แฮกเกอร์ขุดโทเค็นมูลค่า 27 ล้านดอลลาร์ แต่หลบหนีไปได้พร้อมกับเงินเพียง 132,000 ดอลลาร์จาก Meta Pool

ข้อมูลเชิงลึกที่สำคัญ:

• แฮกเกอร์ใช้ประโยชน์จากฟังก์ชันยกเลิกการเดิมพันอย่างรวดเร็วของ Meta Pool
• ขโมยไปเพียง 132,000 เหรียญฯ ทั้งที่ได้มา 27 ล้านเหรียญฯ
• สภาพคล่องและการตอบสนองที่รวดเร็วช่วยลดการสูญเสีย

แฮกเกอร์ใช้ประโยชน์จากสัญญาอัจฉริยะของ Meta Pool เพื่อสร้างโทเค็นมูลค่า 27 ล้านเหรียญสหรัฐ แต่กลับได้เพียง 132,000 เหรียญสหรัฐเท่านั้น ปัญหาสภาพคล่องและการดำเนินการอย่างรวดเร็วของทีมจำกัดความเสียหายเพิ่มเติม คาดว่าจะมีการชันสูตรพลิกศพในเร็วๆ นี้

Flash Exploit สิ้นสุดลงด้วยผลตอบแทนต่ำในขณะที่ Meta Pool รอดพ้นจากการขาดทุนครั้งใหญ่

แฮกเกอร์ สามารถใช้ประโยชน์จากช่องโหว่ในสัญญาอัจฉริยะของ Meta Pool เพื่อสร้างโทเค็น mpETH มูลค่าเกือบ 27 ล้านดอลลาร์ อย่างไรก็ตาม ความพยายามในการสูบเงินออกไปนั้นล้มเหลวเป็นส่วนใหญ่ โดยสุดท้ายแล้วมีการขโมย Ether ไปเพียงประมาณ 132,000 ดอลลาร์เท่านั้น

เหตุการณ์ดังกล่าวซึ่งเปิดเผยโดย Meta Pool เมื่อวันที่ 18 มิถุนายน เกี่ยวข้องกับการโจมตีแบบกำหนดเป้าหมายฟังก์ชัน “ยกเลิกการเดิมพันอย่างรวดเร็ว” ของโปรโตคอล ผู้โจมตีใช้ประโยชน์จากจุดบกพร่องในฟังก์ชัน ERC4626 mint() ซึ่งทำให้สามารถสร้างโทเค็นโดยไม่ได้รับอนุญาตได้ แม้จะมีโรงกษาปณ์ขนาดใหญ่ แต่สภาพตลาดและการควบคุมภายในก็จำกัดผลกระทบดังกล่าว

บริษัทด้านความปลอดภัยของบล็อคเชน PeckShield ระบุถึงช่องโหว่นี้ว่าเป็นข้อบกพร่องร้ายแรงในกลไกการสร้างเหรียญ โดยยืนยันว่าช่องโหว่นี้ทำให้ผู้โจมตีสามารถสร้าง mpETH ได้ “ฟรี” แต่อย่างไรก็ตาม การมีสภาพคล่องต่ำจะจำกัดศักยภาพในการทำกำไรอย่างมาก

สภาพคล่องและการตอบสนองอย่างชาญฉลาดช่วยปิดกั้นความเสียหายที่กว้างขึ้น

ผู้โจมตีสามารถสร้าง mpETH ได้สำเร็จจำนวน 9,705 รายการ ซึ่ง Meta Pool ระบุว่ามีมูลค่าทางทฤษฎีเกือบ 27 ล้านดอลลาร์ อย่างไรก็ตาม มีเพียง 52.5 Ether ซึ่งมีมูลค่ามากกว่า 132,000 ดอลลาร์เท่านั้นที่ถูกถอนออกจากสวอปพูลก่อนที่เส้นทางการใช้ประโยชน์จะถูกบล็อก

เครือข่ายหลัก Ethereum และพูลที่ใช้ Optimism หลายรายการได้รับผลกระทบ แต่ปริมาณการซื้อขายที่ต่ำและสภาพคล่องในสัญญาที่ถูกใช้ประโยชน์จำกัดการระบายออกเพิ่มเติม

Claudio Cossio ผู้ก่อตั้งร่วมของ Meta Pool ยืนยันการใช้ข้อบกพร่องในการยกเลิกการสเตคแบบแฟลชเพื่อสร้างโทเค็น ในโพสต์บน X เขาตั้งข้อสังเกตว่าข้อบกพร่องดังกล่าวจะข้ามระยะเวลาการรอปกติที่จำเป็นหลังจากการยกเลิกการสเตค

โดยปกติแล้ว สินทรัพย์ดิจิทัลที่ไม่ได้ถูกวางเดิมพันจะถูกล็อคไว้เป็นระยะเวลาหนึ่งก่อนที่จะพร้อมใช้งาน การยกเลิกการวางเดิมพันอย่างรวดเร็วหรือที่เรียกว่า “การยกเลิกการวางเดิมพันแบบแฟลช” ได้รับการออกแบบมาเพื่อให้เข้าถึงได้ทันทีภายใต้ข้อจำกัดเฉพาะ ในกรณีนี้ กลไกดังกล่าวจะเปิดช่องทางให้เกิดการละเมิด

Swap Pools ถูกกำหนดเป้าหมาย Ethereum Stakes ไม่ได้รับผลกระทบ

แฮกเกอร์ใช้ mpETH ที่เพิ่งสร้างขึ้นใหม่เพื่อดึงเงินจากพูลสวอปที่เลือกไว้ทั่วทั้ง Ethereum และ Optimism อย่างไรก็ตาม Meta Pool ได้ชี้แจงว่าสินทรัพย์สเตคกิ้งหลักของ Ethereum ยังคงไม่ได้รับการแตะต้อง

ทีมงานกล่าวว่า “เงิน Ethereum ที่เดิมพันไว้ทั้งหมดนั้นปลอดภัย” และเสริมว่าโหนดผู้ตรวจสอบภายใต้เครือข่าย SSV ยังคงสร้างผลตอบแทนต่อไป

บริษัทให้คำยืนยันกับผู้ใช้ว่ามีเพียงสภาพคล่องของสวอปเท่านั้นที่ได้รับผลกระทบ โครงสร้างพื้นฐานสเตกกิ้งที่กว้างขึ้นและ ETH ที่ผู้ใช้มอบหมายยังคงปลอดภัยตลอดเหตุการณ์ที่เกิดขึ้น

ขณะนี้การชันสูตรพลิกศพแบบเต็มรูปแบบกำลังดำเนินการอยู่ Meta Pool วางแผนที่จะเปิดเผยรายละเอียดโดยละเอียดภายในสองวันและดำเนินการตามแผนการกู้คืน สัญญาที่ถูกใช้ประโยชน์จะถูกระงับไว้ชั่วคราวระหว่างการสอบสวน

Meta Pool ได้ประกาศเจตนารมณ์ที่จะ “ชดใช้ทรัพย์สินที่สูญเสียไปจากเหตุการณ์นี้” และให้แน่ใจว่าผู้ใช้ “ได้รับความคุ้มครอง” ซึ่งรวมถึงการตรวจสอบสัญญาที่ได้รับผลกระทบทั้งหมดและโปรโตคอลการตรวจสอบที่ได้รับการปรับปรุงเพื่อป้องกันเหตุการณ์ดังกล่าวในอนาคต

รูปแบบที่กว้างขึ้นของการใช้ประโยชน์จากสัญญาอัจฉริยะในปี 2025

เหตุการณ์ Meta Pool เป็นส่วนหนึ่งของรายการการโจมตีโปรโตคอลคริปโตที่เพิ่มมากขึ้นในปี 2025 โปรโตคอลบล็อคเชนต้องเผชิญกับภัยคุกคามอย่างต่อเนื่อง โดยเฉพาะอย่างยิ่งผ่านตรรกะของสัญญาที่มีข้อบกพร่อง

เมื่อวันที่ 6 มิถุนายน แพลตฟอร์ม DeFi ที่ใช้ Bitcoin อย่าง Alex Protocol สูญเสียเงินไป 8.3 ล้านดอลลาร์ หลังจากเกิดช่องโหว่ในตรรกะการยืนยันการลงรายการด้วยตนเอง ทำให้ผู้ไม่หวังดีสามารถขโมยสินทรัพย์ทั้งหมดไปได้

เมื่อต้นเดือนนี้ BitoPro ซึ่งเป็นเว็บแลกเปลี่ยนคริปโตในไต้หวันได้ยืนยันเหตุการณ์ที่เกิดขึ้นอีกครั้ง ซึ่งส่งผลให้สูญเสียเงินจากกระเป๋าเงินร้อนไป 11.5 ล้านดอลลาร์ การละเมิดดังกล่าวเกิดขึ้นเมื่อวันที่ 8 พฤษภาคม แต่เพิ่งเปิดเผยต่อสาธารณะเมื่อวันที่ 2 มิถุนายน

นับตั้งแต่ปี 2025 จนถึงขณะนี้ แฮกเกอร์ได้ขโมยเงินไปแล้วมากกว่า 2.1 พันล้านเหรียญสหรัฐจากแพลตฟอร์มคริปโตต่างๆ ตามข้อมูลจาก CertiK

สัญญาอัจฉริยะยังคงเป็นพื้นผิวการโจมตีที่สำคัญ การเปลี่ยนแปลงในกลวิธีของแฮ็กเกอร์ได้เปลี่ยนจากการใช้กำลังดุร้ายไปเป็นการใช้ประโยชน์จากกรณีพิเศษและสมมติฐานที่ผิดพลาดในสถาปัตยกรรมสัญญามากขึ้น

การฟื้นฟูและการป้องกันในอนาคต

ปัจจุบัน Meta Pool ต้องเผชิญกับภารกิจในการสร้างความเชื่อมั่นของผู้ใช้ขึ้นมาใหม่ การหยุดสัญญาที่ถูกใช้ประโยชน์อย่างรวดเร็วและความเสียหายที่จำกัดน่าจะช่วยบรรเทาความกังวลของผู้ถือผลประโยชน์ได้ อย่างไรก็ตาม ทีมงานจะต้องเดินหน้าต่อไปในภูมิทัศน์หลังการโจมตีด้วยความโปร่งใส

ด้วยการสูญเสีย ETH มากกว่า 52.5 ETH และโทเค็นมูลค่า 27 ล้านดอลลาร์ที่ถูกสร้างขึ้นชั่วครู่ภายใต้การควบคุมที่เป็นอันตราย เหตุการณ์ดังกล่าวจึงเน้นย้ำถึงความสำคัญของการตรวจสอบโค้ดที่เข้มงวดและการติดตามแบบเรียลไทม์

บริษัทกล่าวว่าระบบตรวจจับในระยะเริ่มต้นของตน “สามารถระบุความผิดปกติได้สำเร็จ” ช่วยให้วิศวกรตอบสนองได้อย่างรวดเร็ว การตอบสนองดังกล่าวอาจป้องกันไม่ให้การโจมตีลุกลามไปสู่เหตุการณ์การชำระบัญชีที่กว้างขวางขึ้น

คาดว่าจะมีการตรวจสอบเต็มรูปแบบและการป้องกันที่อัปเดตตามมา ในขณะเดียวกัน สัญญา mpETH ที่ถูกระงับยังคงอยู่ระหว่างการพิจารณาในขณะที่ Meta Pool พยายามให้มั่นใจว่ามีการป้องกันผู้ใช้ในระยะยาว

การปฏิเสธความรับผิดชอบ

บทความนี้มีไว้เพื่อจุดประสงค์ในการให้ข้อมูลเท่านั้น และไม่ได้ให้คำแนะนำทางการเงิน การลงทุน หรือคำแนะนำอื่นใด ผู้เขียนหรือบุคคลใดๆ ที่กล่าวถึงในบทความนี้จะไม่รับผิดชอบต่อการสูญเสียทางการเงินใดๆ ที่อาจเกิดขึ้นจากการลงทุนหรือการซื้อขาย โปรดทำการค้นคว้าก่อนตัดสินใจทางการเงินใดๆ