Aptos อุดช่องโหว่วิกฤต ความเสี่ยงเชิงทฤษฎีแตะ 70,000 ล้านดอลลาร์

บล็อกเชนที่ประมวลผลธุรกรรมมูลค่าหลายพันล้านดอลลาร์ต่อวัน เกือบเผชิญเหตุการณ์ร้ายแรงหลังพบช่องโหว่วิกฤตใน Move virtual machine ของ Aptos Labs โดยนักวิจัยด้านความปลอดภัยชี้ว่าในการจำลองการโจมตีสามารถสำเร็จได้เกือบ 90% ด้วยการตั้งค่าเซิร์ฟเวอร์ระดับพื้นฐานเท่านั้น บริษัทความปลอดภัยบล็อกเชน Hexens รายงานช่องโหว่ที่เรียกว่า "stalecache" เมื่อวันที่ 25 กุมภาพันธ์ 2026 และ Aptos ได้ปล่อยแพตช์ลง mainnet ภายในไม่กี่ชั่วโมง ต่อมาวันที่ 27 กุมภาพันธ์ มีการเปิด pull request สาธารณะเพื่ออธิบายรายละเอียดการแก้ไข และระบุความเชื่อมโยงกับโปรแกรม bug bounty ของบริษัท ช่องโหว่นี้อยู่ใน Move virtual machine ซึ่งเป็นสภาพแวดล้อมรันโค้ดที่ประมวลผลสมาร์ตคอนแทรกต์ทั้งหมดบนเครือข่าย โดยอาจเปิดทางให้ผู้โจมตีเข้าควบคุม on-chain structs และทรัพยากรด้านสิทธิ์ (authority resources) ทำให้สามารถบิดเบือนโครงสร้างข้อมูลหลักที่ใช้กำหนดว่าใครเป็นเจ้าของอะไรบนบล็อกเชน Hexens สาธิตการโจมตีแบบ proof-of-concept ด้วยชุดเซิร์ฟเวอร์ราว 3,000 ดอลลาร์ และแต่ละรอบการทดลองมีต้นทุนระดับ "หลักร้อยดอลลาร์ต่ำๆ" อัตราความสำเร็จในการจำลองอยู่ใกล้ 90% Hexens ประเมินความเสี่ยงเชิงระบบไว้ที่ 70,000 ล้านดอลลาร์ โดยคำนวณรวม stablecoins, สะพานเชื่อมข้ามเชน (cross-chain bridges) และโปรโตคอล DeFi ที่สร้างบนหรือเชื่อมต่อกับ Aptos ทั้งนี้ bridges ถูกมองว่าเป็นเป้าหมายที่อ่อนไหว เพราะถือสินทรัพย์แบบรวมกองจากหลายเชน การโจมตีสำเร็จเพียงครั้งเดียวอาจทำให้เงินที่มาจากเครือข่ายอื่นถูกดูดออกไปได้ ด้าน Mudit Gupta CTO ของ Polygon ระบุว่าได้ตรวจทาน proof-of-concept ของทีมวิจัยด้วยตนเอง และยืนยันผลการค้นพบดังกล่าว Aptos ระบุว่าเหตุการณ์นี้ไม่ทำให้ผู้ใช้สูญเสียเงินทุน และทีมสามารถขยับจากการค้นพบไปสู่การแพตช์บน mainnet ได้ภายในไม่กี่ชั่วโมง ขณะเดียวกัน Aptos โต้แย้งข้อกล่าวอ้างเรื่องความเป็นไปได้ในการโจมตีบนสภาพแวดล้อม mainnet จริง โดยมองว่าข้อจำกัดในโลกจริงทำให้การโจมตียากกว่าสถานการณ์จำลอง จุดยืนนี้สะท้อนความเห็นที่ไม่สอดคล้องกับการยืนยันอิสระของ Gupta ต่อ proof-of-concept pull request สาธารณะเมื่อวันที่ 27 กุมภาพันธ์ บันทึกรายละเอียดการแก้ไขเชิงเทคนิค และทำให้ความเชื่อมโยงกับโปรแกรม bug bounty ของ Aptos ชัดเจนขึ้น ซึ่งให้รางวัลสูงสุด 1 ล้านดอลลาร์สำหรับการเปิดเผยช่องโหว่วิกฤต ประเด็นที่นักลงทุนและนักพัฒนาควรจับตา คือ ตัวเลขความเสี่ยงเชิงระบบ 70,000 ล้านดอลลาร์เป็นเพียง "ความเสี่ยงสูงสุดเชิงทฤษฎี" หากผู้โจมตีสามารถเชื่อมทุกเส้นทางโจมตีที่เกี่ยวข้องพร้อมกันได้ แต่ด้วยต้นทุนเซิร์ฟเวอร์เพียง 3,000 ดอลลาร์ และค่าใช้จ่ายต่อความพยายามระดับไม่กี่ร้อยดอลลาร์ ถือเป็น "กำแพงต้นทุนต่ำ" สำหรับคู่ต่อสู้ที่เล็งเครือข่ายมูลค่าสูง โปรโตคอลที่พึ่งพา Aptos ในการชำระบัญชี โดยเฉพาะ cross-chain bridges ควรใช้การเปิดเผยครั้งนี้เป็นสัญญาณให้ตรวจสอบ (audit) ความเสี่ยงในส่วนพึ่งพิงของตนเอง ขณะที่เพดาน bug bounty ของ Aptos ที่ 1 ล้านดอลลาร์อยู่ในระดับแข่งขันได้ แต่เมื่อเทียบกับความเสี่ยงเชิงทฤษฎีที่สูงถึง "หลักหมื่นล้านดอลลาร์" กรณีนี้สะท้อนว่า นักวิจัยซึ่งอาจนำช่องโหว่ไปขายในตลาดสีเทาได้มูลค่าสูงกว่านั้นมาก เลือกใช้แนวทางการเปิดเผยอย่างรับผิดชอบแทน