล

• บริษัทความปลอดภัยอย่าง Blockaid และ PeckShield แจ้งเตือนเหตุการณ์แบบเรียลไทม์
• การทำงานของ bridge และโหนดที่เกี่ยวข้องถูก หยุดชั่วคราวเพื่อสอบสวน
• นักพัฒนาเริ่มปรับปรุงระบบตรวจสอบ cross‑chain ให้เข้มงวดขึ้น

เหตุการณ์นี้มีลักษณะคล้ายกับการโจมตี bridge ในอดีต เช่น Wormhole และ Nomad ซึ่งตอกย้ำว่า สะพานข้ามเชนยังเป็นหนึ่งในจุดเสี่ยงที่สุดของระบบ DeFi

---

3) เหตุแฮ็ก Echo Protocol — รายงานช่วง 18–19 พฤษภาคม

มูลค่าการสร้างสินทรัพย์: ประมาณ 76.6–76.7 ล้านดอลลาร์ใน eBTC

ความเสียหายจริง: ประมาณ 816,000 ดอลลาร์

Echo Protocol ซึ่งเป็นแพลตฟอร์ม DeFi ที่เน้น Bitcoin บนบล็อกเชน Monad ถูกเจาะหลังจากผู้โจมตีเข้าควบคุม private key ระดับผู้ดูแลระบบ (admin key) ที่ใช้กับสัญญา mint ของ eBTC

ผู้โจมตีใช้สิทธิ์ดังกล่าว mint eBTC ปลอมประมาณ 1,000 เหรียญ ซึ่งมีมูลค่าตลาดประมาณ 76–77 ล้านดอลลาร์

อย่างไรก็ตาม ผู้โจมตีไม่สามารถถอนมูลค่าออกมาได้ทั้งหมดเนื่องจากสภาพคล่องจำกัด

การวิเคราะห์บนเชนพบว่าผู้โจมตี:

• ฝาก 45 eBTC เป็นหลักประกันในโปรโตคอล Curvance
• ยืม 11.29 WBTC
• โอนสินทรัพย์ไปยัง Ethereum
• แลกเป็น ETH และส่งประมาณ 384 ETH ไปยัง Tornado Cash

รายงานความปลอดภัยหลายแห่งประเมินว่า ความเสียหายจริงอยู่ที่ประมาณ 816,000 ดอลลาร์ เท่านั้น

การตอบสนองของโปรโตคอล

• Echo Protocol ระงับธุรกรรม cross‑chain ทั้งหมด ระหว่างการสอบสวน
• ทีมงานกู้คืนการควบคุม admin key ได้อีกครั้ง
• เผา eBTC จำนวน 955 เหรียญ ที่ยังอยู่ในกระเป๋าของผู้โจมตี
• โปรโตคอล Curvance หยุดตลาดที่เกี่ยวข้องชั่วคราว

เหตุการณ์นี้สะท้อนความเสี่ยงของระบบที่ยังใช้ กุญแจผู้ดูแลระบบแบบเดี่ยว (single admin key) โดยไม่มีมาตรการป้องกันเพิ่มเติม เช่น multisig หรือ timelock

---

บทเรียนด้านความปลอดภัยของ DeFi ในปี 2026

เมื่อพิจารณาทั้งสามเหตุการณ์ร่วมกัน จะเห็นจุดอ่อนหลายระดับในโครงสร้าง DeFi

1. Cross‑chain bridge ยังเป็นเป้าหมายหลักของแฮ็กเกอร์

เหตุ Verus แสดงให้เห็นว่า หาก bridge ไม่ตรวจสอบอย่างเข้มงวดว่าธุรกรรมต้นทางเกิดขึ้นจริงและตรงกับจำนวนที่ปล่อยในปลายทาง ผู้โจมตีก็สามารถสร้างหลักฐานปลอมและดึงเงินออกจากระบบได้

สะพานข้ามเชนมักถือสินทรัพย์จำนวนมากเพื่อเป็นหลักประกันระหว่างเครือข่าย จึงกลายเป็นเป้าหมายที่มีมูลค่าสูง

2. ระบบกุญแจกระจายศูนย์ยังมีความเสี่ยงเชิงปฏิบัติการ

THORChain ใช้ threshold signatures และ MPC เพื่อลดความเสี่ยงจาก private key เดียว แต่เหตุการณ์นี้แสดงให้เห็นว่า

• การคัดเลือก validator
• พฤติกรรมของโหนด
• หรือการออกแบบระบบลงนาม

อาจกลายเป็นช่องโหว่ใหม่ได้

3. กุญแจผู้ดูแลระบบยังเป็นจุดอ่อนระดับระบบ

Echo Protocol แสดงให้เห็นว่าหาก admin key ถูกเจาะ ผู้โจมตีสามารถสร้างสินทรัพย์ปลอมมูลค่าหลายสิบล้านดอลลาร์ได้ทันที แม้จะถูกควบคุมในภายหลัง

4. การแทรกแซงฉุกเฉินยังจำเป็น

ทั้งสามกรณีต้องอาศัยมาตรการฉุกเฉิน เช่น

• การหยุดเครือข่ายหรือระบบลงนาม (THORChain)
• การปิด bridge และโหนด (Verus)
• การหยุดตลาด กู้คืนกุญแจ และเผาโทเค็น (Echo)

มาตรการเหล่านี้ช่วยจำกัดความเสียหาย แต่ก็สะท้อนว่า DeFi หลายระบบยังต้องพึ่ง การควบคุมแบบรวมศูนย์ในช่วงวิกฤต

---

ภาพรวมที่ใหญ่กว่า

คลัสเตอร์เหตุแฮ็กในเดือนพฤษภาคม 2026 แสดงให้เห็นว่า ความเสี่ยงของ DeFi ไม่ได้อยู่แค่ใน smart contract bugs อีกต่อไป แต่ขยายไปถึงโครงสร้างพื้นฐานของระบบ เช่น

• การตรวจสอบข้อความข้ามเชน
• การประสานงานของ validator และ signer
• การจัดการกุญแจพิเศษ
• กลไก governance และการตอบสนองฉุกเฉิน

เมื่อ DeFi ขยายไปสู่ระบบหลายเชนและโปรโตคอลที่เชื่อมต่อกันมากขึ้น ชั้นโครงสร้างพื้นฐานเหล่านี้ อาจกลายเป็นจุดที่การโจมตีครั้งใหญ่ในอนาคตจะเกิดขึ้นได้มากที่สุด