การโจมตี Stake DAO เมื่อวันพุธที่ผ่านมาส่งผลให้กุญแจ deployer บน Arbitrum ของโปรโตคอลถูกเจาะ ขณะที่ผู้โจมตีได้ทำการสร้างเหรียญ Vote-Boosted sdCRV (vsdCRV) ปลอมราว 5.4 ล้านล้านเหรียญ ก่อนจะนำไปแลกเป็นอีเธอร์ผ่านตัว router สาธารณะ
การละเมิดครั้งนี้สามารถข้ามผ่านมาตรการควบคุมของสมาร์ทคอนแทรกต์ทั้งหมดได้ โดยมีกุญแจส่วนตัวเพียงดอกเดียวที่มีสิทธิพิเศษเป็นต้นเหตุการสูญเสียครั้งใหญ่ใน DeFi หลายร้อยล้าน USD ในปีนี้
วิธีการเกิดเหตุ Stake DAO โดนโจมตี
การแจ้งเตือนบนเชนจาก Blockaid ได้ติดตามความเคลื่อนไหวว่าการละเมิดนี้มีต้นตอมาจากกระเป๋า deployer ของ Stake DAO โดยผู้โจมตีใช้กุญแจดังกล่าวเปลี่ยนคอนฟิก peer ของ LayerZero v2 bridge สำหรับ vsdCRV ใหม่
ประมาณ 25 วินาทีต่อมา ข้อความ cross-chain ที่ถูกปลอมแปลงก็เริ่มต้นสร้างเหรียญ vsdCRV จำนวน 5.4 ล้านล้านเหรียญบน Arbitrum
ผู้โจมตีเทเหรียญเหล่านั้นเพื่อแลกเป็นอีเธอร์ ผ่าน router สาธารณะของ MetaMask ทั้งนี้ไม่พบบั๊กในสมาร์ทคอนแทรกต์เลย
น่าสังเกตว่ามีการเอ็กซ์พลอยต์ล่าสุดของ LayerZero บน KelpDAO ที่เกิดจากการตั้งค่า peer ผิดลักษณะใกล้เคียงกัน
รูปแบบการละเมิดกุญแจที่คุ้นเคย
เหตุการณ์ Stake DAO ครั้งนี้เกิดขึ้นคล้ายกับกรณี Wasabi Protocol ช่วงเดือนเมษายน โดยกระเป๋า deployer ที่ถูกเจาะสามารถถอนเงินประมาณ 4.5 ล้าน USD จากวอลต์บน 4 เชน
Drift Protocol สูญเสีย 285 ล้าน USD บน Solana ในเดือนเดียวกัน Arbitrum ก็แช่แข็ง KelpDAO หลังเกิดการเจาะ bridge มูลค่า 292 ล้าน USD ไม่กี่สัปดาห์ถัดมา
โปรโตคอลแต่ละแห่งต่างผ่านการตรวจสอบ (audit) มาแล้วทั้งสิ้น แต่ปัญหาอยู่ที่การควบคุมกุญแจ ไม่ใช่ตัวโค้ด ซึ่งกุญแจเหล่านี้มีสิทธิในการตั้งค่าคู่เชื่อม bridge หรืออัปเกรดการทำงาน Resolv เคยถูก mint เหรียญ 80 ล้าน USD จากกรณีเช่นเดียวกันช่วงต้นปีนี้
คำถามที่ DeFi ต้องหาคำตอบในปี 2026 ไม่ใช่แค่โปรโตคอลจะตรวจสอบ audit หรือไม่ เพราะเกือบทุกแห่งก็ตรวจสอบกันหมดแล้ว แต่คือกุญแจปฏิบัติการที่อยู่เบื้องหลังสัญญาเหล่านั้น… ควรจะยังถูกเก็บไว้เป็นไฟล์เดียวบนแล็ปท็อปเครื่องเดียวอีกหรือไม่ Shalev Keren ผู้ร่วมก่อตั้ง Sodot กล่าวกับ BeInCrypto และเสริมอีกว่าการ audit ไม่ใช่คำตอบหลักอีกต่อไป
สำหรับ Stake DAO และโปรโตคอลรายอื่น ระบบ multisig wallet ต้องถูกนำมาคั่นระหว่างกุญแจ deployer กับการ mint ปลอม มิเช่นนั้น การถูกเจาะของ แพลตฟอร์ม DeFi ในครั้งถัดไป จะย้อนกลับไปหาคอมพิวเตอร์เครื่องเดียว ไม่ใช่จุดบกพร่องของโค้ด
