เจ้าของสกุลเงินดิจิทัลสูญเสียทรัพย์สินจากความผิดพลาดเดียวในบล็อกเชน

เจ้าของสกุลเงินดิจิทัลสูญเสียทรัพย์สินไม่เพียงแต่หลังจากการแฮ็ก: บางครั้งเพียงแค่เส้นทางการสลับที่ไม่ถูกต้อง ข้อผิดพลาดในที่อยู่ การเลือกเครือข่ายที่ไม่ถูกต้อง หรือการอนุญาตสัญญาอัจฉริยะที่เกินความจำเป็น ก็เพียงพอที่จะทำให้การลงทุนหลายล้านดอลลาร์เกือบจะหายไปหลังจากลายเซ็นเพียงครั้งเดียว。

สกุลเงินดิจิทัลให้ผู้ใช้ควบคุมเงินได้โดยตรง แต่ในขณะเดียวกันก็โยนความรับผิดชอบเกือบทั้งหมดให้กับเจ้าของ บล็อกเชนไม่ประเมินเจตนาของมนุษย์ หากพารามิเตอร์ได้รับการยืนยัน เครือข่ายจะดำเนินการตามคำสั่งตามที่ได้ลงนาม: ส่งโทเค็นไปยังที่อยู่ที่ระบุ ทำการแลกเปลี่ยนตามสภาพคล่องที่มีอยู่ หรืออนุญาตให้สัญญาใช้สินทรัพย์。

นั่นคือเหตุผลที่ข้อผิดพลาดในอินเทอร์เฟซกระเป๋าเงินหรือแพลตฟอร์ม DeFi อาจมีค่าใช้จ่ายมากกว่าความผันผวนของตลาดทั่วไป แม้ว่าแอปในบัญชีจะยังคงมีค่า แต่หลังจากการดำเนินการที่ลงนามไม่ถูกต้อง การนำกลับมักจะเป็นไปไม่ได้แล้ว。

บ่อยครั้งที่การสูญเสียเหล่านี้เกิดจากหลายสถานการณ์: ฟิชชิง การทำให้ที่อยู่เป็นพิษ การเลือกเครือข่ายที่ไม่ถูกต้อง การอนุญาตที่ไม่ถูกต้องให้กับสัญญาอัจฉริยะ ข้อผิดพลาดในเส้นทางการสลับ และวิศวกรรมสังคม ขนาดของการสูญเสียอาจมีขนาดใหญ่: ลายเซ็นเดียวหรือที่อยู่ที่คัดลอกมาในสถานการณ์เช่นนี้ทำให้สูญเสียหลายล้านและหลายสิบล้านดอลลาร์。

ราคาของสินทรัพย์ดิจิทัลอาจลดลงไม่เพียงแต่เนื่องจากความผันผวนทั่วไป ความกดดันต่อการตลาดเพิ่มขึ้นจากการแฮ็ก ข้อห้ามจากหน่วยงานกำกับดูแล ความล้มเหลวทางเทคนิค การล้างตำแหน่งจำนวนมาก และการขาดสภาพคล่อง --- ดังนั้นข้อผิดพลาดทางเทคนิคบางครั้งจึงกลายเป็นการล่มสลายของพอร์ตการลงทุนส่วนตัวสำหรับเจ้าของ。

การสลับขนาดใหญ่สามารถทำลายราคาได้ด้วยตัวมันเอง

หนึ่งในกรณีล่าสุดเกิดขึ้นในเครือข่าย Solana ผู้ใช้พยายามแลกเปลี่ยน STONKS โทเค็นประมาณ 7.8 ล้านเหรียญซึ่งมีมูลค่าประมาณ 1.8 ล้านดอลลาร์ แต่การทำธุรกรรมผ่านเส้นทาง Raydium ที่มีสภาพคล่องต่ำมาก ในที่สุดผู้ใช้ได้รับเพียงประมาณ 26.8 RAY หรือประมาณ 25 ดอลลาร์。

จากมุมมองทางเทคนิค ทุกอย่างดำเนินไปอย่างถูกต้อง: โทเค็นถูกหักออก การแลกเปลี่ยนเกิดขึ้น ผลลัพธ์ถูกบันทึกในบล็อกเชน ข้อผิดพลาดไม่ได้อยู่ที่การทำงานของเครือข่าย แต่ที่ราคาการดำเนินการ สระสภาพคล่องไม่สามารถจัดการกับปริมาณดังกล่าวได้โดยไม่เกิดการเบี่ยงเบนอย่างรุนแรง。

เมื่อการทำธุรกรรมผ่านสระ สั่งซื้อขนาดใหญ่จะเปลี่ยนสมดุลของสินทรัพย์ภายในพวกเขา หากปริมาณการแลกเปลี่ยนมากกว่าสภาพคล่องที่มีอยู่ คำสั่งซื้อของผู้ใช้เองจะเริ่มดันราคาไปในทิศทางที่ตรงกันข้าม ในที่สุดจำนวนสุดท้ายอาจไม่สามารถเปรียบเทียบกับมูลค่าที่คำนวณได้。

เรื่องราวที่คล้ายกันนี้กลายเป็นที่สังเกตเห็นได้ชัดเจนในเดือนมีนาคม 2026 ผู้ใช้พยายามแลกเปลี่ยน USDT ประมาณ 50 ล้านดอลลาร์ใน AAVE ผ่านอินเทอร์เฟซ Aave หลังจากการทำธุรกรรมเสร็จสิ้น เขามี AAVE เพียง 324 ตัวซึ่งมีมูลค่าประมาณ 36,000 ดอลลาร์。

ในขณะเดียวกัน อินเทอร์เฟซ Aave ไม่ได้ซ่อนความเสี่ยง ผู้ก่อตั้งโครงการ Stani Kulechov อธิบายว่าระบบได้เตือนผู้ใช้เกี่ยวกับการลื่นไถลที่รุนแรงเนื่องจากคำสั่งซื้อที่ไม่ปกติขนาดใหญ่และต้องการให้ยืนยันความยินยอมต่อความเสี่ยงโดยเฉพาะ ผู้ใช้ได้ทำเครื่องหมายในจุดที่จำเป็นบนอุปกรณ์มือถือและดำเนินการต่อไป

ต่อมา นักพัฒนา Aave มาร์ติน กราบินา ชี้แจงว่าสาเหตุหลักของการสูญเสียคือผลกระทบของการทำธุรกรรมต่อราคา: คำสั่งซื้อนั้นใหญ่เกินไปเมื่อเปรียบเทียบกับสภาพคล่องที่มีอยู่。

CoW Swap ได้ประกาศว่าไม่พบหลักฐานการแฮ็กหรือการกระทำที่เป็นอันตราย การทำธุรกรรมได้ดำเนินการตามพารามิเตอร์ของคำสั่งที่ลงนามไว้ ต่อมา Aave ได้ตัดสินใจที่จะพยายามคืนเงินให้กับผู้ใช้ประมาณ 600,000 ดอลลาร์ในค่าธรรมเนียมที่ได้รับจากการทำธุรกรรมนี้

ในเดือนพฤศจิกายน 2025 เกิดข้อผิดพลาดที่คล้ายกันกับผู้ถือ Cardano เขาได้แลกเปลี่ยน ADA จำนวน 14.4 ล้านเหรียญซึ่งมีมูลค่าประมาณ 6.9 ล้านดอลลาร์เป็น USDA จำนวน 847,695 เหรียญและสูญเสียเงินประมาณ 6.05 ล้านดอลลาร์เนื่องจากขาดสภาพคล่อง ก่อนหน้านี้ กระเป๋าเงินได้ทำธุรกรรมทดสอบขนาดเล็ก แต่ไม่ได้แสดงให้เห็นว่าจะเกิดอะไรขึ้นเมื่อแลกเปลี่ยนจำนวนทั้งหมด

ที่อยู่ที่ไม่ถูกต้องทำให้การโอนกลายเป็นการสูญเสียที่ไม่สามารถเรียกคืนได้

สถานการณ์ที่อันตรายกว่านั้นคือเมื่อบล็อกเชนดำเนินการถูกต้อง แต่เงินกลับไปยังผู้รับที่ไม่ถูกต้อง ในเดือนพฤษภาคม 2024 เจ้าของ WBTC จำนวน 1155 รายซึ่งมีมูลค่าประมาณ 68 ล้านดอลลาร์กลายเป็นเหยื่อของการโจมตีที่อยู่ ซึ่งเป็นการโจมตีที่ผู้โจมตีแทรกที่อยู่ที่ดูคล้ายกับที่อยู่จริงในประวัติของกระเป๋าเงิน

แผนนี้ไม่ต้องการการขโมยกุญแจส่วนตัว ผู้โจมตีสร้างที่อยู่ที่คล้ายกันและส่งเงินจำนวนเล็กน้อยจากที่อยู่นั้นไปยังกระเป๋าเงินของเหยื่อ จากนั้นเจ้าของจะตรวจสอบเพียงแค่จุดเริ่มต้นและจุดสิ้นสุดของสตริง และคัดลอกที่อยู่ปลอมจากประวัติการทำธุรกรรมและทำการโอนเงินไปยังที่อยู่นั้น ในกรณีนี้ WBTC จำนวน 1155 รายได้ถูกส่งไปยังที่อยู่ที่ผิด และต่อมา มูลค่าของสินทรัพย์เหล่านี้ถูกประเมินประมาณ 71 ล้านดอลลาร์

ประวัติการทำธุรกรรมซึ่งหลายคนใช้เป็นการป้องกันจากการพิมพ์ผิด กลับกลายเป็นเครื่องมือในการหลอกลวงในกรณีนี้ เพียงแค่ไม่ตรวจสอบลำดับของสัญลักษณ์ทั้งหมด และเครือข่ายจะส่งสินทรัพย์ไปยังที่อยู่ที่ผู้ลงนามระบุโดยไม่มีคำถาม

บางครั้งการเกิดภัยพิบัติไม่จำเป็นต้องมีผู้โจมตีเลย ในปี 2024 ผู้ใช้ Renzo ได้สับสนที่อยู่ของกระเป๋าเงินของตนเองกับที่อยู่ของสัญญาอัจฉริยะที่เกี่ยวข้องและส่งสินทรัพย์ไปยังที่นั่นซึ่งมีมูลค่าประมาณ 25 ล้านดอลลาร์ หลังจากความพยายามที่ไม่ประสบผลสำเร็จในการเรียกคืนเงิน เขาเสนอเงิน 2.5 ล้านดอลลาร์ให้กับผู้ที่ช่วยเขากู้คืนการเข้าถึง

ไม่เพียงแต่ผู้ใช้ทั่วไปเท่านั้นที่ทำผิดพลาด Wintermute ได้ส่งที่อยู่ของกระเป๋าเงิน Ethereum ที่มีหลายลายเซ็นให้กับนักพัฒนา Optimism แต่ไม่ได้ตรวจสอบว่าพวกเขาสามารถควบคุมที่อยู่เดียวกันในเครือข่าย Optimism ได้หรือไม่ ก่อนการดำเนินการหลักมีการโอนเงินทดสอบ แต่ปัญหาได้ชัดเจนเพียงหลังจากส่ง OP จำนวน 20 ล้านเหรียญ

อันตรายอาจซ่อนอยู่ไม่เพียงแต่ในการโอน แต่ยังอยู่ในการอนุญาต

ไม่ทุกรายการสูญเสียเริ่มต้นจากการส่งโทเค็นโดยตรง ใน DeFi ผู้ใช้มักจะลงนามในอนุญาตที่อนุญาตให้สัญญาอัจฉริยะทำงานกับสินทรัพย์ของพวกเขา การอนุญาตดังกล่าวอาจยังคงมีผลใช้งานได้นานหลังจากการดำเนินการเฉพาะเสร็จสิ้น

สรุปสั้น ๆ เกี่ยวกับกรณีนี้: มกราคม 2026; การใช้ประโยชน์จากช่องโหว่ใน DEX aggregator SwapNet ซึ่งรวมเข้ากับ Matcha Meta; การสูญเสียประมาณ 13.4 ล้านดอลลาร์; สาเหตุ --- ช่องโหว่ของโปรโตคอลและการอนุญาตโดยตรงแทนที่จะเป็นการอนุญาตแบบครั้งเดียว; เกือบทั้งจำนวนประมาณ 13.34 ล้านดอลลาร์มาจากกระเป๋าเงินเดียว

นี่คือความเสี่ยงหลักของการอนุญาต การลงนามอาจไม่หักเงินทันที แต่ยังคงให้สัญญาภายนอกเข้าถึงสินทรัพย์เป็นเวลาหลายสัปดาห์หรือหลายเดือน เมื่อมีโอกาสในการใช้การอนุญาตนี้ในสัญญา เจ้าของกระเป๋าเงินอาจลืมไปนานแล้วว่าเคยออกให้

ทำไมบล็อกเชนจึงไม่ช่วยป้องกันข้อผิดพลาดของมนุษย์

กรณีทั้งหมดเหล่านี้มีสิ่งหนึ่งที่เหมือนกัน: เครือข่ายในเหตุการณ์ส่วนใหญ่ทำในสิ่งที่ได้รับมอบหมายจริง ๆ การแลกเปลี่ยนดำเนินการตามสภาพคล่องที่มีอยู่ WBTC ถูกส่งไปยังที่อยู่ที่ระบุ และสัญญาอัจฉริยะใช้การอนุญาตที่ออกไว้ล่วงหน้า

ในด้านการเงินแบบดั้งเดิม มักจะมีตัวกลางระหว่างบุคคลกับการดำเนินการชำระเงินขั้นสุดท้าย ธนาคารสามารถจำกัดจำนวนเงิน หยุดการโอนที่น่าสงสัย หรือขอการยืนยันเพิ่มเติม ในสกุลเงินดิจิทัล เจ้าของกุญแจส่วนตัวสามารถย้ายเงินหลายล้านได้ด้วยตนเอง แต่พร้อมกับตัวกลางก็จะสูญเสียการป้องกันบางส่วนจากการกระทำของตนเอง.

แม้แต่การทำธุรกรรมทดสอบก็ไม่รับประกันความปลอดภัย Wintermute ได้ทำการโอนทดสอบ โดยเหยื่อที่ถูกโจมตีได้เชื่อถือประวัติของกระเป๋าเงิน และผู้ใช้ Aave ได้ยืนยันการเตือนเกี่ยวกับการลื่นไถลที่รุนแรง Bitcoin, โทเคน DeFi หรือ Stablecoins ในแง่นี้อยู่ภายใต้หลักการเดียวกัน: ลายเซ็นของเจ้าของมีความสำคัญอย่างยิ่ง

การทำธุรกรรมขนาดใหญ่ต้องการการตรวจสอบที่เป็นอิสระหลายครั้ง

• ตรวจสอบที่อยู่ให้ครบถ้วน ไม่ใช่แค่ตัวอักษรแรกและตัวสุดท้าย
• เลือกเครือข่ายที่ถูกต้องก่อนส่งเงิน
• ประเมินจำนวนเงินที่คาดหวังที่จะได้รับก่อนยืนยันการแลกเปลี่ยน
• ตรวจสอบสภาพคล่อง โดยเฉพาะในการแลกเปลี่ยนขนาดใหญ่
• ถอนการอนุญาตของสัญญาอัจฉริยะที่ไม่จำเป็นเป็นประจำ
• ใช้กระเป๋าเงินฮาร์ดแวร์สำหรับจำนวนเงินที่มาก
• เปิดใช้งานการตรวจสอบสองขั้นตอนเมื่อมีให้บริการ
• เข้าใจแผนการฟิชชิ่งและวิศวกรรมสังคมพื้นฐาน เพื่อไม่ให้เชื่อถืออินเทอร์เฟซโดยอัตโนมัติ

ก่อนที่จะลงนาม ควรตรวจสอบไม่เพียงแต่จำนวนเงิน แต่ยังรวมถึงที่อยู่ เครือข่าย เส้นทางการแลกเปลี่ยน สภาพคล่อง และการอนุญาต: ในบล็อกเชน พารามิเตอร์เหล่านี้จะกลายเป็นคำสั่งสุดท้ายสำหรับเครือข่าย

ข้อดีหลักของการเก็บรักษาเองยังคงเป็นความเสี่ยงหลักของมัน ไม่มีใครสามารถจัดการสินทรัพย์ได้โดยไม่ได้รับความยินยอมจากเจ้าของ แต่ถ้าเจ้าของได้ลงนามในธุรกรรมที่ไม่ถูกต้องเอง การหยุดมันมักจะไม่มีใครทำได้

การควบคุมคริปโตเคอเรนซีอย่างเต็มที่หมายถึงไม่เพียงแต่เสรีภาพจากคนกลาง แต่ยังหมายถึงความสามารถในการสูญเสียเงินโดยไม่มีคนกลาง --- ด้วยลายเซ็นที่ผิดพลาดเพียงครั้งเดียว.