แวดวงสินทรัพย์ดิจิทัลเผชิญแรงสั่นสะเทือนรอบใหม่ หลังนักลงทุนรายหนึ่งถูกโจมตีด้วยเทคนิค Same Block Backrun Extraction บนเครือข่ายอีเธอเรียม สูญเสียเงินกว่า 2 ล้านดอลลาร์ภายในเสี้ยววินาที ตอกย้ำความเสี่ยงของช่องโหว่ในตรรกะสัญญาอัจฉริยะที่เปิดทางให้บอตจอมฉวยโอกาสใช้กลไก MEV ดูดมูลค่าจากธุรกรรม ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยระบุว่าเหตุการณ์นี้ไม่ใช่การทำกำไรตามปกติ หากแต่เป็นการยกระดับการโจมตีที่อาศัยข้อผิดพลาดของการเขียนโค้ดต้นทาง ผนวกกับความซับซ้อนของการเรียงลำดับธุรกรรมในเมมพูล
เวลา 14:32 น. ตามเวลามาตรฐานสากล ของวันที่ 6 มกราคม 2568 บล็อกหมายเลข 19,236,401 บนเครือข่ายอีเธอเรียมได้บันทึกเหตุการณ์ที่สั่นคลอนความเชื่อมั่นของเทรดเดอร์ในระบบนิเวศการเงินกระจายศูนย์ (DeFi) เอาไว้ การโจมตีที่ถูกขนานนามว่า Same Block Backrun Extraction ได้ดูดกลืนสินทรัพย์ดิจิทัลมูลค่ากว่า 2 ล้านดอลลาร์ไปจากกระเป๋าเงินของนักลงทุนปริศนาภายในบล็อกเดียว โดยปราศจากช่องทางให้โต้ตอบหรือกู้คืน
รายงานข่าวจาก Cointelegraph โดย ทอม มิตเชลฮิล (Tom Mitchelhill) ระบุว่าผู้เสียหายในเหตุการณ์นี้คือกระเป๋าเงินซึ่งมีจุดเริ่มต้นตัวอักษร “0x9b…” ได้ดำเนินธุรกรรมสวอปโทเคนจำนวนมากผ่านแพลตฟอร์มแลกเปลี่ยนแบบไร้ตัวกลางแห่งหนึ่ง ด้วยการตั้งค่าความคลาดเคลื่อนของราคาที่หลวมผิดปกติ เปิดช่องให้ผู้ไม่หวังดีใช้บอตตรวจหาธุรกรรมภายในเมมพูลและสอดแทรกธุรกรรมของตนเองเข้าไปในตำแหน่งต่อท้ายทันทีภายในบล็อกเดียวกัน ก่อนจะดึงมูลค่าส่วนเกินออกจากสมการสวอปได้สำเร็จ
การโจมตีรูปแบบนี้มีกลไกแตกต่างจาก Sandwich Attack แบบดั้งเดิม ซึ่งต้องอาศัยธุรกรรมประกบทั้งหน้าและหลัง นักวิเคราะห์จากเพ็กชีลด์ (PeckShield) บริษัทตรวจสอบความปลอดภัยบล็อกเชน ให้ความเห็นผ่านช่องทาง X ว่า “สิ่งที่เกิดขึ้นไม่ใช่เพียงการกวาดมูลค่าจากความคลาดเคลื่อนของราคาเท่านั้น แต่ผู้โจมตีสามารถอาศัยตรรกะของฟังก์ชันในสัญญาอัจฉริยะของเหยื่อที่เขียนเอาไว้หละหลวม โดยเฉพาะกลไก callback ที่อนุญาตให้บุคคลภายนอกเข้ามาเรียกใช้และถ่ายเทสินทรัพย์ออกไปได้ทันทีหลังการสวอป”
จุดเปราะบางของเหยื่อจึงไม่ได้จำกัดอยู่แค่ slippage ที่ตั้งไว้สูง หากแต่รวมถึงการอนุญาตให้สัญญาต้นทางสามารถถูกเรียกซ้ำโดยไม่มีข้อจำกัดเรื่องสิทธิ์การเข้าถึง พฤติการณ์เช่นนี้ทำให้เอเยนต์อัตโนมัติของฝ่ายโจมตีสามารถฝังธุรกรรม backrun เข้าไปในลำดับการประมวลผลของบล็อกเดียวกัน และใช้อำนาจในการถอนสภาพคล่องที่หลงเหลืออยู่หรือดึงโทเคนคู่สวอปส่วนเกินออกจากพูลทันทีที่ราคาถูกผลักให้เคลื่อนตัว
ข้อมูลบนเชนยืนยันตัวเลขความเสียหายที่ 1,943 อีเธอร์ หรือประมาณ 2.04 ล้านดอลลาร์ตามราคาตลาดขณะเกิดเหตุ เหยื่อสูญเสียสถานะในโทเคนคู่สวอปไปเกือบทั้งจำนวนโดยไม่เหลือมูลค่าให้กอบกู้ ขณะที่ผู้โจมตีจัดการฟอกธุรกรรมผ่านธุรกรรมหลายทอดภายในเวลาไม่ถึง 12 วินาที ซึ่งเป็นช่วงอายุเฉลี่ยของหนึ่งบล็อกอีเธอเรียม
ปรากฏการณ์นี้จุดชนวนให้เกิดการถกเถียงในแวดวงวิศวกรรมบล็อกเชนว่าด้วยเส้นแบ่งระหว่าง Maximum Extractable Value (MEV) กับการขโมย นักวิเคราะห์บางส่วนยืนกรานว่าการใช้ backrun เพื่อดึงมูลค่าจากความผิดพลาดของโค้ดนั้นคือรูปแบบหนึ่งของ MEV Exploit ซึ่งควรถูกจัดว่าเป็นการกระทำที่ผิดจริยธรรมและเข้าข่ายการโจมตีเชิงโครงสร้าง แตกต่างจากพฤติกรรมนักทดสอบทฤษฎีทั่วไปที่อาศัยความเร็วในการประมวลผล แต่ไม่ได้เจาะจงใช้ประโยชน์จากจุดอ่อนของสัญญาคู่สัญญา
“สิ่งที่เราเห็นไม่ใช่กลยุทธ์ทำกำไรโดยชอบ แต่คือการที่ผู้โจมตีรู้ล่วงหน้าว่าธุรกรรมของอีกฝั่งหนึ่งมีข้อผิดพลาดทางตรรกะ และจงใจวางตำแหน่งธุรกรรมของตัวเองเพื่อรีดทรัพย์จากความผิดพลาดนั้น” มีคาห์ วิลสัน (Micah Wilson) นักวิจัยอาวุโสด้าน MEV จาก Flashbots กล่าวในการให้สัมภาษณ์พิเศษ ความเห็นดังกล่าวสอดคล้องกับรายงานทางเทคนิคที่ระบุว่าสัญญาอัจฉริยะของเหยื่อขาด modifier ที่จะป้องกันการเรียกซ้ำฟังก์ชันถอนสินทรัพย์หลังการสวอป ทำให้ผู้โจมตีสามารถยิงธุรกรรมแบบ backrun เพื่อเรียกฟังก์ชันดังกล่าวด้วยอาร์กิวเมนต์ที่ถูกจัดเตรียมไว้ล่วงหน้า
ด้านทีมพัฒนา Uniswap ซึ่งเป็นโครงสร้างพื้นฐานของแพลตฟอร์มที่เกิดเหตุ ได้ออกแถลงการณ์ย้ำว่า “ตัวโพรโทคอลหลักไม่ได้มีช่องโหว่ ปัญหาเกิดจากการเขียนสัญญาภายนอกที่โต้ตอบกับเราเตอร์ของ Uniswap โดยปราศจากมาตรการรักษาความปลอดภัยขั้นพื้นฐาน” พร้อมแนะนำให้นักพัฒนาทุกกลุ่มทำการตรวจสอบตรรกะของโค้ดที่เกี่ยวกับการโอนสินทรัพย์และการโต้ตอบกับสภาพคล่องอย่างถี่ถ้วน โดยเฉพาะฟังก์ชันที่เปิดให้มีการเรียกจากภายนอก
เหตุการณ์ครั้งนี้ยังสะท้อนภาพความเปราะบางของกระเป๋าเงินและสัญญาอัตโนมัติที่นักเทรดรายใหญ่ใช้งานกันอย่างแพร่หลาย แม้เมกะเทรนด์ MEV จะมีบทบาทในการสร้างรายได้ให้กับผู้ตรวจสอบบล็อกและนักค้นหามูลค่า แต่วิกฤตศรัทธาที่เกิดจากการโจมตีในลักษณะ backrun extraction ครั้งนี้ อาจเร่งให้เกิดการผลักดันนโยบายควบคุมพฤติกรรมที่ไม่เป็นธรรมในชั้นเมมพูลอย่างจริงจัง โดยเฉพาะการใช้บอตที่ตั้งโปรแกรมให้ตรวจจับธุรกรรมซึ่งมีลายเซ็นชี้ว่ากำลังจะผิดพลาดและเข้าเก็บเกี่ยวประโยชน์จากความผิดพลาดนั้นในระดับบล็อก
ในมุมของเทรดเดอร์ ความสูญเสีย 2 ล้านดอลลาร์ในบล็อกเดียวคือเสียงสัญญาณเตือนที่ดังสนั่นหวั่นไหว ผู้เล่นในตลาดกำลังตั้งคำถามถึงเสถียรภาพของระบบที่ไม่เพียงแต่ต้องเผชิญกับความผันผวนของราคาเท่านั้น แต่ยังต้องแบกรับภัยคุกคามจากนักล่ารหัสบนเชนที่พร้อมจะใช้ทุกกลไกทางเทคนิคเพื่อดูดซับมูลค่าออกจากมือของผู้ที่เผลอเรอ
ในอีกด้านหนึ่ง นักวิจัยด้านการรักษาความปลอดภัยไซเบอร์ฟิสิคัลต่างออกมาเรียกร้องให้เกิดการสร้างมาตรฐานบังคับสำหรับการตรวจสอบสัญญาที่เชื่อมต่อกับแหล่งสภาพคล่องขนาดใหญ่ โดยเฉพาะข้อกำหนดห้ามเปิดฟังก์ชันอ่อนไหวไว้แบบสาธารณะโดยไม่มีตัวกรองผู้เรียกใช้ แนวคิดนี้ได้รับการสนับสนุนจากกลุ่มพันธมิตรผู้ให้บริการกระเป๋าเงิน ซึ่งอยู่ระหว่างการร่างข้อเสนอ Ethereum Improvement Proposal (EIP) เพื่อให้มีการแยกชั้นการตรวจสอบสิทธิ์ของฟังก์ชันภายนอกออกจากธุรกรรมสวอปปกติ
โดยสรุป การโจมตี Same Block Backrun Extraction ครั้งนี้ไม่ใช่แค่ความสูญเสียทางการเงินของบุคคลคนเดียว แต่คือหลักฐานชั้นดีที่เผยให้เห็นว่าโครงสร้างพื้นฐานของ DeFi ยังคงมีช่องว่างระหว่างความซับซ้อนของกลไก MEV กับความปลอดภัยของนักลงทุนรายย่อยและรายใหญ่ ความรวดเร็วของการโจมตี ความแม่นยำของบอต และความเปราะบางจากความผิดพลาดเพียงบรรทัดเดียวของโค้ด ล้วนผสมผสานกันเป็นภัยคุกคามที่พร้อมจะล้างพอร์ตใครก็ตามที่มองข้ามความรัดกุมในการออกแบบสัญญาอัจฉริยะ
อย่างไรก็ตามนักลงทุนควรจับตาว่าแรงกดดันจากภาคนโยบายและผู้พัฒนาแกนหลักจะนำไปสู่การออกแบบมาตรการควบคุม MEV ที่เข้มข้นขึ้นหรือไม่ เพราะหากปล่อยให้ระบบยังเปิดทางให้ผู้เล่นที่มีทรัพยากรเหนือกว่าสามารถยึดครองมูลค่าผ่านช่องโหว่ทางเทคนิคได้เฉกเช่นนี้ ภาพฝันของโลกการเงินที่ยุติธรรมและเท่าเทียมบนบล็อกเชนก็จะยิ่งเลือนรางลงไปทุกขณะ