Wasabi Protocol สูญเสียเงิน 5 ล้านดอลลาร์ หลังผู้โจมตีเข้ายึดคีย์ผู้ดูแลระบบของดีพลอยเออร์บน 3 เชน

ประเด็นสำคัญ:

• ผู้โจมตีดูดเงิน 4.5 ล้านถึง 5.5 ล้านดอลลาร์จาก Wasabi Protocol ด้วยการเจาะคีย์แอดมินของ deployer EOA เมื่อวันที่ 30 เมษายน 2026
• Virtuals Protocol ระงับการฝากมาร์จิ้นทันทีหลังตรวจพบการละเมิด แม้ว่าความปลอดภัยของระบบของตนเองยังคงสมบูรณ์ทั้งหมด
• Wasabi Protocol ยังไม่ได้ออกแถลงการณ์สาธารณะ; ผู้ใช้ต้องเพิกถอนการอนุมัติทั้งหมดบน Ethereum, Base และ Blast

โปรโตคอล DeFi Wasabi สูญเสีย 5 ล้านดอลลาร์จากการแฮ็กคีย์แอดมิน

ที่อยู่ที่ถูกเจาะคือ 0x5c629f8c0b5368f523c85bfe79d2a8efb64fb0c8 ซึ่งเป็นคีย์แอดมินเพียงอันเดียวที่ควบคุมสัญญา Perpmanager ของ Wasabi ผู้โจมตี มีรายงานว่าใช้คีย์นี้เพื่อมอบ ADMIN_ROLE ให้กับสัญญา helper ที่เป็นอันตราย จากนั้นดำเนินการอัปเกรด UUPS proxy โดยไม่ได้รับอนุญาตบนพร็อกซี Wasabivault และ Wasabilongpool ก่อนกวาดหลักประกันและยอดคงเหลือของพูลออกไป

บริษัทรักษาความปลอดภัย Hypernative ติดธงเหตุการณ์นี้ด้วยการแจ้งเตือนระดับรุนแรงสูงบนทั้งสามเชน Blockaid, Cyvers และ Defimonalerts ก็ตรวจพบกิจกรรมแบบเรียลไทม์เช่นกัน Hypernative ยืนยันว่าไม่ได้เป็นลูกค้าของ Wasabi แต่ตรวจพบการละเมิดได้อย่างอิสระ และให้คำมั่นว่าจะจัดทำการวิเคราะห์เชิงเทคนิคฉบับสมบูรณ์

การโจมตีเริ่มราวเวลา 07:48 UTC และดำเนินอยู่ประมาณสองชั่วโมง ดีพลอยเยอร์ได้มอบ ADMIN_ROLE ให้กับสัญญาที่ผู้โจมตีควบคุมบน Ethereum, Base และ Blast จากนั้นสัญญาอันตรายได้เรียก strategyDeposit() บนพร็อกซี WasabiVault จำนวน 7 ถึง 8 รายการ โดยส่ง “กลยุทธ์” ปลอมที่กระตุ้นฟังก์ชัน drain() ให้ส่งคืนหลักประกันทั้งหมดไปยังผู้โจมตี

ต่อมา Wasabilongpool บน Ethereum และ Base ถูกอัปเกรดไปเป็นอิมพลีเมนเทชันที่เป็นอันตรายซึ่งกวาดยอดคงเหลือที่เหลืออยู่ เงินทุนถูกรวมเป็น ETH บริดจ์ข้ามเชนเมื่อจำเป็น และกระจายไปยังหลายที่อยู่ รายงานช่วงแรกระบุว่ามีกิจกรรมบางส่วนเชื่อมโยงกับ Tornado Cash

ความเสียหายรายใหญ่ที่สุดเพียงรายการเดียว มีรายงานว่าคือ 840.9 WETH มูลค่ามากกว่า 1.9 ล้านดอลลาร์ ณ เวลาที่ถูกโจมตี สินทรัพย์อื่นที่ถูกดูดออกไปได้แก่ sUSDC, sREKT, PEPE, MOG, NEIRO, ZYN และบิตคอยน์ รวมถึงสินทรัพย์บนเชน Base เช่น VIRTUAL, AERO และ cbBTC มูลค่ารวมที่ถูกล็อก (TVL) ของ Wasabi อยู่ที่ราว 8.5 ล้านดอลลาร์บนหลายเชนก่อนถูกเอ็กซ์พลอยต์ ตาม ข้อมูล Defillama

นี่เป็นความล้มเหลวด้านการจัดการคีย์ ไม่ใช่ช่องโหว่ของ สมาร์ตคอนแทรกต์ ไม่มีการใช้รีเอนทรานซีหรือเอ็กซ์พลอยต์เชิงตรรกะ ผู้โจมตีน่าจะได้กุญแจส่วนตัวมาจากฟิชชิง มัลแวร์ หรือการขโมยโดยตรง แล้วใช้สถาปัตยกรรมพร็อกซีที่อัปเกรดได้เพื่อดูดเงินโดยไม่กระตุ้นการตรวจสอบความปลอดภัยแบบดั้งเดิม

Virtuals Protocol ซึ่งขับเคลื่อนการฝากมาร์จิ้นผ่าน Wasabi ดำเนินการอย่างรวดเร็วหลังตรวจพบการละเมิด ทีมงานได้ ระงับการฝากมาร์จิ้นทั้งหมด และยืนยันว่าความปลอดภัยของระบบของตนเองยังคงสมบูรณ์ทั้งหมด การเทรด การถอน และการทำงานของเอเจนต์บน Virtuals ดำเนินต่อไปโดยไม่สะดุด ทีมงานเตือนผู้ใช้ให้หลีกเลี่ยงการลงนามธุรกรรมใด ๆ ที่เกี่ยวข้องกับ Wasabi

Wasabi Protocol ยังไม่ได้ออกแถลงการณ์สาธารณะหรือโพสต์สรุปเหตุการณ์ ณ ข้อมูลล่าสุดที่มีอยู่ โปรโตคอลเคยสื่อสารอย่างรวดเร็วในเหตุการณ์อื่นที่ไม่เกี่ยวข้อง และมีการออดิทจาก Zellic และ Sherlock แต่การโจมตีครั้งนี้หลบเลี่ยงการป้องกันเหล่านั้นได้ทั้งหมด

ผู้ใช้ที่มีความเสี่ยงควรเพิกถอนการอนุมัติ (approvals) ของ Wasabi ทั้งหมดบน Ethereum, Base และ Blast ทันที เครื่องมืออย่าง Revoke.cash, Etherscan และ Basescan สามารถช่วยระบุการอนุมัติที่ยังใช้งานอยู่ได้ ตำแหน่ง LP ที่ยังเหลืออยู่ควรถอนออกโดยไม่ชักช้า และไม่ควรลงนามธุรกรรมที่เกี่ยวข้องกับ Wasabi จนกว่าทีมงานจะยืนยันการหมุนคีย์และความสมบูรณ์ของสัญญาทั้งหมด

เหตุการณ์นี้เข้ากับรูปแบบที่พบใน DeFi ตลอดปี 2026: สัญญาพร็อกซีที่อัปเกรดได้เมื่อจับคู่กับคีย์แอดมินแบบรวมศูนย์จะสร้างจุดล้มเหลวเดียวที่สามารถเลี่ยงได้แม้กระทั่งโค้ดที่ผ่านการออดิทอย่างดี เมื่อคีย์เดียวควบคุมสิทธิ์การอัปเกรดบนหลายเชน การถูกเจาะเพียงครั้งเดียวจึงกลายเป็นเหตุการณ์ระดับทั้งโปรโตคอล

การละเมิดของ Wasabi ไม่ได้เกิดขึ้นโดดเดี่ยว เดือนเมษายน 2026 มีเงินถูกดูดออกจากโปรโตคอล DeFi มากกว่า 600 ล้านดอลลาร์จากเหตุการณ์ที่ยืนยันแล้วราวหนึ่งโหล ทำให้เป็นหนึ่งในเดือนที่เลวร้ายที่สุดเป็นประวัติการณ์ของภาคส่วนนี้ เดือนเริ่มต้นในวันที่ 1 เมษายน โดยผู้โจมตีดูดเงินประมาณ 285 ล้านดอลลาร์จาก Drift Protocol บน Solana ภายในไม่ถึง 20 นาที ด้วยการบิดเบือนกลไกกำกับดูแลและการฉวยใช้ประโยชน์จากออราเคิล

แรงกระแทกใหญ่ครั้งที่สองเกิดขึ้นราววันที่ 18 เมษายน เมื่อการเอ็กซ์พลอยต์บริดจ์ Layerzero เล่นงาน KelpDAO บน Ethereum ดูดเงินราว 292 ล้านดอลลาร์ใน rsETH และก่อให้เกิดการลุกลามต่อเนื่อง (contagion) มากกว่า 10 พันล้านดอลลาร์บนแพลตฟอร์มกู้ยืม รวมถึง Aave เหตุการณ์เล็กกว่านี้เกิดขึ้นตลอดทั้งเดือนกับ Silo Finance, Cow Swap, Grinex, Rhea Finance และ Aftermath Finance เป็นต้น

รูปแบบที่เกิดขึ้นเกือบทุกเหตุการณ์ชี้ให้เห็นว่าไม่ได้มาจากบั๊กระดับโค้ด แต่ไปทางการถูกเจาะคีย์แอดมิน จุดอ่อนของบริดจ์ และความเสี่ยงของพร็อกซีที่อัปเกรดได้ ซึ่งเปิดเผยจุดควบคุมแบบรวมศูนย์ที่การออดิทเพียงอย่างเดียวไม่สามารถปกป้องได้

สถานการณ์ของ Wasabi ยังดำเนินอยู่ ผู้ใช้ควรติดตามบัญชีทางการ @wasabi_protocol และฟีดของบริษัทรักษาความปลอดภัยเพื่อรับอัปเดต