โปรโตคอลสะพานข้ามเชน Garden Finance ได้ระงับการให้บริการแอปทั้งหมดในเวลาท้องถิ่นวันที่ 26 กรกฎาคม หลังได้รับการแจ้งเตือนด้านความปลอดภัย บริษัทความปลอดภัยบล็อกเชน Blockaid เปิดเผยในวันเดียวกันว่า สัญญา Hashed Timelock Contract (HTLC) ของ Garden Finance มี USDT มูลค่าราว 4.5 แสนดอลลาร์ถูกโอนออก ครอบคลุม 4 เครือข่าย ได้แก่ Ethereum, Base, Arbitrum และ BNB Smart Chain โดย Blockaid ได้เปิดเผยที่อยู่ของผู้โจมตีและสัญญาที่ได้รับผลกระทบตั้งแต่การโจมตียังดำเนินอยู่ ทาง Garden Finance ระบุว่าการหยุดระบบเป็นมาตรการป้องกันเพื่อ “แยกและตรวจสอบโครงสร้างพื้นฐานที่มีปัญหา” สื่อเกาหลี Tokenpost อ้างอิงรายงานจาก Cointelegraph ระบุว่าปัญหาชี้ไปที่ชั้นสมุดบัญชี solver (ตัวจับคู่ธุรกรรม) ที่ถูกเจาะทะลุ — อ่านรายงานต้นฉบับจาก Tokenpost
มุมมองบรรณาธิการ: สิ่งที่ได้รับผลกระทบไม่ใช่ยอดเงินในบัตรของคุณ แต่คือเส้นทางเติมเงิน
ขอแบ่งเส้นแบ่งให้ชัดก่อน: นี่ไม่ใช่เหตุการณ์ของผู้ออกบัตร และไม่ใช่ปัญหาของ USDT เอง ทุนสำรองของ Tether การไถ่ถอน และสัญญาบนเครือข่าย Omni/TRC20/ERC20 ต่าง ๆ ไม่มีการเปลี่ยนแปลงใด ๆ ขนาด 4.5 แสนดอลลาร์ถือว่าเล็กในกลุ่มเหตุการณ์ประเภทสะพานข้ามเชน ไม่มากพอที่จะส่งผลกระทบที่สังเกตได้ต่อราคา USDT ในตลาดรอง
สิ่งที่เกี่ยวข้องกับผู้ใช้บัตร U อย่างแท้จริงคือ ประวัติที่มาของเงินบนเชน (provenance) เส้นทางเติมเงินของบัตรเสมือน USDT ส่วนใหญ่คือ: เอ็กซ์เชนจ์หรือกระเป๋าเงิน → โอนบนเชน → ที่อยู่ดูแลของผู้ออกบัตร หากคุณคุ้นเคยกับการใช้สะพานข้ามเชนย้ายสินทรัพย์จาก Base / Arbitrum ไปยังเครือข่ายที่ผู้ออกบัตรรองรับ (ส่วนใหญ่คือ TRC20 หรือ ERC20) เงินที่ผ่าน Garden Finance ในช่วงวันที่ 26 กรกฎาคม ในทางทฤษฎีมีโอกาสเล็กน้อยที่จะเชื่อมโยงทางอ้อมกับที่อยู่ที่ถูกตีตราไว้ ผู้ออกบัตรและสถาบันรับชำระเงินที่อยู่เบื้องหลังส่วนใหญ่ใช้ระบบคัดกรองอย่าง Chainalysis / Elliptic / TRM หากเงินเข้าที่ตรงกับเงื่อนไข “ห่างจากที่อยู่ที่ถูกตีตรา N ฮ็อป” การจัดการที่พบบ่อยที่สุดไม่ใช่การระงับบัตร แต่คือ การพักเงินเข้าชั่วคราว + ขอให้ชี้แจงที่มาของเงินเพิ่มเติม
ความคาดหวังตามช่วงเวลาที่สมเหตุสมผล:
- ภายใน 7 วัน: ต้องติดตามว่าแอปของ Garden Finance จะกลับมาใช้งานได้หรือไม่ จะประกาศแผนชดเชยหรือไม่ ผู้รวบรวมเส้นทาง (routing layer) ที่เชื่อมต่อกับสะพานนี้ เช่น 1inch, LI.FI จะถอดเส้นทางนี้ออกชั่วคราว ในช่วงนี้ไม่ควรใช้สะพานนี้ทำธุรกรรมข้ามเชน USDT
- ภายใน 30 วัน: ผู้ให้บริการคัดกรองรายใหญ่จะดำเนินการขยายการตีตราไปยังกลุ่มที่อยู่ของผู้โจมตีเสร็จสมบูรณ์ หากเงินเข้าของคุณเคยผ่านสะพานนี้ ความน่าจะเป็นที่จะถูกสอบถามจะสูงที่สุดในช่วงนี้
- ภายใน 90 วัน: ผลกระทบจะจางหายไปโดยพื้นฐาน เว้นแต่จะเกิดเหตุการณ์ซ้ำหรือมีหลักฐานว่าเงินไหลเข้าสู่มิกเซอร์และกระจายตัวในวงกว้าง
สำหรับการประเมินแต่ละบัตร: ผู้ใช้ MPCard (รุ่น Asia Elite) ที่ใช้เส้นทางเอเชียแปซิฟิกและเติมเงินตรงผ่านกระเป๋าเงินใน MPChat เป็นหลัก หากใช้เส้นทาง “ถอนจากเอ็กซ์เชนจ์ → เติมตรง” มาโดยตลอด เหตุการณ์นี้ไม่เกี่ยวข้องกับคุณ ไม่จำเป็นต้องดำเนินการใด ๆ ส่วนผู้ใช้ที่กระจายสินทรัพย์ไว้บนหลาย L2 และคุ้นเคยกับการใช้สะพานรวบรวมก่อนเติมเงิน ไม่ว่าจะถือ Bybit Card หรือ OKX Card สัปดาห์นี้แนะนำให้เปลี่ยนไปใช้การโอนภายในเอ็กซ์เชนจ์ (ไม่ต้องข้ามเชน ไม่ต้องนับฮ็อปในการคัดกรอง) แทนสะพานของบุคคลที่สาม ผู้อ่านที่ยังไม่เข้าใจว่า “เส้นทางเติมเงินส่งผลต่อบัตรได้อย่างไร” สามารถอ่านส่วนที่เกี่ยวกับที่อยู่ดูแลและการตรวจสอบเงินเข้าได้ที่ U คืออะไร
เปรียบเทียบกับอดีต: ขนาดเล็ก รวดเร็ว ตรวจสอบที่มาได้ — ครั้งนี้ต่างจากเหตุการณ์สะพานพังในปี 2022
หากมองในสายพันธุ์เหตุการณ์สะพานข้ามเชน เหตุการณ์ Ronin ปี 2022 (ราว 625 ล้านดอลลาร์), Wormhole (ราว 325 ล้านดอลลาร์), Nomad (ราว 190 ล้านดอลลาร์) ล้วนเป็นกรณี “กลุ่มผู้ตรวจสอบหรือตรรกะการตรวจสอบข้อความถูกข้ามทั้งระบบ” ขนาดเงินมากพอที่จะก่อให้เกิดเหตุการณ์สภาพคล่องระดับระบบนิเวศ ส่วนปัญหาของ Multichain ในปี 2023 คือ ผู้ดูแลระบบสูญเสียการควบคุมกุญแจส่วนตัว ทำให้สินทรัพย์ที่ข้ามเชนจำนวนมาก (รวมถึง USDT/USDC เวอร์ชันข้ามเชน) สูญเสียการรับประกันการแลกคืนจากสินทรัพย์อ้างอิง ผู้ใช้จำนวนมากเหลือแต่โทเคนที่แลกคืนไม่ได้ในมือ — นั่นต่างหากคือสถานการณ์ที่จะส่งผลกระทบถึงสินทรัพย์เติมเงินบัตร U จริง ๆ
ครั้งนี้มีความแตกต่าง 3 ประการ:
- ขนาดเล็ก 4.5 แสนดอลลาร์ไม่ก่อให้เกิดปัญหาความสามารถในการชำระหนี้ของโปรโตคอล
- สิ่งที่ถูกโจมตีคือชั้น HTLC + สมุดบัญชี solver ซึ่งเป็นชั้นความไว้วางใจด้านการบันทึกบัญชีเฉพาะของสถาปัตยกรรม intent/solver ไม่ใช่การสูญเสียกุญแจส่วนตัวของผู้ดูแล สิ่งที่ผู้ใช้ถืออยู่ไม่ใช่ “USDT ข้ามเชนที่ไม่มีสินทรัพย์อ้างอิง”
- ตอบสนองรวดเร็ว หน่วยเฝ้าระวังของบุคคลที่สามเปิดเผยที่อยู่ตั้งแต่การโจมตียังดำเนินอยู่ และทางโครงการหยุดระบบในวันเดียวกัน
ส่วนที่เหมือนเดิมคือ: สะพานข้ามเชนยังคงเป็นจุดอ่อนที่สุดของการข้ามเชนของสเตเบิลคอยน์เสมอมา สามปีผ่านไป พื้นผิวการโจมตีเปลี่ยนจากมัลติซิกและการตรวจสอบข้อความ ไปสู่ solver และสมุดบัญชีการจับคู่ธุรกรรม แต่บทสรุปไม่เปลี่ยนแปลง — ทุกครั้งที่ USDT ข้ามเชน มันกำลังเพิ่มชั้นประวัติที่อาจถูกตีตราให้กับตัวมันเองอีกชั้นหนึ่ง
มุมมองด้านการปฏิบัติตามกฎระเบียบ: พื้นที่สีเทาอยู่ตรงไหน
ในระดับกำกับดูแล เหตุการณ์นี้ไม่เกี่ยวข้องกับกฎระเบียบใหม่ใด ๆ แต่จะเสริมความแข็งแกร่งให้กับแนวโน้มที่มีอยู่แล้ว นั่นคือข้อกำหนดการสืบย้อนที่มาของเงินเข้าของ VASP กำลังขยายจาก “คู่สัญญาโดยตรง” ไปสู่ “ความเชื่อมโยงหลายฮ็อป” สำหรับข้อกำหนดการสืบที่มาของเงินภายใต้ระบบ VASP และกฎการโอนเงินของฮ่องกง สามารถดูได้ที่ คู่มือการปฏิบัติตามกฎระเบียบฮ่องกง ส่วนแนวทางที่คล้ายกันภายใต้ระบบ MAS ของสิงคโปร์สำหรับผู้ให้บริการ DPT ดูได้ที่ คู่มือการปฏิบัติตามกฎระเบียบสิงคโปร์
ขอบเขตที่ต้องพูดให้ชัด: การใช้สะพานข้ามเชนเองไม่ใช่การกระทำที่ถูกห้ามในเขตอำนาจศาลข้างต้น นี่คือพื้นที่ที่ถูกกฎหมายอย่างชัดเจน พื้นที่สีเทาอยู่ที่ — เมื่อประวัติเงินเข้าบนเชนมีความเชื่อมโยงกับที่อยู่ที่ถูกโจมตีที่ถูกตีตราต่อสาธารณะ ผู้ออกบัตร มีสิทธิ์และมีหน้าที่ ที่จะขอคำชี้แจงเพิ่มเติม และสามารถอายัดเงินเข้ารายการนั้นได้หากไม่สามารถชี้แจงได้ นี่ไม่ใช่ “การระงับบัตร” แต่หมายความว่า 200 ₮ ที่คุณเตรียมไว้ต่ออายุสมาชิกอาจติดขัดอยู่หลายวัน สิ่งที่ถูกห้ามอย่างชัดเจนมีเพียงข้อเดียว: การโอนหรือแลกเปลี่ยนเงินทั้งที่รู้อยู่แล้วว่ามาจากสินทรัพย์ที่ถูกขโมย
จุดที่ควรจับตาต่อไป
- รายงานสรุปเหตุการณ์อย่างเป็นทางการของ Garden Finance: จะเปิดเผยรายละเอียดข้อบกพร่องของสมุดบัญชี solver หรือไม่ จะจัดตั้งกองทุนชดเชยให้ผู้ใช้ที่ได้รับผลกระทบหรือไม่ (ติดตามที่ garden.finance และประกาศบนโซเชียลมีเดีย)
- การอัปเดตกลุ่มที่อยู่ของ Blockaid: ที่อยู่ของผู้โจมตีจะเข้าสู่มิกเซอร์หรือไม่ ซึ่งจะกำหนดขอบเขตการขยายการตีตรา (blockaid.io)
- ระยะเวลาในการกลับมาเปิดใช้เส้นทางของผู้รวบรวมสะพานรายใหญ่: การเปิดเส้นทางกลับมาใช้งานใหม่มักเป็นสัญญาณเชิงตลาดว่าการตรวจสอบความปลอดภัยผ่านแล้ว
- ผู้ออกบัตรจะปรับนโยบายเงินเข้าชั่วคราวหรือไม่: จากอดีต หลังเหตุการณ์ประเภทสะพานข้ามเชน ผู้ออกบัตรบางรายจะเข้มงวดการสุ่มตรวจเงินเข้าจากเชนบางแห่งเป็นการชั่วคราว (โดยเฉพาะ L2) แต่มักไม่ประกาศต่อสาธารณะ ควรสังเกตการเปลี่ยนแปลงรายการเครือข่ายในหน้าเติมเงิน
คำแนะนำจากบรรณาธิการ
ผู้ถือ MPCard ที่เติมเงินตรงจากการถอนจากเอ็กซ์เชนจ์มาโดยตลอด: ไม่จำเป็นต้องดำเนินการใด ๆ
ผู้ใช้ที่เคยข้ามเชนผ่าน Garden Finance ในช่วง 7 วันที่ผ่านมา และนำ USDT นั้นเติมเข้าบัตรเสมือนใด ๆ: ไม่จำเป็นต้องตื่นตระหนกหรือแจ้งเรื่องเอง แต่ควรเก็บภาพหน้าจอที่มาของเงินให้ครบถ้วน (บันทึกการถอนจากเอ็กซ์เชนจ์ hash ธุรกรรมของสะพาน และเวลา) หากผู้ออกบัตรสอบถาม ผู้ที่สามารถให้หลักฐานเส้นทางได้ครบในครั้งเดียวมักจะได้รับการปลดล็อกภายในไม่กี่วันทำการ
ผู้ที่วางแผนจะข้ามเชน USDT แล้วเติมเงินในสัปดาห์นี้: ให้เปลี่ยนเส้นทาง ให้ใช้การโอนภายในเอ็กซ์เชนจ์ข้ามเครือข่ายเป็นอันดับแรก หรือถอนจากเอ็กซ์เชนจ์ตามเครือข่ายที่ผู้ออกบัตรรองรับโดยตรง เก็บสะพานของบุคคลที่สามไว้สำหรับสินทรัพย์ปลายทางที่ไม่มีทางเลือกผ่าน CEX เท่านั้น โดยเฉพาะผู้อ่านที่ใช้บัตร U จ่ายค่าสมาชิกรายเดือนแบบตายตัว — การประหยัดค่าธรรมเนียมสะพานเพียงไม่กี่ดอลลาร์ แล้วทำให้ การต่ออายุ ChatGPT Plus (ราคาทางการ $20/เดือน) ติดขัดในวันตัดยอด ไม่ใช่การแลกเปลี่ยนที่คุ้มค่า
สิ่งที่ไม่ควรทำ: อย่าส่งธุรกรรมใหม่ไปยังสัญญาของ Garden Finance ก่อนที่จะมีประกาศฟื้นฟูระบบ อย่ารับความช่วยเหลือจากใครก็ตามที่อ้างว่า “จะช่วยกู้คืนสินทรัพย์จากสะพานให้คุณ” ผ่านข้อความส่วนตัว — ในอดีตทุกครั้งหลังเหตุการณ์สะพานพัง เว็บไซต์ฟิชชิ่งมักปรากฏขึ้นเร็วกว่ารายงานสรุปอย่างเป็นทางการเสมอ