รายงานความปลอดภัยคริปโต ก.ค. 2026: ความเสียหาย 97 ล้านดอลลาร์ การโจมตีบริดจ์ข้ามเชนพุ่ง

สรุปเหตุการณ์ความปลอดภัยรายเดือนของ Zero Hour Tech ประจำเดือนกรกฎาคม 2026 ระบุว่า ภาพรวมความเสี่ยงในอุตสาหกรรมคริปโตกำลัง "เปลี่ยนจุดโจมตีอย่างรวดเร็ว โดยโครงสร้างพื้นฐานนอกเชนกลายเป็นเป้าหมายใหม่" ความเสียหายรวมจากเหตุการณ์ด้านความปลอดภัยอยู่ที่ราว 97 ล้านดอลลาร์ แบ่งเป็น 94 ล้านดอลลาร์จากการแฮ็กและช่องโหว่สัญญาอัจฉริยะ และอีก 3 ล้านดอลลาร์จากฟิชชิง ตลอดเดือนเกิดเหตุด้านความปลอดภัยที่เกี่ยวข้องกับโปรโตคอลมากกว่า 14 ครั้ง ลดลงจาก 67 ครั้งในเดือนมิถุนายน แต่ค่าเสียหายเฉลี่ยต่อเหตุการณ์เพิ่มขึ้นอย่างมีนัยสำคัญ เมื่อเทียบเดือนต่อเดือน ความเสียหายรวมเพิ่มขึ้นราว 18.7% จาก 81.73 ล้านดอลลาร์ในเดือนมิถุนายน บริดจ์ข้ามเชนยังเป็นเป้าหมายหลัก โดยมีการโจมตีหลายกรณี เช่น AFX Trade, Verus และ B² Network เกิดขึ้นต่อเนื่องภายในไม่กี่ชั่วโมง รวมความเสียหายมากกว่า 35 ล้านดอลลาร์ แนวทางโจมตีเริ่มเบนจากช่องโหว่ในโค้ดสัญญาอัจฉริยะ ไปสู่รูปแบบที่ไม่พึ่งโค้ด เช่น เจาะโครงสร้างพื้นฐานนอกเชน การรั่วไหลของคีย์ลายเซ็น และการบิดเบือนการโหวตธรรมาภิบาล เหตุแฮ็กสำคัญ 7 กรณี 1) Ostium: ยึดสิทธิ์ระบบออราเคิลนอกเชน เวลา: 15 ก.ค. มูลค่าความเสียหาย: ราว 23.75 ล้านดอลลาร์ รายละเอียด: Ostium โปรโตคอลซื้อขายสัญญาเพอร์เพ็ตชวลแบบ RWA ในระบบนิเวศ Arbitrum ถูกโจมตี ผู้โจมตีเข้าถึงระบบลงนามราคานอกเชน ปลอมข้อมูลราคา BTC/USD กดราคาบิตคอยน์ลงมาใกล้ 5,000 ดอลลาร์ และดูด USDC ราว 23.75 ล้านดอลลาร์จากพูลสภาพคล่อง OLP ผ่านการเปิด-ปิดสถานะแบบวนซ้ำ ทีมงานยืนยันว่าไม่ได้เกิดจากช่องโหว่สัญญาอัจฉริยะหรือการถูกยึด multisig ของธรรมาภิบาล แต่เป็นการรั่วไหลจากโครงสร้างพื้นฐานการลงนามราคานอกเชน มาร์จินผู้ใช้งานไม่กระทบ และกลับมาเปิดเทรดอีกครั้งในวันที่ 23 ก.ค. 2) AFX Trade: คีย์ตรวจสอบบริดจ์ข้ามเชนรั่วไหล เวลา: 22 ก.ค. มูลค่าความเสียหาย: ราว 24.15 ล้านดอลลาร์ รายละเอียด: บริดจ์ข้ามเชนของ AFX Trade ซึ่งเป็นกระดานเพอร์เพ็ตชวลแบบกระจายศูนย์ในระบบนิเวศ Arbitrum ถูกโจมตี ผู้โจมตีได้คีย์ส่วนตัวสำหรับลงนามของโหนดวาลิเดเตอร์ของบริดจ์ และใช้อนุมัติการถอน เนื่องจากสัญญาอัจฉริยะตรวจสอบลายเซ็นได้ถูกต้องตามที่ออกแบบไว้ จึงไม่พบช่องโหว่ระดับสัญญา เงินราว 24.15 ล้าน USDC ถูกบริดจ์จาก Arbitrum ไป Ethereum และแลกเป็น 12,467.5 ETH ที่ราคาเฉลี่ย 1,937 ดอลลาร์ ก่อนถูกรวมไว้ในวอลเล็ตเดียว บริดจ์หลักของ Arbitrum ไม่ได้รับผลกระทบ AFX ระงับบริดจ์ที่ถูกเจาะ และเสนอเงินรางวัล 30% ให้ผู้โจมตีเพื่อแลกกับการกู้คืนทรัพย์สิน 3) BonkDAO: บิดเบือนการโหวตธรรมาภิบาลจากช่องโหว่การควบคุมสิทธิ์ เวลา: 6 ก.ค. มูลค่าความเสียหาย: ราว 20 ล้านดอลลาร์ รายละเอียด: ผู้โจมตีใช้เงินราว 4 ล้านดอลลาร์ซื้อโทเคน BONK ให้ได้ปริมาณเพียงพอ แล้วอาศัยกลไกของแพลตฟอร์มธรรมาภิบาล Solana Realms ที่เปิดให้ข้อเสนอผ่านได้ด้วยเกณฑ์โหวตเพียง 1% ส่งข้อเสนอประสงค์ร้ายและผลักดันให้ผ่าน หลังข้อเสนอได้รับอนุมัติวันที่ 6 ก.ค. ผู้โจมตีโอน BONK ราว 44.26 พันล้านโทเคน (มูลค่าประมาณ 20 ล้านดอลลาร์) ออกจากคลัง BonkDAO เหตุการณ์นี้ไม่ใช่การเจาะช่องโหว่สัญญาอัจฉริยะ แต่เป็นความบกพร่องของการออกแบบกติกาธรรมาภิบาล Immunefi ระบุว่าเป็นตัวอย่างคลาสสิกของเหตุสูญเสียรุนแรงในปี 2026 ที่เงินหายเพราะการโหวตและกติกาที่ผิดพลาด ไม่ใช่เพราะโค้ดสัญญา 4) Bonzo Lend: โจมตีบิดเบือนออราเคิล เวลา: 11 ก.ค. มูลค่าความเสียหาย: ราว 9.05 ล้านดอลลาร์ รายละเอียด: Bonzo Lend โปรโตคอลกู้ยืมรายใหญ่สุดในระบบนิเวศ Hedera ถูกโจมตีแบบบิดเบือนออราเคิล ผู้โจมตีฉวยช่องโหว่การตรวจสอบลายเซ็นของ Supra ผู้ให้บริการออราเคิลภายนอก เพื่อป้อนข้อมูลราคาที่ถูกบิดเบือนของโทเคน SAUCE ทำให้มูลค่าหลักประกันสูงเกินจริงและกู้สินทรัพย์เกินกว่ามูลค่าที่แท้จริง ก่อนออราเคิลแก้ข้อมูล ส่งผลให้เกิดความเสียหายราว 9.05 ล้านดอลลาร์ โปรโตคอลระงับกิจกรรมทั้งหมด และ Bonzo Labs กับ Bonzo Finance Foundation อยู่ระหว่างประสานการกู้คืนและแก้ไข 5) Verus: ถูกโจมตีบริดจ์ไป Ethereum รอบสอง เวลา: 23 ก.ค. มูลค่าความเสียหาย: ราว 7.55 ล้านดอลลาร์ รายละเอียด: บริดจ์ Verus–Ethereum ถูกโจมตีอีกครั้ง เสียหายราว 7.55 ล้านดอลลาร์ โดยใช้เส้นทางสัญญาและประเภทช่องโหว่เดียวกับเหตุเดือนพฤษภาคม สะท้อนความเสี่ยงจากช่องโหว่ที่ยังไม่อุดและเงินที่ถูกฝากกลับเข้าระบบ ทำให้เกิดการโจมตีซ้ำ ช่องโหว่จัดอยู่ในกลุ่มการหลบเลี่ยงการตรวจสอบของบริดจ์ข้ามเชน และผู้โจมตีดึงเงินผ่านจุดเข้าเดิม 6) B² Network: ยึดสิทธิ์อัปเกรดสัญญา Staking เวลา: 23 ก.ค. มูลค่าความเสียหาย: ราว 3.86 ล้านดอลลาร์ รายละเอียด: ผู้โจมตีได้อำนาจการอัปเกรดสัญญา Staking ของ B² Network บน BNB Chain ทำให้โทเคน B2 จำนวนราว 8.591 ล้านโทเคน (ประมาณ 3.86 ล้านดอลลาร์) ถูกขโมย จากนั้นแลกเป็น 5,409 WBNB (ราว 3.11 ล้านดอลลาร์) บริดจ์ไป Ethereum และกำลังใช้ NEAR Intents เพื่อโอนต่อไปยัง Zcash เหตุการณ์นี้ตอกย้ำว่า "คีย์และสิทธิ์ที่ถูกยึด" ยังเป็นสาเหตุหลักของการโจรกรรมครั้งใหญ่ มากกว่าปัญหาเทคโนโลยีคริปโตกราฟี ทีมงานระงับการ Staking และติดต่อผู้โจมตีบนเชน โดยระบุว่าหากคืนอย่างน้อย 10% ภายใน 24 ชั่วโมง จะไม่ดำเนินคดี 7) Summer.fi: ช่องโหว่การตั้งค่า Vault เวลา: 6 ก.ค. มูลค่าความเสียหาย: ราว 6.04 ล้านดอลลาร์ รายละเอียด: Vault ชื่อ FleetCommander ของโปรโตคอลผลตอบแทน DeFi บน Ethereum อย่าง Summer.fi ถูกเจาะ จุดอ่อนมาจากการคำนวณ totalAssets() ที่นับรวมส่วนของกลยุทธ์ซึ่งตั้งเพดานฝากไว้และถูกกำหนดให้ยกเลิกใช้งาน แต่ยังไม่ถูกถอดออกจากพูลที่ใช้งานจริง ผู้โจมตีใช้ความคลาดเคลื่อนนี้สะสมสินทรัพย์และถอนผลตอบแทนเกินควร Summer.fi เดิมคือ Oasis.app เปิดตัวปี 2019 สำหรับผู้ใช้ MakerDAO และต้นปี 2026 ปรับเป็นเลเยอร์เพิ่มประสิทธิภาพผลตอบแทนอัตโนมัติที่ขับเคลื่อนด้วย AI Rug Pull / ฟิชชิง: 4 กรณีเด่น (1) 9 ก.ค. เหยื่อที่แอดเดรสขึ้นต้น 0x8c94 เซ็นอนุมัติโทเคนจากฟิชชิงบน Ethereum สูญเสีย USDT 999,999 ดอลลาร์ (2) 24 ก.ค. เหยื่อที่แอดเดรสขึ้นต้น 0x3e1b สูญเสีย 340,463 ดอลลาร์จากฟิชชิงแบบ multicall บน Ethereum ไทม์ไลน์: 06:51:47 UTC เหยื่อเซ็น multicall() บนสัญญาโทเคน alphaUSDCDeltaV2 ซึ่งมีการ approve() แบบไม่จำกัดวงเงิน 06:52:23 UTC ผ่านไป 36 วินาที alphaUSDCDeltaV2 จำนวน 332,787 (ราว 340,000 ดอลลาร์) ถูกดึงออกด้วย transferFrom (3) ฟิชชิงผ่านแอปมือถือ SecondFi ปลอม มูลค่าความเสียหาย: ราว 14.2 ล้านดอลลาร์ รายละเอียด: 12 ก.ค. แพลตฟอร์มมอนิเตอร์ความปลอดภัยคริปโตระดับโลกเปิดเผยการโจมตีความรุนแรงสูง 3 ครั้งต่อสินทรัพย์คริปโต โดยเหตุแรกเป็นฟิชชิงผ่านแอปมือถือปลอมเลียนแบบ SecondFi มุ่งเป้าหลักที่นักพัฒนา การโจมตีทั้งสามปะทุภายใน 24 ชั่วโมง กระทบทั้งนักพัฒนา ผู้ใช้รายย่อย และกลุ่มผู้ถือสินทรัพย์สูง สะท้อนช่องโหว่เชิงระบบทั่วทั้งระบบนิเวศ Web3 (4) ฟิชชิงแบบจดหมายจริงปลอมอ้าง Ledger มูลค่าความเสียหาย: ราว 960,000 ดอลลาร์ รายละเอียด: ช่วง 3–7 ก.ค. (ช่วงพีค) กลุ่มมิจฉาชีพส่งจดหมายปลอมถึงบ้านผู้ใช้ โดยใช้โลโก้อย่างเป็นทางการของ Ledger มีลายเซ็น CTO และอ้างการอัปเดตความปลอดภัยด้าน post-quantum cryptography หลอกให้สแกน QR ไปยังเว็บฟิชชิงที่สมจริง ก่อนหลอกกรอก recovery phrase จนสินทรัพย์ในวอลเล็ตถูกขโมย ตำรวจรัฐควีนส์แลนด์ยืนยันว่า เฉพาะช่วงเวลาดังกล่าวความเสียหายที่รายงานเกิน 1.47 ล้านดอลลาร์ออสเตรเลีย หน่วยงานเตือนว่า Ledger จะไม่ขอ recovery phrase ทางไปรษณีย์หรือโทรศัพท์ สรุป เหตุการณ์ความปลอดภัยบล็อกเชนเดือนกรกฎาคม 2026 สะท้อน 3 แกนสำคัญ: การเปลี่ยนทิศทางของเวกเตอร์โจมตี, การถูกเจาะบริดจ์ข้ามเชนอย่างต่อเนื่อง, และความเปราะบางของธรรมาภิบาลที่สูงขึ้น พื้นผิวการโจมตีกำลังย้ายไปสู่รูปแบบไม่พึ่งโค้ดมากขึ้น ไม่ว่าจะเป็นการเจาะระบบนอกเชน การรั่วของคีย์ลายเซ็น และการบิดเบือนการโหวต กรณี AFX Trade แสดงให้เห็นว่าการได้คีย์ลายเซ็นเพียงชุดเดียวก็ทำให้ถอนเงินได้ถึง 24.15 ล้านดอลลาร์ กรณี Ostium ชี้ว่าการควบคุมสิทธิ์นอกเชนยังขาดมาตรการเทียบเท่า multisig บนเชน ส่วน BonkDAO ตอกย้ำว่า "กลไกโหวต" เองสามารถกลายเป็นช่องทางโจมตีได้ ด้านฟิชชิง เดือนนี้พบรูปแบบใหม่เกิดซ้ำหลายครั้ง: "ยึดบัญชีที่มีชื่อเสียง + โปรโมตโทเคนปลอม" เปลี่ยนความเชื่อมั่นในแบรนด์ให้เป็นเครื่องมือหลอกลวง ฟิชชิงแบบอาศัยการอนุมัติสิทธิ์ (authorization-based) พัฒนาจากการหลอกครั้งเดียวไปสู่กระบวนการที่ทำซ้ำและทำงานอัตโนมัติในการดูดเงิน ข้อแนะนำจากทีมความปลอดภัย Zero Time Technology • บุคคลทั่วไป: ระวังการโปรโมตโทเคน "จากทางการ" แบบกะทันหันบนแพลตฟอร์ม X หลีกเลี่ยงลิงก์ไม่รู้จักหรือคำขอให้เซ็นธุรกรรม ตรวจสอบและยกเลิกสิทธิ์อนุมัติวอลเล็ตเป็นประจำ ใช้วอลเล็ตแยกเพื่อลดความเสี่ยงสำหรับสินทรัพย์มูลค่าสูง • ทีมโปรเจกต์: การควบคุมสิทธิ์โครงสร้างพื้นฐานนอกเชนต้องมีมาตรฐานเท่ากับ multisig บนเชน คีย์วาลิเดเตอร์ควรใช้ multisig ร่วมกับการเซ็นผ่านฮาร์ดแวร์ ข้อเสนอธรรมาภิบาลควรเพิ่มเกณฑ์โหวตและตั้ง time lock จัดระบบมอนิเตอร์ 24/7 และกลไกตัดวงจร (circuit breaker) การตรวจสอบต้องครอบคลุมตลอดห่วงโซ่ ตั้งแต่การเก็บคีย์ สิทธิ์ ไปจนถึงกติกาธรรมาภิบาล • ระดับอุตสาหกรรม: ผลักดันมาตรฐานการจัดการคีย์ของบริดจ์ข้ามเชน ทำให้งานตรวจสอบความปลอดภัยนอกเชนเป็นมาตรฐานเดียวกัน เพิ่มการแชร์ข่าวกรองภัยคุกคามแบบ APT และพัฒนาฐานข้อมูลแบล็กลิสต์ แนะนำให้โปรเจกต์ตั้งโปรแกรม bug bounty