ผู้ก่อตั้ง Coinex ชี้แฮ็ก Binance เปิดโปง 3 จุดอ่อนที่หลีกเลี่ยงได้ทั้งหมด

ความเห็นจากผู้มีประสบการณ์ในอุตสาหกรรม

ผู้ก่อตั้ง Coinex ซึ่งเป็นแพลตฟอร์มแลกเปลี่ยนคู่แข่ง ได้ให้ความเห็นเกี่ยวกับคดีการโจรกรรมที่ใหญ่ที่สุดในประวัติศาสตร์คริปโต โดยระบุว่า การละเมิดระบบของ Binance ได้เปิดเผย "ข้อผิดพลาดสำคัญอย่างน้อยสามข้อ ซึ่งสามารถหลีกเลี่ยงได้ทั้งหมด" Yang ยังกล่าวเพิ่มเติมว่า นี่เป็นความล้มเหลวด้านวินัยการดำเนินงาน มากกว่าการขาดเทคโนโลยีขั้นสูง

คำแสดงความคิดเห็นของเขาเกิดขึ้นในช่วงเวลาที่ Binance กำลังรับมือกับผลกระทบจากเหตุการณ์การละเมิดระบบ ซึ่งทางแพลตฟอร์มระบุว่ามีการถอนเงินสินทรัพย์ประมาณ 6.34 พันล้านดอลลาร์จากฮอตวอลเล็ทเมื่อวันที่ 29 ตุลาคม FBI ระบุว่าผู้อยู่เบื้องหลังการโจมตีคือกลุ่ม Tradertraitor ของเกาหลีเหนือ

สามข้อผิดพลาด

รายการข้อผิดพลาดของหยางมีดังนี้:

• ไม่มีการแยกการใช้งานคอมพิวเตอร์ระหว่างงานและชีวิตส่วนตัว: Yang กล่าวว่าสภาพแวดล้อมการพัฒนาและปฏิบัติการ "ไม่ถูกแยกกันอย่างสมบูรณ์" เขาชี้ว่าพนักงานที่มีสิทธิ์เข้าถึงระบบผลิตควรใช้อุปกรณ์เฉพาะ (โดยให้งานเขียนโค้ด การแชท และการท่องเว็บทั้งหมดดำเนินการบนเครื่องแยกต่างหาก) จุดนี้สอดคล้องโดยตรงกับสิ่งที่ Binance เปิดเผยในรายงานวิเคราะห์หลังเหตุการณ์ล่าสุด
• ใช้ข้อมูลรับรองเพียงชุดเดียวเพื่อดำเนินการระบบผลิต: Yang กล่าวว่าข้อมูลรับรองเพียงชุดเดียวก็เพียงพอที่จะดำเนินการบริการผลิตได้ ซึ่งหมายความว่า การรั่วไหลของข้อมูลรับรองเพียงครั้งเดียวก็ทำให้ผู้โจมตีได้รับสิทธิ์เข้าถึงอย่างเต็มรูปแบบ เขาเสนอให้ใช้ผู้จัดการเซสชันบนเบราว์เซอร์ที่คล้ายกับ Session Manager ของ Amazon Web Services (AWS) พร้อมด้วยกุญแจความปลอดภัยทางฮาร์ดแวร์เป็นปัจจัยยืนยันตัวตนขั้นที่สอง เพื่อป้องกันไม่ให้การรั่วไหลของข้อมูลรับรองเพียงชุดเดียวส่งผลให้เกิดการละเมิดระบบ
• ระบบหลายลายเซ็นมีอยู่เพียงบนกระดาษเท่านั้น จุดที่สามของหยางมุ่งเป้าไปที่การตั้งค่าการคำนวณหลายฝ่าย (MPC) ของ Binance ซึ่งเป็นวิธีการที่แบ่งอำนาจการลงลายเซ็นระหว่างหลายฝ่าย เขากล่าวว่าผู้ลงลายเซ็นไม่ได้ตรวจสอบธุรกรรมอย่างมีนัยสำคัญ ดังนั้นการถูกบุกรุกของโหนดหนึ่งจึงมีผลเหมือนกับการลงลายเซ็นเพียงครั้งเดียว เขาโต้แย้งว่า ระบบการลงนามหลายฝ่ายจะทำงานได้ก็ต่อเมื่อผู้ลงนามแต่ละคนตรวจสอบธุรกรรมอย่างอิสระ แทนที่จะเชื่อถือคำขอที่มาจากต้นทาง

Binance เล่าถึงเหตุการณ์

รายงานของ Binance เองก็สนับสนุนข้อวิจารณ์ของ Yang โดย Richard Teng ผู้ร่วมเป็น CEO ได้ให้สัมภาษณ์กับ CNBC ว่า หลังจากการสัมภาษณ์ปลอม ผู้โจมตี "ได้เคลื่อนไหวอย่างรุนแรงผ่านเครื่องมือ AI ภายในของเรา" และเข้าถึง "ระบบที่อนุมัติธุรกรรมในกระเป๋าเงินของเรา" ตามรายงานของ Bitcoin.com News การวิเคราะห์หลังเหตุการณ์ได้เชื่อมโยงการละเมิดระบบกับการสัมภาษณ์งานปลอมและการถูกเจาะระบบเครื่องมือปัญญาประดิษฐ์ (AI)

ตั้งแต่นั้นมา ตลาดได้สร้างระบบกระเป๋าเงินที่ได้รับผลกระทบขึ้นใหม่ เปลี่ยนอุปกรณ์ ยกเลิกสิทธิ์การเข้าถึง และเสริมความเข้มงวดในการควบคุมความเสี่ยงของบริการกระเป๋าเงิน Teng ยังกล่าวกับ Fox Business ว่า "บริษัทรับผิดชอบอย่างเต็มที่" พร้อมทั้งชี้ว่า 98% ของสินทรัพย์ที่ได้รับผลกระทบได้ถูกเติมเต็มแล้ว

หยางไม่ใช่เพียงคนเดียวที่มองว่าการแฮ็กครั้งนี้เป็นความล้มเหลวในการจัดการความเสี่ยง ออสติน แคมป์เบลล์ ผู้ก่อตั้ง Zero Knowledge Group ได้กล่าวกับสื่อคริปโตว่า "คริปโตไม่เคยถูกสร้างขึ้นเพื่อความปลอดภัยนอกเหนือจากวงการเทคโนโลยี" และต่อมาได้เรียกร้องให้ระงับการโอนเงินมูลค่าหลายพันล้านดอลลาร์เป็นเวลา 24 ชั่วโมง

ผู้วิจารณ์ที่มีผลประโยชน์เกี่ยวข้องโดยตรง

คำวิจารณ์ของหยางมีบริบทที่ผิดปกติ เนื่องจากในเดือนกันยายน เขาได้ประกาศว่า Coinex จะเริ่มปิดตัวลงอย่างเป็นระบบ โดยเปิดให้ถอนเงินได้จนถึงวันที่ 22 ธันวาคม 2026 เขากล่าวในขณะนั้นว่า ความเสี่ยงด้านความปลอดภัยและการปฏิบัติตามกฎระเบียบในการดำเนินการแลกเปลี่ยนได้กลายเป็นเรื่องที่ยากขึ้นในการควบคุม พร้อมทั้งเสริมว่า “การรับความเสี่ยงไม่จำกัดเพื่อรายได้ที่จำกัดไม่ใช่ทางเลือกที่สมเหตุสมผลอีกต่อไป”

กล่าวอีกนัยหนึ่ง ผู้ก่อตั้งที่วิเคราะห์ความล้มเหลวของ Binance ได้ตัดสินใจว่าความเสี่ยงเดียวกันนั้นไม่คุ้มค่าที่จะรับไว้ที่บริษัทของเขาเอง

สุดท้ายนี้ ควรกล่าวถึงว่ามาตรการแก้ไขของหยางไม่มีอะไรที่แปลกใหม่; คือ การแยกอุปกรณ์ กุญแจฮาร์ดแวร์ และการตรวจสอบผู้ลงนามอิสระ ล้วนเป็นคำแนะนำมาตรฐานสำหรับบริษัทใหญ่ใดๆ ทั้งสิ้น ความจริงที่ว่าบริษัทที่มีทรัพยากรเทียบเท่า Binance ถูกโจมตีผ่านช่องโหว่เหล่านั้น คือสิ่งที่ทำให้โพสต์ของเขาดูเจ็บแสบ

ไม่ว่าอย่างไรก็ตาม ค่าใช้จ่ายที่เกิดขึ้นก็สูงมาก โดยมีการวิเคราะห์หนึ่งคาดการณ์ว่า Binance อาจสูญเสียกำไรประมาณครึ่งหนึ่งของกำไรใน 5 ปี ไปกับค่าปรับและเหตุการณ์ถูกแฮ็ก เนื่องจากแฮ็กเกอร์กระจายเงินที่ถูกขโมยไปยัง 12,000 วอลเล็ต ทำให้แพลตฟอร์มแลกเปลี่ยนอื่น ๆ มีแนวโน้มที่จะต้องเผชิญกับคำถามเดียวกันที่หยางเพิ่งตั้งขึ้น: ระบบพื้นฐานของพวกเขาได้ถูกจัดตั้งอย่างถูกต้องแล้วหรือไม่?