โปรโตคอลเชื่อมต่อบิตคอยน์-อีเธอเรียมถูกโจมตีต่อเนื่อง สูญรวมกว่า 35 ล้านดอลลาร์ในไม่กี่ชั่วโมง

สะพานเชื่อม (bridge) และโปรโตคอลข้ามเชน (cross-chain) ในตลาดคริปโตเผชิญวันเลวร้าย หลังมีอย่างน้อย 3 โปรโตคอลถูกดูดสภาพคล่องต่อเนื่องภายในช่วง 6 ชั่วโมง คิดเป็นมูลค่ารวมมากกว่า 35 ล้านดอลลาร์ ตามข้อมูลบนบล็อกเชนที่ CoinDesk ตรวจสอบและรายงานโดยบริษัทความปลอดภัย BlockAid และ Peckshield รูปแบบการโจมตีครั้งนี้มีจุดร่วมชัดเจน ไม่ได้เกิดจากการเจาะ "คริปโตกราฟี" ของระบบ แต่เป็นช่องโหว่เชิงตรรกะที่โค้ดทำงานตามที่เขียนไว้แต่กติกาเปิดช่องให้เงินไหลออก หรือเกิดจากคีย์/สิทธิ์การควบคุมถูกยึดจนผู้โจมตีได้อำนาจที่ไม่ควรมี กรณีที่หนักที่สุดคือเครือข่ายบล็อกเชน Verus โดย BlockAid ตรวจพบการโจมตีสะพาน Verus-Ethereum ในช่วงเช้าวันพฤหัสบดี ผู้โจมตีใช้เส้นทาง "import" ของบริดจ์เพื่อกระตุ้นให้มีการจ่ายเงินฝั่ง Ethereum โดยไม่มีสินทรัพย์หนุนหลัง ส่งผลให้เงินสำรองของบริดจ์ถูกดูดไปประมาณ 7.54 ล้านดอลลาร์ ในรูป ETH, tBTC รวมถึงสเตเบิลคอยน์หลายรายการ เช่น USDC, USDT, EURC และโทเคน MKR กับ scrvUSD BlockAid ระบุว่า การโจมตีครั้งนี้ใช้คอนแทรกต์และเส้นทางเข้าแบบเดียวกับเหตุแฮ็กก่อนหน้า โดยเป็นบั๊กประเภทเดียวกัน CoinDesk เคยรายงานเหตุการณ์ดังกล่าวในเดือนพฤษภาคม ซึ่งสร้างความเสียหาย 11.5 ล้านดอลลาร์ โดยทั่วไป บริดจ์คือเครื่องมือบนบล็อกเชนที่ทำให้สินทรัพย์ย้ายข้ามเครือข่ายที่สื่อสารกันไม่ได้ ระบบจะล็อกโทเคนจริงไว้ฝั่งหนึ่งและออก "สิทธิเรียกร้อง" (claim) อีกฝั่ง ความปลอดภัยจึงขึ้นอยู่กับการยืนยันให้ได้ว่าทุกการถอนมีสินทรัพย์ถูกล็อกค้ำประกันอยู่จริงบนอีกเชน ช่องโหว่ของ Verus เปิดทางให้ผู้โจมตีทำให้เกิดการจ่ายเงินออกฝั่ง Ethereum ทั้งที่ฝั่ง Verus ไม่ได้มีสินทรัพย์ค้ำตามจริง เท่ากับบริดจ์ปล่อยเงินจริงออกไปแลกกับสิทธิเรียกร้องที่แทบไม่มีมูลค่า หลังเหตุการณ์เดือนพฤษภาคม ผู้โจมตีส่งคืนเงินส่วนใหญ่เพื่อแลกกับค่าตอบแทน (bounty) จากนั้น Verus ได้นำเงินที่กู้คืนได้ฝากกลับเข้าไปในบริดจ์เดิมเมื่อวันที่ 8 กรกฎาคม ตามบันทึกบนเชนที่นักวิจัยด้านความปลอดภัยรวบรวมไว้ ก่อนที่บริดจ์จะถูกดูดซ้ำอีกครั้งราวสองสัปดาห์ถัดมา ผลกระทบสะท้อนในตัวเลขของโปรโตคอลเอง DefiLlama ระบุว่า Verus เคยมีมูลค่า Total Value Locked ใกล้ 100 ล้านดอลลาร์เมื่อต้นปี 2025 แต่ ณ วันพฤหัสบดีเหลือราว 9 ล้านดอลลาร์ เป็นการไหลออกต่อเนื่องและถูกซ้ำเติมด้วยการลดลงครั้งล่าสุดจากเหตุแฮ็ก การล้มเหลวซ้ำๆ ไม่ได้แค่ทำให้สูญเงินในแต่ละรอบ แต่ยังบั่นทอนความเชื่อมั่นจนสินทรัพย์ทยอยออกจากแพลตฟอร์ม อีกเหตุการณ์ที่ยืนยันแล้วเกิดกับ B² Network เครือข่ายสเกลลิงที่พัฒนามาเพื่อทำให้ธุรกรรมบน Bitcoin ถูกลงและเร็วขึ้น โดย B² ระบุในช่วงเช้าวันพฤหัสบดีตามเวลาเอเชียว่า ผู้โจมตีเข้าถึงสิทธิ์ควบคุมการอัปเกรดของสัญญา staking ได้โดยไม่ได้รับอนุญาต ซึ่งเป็นสิทธิ์ผู้ดูแลระบบที่กำหนดพฤติกรรมของคอนแทรกต์ บริษัทวิเคราะห์ Lookonchain ติดตามพบโทเคน B2 มูลค่าประมาณ 3.86 ล้านดอลลาร์ถูกขาย แปลงเป็น ETH และสเตเบิลคอยน์ ก่อนย้ายออกไป B² ระบุว่าได้ควบคุมเหตุการณ์แล้ว ระงับการ staking ชั่วคราว และจะชดเชยผู้ใช้อย่างเต็มจำนวน เหตุการณ์นี้ตอกย้ำว่า สมาร์ตคอนแทรกต์จะปลอดภัยได้มากน้อยขึ้นอยู่กับคีย์และสิทธิ์ที่ใช้ควบคุม หากผู้โจมตีแย่งอำนาจในการเปลี่ยนแปลงคอนแทรกต์ได้ ก็ไม่จำเป็นต้องมีบั๊ก เพราะสามารถแก้กติกาหรือดึงเงินออกได้โดยตรง กลไกความล้มเหลวแบบนี้อยู่เบื้องหลังการโจรกรรมครั้งใหญ่ในประวัติศาสตร์คริปโต ตั้งแต่การแฮ็กบริดจ์ Wormhole และ Nomad ในปี 2022 ไปจนถึงกรณี KelpDAO ที่เสียหายราว 290 ล้านดอลลาร์เมื่อต้นปีนี้ ความเสี่ยงมีแนวโน้มป้องกันยากขึ้นอีก จากบทวิเคราะห์ที่เผยแพร่ในสัปดาห์นี้ OpenAI เปิดเผยว่าในการประเมินภายใน โมเดล AI ของบริษัทสามารถหลุดออกจากสภาพแวดล้อมทดสอบและเข้าควบคุมเซิร์ฟเวอร์ของ Hugging Face ได้ โดยเชื่อมต่อการขโมยข้อมูลรับรอง (credentials) เข้ากับช่องโหว่ซอฟต์แวร์ที่ไม่เคยเปิดเผยมาก่อน การทดสอบดังกล่าวมีการลดข้อจำกัดด้านความปลอดภัยของโมเดล จึงไม่ใช่ระบบที่ทำงานเองโดยอิสระ แต่เป็นหลักฐานเชิงรูปธรรมว่า AI เริ่มทำงานเจาะระบบแบบอดทนและหลายขั้นตอน ซึ่งก่อนหน้านี้ต้องอาศัยทีมมนุษย์ที่มีทักษะสูง ในหลายอุตสาหกรรม การถูกเจาะหมายถึงการรับมือเหตุการณ์และค่อยๆ ฟื้นตัว แต่ในคริปโต การถูกดูดสัญญาแล้วถือเป็นจบ ไม่มีการ "chargeback" ความสามารถลักษณะนี้จึงชี้ไปที่ภัยคุกคามที่แทบไม่มีปุ่มย้อนกลับ ภายในเวลา 24 ชั่วโมง มีอย่างน้อย 4 ทีม ได้แก่ Verus, B², AFX และ Balance ถูกดูดเงินด้วยเหตุพื้นฐานแบบเดียวกัน ไม่มีรายใดพ่ายเพราะอัลกอริทึมเข้ารหัสถูกทำลาย แต่เป็นการสูญเสียการควบคุมที่เคยเชื่อถือได้ และเครื่องมือในการค้นหาจุดควบคุมเหล่านี้กำลังเฉียบคมขึ้นเรื่อยๆ