เครือข่ายไซด์เชนบิทคอยน์ของ Blockstream เจอช่องโหว่ซอฟต์แวร์เล่นงานจนเงินสำรอง 95% หายวับไปกับตาภายในเวลาไม่ถึงครึ่งชั่วโมง ความเสียหายทะลุหมื่นล้านบาท คนร้ายทิ้งข้อความอ้างเจตนาดี แต่ผู้บริหารระดับสูงของ Ledger ยังส่ายหน้าไม่เชื่อ
วันเสาร์ที่ 6 กันยายน 2569 เวลาประมาณ 21.05 น. ตามเวลาไทย ระบบ Liquid Network เครือข่ายไซด์เชนที่สร้างต่อยอดจากบิทคอยน์โดยบริษัท Blockstream ทำวงการคริปโตขนหัวลุก เมื่อบิทคอยน์เกือบ 4,000 เหรียญ หรือคิดเป็นเงินราว 320 ล้านดอลลาร์สหรัฐ (ประมาณ 10,500 ล้านบาท) ไหลออกจากกระเป๋ากลางของเครือข่ายภายในธุรกรรมเดียว เหลือเงินสำรองอยู่ไม่ถึง 200 เหรียญจากที่เคยมีอยู่ราว 4,200 เหรียญ
ตัวเลขนี้ไม่ใช่ตัวเลขเล็ก ๆ และไม่ใช่เหตุการณ์ธรรมดา เพราะสิ่งที่เกิดขึ้นคือคลังสำรองเกือบทั้งหมดที่ค้ำประกันเหรียญ L-BTC ทุกเหรียญที่หมุนเวียนอยู่ในระบบ หายไปในพริบตา
ไทม์ไลน์หายนะ 23 นาทีที่เขย่าวงการคริปโต
จากข้อมูลที่ Blockstream และแพลตฟอร์มพันธมิตรอย่าง SideSwap เปิดเผยตรงกัน เหตุการณ์เริ่มต้นเวลา 14.05 น. ตามเวลาสากล (UTC) เมื่อมีผู้ใช้รายหนึ่งส่งเหรียญ L-BTC จำนวน 4,000 เหรียญเข้าสู่บริการ peg-out ของ SideSwap ซึ่งเป็นช่องทางมาตรฐานสำหรับแลกเหรียญ L-BTC กลับเป็นบิทคอยน์จริงบนเครือข่ายหลัก ระบบตรวจสอบผ่านหมด ธุรกรรมดูถูกต้องทุกประการ
23 นาทีถัดมา เวลา 14.28 น. UTC เครือข่าย Liquid จ่ายบิทคอยน์จริงจำนวน 3,996.018 เหรียญ ออกจากกระเป๋ากลางไปยังที่อยู่ของผู้ใช้รายนั้นโดยอัตโนมัติ ตามขั้นตอนปกติทุกประการ ไม่มีสัญญาณเตือนใด ๆ ดังขึ้น เพราะในทางเทคนิคแล้ว นี่คือธุรกรรมที่ “ถูกต้อง” ตามกฎของระบบ
Liquid รับรู้ความผิดปกติภายหลังจากนั้น และตัดสินใจปิดการทำงานของ bridge node ทันที เพื่อสกัดไม่ให้มีธุรกรรมใหม่เข้าระบบ พร้อมแจ้งเตือนบรรดาเอ็กซ์เช้นจ์ที่รองรับ L-BTC ให้ระงับการฝากถอนเป็นการชั่วคราว สินทรัพย์อื่นที่ออกบนเครือข่าย Liquid เช่น USDT เวอร์ชันบนไซด์เชน เหรียญ DePix และโทเคนสินทรัพย์โลกจริง ยืนยันว่าไม่ได้รับผลกระทบ
สิ่งที่เกิดขึ้นไม่ใช่การขโมยกุญแจ แต่เป็นการ “ปลอมเงิน” ผ่านช่องโหว่ในโค้ด
จุดที่ทำให้เรื่องนี้น่าตกใจยิ่งกว่าตัวเลขความเสียหาย คือวิธีการ
Liquid ทำงานภายใต้โมเดล federation หรือ “สหพันธ์” ที่มีองค์กรสมาชิกกว่า 87 แห่งทั่วโลกร่วมกำกับดูแล โดยมีผู้ลงนามหมุนเวียน 15 รายที่ถือกุญแจควบคุมการอนุมัติธุรกรรม และต้องใช้ลายเซ็นอย่างน้อย 11 ใน 15 ราย ถึงจะปล่อยบิทคอยน์ออกจากกระเป๋ากลางได้ ฟังดูรัดกุมแน่นหนา แต่ครั้งนี้ไม่มีใครต้องขโมยกุญแจแม้แต่ดอกเดียว
SideSwap ยืนยันว่า Peg-out Authorization Key หรือกุญแจอนุมัติการถอนเงินของตนเองไม่ได้ถูกแฮก ระบบของตนทำงานตามปกติทุกขั้นตอน ปัญหาที่แท้จริงซ่อนอยู่ลึกกว่านั้น นั่นคือช่องโหว่ในซอฟต์แวร์โอเพนซอร์สชื่อ Elements ซึ่งเป็นแกนกลางที่ขับเคลื่อนทั้งเครือข่าย Liquid
ขณะที่รายงานเชิงเทคนิคที่ทยอยเปิดเผยระบุตรงกันว่า ต้นตออยู่ที่ระบบตรวจสอบธุรกรรมแบบปกปิดข้อมูล (Confidential Transactions) ของ Liquid ซึ่งใช้กลไกที่เรียกว่า range proof ในการยืนยันว่าจำนวนเหรียญที่ซ่อนอยู่ในธุรกรรมนั้นถูกต้อง เพื่อประหยัดเวลาประมวลผล ระบบจะแคชผลตรวจสอบที่ผ่านแล้วเก็บไว้ใช้ซ้ำ แต่กุญแจของแคชนั้นถูกออกแบบมาหลวมเกินไป ไม่ได้ผูกกับชนิดสินทรัพย์หรือสคริปต์ปลายทางให้แน่นหนา ผลคือมีช่องให้นำ proof ที่เคยผ่านการตรวจสอบมาแล้วมาใช้ซ้ำได้ กลายเป็นการสร้างเหรียญ L-BTC ขึ้นมาลอย ๆ โดยไม่มีบิทคอยน์จริงหนุนหลังแม้แต่เหรียญเดียว
พูดง่าย ๆ คือ คนร้ายไม่ได้ปล้นตู้เซฟ แต่พิมพ์เช็คปลอมที่ธนาคารเองก็มองไม่ออกว่าปลอม แล้วเดินเข้าไปขึ้นเงินสดจริงออกมาตามระเบียบทุกขั้นตอน
ที่น่าหงุดหงิดยิ่งกว่านั้นคือ มีรายงานว่าโค้ดแก้ไขช่องโหว่นี้ถูกส่งเข้า repository ของ Elements ไปแล้วล่วงหน้าหลายวันก่อนเกิดเหตุ แต่ยังไม่ได้ถูกปล่อยใช้งานจริงบนโหนดทั้งหมดของเครือข่าย ถ้าข้อมูลนี้ถูกต้อง นี่คือกรณีคลาสสิกของ “รู้ปัญหาอยู่แล้ว แต่แก้ไม่ทัน”
อ้างเป็น “แฮกเกอร์หมวกขาว” ของจริง หรือแค่แอ็คหล่อ ๆ
หลังโอนเงินสำเร็จ ผู้ก่อเหตุรวบรวมบิทคอยน์ทั้งหมดไปไว้ในกระเป๋าเดียว พร้อมทิ้งข้อความบนบล็อกเชนสั้น ๆ ว่า “we are whitehats. contact us on chain” ประกาศตัวเป็นแฮกเกอร์ฝ่ายธรรมะที่แค่อยากชี้ช่องโหว่ให้เห็น
ตามการเปิดเผยของ Alex Thorn หัวหน้าฝ่ายวิจัยของ Galaxy Digital ระบุว่า Blockstream ตอบโต้ด้วยการส่งข้อความบนเชนกลับไปพร้อมลายเซ็นดิจิทัลยืนยันตัวตน เปิดช่องทางสื่อสารผ่านธุรกรรมขนาดเล็กและข้อความเข้ารหัส PGP ฝ่ายผู้ก่อเหตุตอบกลับว่าจะคืนเงิน “ส่วนใหญ่” ให้ แต่มีเงื่อนไข คือ Blockstream ต้องแก้ไขช่องโหว่ให้เรียบร้อยและอัปเดตทุกโหนดในเครือข่ายก่อน พร้อมส่งรายละเอียดทางเทคนิคของบั๊กแบบเข้ารหัสให้ทีมงานไปตรวจสอบด้วย
ฟังดูเหมือนเรื่องราวแฮกเกอร์ใจดีทั่วไป แต่ไม่ใช่ทุกคนที่ซื้อเรื่องนี้
Charles Guillemet ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ Ledger บริษัทกระเป๋าฮาร์ดแวร์รายใหญ่ของโลก ออกมาตั้งคำถามตรง ๆ ว่าพฤติกรรมแบบนี้ไม่ใช่วิธีที่นักวิจัยด้านความปลอดภัยตัวจริงพึงกระทำ เพราะแฮกเกอร์หมวกขาวโดยหลักปฏิบัติสากลจะแจ้งช่องโหว่ก่อนที่จะลงมือ ไม่ใช่โกยเงินออกมาเก็บไว้ก่อนแล้วค่อยเปิดเจรจาทีหลัง เขายกกรณีสะพาน Ronin ที่ถูกแฮกไปกว่า 600 ล้านดอลลาร์เมื่อปี 2565 และกรณี Euler Finance ที่เงินถูกดึงออกไปเกือบ 200 ล้านดอลลาร์เมื่อปี 2566 ก่อนจะได้คืนหลังการเจรจา มาเป็นบทเรียนเปรียบเทียบ ย้ำว่าคำอธิบายทางประวัติศาสตร์เหล่านั้นไม่ได้พิสูจน์ว่าครั้งนี้เป็นเจตนาร้าย แต่ก็ไม่ได้ยืนยันว่าเป็นเจตนาดีเช่นกัน
จนถึงเช้าวันจันทร์ที่ 7 กันยายน ตามเวลาสากล เงินก้อนนี้ยังคงนอนนิ่งอยู่ในกระเป๋าของผู้ก่อเหตุ ไม่มีการโอนคืนแม้แต่บาทเดียว ไม่มีการเปิดเผยตัวตน ไม่มีการระบุว่า “ส่วนใหญ่” ที่จะคืนคิดเป็นกี่เปอร์เซ็นต์ และไม่มีกำหนดเส้นตายใด ๆ ทั้งสิ้น
ทำไมเรื่องนี้ถึงน่ากลัวกว่าตัวเลขความเสียหาย
ประเด็นที่นักลงทุนคริปโตควรจดจำให้ขึ้นใจคือ ระบบมัลติซิกที่ต้องใช้ลายเซ็นหลายฝ่ายอย่าง Liquid ถูกโฆษณามาตลอดว่าปลอดภัยกว่าการฝากเงินไว้กับเอ็กซ์เช้นจ์เดียว เพราะไม่มีใครคนเดียวควบคุมเงินได้ทั้งหมด แต่เหตุการณ์ครั้งนี้พิสูจน์ว่า หากบั๊กซ่อนอยู่ในชั้นตรรกะที่ตรวจสอบความถูกต้องของธุรกรรมเอง ต่อให้มีผู้ลงนามกี่สิบราย ทุกคนก็จะเซ็นอนุมัติธุรกรรมปลอมนั้นอย่าง “ถูกต้องตามกระบวนการ” โดยไม่รู้ตัว เพราะระบบเองบอกว่ามันถูกต้อง
นี่คือความต่างสำคัญระหว่างการโดนขโมยกุญแจ ซึ่งแก้ได้ด้วยการเพิกถอนกุญแจ กับความบกพร่องเชิงตรรกะระดับโปรโตคอล ซึ่งต้องรื้อและแพตช์กันทั้งระบบ และไม่มีใครรับประกันได้ว่าจะไม่มีช่องโหว่แบบเดียวกันซ่อนอยู่ที่อื่นอีก
ความวายป่วงที่เกิดขึ้น ไม่ใช่เคสแรกของปี วงการคริปโตปี 2569 เละไม่หยุด
เหตุการณ์นี้เกิดขึ้นท่ามกลางกระแสข่าวช่องโหว่และการเจาะระบบมูลค่ามหาศาลที่ถล่มวงการคริปโตต่อเนื่องตลอดปี 2569 สื่อการเงินหลายสำนักตั้งข้อสังเกตตรงกันว่า นี่คือหนึ่งในเหตุการณ์ความปลอดภัยล่าสุดในชุดเหตุการณ์ที่ทำให้ความเชื่อมั่นในโครงสร้างพื้นฐานคริปโตสั่นคลอนซ้ำแล้วซ้ำเล่า และ Liquid ที่เปิดให้บริการมาตั้งแต่ปี 2561 โดยถือเป็นหนึ่งในไซด์เชนบิทคอยน์รุ่นบุกเบิกที่อยู่ในวงการมานาน ก็ไม่ได้รอดพ้นสายตาคนร้ายไปได้
ข้อควรรู้ อย่าสับสนชื่อ สำหรับนักลงทุนไทยที่ค้นหาข้อมูลย้อนหลัง ต้องแยกให้ออกว่า Liquid Network ของ Blockstream ในข่าวนี้ ไม่ใช่หน่วยงานเดียวกับเอ็กซ์เช้นจ์ซื้อขายคริปโตชื่อ Liquid.com หรือ Liquid Global ที่เคยถูกแฮกสูญเงินกว่า 97 ล้านดอลลาร์เมื่อปี 2564 ทั้งสองเป็นกิจการคนละประเภท คนละเจ้าของ เพียงแต่บังเอิญใช้ชื่อ “Liquid” เหมือนกันเท่านั้น
สถานะล่าสุด ณ ขณะนี้ เครือข่าย Liquid ยังคงปิดการทำงานชั่วคราว เอ็กซ์เช้นจ์ที่รองรับ L-BTC ยังระงับการฝากถอน Blockstream ยังไม่ประกาศเวอร์ชันแพตช์อย่างเป็นทางการ และยังไม่มีกำหนดว่าจะเปิดระบบกลับมาให้บริการเมื่อใด ผู้ถือ L-BTC หลายพันรายทั่วโลกได้แต่รอลุ้นว่าเงินหมื่นล้านบาทก้อนนี้จะได้กลับคืนสู่ระบบเมื่อไหร่ และจะได้คืนครบหรือไม่
บทเรียนที่ชัดเจนที่สุดสำหรับนักลงทุนในภูมิภาคอาเซียนรวมถึงไทย คือคำว่า “กระจายความเสี่ยงด้วยมัลติซิก” ไม่ได้แปลว่าปลอดภัยร้อยเปอร์เซ็นต์เสมอไป ตราบใดที่สินทรัพย์ดิจิทัลยังพึ่งพาโค้ดที่มนุษย์เขียนขึ้น ช่องโหว่ก็ยังมีโอกาสเกิดขึ้นได้เสมอ ไม่ว่าเครือข่ายนั้นจะมีชื่อเสียงหรือดำเนินงานมานานแค่ไหนก็ตาม