สรุปสั้น

ผู้ที่อ้างตัวว่าเป็นแฮ็กเกอร์สายขาวได้คืนบิตคอยน์จำนวน 3,400 เหรียญ คิดเป็นมูลค่าราว 262.6 ล้านดอลลาร์สหรัฐ จากทั้งหมด 4,000 เหรียญมูลค่าราว 320 ล้านดอลลาร์ ที่ถูกขโมยไปจาก Liquid Network ซึ่งเป็นไซด์เชนของบิตคอยน์ เมื่อช่วงสุดสัปดาห์ที่ผ่านมา ไซด์เชนตัวนี้พัฒนาโดยบริษัท Blockstream และได้เปิดเผยเหตุการณ์ในวันอาทิตย์หลังจากปิดการทำงานของโหนดและระงับธุรกรรมทั้งหมดเพื่อรับมือกับการโจรกรรม

เงินที่หายไปถูกถอนออกจากกระเป๋าของสหพันธ์ผู้ดูแลเครือข่าย ซึ่งก่อนเกิดเหตุมีบิตคอยน์อยู่ราว 4,200 เหรียญ ประเด็นที่ยังไม่มีคำตอบและเป็นจุดสำคัญที่สุดของเรื่องนี้คือวิธีการที่เงินถูกถอนออกไป โดย Liquid ระบุเพียงว่า “เท่าที่เราทราบในตอนนี้คือเงินถูกถอนออกไปผ่าน SideSwap PAK หรือกุญแจอนุมัติการถอนออก แต่กุญแจดังกล่าวไม่ได้ถูกเจาะ และกุญแจตัวอื่นก็ไม่ได้ถูกเจาะเช่นกัน” กล่าวคือรู้ว่าเงินออกไปทางไหน แต่ยังไม่รู้ว่าทำได้อย่างไรทั้งที่กุญแจยังปลอดภัย

ผู้ก่อเหตุอ้างความรับผิดชอบและระบุว่าจะคืนเงินส่วนใหญ่ทันทีที่ Liquid แก้ช่องโหว่ที่นำไปสู่การโจรกรรมเสร็จ โดยข้อความที่ฝากไว้บนบล็อกเชนระบุว่า “กรุณาแก้บั๊กก่อน ตอนนี้เชนยังมีความเสี่ยงอยู่ที่คอมมิตล่าสุด ต้องแน่ใจว่าทุกโหนดได้รับแพตช์แล้ว จากนั้นเราจะโอนเงินคืนอย่างปลอดภัยหลังยืนยันว่าแก้เรียบร้อยแล้ว” ต่อมาในวันจันทร์บิตคอยน์ 3,400 เหรียญถูกส่งคืน แต่ยังคงค้างอยู่ราว 598 เหรียญ หรือประมาณ 47 ล้านดอลลาร์

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 8 กันยายน 2569 ว่ามีการคืนบิตคอยน์ส่วนใหญ่ที่ถูกขโมยไปจาก Liquid Network แล้ว หลังเหตุการณ์ที่เกิดขึ้นในช่วงสุดสัปดาห์ก่อนหน้า

Liquid ระบุในการเปิดเผยเหตุการณ์ว่า “ผู้ให้บริการแลกเปลี่ยนได้รับแจ้งแล้วและได้ระงับ หรือกำลังจะระงับ การฝากและถอน LBTC สินทรัพย์อื่นบน Liquid เช่น USDT, DePix และสินทรัพย์ในโลกจริง ไม่ได้รับผลกระทบจากเหตุการณ์ด้านความปลอดภัยครั้งนี้” ซึ่งเป็นการจำกัดขอบเขตความเสียหายไว้ที่บิตคอยน์ที่ถูกล็อกไว้ในระบบเป็นหลัก

บริษัทยังระบุเพิ่มเติมว่า “กระเป๋าเงินบน Liquid จะได้รับผลกระทบ และเราขออภัยในความไม่สะดวก สมาชิกของสหพันธ์กำลังเร่งแก้ไขปัญหาอยู่เพื่อให้เรากลับมาให้บริการเครือข่ายได้ตามปกติ” ซึ่งสะท้อนว่าผลกระทบต่อผู้ใช้ทั่วไปไม่ได้จบลงเมื่อเงินถูกคืน เพราะเครือข่ายยังคงหยุดให้บริการอยู่

ความคืบหน้าล่าสุดมาจากนาย Samson Mow อดีตผู้บริหารของ Blockstream ซึ่งระบุว่าในวันจันทร์มีการคืนบิตคอยน์ 3,400 เหรียญให้ Liquid แล้ว แต่ยังคงค้างอยู่ราว 598 เหรียญ หรือประมาณ 47 ล้านดอลลาร์ ขณะที่ Blockstream ยังคงติดต่อสื่อสารกับผู้ก่อเหตุอยู่ พร้อมระบุว่า “เครือข่ายยังคงหยุดทำงานระหว่างที่ Blockstream และสมาชิกของสหพันธ์ดำเนินการแก้ไขเพิ่มเติมและปรับปรุงความปลอดภัย แก้ปัญหาการแยกตัวของเชน และเตรียมการสำหรับการเริ่มระบบใหม่อย่างปลอดภัย กระเป๋าเงินและบริการต่าง ๆ บน Liquid จะยังคงได้รับผลกระทบในช่วงเวลานี้”

ข้อจำกัดของข้อมูลที่ต้องระบุไว้ให้ชัดมีหลายชั้น ชั้นแรกคือยังไม่มีคำอธิบายว่าเงินถูกถอนออกไปได้อย่างไรทั้งที่กุญแจอนุมัติไม่ได้ถูกเจาะ ชั้นที่สองคือคำว่า “แฮ็กเกอร์สายขาว” เป็นการอ้างของฝ่ายผู้ก่อเหตุเอง ไม่ใช่การจัดประเภทที่ได้รับการยืนยันจากฝ่ายใด และชั้นที่สามคือข้อมูลความคืบหน้าเรื่องยอดที่คืนแล้วมาจากคำกล่าวของอดีตผู้บริหาร ไม่ใช่แถลงการณ์อย่างเป็นทางการของบริษัท

วิธีการโจมตี

จุดที่ต้องระบุตรง ๆ คือขณะนี้ยังไม่มีใครอธิบายวิธีการโจมตีได้ Liquid ยืนยันเพียงว่าเงินถูกถอนออกผ่าน SideSwap PAK ซึ่งเป็นกุญแจอนุมัติการถอนออกจากไซด์เชนกลับสู่บิตคอยน์เชนหลัก แต่ยืนยันด้วยว่ากุญแจดังกล่าวไม่ได้ถูกเจาะ และกุญแจตัวอื่นในระบบก็ไม่ได้ถูกเจาะเช่นกัน สองข้อความนี้เมื่ออยู่ด้วยกันหมายความว่าผู้โจมตีทำให้ระบบอนุมัติการถอนได้โดยไม่ต้องครอบครองกุญแจ ซึ่งชี้ไปที่ตรรกะของโปรโตคอลหรือการตรวจสอบเงื่อนไขมากกว่าการขโมยความลับ

โครงสร้างของ Liquid ช่วยให้เข้าใจว่าทำไมเรื่องนี้จึงสำคัญ ไซด์เชนแบบนี้ทำงานด้วยการล็อกบิตคอยน์ไว้ในกระเป๋าที่ควบคุมร่วมกันโดยสมาชิกของสหพันธ์ แล้วออกโทเคนตัวแทนบนไซด์เชนให้ใช้งาน การถอนกลับจึงต้องผ่านกลไกอนุมัติที่สหพันธ์ควบคุม ความปลอดภัยของเงินทั้งก้อนจึงขึ้นอยู่กับความถูกต้องของกลไกอนุมัตินั้น ไม่ใช่ความปลอดภัยของกระเป๋าเงินรายบุคคล

ข้อความที่ผู้ก่อเหตุฝากไว้บนบล็อกเชนให้เบาะแสเพิ่มอีกชั้น เมื่อระบุว่า “เชนยังมีความเสี่ยงอยู่ที่คอมมิตล่าสุด ต้องแน่ใจว่าทุกโหนดได้รับแพตช์แล้ว” ถ้อยคำนี้บ่งชี้ว่าปัญหาอยู่ในซอฟต์แวร์ของโหนดเอง และยังคงมีอยู่ในโค้ดเวอร์ชันล่าสุด ณ เวลาที่ข้อความถูกเขียน ซึ่งอธิบายว่าทำไมทีมงานจึงเลือกหยุดเครือข่ายทั้งหมดแทนการแก้เฉพาะจุด

สิ่งที่ทีมงานระบุว่ากำลังทำอยู่ยังบอกอะไรบางอย่างด้วย การที่ต้อง “แก้ปัญหาการแยกตัวของเชน” หมายความว่าโหนดในเครือข่ายมีมุมมองต่อประวัติธุรกรรมไม่ตรงกัน ซึ่งเป็นสถานะที่ต้องแก้ให้เรียบร้อยก่อนเปิดระบบใหม่ มิฉะนั้นธุรกรรมที่เกิดขึ้นหลังจากนั้นจะวางอยู่บนฐานที่ไม่ตรงกัน

ทั้งหมดนี้ยังเป็นการอนุมานจากถ้อยแถลงที่มีอยู่ ไม่ใช่การวิเคราะห์เชิงเทคนิคจากรายงานฉบับใด ผู้อ่านควรรอรายงานหลังเหตุการณ์อย่างเป็นทางการจาก Blockstream ก่อนสรุปว่าต้นเหตุคืออะไร

ผลกระทบ

ความเสียหายที่ประเมินได้ชัดที่สุดไม่ใช่ตัวเงิน เพราะเงินส่วนใหญ่ถูกคืนแล้ว แต่คือการที่เครือข่ายทั้งเครือข่ายต้องหยุดให้บริการ ผู้ใช้ที่ถือ LBTC ไม่สามารถทำธุรกรรมได้ ผู้ให้บริการแลกเปลี่ยนต้องระงับการฝากและถอน และบริการที่สร้างอยู่บน Liquid ต้องหยุดตามไปด้วย ระยะเวลาที่หยุดยังไม่มีกำหนดชัดเจน เนื่องจากขึ้นอยู่กับการแก้ไขและการเตรียมเปิดระบบใหม่อย่างปลอดภัย

ในเชิงความเชื่อมั่น เหตุการณ์นี้ทดสอบสมมติฐานพื้นฐานของไซด์เชนที่ใช้โมเดลสหพันธ์ ผู้ใช้ฝากความปลอดภัยไว้กับกลุ่มผู้ดูแลและกับความถูกต้องของซอฟต์แวร์ที่ทุกฝ่ายรันร่วมกัน การที่เงินถูกถอนออกไปได้ทั้งที่กุญแจไม่ถูกเจาะ ชี้ว่าความเสี่ยงไม่ได้อยู่ที่การเก็บรักษากุญแจซึ่งเป็นสิ่งที่ระบบเหล่านี้ให้ความสำคัญมากที่สุด แต่อยู่ที่ตรรกะที่ตัดสินว่าการถอนใดถูกต้อง

ประเด็นที่ควรพิจารณาอย่างระมัดระวังที่สุดคือกรอบเรื่อง “แฮ็กเกอร์สายขาว” การคืนเงินเกิดขึ้นจริงและตรวจสอบได้บนบล็อกเชน แต่การจัดว่าผู้ก่อเหตุเป็นฝ่ายดีนั้นเป็นการอ้างของตัวผู้ก่อเหตุเอง และยังมีเงินค้างอยู่อีกราว 47 ล้านดอลลาร์ที่ยังไม่ถูกคืน ณ เวลาที่รายงานเผยแพร่ สถานะของเรื่องจึงยังเป็นการเจรจาที่ยังไม่จบ ไม่ใช่เหตุการณ์ที่ปิดแล้ว

สำหรับองค์กรที่ทำงานกับสินทรัพย์ดิจิทัล บทเรียนที่ใช้ได้ทันทีคือการเตรียมแผนรับมือกรณีที่ต้องหยุดระบบทั้งระบบ เหตุการณ์นี้แสดงให้เห็นว่าการตอบสนองที่เหมาะสมบางครั้งคือการหยุดทุกอย่างจนกว่าจะเข้าใจปัญหา ซึ่งเป็นการตัดสินใจที่ทำได้ยากถ้าไม่ได้เตรียมกระบวนการและอำนาจตัดสินใจไว้ล่วงหน้า

คำแนะนำ

ผู้ที่ถือสินทรัพย์บน Liquid ควรติดตามประกาศอย่างเป็นทางการจาก Blockstream และสหพันธ์ผู้ดูแลเครือข่ายโดยตรงเท่านั้น และไม่ดำเนินการใด ๆ ตามข้อความที่อ้างว่ามาจากทีมงานผ่านช่องทางอื่น เนื่องจากเหตุการณ์ลักษณะนี้มักตามมาด้วยการหลอกลวงที่อ้างว่าจะช่วยกู้คืนเงินหรือขอให้ยืนยันตัวตน

ระวังข้อความที่อ้างถึงเหตุการณ์นี้เป็นพิเศษในช่วงที่เครือข่ายยังหยุดทำงาน โดยเฉพาะข้อความที่ขอกุญแจส่วนตัว วลีกู้คืน หรือขอให้เชื่อมกระเป๋าเงินกับเว็บไซต์ใด ๆ เพราะช่วงที่ผู้ใช้เข้าถึงเงินของตัวเองไม่ได้คือช่วงที่การหลอกลวงได้ผลที่สุด

ผู้ให้บริการที่สร้างระบบอยู่บน Liquid ควรตรวจสอบว่าการระงับการฝากและถอนของตัวเองครอบคลุมทุกเส้นทางแล้วหรือยัง และเตรียมกระบวนการกระทบยอดสำหรับช่วงที่เชนมีการแยกตัว เพื่อให้มั่นใจว่าเมื่อเครือข่ายกลับมาทำงาน ยอดคงเหลือที่ระบบของตนบันทึกไว้ตรงกับสถานะจริงบนเชน

สำหรับองค์กรที่ดูแลระบบซึ่งมีกลไกอนุมัติธุรกรรมมูลค่าสูง บทเรียนที่นำไปใช้ได้คือการทดสอบตรรกะของการอนุมัติแยกต่างหากจากการทดสอบการเก็บรักษากุญแจ เพราะกรณีนี้แสดงให้เห็นว่ากุญแจที่ปลอดภัยไม่ได้รับประกันว่าการอนุมัติจะถูกต้อง และควรมีเพดานหรือกลไกตรวจสอบเพิ่มสำหรับการถอนที่มีมูลค่าผิดปกติ

ติดตามรายงานหลังเหตุการณ์อย่างเป็นทางการเมื่อ Blockstream เผยแพร่ เพื่อประเมินว่าต้นเหตุคืออะไรและกระทบกับระบบอื่นที่ใช้สถาปัตยกรรมคล้ายกันหรือไม่ ก่อนหน้านั้นการสรุปสาเหตุจากข้อมูลที่มีอยู่ยังเป็นการคาดเดา

แหล่งอ้างอิง