KelpDAO โปรโตคอลการเงินแบบกระจายศูนย์ ถูกโจมตีด้วยการขโมยเงินจำนวน 293 ล้านดอลลาร์สหรัฐ ซึ่งถือเป็นการโจมตีครั้งใหญ่ที่สุดครั้งหนึ่งในประวัติศาสตร์ของ DeFi การโจมตีครั้งนี้ส่งสัญญาณถึงการเปลี่ยนแปลงที่น่ากังวล: ภัยคุกคามด้านความปลอดภัยที่ใหญ่ที่สุดของอุตสาหกรรมไม่ได้เป็นเพียงข้อบกพร่องของโค้ดอีกต่อไป แต่เป็นเครือข่ายที่ซับซ้อนของระบบที่เชื่อมโยงกันซึ่งขับเคลื่อนแพลตฟอร์มเหล่านี้
ขนาดของการโจมตี
เงินที่ถูกขโมยมีมูลค่าเกือบ 300 ล้านดอลลาร์สหรัฐ ซึ่งเป็นจำนวนที่ทำให้การละเมิดนี้อยู่ในกลุ่มการแฮ็ก DeFi ที่มีมูลค่าสูงที่สุดตามมูลค่าเป็นดอลลาร์ ผู้โจมตีได้ระบายสภาพคล่องจากหลายพูลภายในระบบนิเวศของ KelpDAO แม้ว่าจะยังไม่มีการเปิดเผยรายละเอียดที่แน่ชัดของสินทรัพย์ที่ถูกขโมยไป โปรโตคอลได้หยุดการดำเนินการชั่วคราวในขณะที่กำลังสอบสวน
จากข้อบกพร่องของโค้ดสู่ความเสี่ยงเชิงระบบ
เป็นเวลาหลายปีที่การโจมตี DeFi มักเกิดจากช่องโหว่ในสมาร์ทคอนแทรกต์แต่ละตัว เช่น โค้ดที่ผิดพลาด หรือการตรวจสอบสิทธิ์ที่ขาดหายไป แต่การแฮ็ก KelpDAO ชี้ให้เห็นถึงช่องโหว่ประเภทอื่น นั่นคือความซับซ้อนที่เกิดจากการที่โปรโตคอลต่างๆ มีปฏิสัมพันธ์ซึ่งกันและกัน กับออราเคิล และกับแหล่งสภาพคล่องภายนอก ตามรายละเอียดที่มีอยู่อย่างจำกัด การโจมตีนี้ใช้ประโยชน์จากการพึ่งพากันเหล่านี้มากกว่าข้อผิดพลาดในการเขียนโค้ดเพียงจุดเดียว
การเปลี่ยนแปลงนี้กำลังก่อตัวขึ้น เมื่อระบบ DeFi มีการบูรณาการมากขึ้น ข้อบกพร่องในส่วนประกอบหนึ่งสามารถส่งผลกระทบเป็นลูกโซ่ไปยังหลายๆ ส่วน การละเมิด KelpDAO เป็นตัวอย่างที่ชัดเจนของสิ่งที่เกิดขึ้นเมื่อความซับซ้อนนั้นไม่ได้ถูกทำแผนที่หรือรักษาความปลอดภัยอย่างสมบูรณ์
สิ่งที่ผิดพลาด
การวิเคราะห์หลังเหตุการณ์อย่างเป็นทางการยังคงรออยู่ ข้อมูลเบื้องต้นชี้ให้เห็นว่าผู้โจมตีจัดการกับราคาฟีดหรือใช้ประโยชน์จากกลไกการกู้ยืมข้ามโปรโตคอล ซึ่งเป็นเทคนิคที่อาศัยความเข้าใจว่าระบบส่วนต่างๆ ทำงานอย่างไรภายใต้ความกดดัน ทีม KelpDAO ยังไม่ได้ยืนยันเวกเตอร์การโจมตี และผู้ตรวจสอบความปลอดภัยที่ตรวจสอบโค้ดก่อนเปิดตัวอาจไม่พบการโจมตีดังกล่าวเพราะมันไม่ใช่ข้อบกพร่องของโค้ดธรรมดา
ผลกระทบ
ผู้ใช้ของ KelpDAO ต่างรอคอย โปรโตคอลได้ระงับการถอนเงินและกำลังทำงานร่วมกับหน่วยงานบังคับใช้กฎหมายและบริษัทรักษาความปลอดภัย ยังไม่ชัดเจนว่าจะสามารถกู้คืนเงินบางส่วนได้หรือไม่ การแฮ็กที่คล้ายกันในอดีตบางครั้งส่งผลให้ได้รับเงินคืนบางส่วนหลังจากการเจรจา แต่ยังไม่มีคำพูดใดๆ ในกรณีนี้
ชุมชน DeFi ในวงกว้างกำลังจับตาดูอย่างใกล้ชิด หากความซับซ้อนเชิงระบบกลายเป็นบรรทัดฐานใหม่สำหรับการโจมตี การตรวจสอบโค้ดแบบดั้งเดิมซึ่งเน้นที่สัญญาแต่ละฉบับจะไม่เพียงพออีกต่อไป อุตสาหกรรมอาจต้องนำเครื่องมือทดสอบภายใต้ความกดดันและการจำลองมาใช้ ซึ่งจำลองปฏิสัมพันธ์ระหว่างโปรโตคอลต่างๆ
KelpDAO ยังไม่ได้ระบุว่าจะเผยแพร่รายงานเหตุการณ์ฉบับสมบูรณ์เมื่อใด เอกสารนั้นจะมีความสำคัญต่อการทำความเข้าใจว่าการโจมตีเกิดขึ้นได้อย่างไร และเพื่อป้องกันการโจมตีครั้งต่อไป
