การเปลี่ยนแปลงมูลค่า 763.9 ล้านดอลลาร์: ทำไมการตรวจสอบสมาร์ตคอนแทรกต์จึงไม่สามารถหยุดไตรมาสที่เลวร้ายที่สุดของ Web3 ได้

ภาพรวมความปลอดภัยไตรมาส 2 ปี 2026

ไตรมาสที่สองของปี 2026 เป็นช่วงเวลาที่รุนแรงที่สุดสำหรับความปลอดภัย Web3 นับตั้งแต่ไตรมาสที่สองของปี 2025 โดยผู้ก่อภัยคุกคามดึงเงินออกไป 763.9 ล้านดอลลาร์จากเหตุการณ์ด้านความปลอดภัย 67 ครั้ง การเปลี่ยนแปลงสำคัญที่นิยามไตรมาสนี้คือการเปลี่ยนแปลงเชิงพื้นฐานของโปรไฟล์ช่องโหว่: โค้ดไม่ใช่พื้นผิวการโจมตีหลักอีกต่อไป แต่เป็นการควบคุมเชิงปฏิบัติการและการจัดการกุญแจ

มากกว่า 88% ของความเสียหายรวมเกิดจากการถูกเจาะระบบปฏิบัติการ มากกว่าความบกพร่องในตรรกะของสมาร์ตคอนแทรกต์ ทุนสถาบันกำลังปรับตัวอยู่แล้ว โดยย้ายลำดับความสำคัญของการทำ due diligence ออกจากการตรวจสอบ ณ ช่วงเวลาใดช่วงเวลาหนึ่ง ไปสู่การมอนิเตอร์อย่างต่อเนื่อง การกำกับดูแลการเข้าถึงแบบสิทธิพิเศษ (privileged-access) และกรอบการอนุมัติที่ต้องมีผู้มีส่วนร่วมหลายฝ่าย

ตามรายงานความปลอดภัยและการปฏิบัติตามข้อกำหนดรายไตรมาสของ Hacken (report) การถูกเจาะกุญแจและโครงสร้างพื้นฐานคิดเป็น 88.3% ของเงินที่ถูกขโมยทั้งหมด หรือราว 674.5 ล้านดอลลาร์ บั๊กของสมาร์ตคอนแทรกต์ยังคงเป็นรูปแบบการโจมตีที่พบบ่อยที่สุด — 44 จาก 67 เหตุการณ์ — แต่คิดเป็นเพียงประมาณ 11% ของความเสียหายรวม ราว 75.5% ของความเสียหายทั้งหมดมาจากเพียงสองเหตุการณ์ที่ถูกระบุว่าเกี่ยวข้องกับ ผู้ก่อภัยคุกคามจากเกาหลีเหนือ ขณะที่มีเพียง 9% ของโปรเจ็กต์ที่ติดตามได้ที่คงการมอนิเตอร์ต่อเนื่อง และ 4% ที่ผสานการตรวจสอบ (audit) โปรแกรมบั๊กบาวน์ตี และการมอนิเตอร์แบบเรียลไทม์

ข้อค้นพบหลักจากไตรมาสที่สองคือ โปรโตคอลที่ผ่านการตรวจสอบแล้ว 14 รายถูกเจาะ — เป็นตัวชี้วัดที่ชัดเจนถึงช่องว่างที่ขยายตัวระหว่างสิ่งที่การตรวจสอบสมาร์ตคอนแทรกต์ประเมินจริง ๆ กับจุดที่ผู้ก่อภัยคุกคามลงมือโจมตีจริง สำหรับผู้เชี่ยวชาญด้านความปลอดภัย การละเมิดเหล่านี้เผยให้เห็นข้อบกพร่องร้ายแรงของการปฏิบัติต่อการรีวิวโค้ด ณ ช่วงเวลาใดช่วงเวลาหนึ่งราวกับเป็นโล่ความปลอดภัยแบบครอบจักรวาล

“ความเข้าใจผิดที่ใหญ่ที่สุดคือคิดว่าออดิทคือใบรับรองความปลอดภัย” Leo Fan ผู้ก่อตั้ง Cysic กล่าว “จริง ๆ แล้วมันคือการประเมินแบบมีขอบเขตต่อโค้ดเบสหนึ่ง ๆ ณ จุดเวลาใดเวลาหนึ่ง ออดิทไม่ได้ครอบคลุมอุปกรณ์ของผู้ลงนาม โครงสร้างพื้นฐานคลาวด์ สิทธิ์การปฏิบัติการ ไบต์โค้ดที่ดีพลอยแล้ว การอัปเกรดภายหลัง การพึ่งพาบุคคลที่สาม หรือคอนแทรกต์เก่าที่อาจยังเรียกใช้งานได้โดยอัตโนมัติ”

Eric Swartz หุ้นส่วนผู้ก่อตั้งและที่ปรึกษากฎหมายทั่วไปของ Panther Hollow Ventures สะท้อนว่า การมองออดิทเป็นเส้นชัยทำให้โปรโตคอลยังคงเสี่ยง “ออดิทบอกคุณได้ว่าระบบหน้าตาเป็นอย่างไร ณ ช่วงเวลาใดช่วงเวลาหนึ่ง” Swartz กล่าว “แต่มันไม่รับประกันว่าอัปเกรดในอนาคต การเปลี่ยนแปลงเชิงปฏิบัติการ หรือวิธีโจมตีแบบใหม่จะไม่ก่อให้เกิดความเสี่ยง ทีมที่แข็งแกร่งที่สุดมองออดิทเป็นเพียงส่วนหนึ่งของโปรแกรมความปลอดภัยที่กว้างกว่านั้นมาก”

Samuel Videau CTO ของ Genius ระบุว่า ส่วนขอบเขต (scope) ของรายงานออดิทมักเผยให้เห็นสิ่งที่ ‘ไม่ได้’ ถูกประเมิน “เกือบ 90% ของความเสียหายในไตรมาส 2 มาจากกุญแจ ผู้ลงนาม และโครงสร้างพื้นฐาน ซึ่งทั้งหมดอยู่นอกส่วนขอบเขตนั้น และโปรเจ็กต์ที่ผ่านออดิท 14 รายก็ยังถูกดูดเงินออกไปอยู่ดี” Videau กล่าว “ใบรายงานผลไม่ใช่โปรแกรมความปลอดภัย”

Himanshu Sahay CTO และผู้ร่วมก่อตั้ง Arch เน้นว่าออดิทไม่สามารถยืนอยู่ลำพังได้ “ออดิทเป็นการประเมินโค้ดและสถาปัตยกรรมที่ถูกตรวจ ณ จุดเวลาใดเวลาหนึ่งที่สำคัญ แต่ไม่สามารถคำนึงถึงความเสี่ยงเชิงปฏิบัติการทั้งหมดหรือการเปลี่ยนแปลงของระบบในอนาคตได้” Sahay กล่าว “ความปลอดภัยต้องถูกปฏิบัติเป็นกระบวนการต่อเนื่อง”

ข้ามโค้ด: จุดอ่อนของโครงสร้างพื้นฐานนอกเชน

ในระหว่างนี้ เมื่อการป้องกันของสมาร์ตคอนแทรกต์พัฒนาขึ้น และตรรกะบนเชนถูกเจาะได้ยากขึ้นเรื่อย ๆ ผู้ก่อภัยคุกคามก็ได้เปลี่ยนทิศทางอย่างเด็ดขาด แทนที่จะพยายามพังประตูหน้าที่มีการคุ้มกันแน่นหนา ผู้โจมตีกำลังเลี่ยงโค้ดไปโดยสิ้นเชิงอย่างเป็นระบบ เพื่อหาประโยชน์จากจุดอ่อนของโครงสร้างพื้นฐานนอกเชน

“พื้นผิวที่ถูกประเมินต่ำที่สุดคือ control plane นอกเชน: อุปกรณ์ของผู้ลงนาม ขั้นตอนการสร้างและหมุนเวียนกุญแจ อัตลักษณ์บนคลาวด์ ไปป์ไลน์ CI/CD บริการแบ็กเอนด์ ตัวตรวจสอบบริดจ์ (bridge validators) และเส้นทางแอดมินฉุกเฉิน” Fan กล่าว “ทีมมักปกป้องการเก็บกุญแจ แต่ให้ความสำคัญน้อยกว่าว่ากุญแจถูกใช้อย่างไร… เมื่อถูกเจาะ ผู้โจมตีสามารถสร้างธุรกรรมที่ถูกต้องตามเทคนิคบนเชนได้ ทำให้การป้องกันและการตรวจจับยากขึ้นมาก”

ขอบเขตการป้องกันของคลาวด์เองก็สร้างความรู้สึกปลอดภัยลวงให้กับนักพัฒนา Web3 จำนวนมาก

“สมมติฐานที่ใหญ่ที่สุดคือการใช้ผู้ให้บริการคลาวด์รายใหญ่ทำให้แอปพลิเคชันปลอดภัยโดยปริยาย” Jerald David CEO ของ Lynq กล่าว “ผู้ให้บริการคลาวด์ปกป้องโครงสร้างพื้นฐานชั้นล่าง แต่ทีมยังต้องรับผิดชอบว่าระบบถูกคอนฟิกอย่างไร การจัดการข้อมูลรับรอง (credentials) ทำอย่างไร และใครมีสิทธิ์เข้าถึง”

ขณะเดียวกัน Videau เตือนว่าสถาปัตยกรรมที่ไม่เหมาะสมสามารถลบล้างการป้องกันแบบ multisig ได้ “ทั้งระบบปฏิบัติการรันอยู่บนบทบาทบริการที่ให้สิทธิ์เกินจำเป็นและไปป์ไลน์ CI/CD ที่สามารถแตะกุญแจโปรดักชันได้ และถ้าบัญชีบริการตัวใดตัวหนึ่งอ่านกุญแจลงนามของคุณได้ multisig ของคุณก็เป็นแค่การแสดง” Videau กล่าว “คอนแทรกต์ที่เลิกใช้แล้วแต่ยังถือสิทธิ์แอดมินเป็นอีกช่องทางหนึ่ง: โค้ดที่คุณปล่อยเมื่อสองปีก่อนยังเป็นประตูที่ใช้งานอยู่ และผู้โจมตีไม่สนใจว่าคุณมองอะไรว่าอยู่ในขอบเขตหรือไม่”

เมื่อผู้จัดสรรทุนสถาบันปรับเทียบโมเดลความเสี่ยงใหม่ มาตรฐานสำหรับการนำเงินทุนไปลงได้ยกระดับขึ้นอย่างมาก “พร้อมสำหรับสถาบัน” ไม่ได้ถูกนิยามด้วยรายงานออดิทที่สะอาดอีกต่อไป แต่ด้วยหลักฐานของความเป็นผู้ใหญ่เชิงปฏิบัติการ ธรรมาภิบาลระดับองค์กร และการควบคุมการจัดการกุญแจที่ยืดหยุ่นทนทาน

“ผมดูเรื่องความเป็นผู้ใหญ่เชิงปฏิบัติการก่อนเป็นอันดับแรก” David กล่าว “ทีมอธิบายได้ชัดเจนหรือไม่ว่าเงินทุนเคลื่อนผ่านระบบอย่างไร จุดควบคุมสำคัญอยู่ตรงไหน และติดตามความเสี่ยงอย่างไร สถาบันต้องการความคาดการณ์ได้และความโปร่งใส”

Sahay ระบุว่า ไม่มีการควบคุมใดเพียงอย่างเดียวที่รับประกันการสนับสนุนจากสถาบันได้ “สถาบันต้องการเข้าใจว่าระบบสำคัญถูกเข้าถึงอย่างไร สิทธิ์ถูกจัดการอย่างไร มอนิเตอร์กิจกรรมอย่างไร และมีกระบวนการอะไรเมื่อเกิดความผิดพลาด” Sahay กล่าว “ท้ายที่สุดแล้ว เป็นการผสมผสานของการควบคุมที่แข็งแรง ความโปร่งใส และวินัยเชิงปฏิบัติการที่สร้างความเชื่อมั่น”

เมื่อประเมินโปรโตคอล Fan ให้ความสำคัญกับแผนที่สิทธิพิเศษ (privilege map): ใครสามารถย้ายสินทรัพย์ เปลี่ยนผู้ลงนาม หรือปรับแก้มาตรการป้องกันได้ “ถ้าต้องระบุการควบคุมหนึ่งอย่างที่สัมพันธ์กับความมั่นใจของสถาบันมากที่สุด นั่นคือการอนุมัติแบบหลายฝ่ายในทุกเส้นทางของการย้ายสินทรัพย์และการอัปเกรด” Fan กล่าว “สถาบันต้องการหลักฐานว่าการกระทำฝ่ายเดียวเป็นไปไม่ได้”

Swartz เสริมว่าสถาบันให้ความสำคัญกับวิธีที่ทีมรับมือเมื่อเผชิญปัญหา “สถาบันรู้ว่าไม่มีโปรโตคอลใดปราศจากความเสี่ยงโดยสิ้นเชิง” Swartz กล่าว “สิ่งสำคัญคือทีมมีธรรมาภิบาลที่ดี การควบคุมภายในที่แข็งแรง ความโปร่งใสเกี่ยวกับความเสี่ยง และแผนตอบสนองที่ชัดเจนเมื่อมีอะไรผิดพลาด”

ผู้เชี่ยวชาญทั้งห้าคนเห็นพ้องว่า Web3 ต้องยอมรับสแต็กการป้องกันแบบหลายชั้น ที่ผสานการมอนิเตอร์แบบเรียลไทม์ การจัดการกุญแจอย่างมีวินัย และโปรแกรมบั๊กบาวน์ตีที่ตอบสนองได้รวดเร็ว เพื่อปกป้องจากภัยคุกคามที่พัฒนาไปเรื่อย ๆ

“สินทรัพย์ดิจิทัลทำงานตลอด 24 ชั่วโมง แต่บางส่วนของโครงสร้างพื้นฐานที่รองรับยังคงทำงานตามตารางแบบการเงินดั้งเดิม” David กล่าว “เมื่อ ตลาดมีความเป็นสถาบันมากขึ้น โครงสร้างพื้นฐานที่รองรับการเคลื่อนย้ายและการชำระบัญชีของเงินทุนก็ต้องยืดหยุ่นทนทานมากขึ้นด้วย”

มองไปข้างหน้าสู่ครึ่งหลังของปี 2026: ปรับแนวสแต็กการป้องกันใหม่

ขณะเดียวกัน ผู้เชี่ยวชาญเตือนว่า ครึ่งหลังของปี 2026 จะมีลักษณะเดิมมากขึ้น แทนที่จะเผาผลาญเวลาพยายามย้อนรอยวิศวกรรมสมาร์ตคอนแทรกต์ที่ผ่านการออดิท ผู้ก่อภัยคุกคามคาดว่าจะยังคงทุบเส้นทางที่มีแรงต้านน้อยที่สุด: การควบคุมเชิงปฏิบัติการ เป้าหมายมนุษย์ และโครงสร้างพื้นฐานของกุญแจ

“ผมคาดว่าการโจมตีด้านการควบคุมการเข้าถึงเชิงปฏิบัติการจะยังครองสัดส่วนความเสียหาย: วิศวกรรมสังคม การขโมยข้อมูลรับรอง การยึดผู้ลงนาม การบุกรุกคลาวด์หรือ CI/CD และการโจมตีโครงสร้างพื้นฐานตัวตรวจสอบนอกเชน” Fan คาดการณ์ “บั๊กของสมาร์ตคอนแทรกต์รายตัวจะยังเกิดขึ้น แต่ผู้โจมตีจะยังคงเล็งไปที่ทางลัดสู่การได้มาซึ่งอำนาจ”

Videau สรุปด้วยการเรียกร้องให้ปรับการใช้จ่ายด้านความปลอดภัยให้สอดคล้องกับความเสี่ยงจริง: “ใช้จ่ายในจุดที่มีความสูญเสีย เงินที่ถูกขโมยเกือบ 90% เคลื่อนผ่านกุญแจ ผู้ลงนาม และโครงสร้างพื้นฐาน แต่บัดเจ็ตยังเทไปที่การออดิทคอนแทรกต์ การโจมตีที่เลวร้ายที่สุดจะเป็นการโจมตีที่ไม่มีใครคาดเดาได้ ดังนั้นจงสร้างระบบราวกับว่าแนวป้องกันรอบนอกของคุณหายไปแล้ว”