SlowMist เตือนช่องโหว่ Aave v3 Loop Safe Module ถูกโจมตี สูญหาย 114.09 ETH

SlowMist บริษัทด้านความปลอดภัยบล็อกเชน ออกประกาศเตือนว่า Aave v3 Loop Safe Module ถูกโจมตีและมีการขโมยสินทรัพย์ไปราว 114.09 ETH เหตุการณ์ดังกล่าวถูกระบุว่าเป็นประเด็นความปลอดภัยที่กำลังเกิดขึ้น ซึ่งผู้ใช้งาน Aave และผู้ติดตามความเสี่ยงบนเชนในตลาด DeFi ควรเฝ้าระวัง SlowMist ระบุว่าองค์ประกอบที่ได้รับผลกระทบคือ Aave v3 Loop Safe Module ซึ่งเป็นโมดูลเสริมที่ทำงานทับบนโครงสร้างการปล่อยกู้หลักของ Aave v3 เพื่อรองรับกลยุทธ์เพิ่มเลเวอเรจแบบวนลูปภายใต้ขอบเขตความปลอดภัยที่กำหนดไว้ โดยการถูกโจมตีครั้งนี้ถูกชี้ว่าเป็นปัญหาที่เกิดกับชั้นโมดูลดังกล่าว ไม่ใช่การเจาะสัญญาอัจฉริยะหลักของโปรโตคอล Aave จนถึงเวลาตีพิมพ์ SlowMist ยังไม่ยืนยันวิธีการโจมตีและยังไม่ระบุตัวผู้โจมตี รายละเอียดเหล่านี้ยังอยู่ในสถานะไม่ยืนยัน ผู้ใช้งานที่เกี่ยวข้องกับกลยุทธ์แบบ loop บน Aave v3 ควรระมัดระวังต่อข้อมูลหรือแนวทางแก้ไขที่ยังไม่ได้รับการยืนยันซึ่งเผยแพร่บนโซเชียล จนกว่าจะมีรายงานสรุปเหตุการณ์อย่างเป็นทางการ (postmortem) จากทีมพัฒนาที่เกี่ยวข้อง เหตุลักษณะนี้สะท้อนรูปแบบความเสี่ยงที่พบได้บ่อยใน DeFi ซึ่งจุดโจมตีมักอยู่ที่สัญญาเสริมหรือสัญญาห่อหุ้ม (wrapper) ที่สร้างทับบนโปรโตคอลฐาน มากกว่าตัวโปรโตคอลหลักเอง คล้ายกับกรณี ResolvLabs USR ที่นักวิเคราะห์บนเชนเคยตั้งข้อสงสัยถึงการถูกโจมตี ความเสียหายที่รายงานอยู่ที่ประมาณ 114.09 ETH โดยในประกาศของ SlowMist ไม่ได้ระบุมูลค่าเป็นดอลลาร์สหรัฐ และในช่วงเวลาตีพิมพ์ไม่สามารถยืนยันข้อมูลราคาตลาด Ethereum ได้ จึงไม่ใส่ตัวเลขแปลงเป็น USD เพื่อหลีกเลี่ยงข้อมูลที่ไม่มีแหล่งอ้างอิงรองรับ ยังไม่มีการยืนยันว่าพูลปล่อยกู้หลักของ Aave v3 ได้รับผลกระทบหรือไม่ ประเด็นนี้มีนัยสำคัญต่อผู้ใช้งานที่ถือสถานะหลักประกันหรือหนี้อยู่ในตลาดหลักของ Aave v3 เมื่อเทียบกับผู้ที่ใช้งานผลิตภัณฑ์แบบ loop หรือโมดูลเลเวอเรจที่ทำงานทับเป็นชั้นเพิ่มเติม ผู้ที่มีสถานะคงค้างในผลิตภัณฑ์ loop ใดๆ บน Aave v3 ควรตรวจสอบความเสี่ยงของตนเองโดยอ้างอิงจากประกาศด้านความปลอดภัยหรือการสื่อสารของ Aave governance อย่างเป็นทางการ กรณีการโจมตีอย่างเหตุ GMX สูญเสีย 42 ล้านดอลลาร์บน Arbitrum และเหตุแฮ็ก BigONE สูญเสีย 27 ล้านดอลลาร์ ชี้ให้เห็นว่าความล้มเหลวด้านความปลอดภัยของสัญญาอัจฉริยะมักไม่ได้เริ่มจากตรรกะหลักของโปรโตคอล แต่อยู่ที่โมดูลเสริม สัญญาห่อหุ้ม หรือการเชื่อมต่อแบบ offchain ที่ทำงานร่วมกับสัญญาฐานที่ผ่านการตรวจสอบแล้ว เหตุ BigONE ที่เกี่ยวกับ hot wallet ก็สะท้อนว่าชิ้นส่วนรอบนอกมีพื้นผิวการโจมตีของตัวเอง และอาจไม่ได้รับการตรวจสอบ (audit) เข้มเท่ากับแกนหลัก ในมุมมองความปลอดภัยของโปรโตคอลแบบกระจายศูนย์ เหตุการณ์นี้ตอกย้ำช่องว่างที่เกิดซ้ำในการประเมินความเสี่ยงจากการประกอบกันได้ (composability) โมดูลเสริมมักได้รับความเชื่อถือโดยนัยจากโปรโตคอลที่ผ่านการ audit ซึ่งมันนำไปใช้เป็นฐาน นอกจากนี้ โครงสร้างพื้นฐานของเอเจนต์ AI บนเชนและกลยุทธ์ DeFi อัตโนมัติที่โต้ตอบกับโมดูล loop แบบโปรแกรมมิ่ง อาจเผชิญความเสี่ยงซ้อนเมื่อโมดูลถูกโจมตีระหว่างการทำงาน เพราะการจัดการสถานะอัตโนมัติไม่สามารถหยุดตัวเองได้ หากไม่มีตรรกะ circuit breaker ที่ระบุไว้อย่างชัดเจน ข้อจำกัดความรับผิดชอบ: บทความนี้จัดทำเพื่อให้ข้อมูลเท่านั้น ไม่ใช่คำแนะนำด้านการเงินหรือการลงทุน ตลาดคริปโตเคอร์เรนซีและสินทรัพย์ดิจิทัลมีความเสี่ยงสูง โปรดศึกษาข้อมูลด้วยตนเองก่อนตัดสินใจ