ผู้โจมตีได้ขโมยเงินอย่างน้อย 36.7 ล้าน USD จากโปรโตคอลที่รันสมาร์ทคอนแทร็กต์ที่ไม่ได้รับการยืนยันในช่วงหกเดือนที่ผ่านมา ตามรายงานของ Chainalysis โดยบริษัทเชื่อมโยงการเพิ่มขึ้นนี้กับการพัฒนาการโจมตีด้วยความช่วยเหลือของ AI
โมเดลภาษาใหญ่ (LLMs) ในปัจจุบันสามารถวิเคราะห์ไบต์โค้ดที่ถูกถอดแบบกลับมาได้ด้วยความเร็วและขนาดที่ไม่มีทีมมนุษย์ไหนเทียบได้ ดังนั้น สมาร์ทคอนแทร็กต์ที่ไม่เปิดเผยซอร์สโค้ดซึ่งเคยป้องกันผู้โจมตี จึงกลายเป็นเป้าหมายอย่างเป็นระบบในตอนนี้
เหตุใดซอร์สโค้ดที่ซ่อนไว้จึงไม่สามารถปกป้องโปรโตคอล DeFi ได้อีกต่อไป
โปรโตคอล Decentralized Finance (DeFi) ส่วนใหญ่เผยแพร่และ ยืนยันซอร์สโค้ดของตนบนบล็อกเอ็กซ์พลอเรอร์ อย่างไรก็ตาม โปรโตคอลบางรายยังคงปิดซอร์สโค้ดไว้ โดยหวังว่าความไม่เปิดเผยนี้จะช่วยป้องกันการโจมตีจากผู้ไม่หวังดี
Chainalysis พบว่าความหวังนั้นกำลังล้มเหลว เพราะดีคอมไพเลอร์ เช่น Dedaub, Heimdall และ Panoramix สามารถเปลี่ยนไบต์โค้ดดิบให้กลายเป็น Solidity ที่อ่านเข้าใจได้แล้ว
เมื่อถอดแบบแล้ว โค้ดเหล่านั้นจะถูกส่งตรงไปยัง LLMs ที่สามารถชี้จุดบั๊กรีเอนทรานซี่ ช่องว่างควบคุมการเข้าถึง และความผิดพลาดทางคณิตศาสตร์ได้ทันที
เมื่อนำไปใช้ในสายงานอัตโนมัติแบบต่อเนื่อง โมเดลเหล่านี้สามารถสแกนสมาร์ทคอนแทร็กต์ที่ไม่ได้รับการยืนยันนับพันฉบับ และแยกประเภทเป้าหมายตามความเป็นไปได้ในการโจมตีและผลตอบแทนที่คาดหวัง
สิ่งที่เคยต้องใช้วิศวกรรีเวิร์สที่มีทักษะ ต้องใช้เวลาหลายวันกับสมาร์ทคอนแทร็กต์เพียงฉบับเดียว ตอนนี้สามารถทำงานอัตโนมัติบางส่วนให้ครอบคลุมสมาร์ทคอนแทร็กต์ที่ไม่ได้รับการยืนยันทั้งหมดในบล็อกเชนได้แล้ว ผู้โจมตีที่ใช้กระบวนการเหล่านี้มีข้อได้เปรียบเชิงโครงสร้าง เพราะสามารถตรวจสอบพื้นที่ได้มากกว่าทีมป้องกันที่มอนิเตอร์กิจกรรมที่น่าสงสัย” Chainalysis กล่าว
Anthropic ยังค้นพบว่า AI สามารถทำขั้นตอนการโจมตีขั้นสูง ให้กับแฮกเกอร์ที่มีทักษะต่ำได้แล้ว ซึ่งเป็นการเพิ่มความเสี่ยงโดยรวมด้วย
ขณะเดียวกัน สมาร์ทคอนแทร็กต์ที่ไม่ได้รับการยืนยันยังรอดพ้นจากเลเยอร์ความปลอดภัยเชิงไม่เป็นทางการที่คอยปกป้องโค้ดโอเพนซอร์ส นักวิจัยสายขาวไม่สามารถอ่านโค้ดนั้นได้ และโปรโตคอลหลายตัวที่ถูกโจมตี ก็ไม่นำสมาร์ทคอนแทร็กต์เหล่านี้เข้าร่วมในโปรแกรมบั๊กบาวน์ตี้ของตนเช่นกัน
ติดตามเราได้ที่ X เพื่อรับข่าวสารล่าสุดแบบทันเหตุการณ์
กรณีแฮก Truebit เผยให้เห็นการค้นหาช่องโหว่อย่างเป็นระบบ
เหตุการณ์ใหญ่ที่สุดเกิดขึ้นเมื่อวันที่ 8 มกราคม เมื่อผู้โจมตีขโมยเงินไปจำนวน 26.2 ล้าน USD จาก Truebit สัญญาอัจฉริยะที่มีช่องโหว่นี้ถูกปล่อยไว้โดยไม่มีการยืนยันบน Ethereum (ETH) ตั้งแต่ปี 2021
ความผิดพลาดจาก integer overflow ใน bonding curve ทำให้ผู้โจมตีสามารถ mint token ได้เกือบฟรี จากนั้นนำไปเบิร์นเพื่อรับ ETH จริง นอกจากนี้ address เดียวกันนี้ก็เพิ่งขโมยเงินจาก Sparkle protocol ไป 5 ETH เมื่อสิบสองวันก่อนหน้านั้น
นี่ไม่ใช่การพบโดยบังเอิญ ผู้แฮ็กเกอร์เจาะหาช่องโหว่อย่างเป็นระบบในทั้งสัญญายืนยันและไม่ยืนยัน โดยเริ่มจากเป้าหมายเล็กแล้วขยับสู่เงินรางวัล 26 ล้าน USD และเงินที่ได้จากทั้งสองแฮ็กได้ถูกฟอกผ่าน Tornado Cash รายงานระบุเพิ่มเติม
ขณะเดียวกัน งานวิจัยของ Anthropic แสดงให้เห็นว่า AI agent สามารถเจาะสัญญาอัจฉริยะเองได้โดยอัตโนมัติเพื่อขโมยเงินหลักล้าน USD รวมถึงสัญญาที่ถูก deploy หลังข้อมูลอัปเดตล่าสุดของโมเดลด้วย ผู้เชี่ยวชาญด้านความปลอดภัยต่างเตือนแล้วว่า AI agent กำลังเหนือกว่าผู้ตรวจสอบมนุษย์ใน DeFi แต่ละแห่งอยู่
Chainalysis คาดว่ากระแสนี้จะเร็วขึ้นเมื่อเครื่องมือ decompilation ดีขึ้น และจำนวนสัญญาที่ไม่ยืนยันก็มากขึ้นทุกที โดยทางบริษัทขอให้ทุกโปรโตคอลยืนยันโค้ดทั้งหมดที่ deploy แล้วขยายขอบเขต bug bounty รวมถึงใช้การตรวจสอบธุรกรรมบล็อกเชนแบบเรียลไทม์ด้วย
สมัครรับข้อมูลช่อง YouTube ของเรา เพื่อรับชมผู้นำและนักข่าวให้ข้อมูลเชิงลึกอย่างผู้เชี่ยวชาญ
