Bybit ถูกขโมยไปมูลค่า 1.5 พันล้านเหรียญสหรัฐ ซึ่งอาจเป็นการโจรกรรมครั้งใหญ่ที่สุดในประวัติศาสตร์การเข้ารหัส โดยทำลายสถิติการโจรกรรมของ Axie ในปี 2022 การโจรกรรมทำให้เกิดความตื่นตระหนกในตลาดเป็นอย่างมาก และราคาของ ETH ก็ผันผวนอย่างรวดเร็วในช่วงเวลาสั้นๆ แต่ก็ยังไม่มีการวิ่งไปถึงระดับ FTX ในปีนั้น

เรื่องน่าขันคือ นักลงทุนหลายรายเพิ่งได้รับเงินชดเชยบางส่วนจากการชำระบัญชีของ FTX หลังจากการล้มละลาย "หลังจากผ่านไป 2 ปีครึ่ง ในที่สุดฉันก็ได้รับเงินชดเชยจาก FTX และฝากเข้าใน Bybit ผลก็คือกระเป๋าเงินร้อนของ Bybit ถูกขโมยไปในวันรุ่งขึ้น" นี่คือเรื่องตลกเกี่ยวกับนรกที่แพร่หลายที่สุดในช่วงกลางดึกของวันนี้ อย่างไรก็ตาม เบื้องหลังเรื่องตลกนี้ มีเมฆดำปกคลุมอุตสาหกรรมคริปโตอยู่

เกิดการโจรกรรมกะทันหันในตอนดึก

เมื่อเวลา 23:00 น. ของวันที่ 21 กุมภาพันธ์ KOL ด้านคริปโตอย่าง Finish โพสต์ว่า ตามข้อมูลบนเชน มีที่อยู่ลายเซ็นหลายรายการของ Bybit ที่ได้โอน ETH มูลค่า 1.5 พันล้านดอลลาร์สหรัฐไปยังที่อยู่ใหม่

เงินมาถึงที่อยู่ใหม่ 0x47666fab8bd0ac7003bce3f5c3585383f09486e2 จากนั้นโอนไปยัง 0xa4b2fd68593b6f34e51cb9edb66e71c1b4ab449e ปัจจุบัน 0xa4 กำลังขาย stETH และ mETH เพื่อแลกกับ ETH

“ที่อยู่นี้ใช้ DEX ที่แตกต่างกัน 4 แห่ง และหากพวกเขาเพียงแค่แลกเปลี่ยน LSD เป็น ETH ดั้งเดิม การดำเนินการธุรกรรมจะแย่มาก (สึกหรอมากขึ้น) ขนาดนี้โดยปกติแล้วจะทำผ่านธุรกรรม OTC ดังนั้นจึงไม่ใช่เรื่องปกติ”

ครึ่งชั่วโมงต่อมา Ben Zhou ซีอีโอของ Bybit กล่าวว่ากระเป๋าสตางค์เย็นหลายลายเซ็นของ ETH ถูกโจมตีด้วยการโจมตีที่ปลอมตัว และตรรกะของสัญญาอัจฉริยะถูกแทรกแซง ทำให้แฮกเกอร์ควบคุมกระเป๋าสตางค์เฉพาะและโอน ETH ทั้งหมด เขากล่าวว่ากระเป๋าเงินเย็นอื่น ๆ ปลอดภัยและการถอนเงินเป็นปกติ และขอความช่วยเหลือในการติดตามเงินที่ถูกขโมย โดยกล่าวว่า "การถ่ายทอดสดจะเริ่มขึ้นในเร็ว ๆ นี้เพื่อตอบคำถามทั้งหมด โปรดติดตาม"

อ่านที่เกี่ยวข้อง: "ไทม์ไลน์ | Bybit ถูกขโมย ETH มากกว่า 500,000 ETH สูญเสียเงิน 1.5 พันล้านดอลลาร์สหรัฐ"

จำนวนเงินที่ถูกขโมยมากที่สุดในประวัติศาสตร์? ตามการตรวจสอบของ EmberCN พบว่ามี ETH จำนวน 514,000 ETH มูลค่า 1.429 พันล้านดอลลาร์สหรัฐ ถูกขโมยไปจากกระเป๋าเงินเย็น ETH หลายลายเซ็นของ Bybit แฮกเกอร์ได้กระจาย ETH จำนวน 490,000 ไปยังที่อยู่ 49 แห่ง (แต่ละที่อยู่มี 10,000 ETH) นอกจากนี้ ยังมี cmETH อีก 15,000 cm ที่ถูกแฮ็กเกอร์ขโมยไป (มีระยะเวลาการรอ 8 ชั่วโมง ซึ่งฉันไม่ทราบว่าสามารถสกัดกั้นได้หรือไม่)

ตามข้อมูลของ CoinMarketCap พบว่า Bybit มีสินทรัพย์สำรองมูลค่า 16,200 ล้านดอลลาร์ก่อนการแฮ็ก และสินทรัพย์มูลค่า 1,400 ล้านดอลลาร์ที่ถูกขโมยไปนั้นคิดเป็น 8.64% นี่อาจเป็นจำนวนเงินที่ถูกขโมยมากที่สุดในประวัติศาสตร์ของสกุลเงินดิจิทัล คิดเป็น 16% ของการโจมตีแฮ็กเกอร์สกุลเงินดิจิทัลทั้งหมดในอดีต การโจรกรรมสกุลเงินดิจิทัลที่ใหญ่ที่สุดในประวัติศาสตร์คือการแฮ็ก Ronin Network (Axie Infinity) เมื่อวันที่ 29 มีนาคม 2022 แฮกเกอร์ขโมยสกุลเงินดิจิทัลไปได้ประมาณ 620-625 ล้านดอลลาร์ รวมถึง 173,600 ETH และ 25.5 ล้านดอลลาร์ใน USDC

หลังจากข่าวการโจรกรรม Bybit แพร่กระจายออกไป ETH ก็ร่วงลงมาเหลือ 2,600 ดอลลาร์เป็นการชั่วคราว

สิ่งเดียวที่ถูกแฮ็กเกอร์โจมตีคือกระเป๋าเงินเย็น ETH, กระเป๋าเงินร้อนของ Bybit, กระเป๋าเงินอุ่น และกระเป๋าเงินเย็นอื่นๆ ทั้งหมดที่ไม่ได้รับผลกระทบ ตามความคิดเห็นของชุมชน การถอนเงินทั้งหมดสามารถทำได้ตามปกติภายใน 20 นาที

สมาชิกชุมชนยังได้ถาม ChatGPT และ Grok เกี่ยวกับประมาณการรายได้และกำไรประจำปีของ Bybit อีกด้วย การคำนวณที่ทั้งสองบริษัทให้มามีความคล้ายคลึงกัน คือ รายได้ต่อปีอยู่ที่ประมาณ 2 พันล้านเหรียญสหรัฐ และกำไรต่อปีอยู่ที่ประมาณ 600 ล้านเหรียญสหรัฐ

“Bybit ยังคงมีสภาพคล่อง แม้ว่าจะไม่สามารถกู้คืนความเสียหายที่เกิดจากการโจมตีของแฮกเกอร์ได้ แต่ทรัพย์สินของลูกค้าทั้งหมดจะยังคงได้รับการสนับสนุนแบบ 1:1 และเราสามารถแบกรับความสูญเสียนั้นได้” คำพูดของผู้ก่อตั้งร่วมของ Bybit ก็ได้รับความน่าเชื่อถือในระดับหนึ่งเช่นกัน

สาเหตุของการโจรกรรมคือว่ากระเป๋าเงินหลายลายเซ็นนั้นปลอดภัยใช่หรือไม่?

เมื่อวันที่ 22 กุมภาพันธ์ Yu Xian ผู้ก่อตั้ง SlowMist โพสต์ข้อความว่าวิธีการโจมตีของแฮ็กเกอร์ Bybit นั้นคล้ายคลึงกับการโจมตีของแฮ็กเกอร์ชาวเกาหลีเหนือ “แม้ว่าตอนนี้จะไม่มีหลักฐานที่ชัดเจน แต่เมื่อพิจารณาจากวิธีการลายเซ็นหลายรายการของ Safe และวิธีการฟอกเงินในปัจจุบัน ก็ดูเหมือนว่าจะเป็นแฮ็กเกอร์ชาวเกาหลีเหนือ”

ในเวลาเดียวกัน ผู้ก่อตั้ง DefiLlama ชี้ให้เห็นว่าเวกเตอร์การโจมตีนั้นคล้ายคลึงกับการโจมตีของแฮ็กเกอร์ WazirX ที่เกี่ยวข้องกับเกาหลีเหนือ จงอยู่ให้ตื่นตัว

เมื่อเวลา 23:44 น. การประกาศของ Ben Zhou ผู้ร่วมก่อตั้งและซีอีโอของ Bybit แสดงให้เห็นว่า: "กระเป๋าสตางค์เย็น ETH หลายลายเซ็นของ Bybit ได้ถูกโอนไปยังกระเป๋าสตางค์ร้อนของเราเมื่อประมาณ 1 ชั่วโมงที่แล้ว ดูเหมือนว่าธุรกรรมนี้จะถูกปกปิด ผู้ลงนามทุกคนเห็นอินเทอร์เฟซที่ปกปิดซึ่งแสดงที่อยู่ที่ถูกต้อง และ URL มาจาก Safe"

อย่างไรก็ตาม ข้อมูลลายเซ็นมีไว้เพื่อเปลี่ยนตรรกะสัญญาอัจฉริยะของกระเป๋าสตางค์เย็น ETH ของพวกเขา ส่งผลให้แฮกเกอร์เข้าควบคุมกระเป๋าเงินเย็น ETH หนึ่งใบที่พวกเขาลงนาม และโอน ETH ทั้งหมดในกระเป๋าเงินไปยังที่อยู่ที่ไม่ได้รับการยืนยันนี้

การสืบสวนเพิ่มเติมโดย SlowMist เปิดเผยรายละเอียดเพิ่มเติมเกี่ยวกับช่องโหว่:

1) สัญญาการใช้งานที่เป็นอันตรายถูกนำไปใช้งานที่ UTC 2025-02-19 7:15:23:
https://etherscan.io/address/0xbdd077f651ebe7f7b3ce16fe5f2b025be2969516…
2) ที่ UTC 2025-02-21 14:13:35 ผู้โจมตีใช้เจ้าของสามรายในการลงนามธุรกรรมเพื่อแทนที่สัญญาการใช้งานของ Safe ด้วยสัญญาที่เป็นอันตราย:
https://etherscan.io/tx/0x46deef0f52e3a983b67abf4714448a41dd7ffd6d32d32da69d62081c68ad7882…
3) จากนั้นผู้โจมตีจึงใช้ฟังก์ชันแบ็คดอร์ “sweepETH” และ “sweepERC20” ในสัญญาที่เป็นอันตรายเพื่อขโมยกระเป๋าเงินร้อน

วิธีนี้ยังมีความคล้ายคลึงกับการโจรกรรม Radiant Capital ในเดือนตุลาคม 2024:

ในขณะนั้น Radiant Capital ประสบปัญหาการละเมิดความปลอดภัยซึ่งส่งผลให้มีการขโมยเงินไปประมาณ 50 ล้านดอลลาร์ ผู้โจมตีใช้มัลแวร์เพื่อติดเชื้ออุปกรณ์ของนักพัฒนาหลักอย่างน้อย 3 ราย ซึ่งทั้งหมดเป็นผู้สนับสนุน DAO ที่เชื่อถือได้มายาวนาน และใช้กระเป๋าเงินฮาร์ดแวร์ในการดำเนินการธุรกรรม แฮกเกอร์ได้ทำการดัดแปลงอินเทอร์เฟซส่วนหน้าของ Safe{Wallet} (หรือที่เรียกว่า Gnosis Safe) เพื่อทำให้เหยื่อเชื่อโดยผิดพลาดว่าธุรกรรมนั้นเป็นการดำเนินการที่ถูกต้องตามกฎหมายเมื่อทำการลงนาม แต่ในความเป็นจริงแล้วธุรกรรมที่เป็นอันตรายได้ดำเนินการในเบื้องหลัง

กระบวนการโจมตีคืออุปกรณ์ของนักพัฒนาจะถูกฝังมัลแวร์ที่ซับซ้อนอย่างมาก ทำให้พวกเขาอนุมัติการดำเนินการที่เป็นอันตรายของแฮ็กเกอร์โดยไม่ได้ตั้งใจเมื่อลงนามในธุรกรรม ส่วนหน้าของ Safe{Wallet} ไม่ได้แสดงความผิดปกติใดๆ ทำให้เหยื่อไม่สามารถตรวจจับได้ว่าธุรกรรมถูกแทรกแซง แฮกเกอร์ใช้ประโยชน์จากปรากฏการณ์ทั่วไปของความล้มเหลวในการทำธุรกรรม (เช่น ความผันผวนของค่าธรรมเนียมแก๊ส ความล่าช้าในการซิงโครไนซ์ ฯลฯ) เพื่อชักจูงให้ผู้พัฒนาลงนามใหม่หลายครั้ง จึงได้รับลายเซ็นอันตรายที่ถูกต้องหลายรายการ แม้ว่าจะมีการจำลองและตรวจสอบธุรกรรมโดยใช้เครื่องมือเช่น Tenderly แต่ผลการตรวจสอบทั้งหมดยังคงแสดงผลปกติเนื่องจากมัลแวร์เข้าควบคุมอุปกรณ์ของนักพัฒนา ส่งผลให้ไม่สามารถตรวจพบการโจมตีได้ทันท่วงที

การอ่านที่เกี่ยวข้อง: "รายงานการชันสูตรพลิกศพของ Radiant Capital"

ดูเหมือนว่าความผิดทั้งหมดจะมุ่งเป้าไปที่กระเป๋าเงินลายเซ็นหลายตัวของ Safe

Safe เป็นกระเป๋าเงินลายเซ็นหลายอันที่นำมาใช้ซ้ำมากที่สุดในระบบนิเวศ Ethereum และยังเป็นกระเป๋าเงินที่อุทิศให้กับนักลงทุนรายใหญ่โดยเฉพาะ เมื่อ Safe ออกโทเค็นในปีนี้ รายชื่อที่อยู่ airdrop 100 อันดับแรกนั้นเกือบทั้งหมดประกอบด้วยฝ่ายหรือสถาบันของโครงการ รวมถึง OP, Polymarket, Drukula, Worldcoin, Lido ฯลฯ การอ่านที่เกี่ยวข้อง: "Safe กำลังจะเข้าสู่การซื้อขาย ภาพรวมของเศรษฐศาสตร์และนิเวศวิทยาของโทเค็น"

ในช่วงแรก กลุ่มเป้าหมายของ Safe คือโครงการ DAO และสกุลเงินดิจิทัลมากกว่า อย่างไรก็ตาม ในขณะที่อุตสาหกรรมการเข้ารหัสลับเข้าสู่ขั้นต่อไป การเงินแบบดั้งเดิม สถาบันแบบดั้งเดิม กองทุนครอบครัว และเงินเก่าต่างก็เข้ามาในตลาดทีละแห่ง และสถาบันแบบดั้งเดิมมากขึ้นเรื่อย ๆ เริ่มใช้กระเป๋าเงินหลายลายเซ็นที่ปลอดภัย เช่น ครอบครัวทรัมป์

การออกแบบของ Safe ช่วยปรับปรุงความปลอดภัยในการบริหารจัดการกองทุนได้อย่างมาก ด้วยกลไกลายเซ็นหลายลายเซ็น เงินทุนจะถูกเก็บไว้ในที่อยู่สัญญาอัจฉริยะ และสามารถดำเนินการธุรกรรมได้หลังจากมีลายเซ็นถึงจำนวนที่ตั้งไว้ล่วงหน้า (เช่น 3/10) เท่านั้น กลไกนี้จะช่วยลดความเสี่ยงของข้อผิดพลาดจากจุดเดียวได้อย่างมีประสิทธิภาพ ถึงแม้ว่าคีย์ส่วนตัวของที่อยู่ลายเซ็นจะรั่วไหลก็ตาม ผู้โจมตีก็ยังพบว่ายากที่จะได้รับลายเซ็นที่เพียงพอเพื่อทำธุรกรรมให้เสร็จสมบูรณ์

ปัจจุบัน ทีมงานด้านความปลอดภัยของ Safe กล่าวว่า "ไม่พบหลักฐานใดๆ ที่บ่งชี้ว่าระบบ Front-end อย่างเป็นทางการของ Safe ถูกแฮ็ก แต่เพื่อความปลอดภัย Safe{Wallet} จึงได้ระงับการใช้งานบางส่วนชั่วคราว" โดยทีมงานกำลังทำงานอย่างใกล้ชิดกับ Bybit และดำเนินการสืบสวนต่อไป

สมาชิกชุมชนบางส่วนเริ่มล้อเลียน Safe: การลงนามหลายลายเซ็นนั้นเป็นเพียงการตกแต่งเพื่อปกปิดความจริงเท่านั้น ในขณะเดียวกัน ผู้ประกอบวิชาชีพหลายรายในอุตสาหกรรมยังได้แสดงความคิดเห็นและกังวลเกี่ยวกับอุตสาหกรรมนี้ด้วย: "หากกระเป๋าเงินหลายลายเซ็นไม่ปลอดภัย แล้วใครจะเอาจริงเอาจังกับอุตสาหกรรมนี้?"｜

การสอบสวนเหตุการณ์ดังกล่าวยังคงดำเนินต่อไป และ BlockBeats จะยังคงให้ความสนใจต่อไป

ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:

กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats

กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App

บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia