Curve Finance Exploit: เราได้เรียนรู้อะไรจากมัน?

เพียงแค่สัปดาห์ที่แล้ว ทุกคนกำลังพูดถึงเหตุการณ์การแฮ็กที่เกิดขึ้นกับ exchange แบบกระจายศูนย์อย่าง Curve ตอนนี้ทุกอย่างดูดีขึ้นแล้ว แต่เราก็ควรพิจารณารายละเอียดของการโจมตีครั้งนี้ให้ใกล้ชิดขึ้น เพื่อดูว่ามีบทเรียนอะไรที่สามารถเรียนรู้ได้จากเหตุการณ์นี้บ้าง

ภาพรวมของเหตุการณ์

ในช่วงปลายเดือนกรกฎาคม 2023 โปรโตคอล DeFi ของ Curve Finance ถูกโจมตี ผู้ฉ้อโกงสามารถเข้าถึงสินทรัพย์จากพูลของแพลตฟอร์มได้เนื่องจากช่องโหว่ในภาษาโปรแกรมมิง smart contracts ของ Vyper ซึ่งนักพัฒนายืนยันแล้ว ช่องโหว่นี้ทำให้ผู้โจมตีสามารถสร้าง smart contracts ที่ดำเนินธุรกรรมได้โดยไม่ได้รับอนุญาตจากผู้ใช้ ข้อมูลเกี่ยวกับการเจาะระบบความปลอดภัยถูกโพสต์บนไมโครบล็อกของโปรโตคอล

ช่องโหว่ของ Curve Finance ทำให้ผู้ฉ้อโกงเข้าถึงสินทรัพย์มูลค่ากว่า 47 ล้านดอลลาร์ นอกจากนี้ ปัญหาของ Vyper ยังทำให้ผู้โจมตีสามารถทำการโจมตีในลักษณะเดียวกันบนบล็อกเชนของตลาดซื้อขายคริปโต Binance - BNB Smart Chain (BSC) - และ ถอน สินทรัพย์มูลค่า 73,000 ดอลลาร์ออกไปได้

เกิดอะไรขึ้นกับ Curve Finance กันแน่?

Curve Finance ประสบกับการแฮ็กครั้งใหญ่ที่เกิดขึ้นสองระยะ ช่วงแรก แฮ็กเกอร์ขโมยเงินประมาณ 26 ล้านดอลลาร์จากช่องโหว่ reentrancy จากนั้นตามมาด้วยช่วงที่สองของการโจมตี ซึ่งมีการถอน 7.1 ล้าน CRV (4.4 ล้านดอลลาร์) และ 7,680 Wrapped Ether (14.37 ล้านดอลลาร์) ออกจากพูล CRV-ETH ของ Curve Finance

แฮ็กเกอร์สามารถใช้ประโยชน์จากช่องโหว่ในเวอร์ชันภาษาโปรแกรมมิง Vyper ที่ล้าสมัยได้ ส่งผลให้ TVL ลดลงจาก 3.26 พันล้านดอลลาร์เหลือ 1.72 พันล้านดอลลาร์ คิดเป็นการลดลงเกือบ 46% ภายในระยะเวลา 24 ชั่วโมง

Vyper คืออะไร?

Vyper เป็นภาษาโปรแกรมมิงที่อิงจาก Python ออกแบบมาเพื่อใช้งานกับ Ethereum virtual machine นักพัฒนาได้ระบุว่าช่องโหว่ reentrancy นี้มีอยู่ในเวอร์ชัน 0.2.15, 0.2.16 และ 0.3.0

ตามที่นักวิเคราะห์ของ Ancilia ระบุ โปรโตคอลประมาณ 460 รายการกำลังใช้ซอฟต์แวร์ที่มีช่องโหว่

จากการสืบสวนของ Curve พบว่า compilers บางตัวนำการป้องกัน re-login ไปใช้ไม่ถูกต้อง ซึ่งทำให้ไม่สามารถดำเนินหลายฟังก์ชันพร้อมกันได้โดยการบล็อก contract ความผิดพลาดนี้เปิดโอกาสให้ผู้โจมตีถอนเงินจากหลายโปรเจกต์ได้

โปรเจกต์ Curve DeFi รวมถึง JPEG's, MetronomeDAO, deBridge และ Ellipsis ได้รับผลกระทบจากการโจมตีนี้ พูลที่เสียหายมากที่สุดคือ alETH-ETH ของ Alchemix ซึ่งมีมูลค่า 13.6 ล้านดอลลาร์

ผลกระทบต่อราคา

ตามข้อมูลจาก DeFi Llama มูลค่ารวมที่ถูกล็อกไว้ของ Curve Finance ต่อวันลดลงเกือบครึ่ง - จาก 3.25 ล้านดอลลาร์เหลือ 1.73 ล้านดอลลาร์

อันเป็นผลจากการโจมตี มูลค่าของโทเค็นดั้งเดิมของ Curve Finance (CRV) ลดลง 14% แม้ว่าในตอนนี้จะฟื้นตัวขึ้นแล้วก็ตาม

Jihan Wu ผู้ก่อตั้งแพลตฟอร์มคริปโต Matrixport แสดงการสนับสนุนโปรเจกต์นี้ และระบุว่าเขาได้ซื้อ tokens CRV ในช่วงที่ราคาตก เขามองว่า Curve Finance เป็นหนึ่งในโครงสร้างพื้นฐานที่สำคัญที่สุดในคลื่นการ tokenization ของสินทรัพย์จริงในวงกว้างที่กำลังจะมาถึง

Upbit ซึ่งเป็นตลาดซื้อขายรายใหญ่ที่สุดของเกาหลีใต้ ประกาศว่า ความผันผวนของ CRV เพิ่มขึ้นเนื่องจากการโจมตี ส่งผลให้แพลตฟอร์มระงับการฝากและถอนเหรียญทั้งหมด

“สภาพคล่องที่ลดลงไม่เคยเป็นเรื่องดีสำหรับตลาด โดยเฉพาะอย่างยิ่งสำหรับ stablecoins ซึ่งจำเป็นต้องซื้อขายอยู่ในกรอบที่แคบมาก” Clara Medalie ผู้อำนวยการฝ่ายวิจัยของ Kaiko กล่าว

ผลกระทบต่อภาค DeFi

ในช่วงเวลาที่เกิดเหตุการณ์ มีมากกว่า 450 liquidity pools ที่ใช้ Vyper เวอร์ชันที่มีช่องโหว่ ดังนั้นจำนวนผู้เสียหายและขนาดของความสูญเสียอาจสูงกว่านี้มาก

เหตุการณ์นี้ส่งผลกระทบต่อโปรเจกต์ Alchemix, JPEG's, MetronomeDAO, Ellipsis และ deBridge

พูลที่ได้รับผลกระทบมากที่สุด ได้แก่:

• pETH/ETH ความเสียหายอยู่ที่ 6106.65 WETH;
• msETH/ETH - 866.55 WETH~ $1.6 million) และ 959.71 msETH
• alETH/ETH - 7258.7 WETH~million million) และ 4821.55;
• CRV/ETH - 7,193,401.77 CRV~ $5.1 million at the time of the incident), 7680.49 WETH~ $14.2 million) และ 2879.65 ETH

นอกจากนี้ พูล Arbitrum Tri-Crypto อาจได้รับผลกระทบด้วย ผู้ตรวจสอบและนักพัฒนา Vyper ไม่สามารถยืนยันการโจมตีได้ แต่ทีม Curve แนะนำให้ผู้ให้สภาพคล่องถอนตัวออกไปเป็นการป้องกันไว้ก่อน

แม้ว่าจะไม่สามารถใช้มาตรการฉุกเฉินของ DAO เพื่อหยุดพูลหรือกระทบต่อเงินของผู้ใช้ได้ แต่ก็สามารถระงับการออก CRV เพิ่มเติมได้ Michael Egorov ผู้ก่อตั้ง Curve Finance บอกกับ Bloomberg ว่าอุตสาหกรรม DeFi จะรอดพ้นจากการแฮ็กครั้งนี้ได้ 

ปฏิกิริยาจากสื่อและคอมมูนิตี้

ทวีตที่ทำให้เหตุการณ์รุนแรงขึ้น

ในไม่กี่นาทีแรกหลังการแฮ็ก นักวิเคราะห์จาก BlockSec และ PeckShieldAlert ได้แชร์บางส่วนจาก open-source Vyper compiler บนโซเชียลเน็ตเวิร์ก X (เดิมชื่อ Twitter) ข้อความเหล่านี้เปิดเผยรายละเอียดเฉพาะของช่องโหว่

ทวีตเหล่านี้เปิดโอกาสให้แฮ็กเกอร์ภายนอก “เข้าร่วมการแฮ็ก” และทำให้สถานการณ์แย่ลง การกระทำดังกล่าวถูกประณามโดยคอมมูนิตี้ และโพสต์ต้นฉบับถูกลบออกไป

หลังเผชิญกระแสวิจารณ์อย่างหนัก ตัวแทนของ BlockSec ตอบกลับว่า การตัดสินใจโพสต์ทวีตที่มีรายละเอียดการโจมตีเกิดจากความเร่งด่วนที่จะต้องแจ้งเตือนคอมมูนิตี้โดยเร็ว เนื่องจากไม่สามารถติดต่อทีม Curve Finance ได้

อย่างน้อยก็ส่วนหนึ่งจากกิจกรรมบน Twitter ทำให้พูลต่าง ๆ ถูกโจมตีโดยผู้บุกรุกหลายราย อย่างไรก็ตาม ในหมู่พวกเขามีแฮ็กเกอร์แบบ “white hat” อยู่ด้วย ซึ่งช่วยให้โปรเจกต์กู้คืนเงินที่ถูกขโมยไปได้บางส่วน White Hat ที่ใช้ชื่อ c0ffeebabe.eth ได้คืน 2,879 ETH (มูลค่าประมาณ 5.4 ล้านดอลลาร์) ให้กับโปรโตคอล decentralized finance (DeFi) Curve Finance เงินดังกล่าวถูกเบี่ยงออกไปจากพูลสภาพคล่อง CRV-ETH ระหว่างการโจมตี

ด้วยการใช้บอท MEV ผู้ป้องกันสามารถนำหน้าแฮ็กเกอร์และปกป้อง 2879 ETH ได้ ต่อมาเขาได้คืนจำนวนดังกล่าวให้กับ Curve ตามข้อมูลล่าสุด

อย่างไรก็ตาม จำนวนที่คืนมานั้นเป็นเพียงเศษเสี้ยวของเงินที่ถูกขโมยทั้งหมด โดยรวมแล้ว ช่องโหว่ของ Curve Finance ทำให้ผู้ฉ้อโกงเข้าถึงสินทรัพย์มูลค่ากว่า 47 ล้านดอลลาร์ได้ นอกจากนี้ ช่องโหว่ใน Vyper ยังทำให้ผู้โจมตีสามารถก่อเหตุในลักษณะเดียวกันบนบล็อกเชนของ Binance cryptocurrency exchange - BNB Smart Chain (BSC)

มุมมองของสมาชิกคอมมูนิตี้

โดยทั่วไป ในช่วงที่เกิดเหตุการณ์ มีการกล่าวว่าสถานการณ์เช่นนี้อาจก่อให้เกิดความตื่นตระหนกอย่างไม่เคยมีมาก่อนและทำให้สภาพคล่องในภาค DeFi ลดลง อย่างไรก็ตาม ดูเหมือนว่าสถานการณ์ของ Curve Finance จะเริ่มกลับเข้าสู่เส้นทางปกติแล้ว ปัญหาของ compiler ได้รับการแก้ไขแล้ว นักพัฒนาชี้แจงว่าผู้โจมตีต้อง “ตรวจสอบประวัติของเวอร์ชันอย่างละเอียด” เพื่อหาปัญหาที่ไม่ชัดเจนนี้

นักวิเคราะห์ของ JPMorgan สรุปว่า ผลกระทบของการโจมตี Curve ที่มีต่อระบบนิเวศ DeFi ดูเหมือนจะจำกัดอยู่ในวงแคบ

นักวิจัย DeFi ที่ใช้ชื่อ Ignas กล่าวว่า เหตุการณ์ Curve Finance “ได้บั่นทอนความเชื่อมั่นใน decentralized finance”

“ถ้าโปรโตคอลที่ดำเนินงานมาสามปีโดยไม่มีปัญหาจู่ ๆ ถูกโจมตีได้ ก็ย่อมทำให้เกิดความกังวลเกี่ยวกับความปลอดภัยของแพลตฟอร์มที่มีชื่อเสียงอื่น ๆ เช่น AAVE, Compound หรือแม้แต่ Uniswap” เขากล่าวเสริมว่า ความเสี่ยงจากการถูกแฮ็ก Uniswap v4 มีมาก เนื่องจากการออกแบบ smart contracts แบบ monolithic เพราะจะทำให้สินทรัพย์ทั้งหมดตกอยู่ในความเสี่ยงในทันที

Ignas ระบุว่า หลายโปรโตคอลที่มีสินทรัพย์สังเคราะห์ซึ่งพึ่งพาสภาพคล่องของโทเค็น CRV อาจมีหนี้สินต่อผู้ใช้ โดยเฉพาะอย่างยิ่ง เขากล่าวถึงการล้างพอร์ตของ CRV, AAVE, Frax และ Abracadabra รวมเป็นมูลค่า 100 ล้านดอลลาร์หลังการโจมตี นอกจากนี้ ในมุมมองของเขา เหตุการณ์นี้อาจชะลอการยอมรับ DeFi ในระดับสถาบันลงได้

ในขณะเดียวกัน Rune Christensen ผู้ร่วมก่อตั้ง MakerDAO เชื่อว่า การโจมตีล่าสุดใน Curve Finance จะเป็น “การล่มสลายครั้งสุดท้าย” ก่อนที่ตลาดคริปโตจะเข้าสู่การเติบโตครั้งใหม่ ผู้ก่อตั้ง Nostra อย่าง David Garay เห็นด้วยกับเขา: “มันอาจเป็นจุดเปลี่ยนที่ในที่สุดโปรโตคอลการให้กู้ยืมจะเริ่มมอนิเตอร์สภาพคล่องออนไลน์เชิงรุกสำหรับสินทรัพย์ค้ำประกันแต่ละประเภทอย่างจริงจัง”

แฮ็กเกอร์ของ Curve คืนสินทรัพย์ที่ถูกขโมยบางส่วน

Curve Finance เสนอรางวัล 1.85 ล้านดอลลาร์สำหรับการระบุตัวแฮ็กเกอร์ที่เจาะแพลตฟอร์ม เพื่อนำตัวมาดำเนินคดี ในไม่ช้า แฮ็กเกอร์นิรนามรายหนึ่งก็เริ่มกระบวนการคืนเงิน ณ เวลาที่เขียนบทความนี้ เขาได้คืนสินทรัพย์มูลค่ามากกว่า 20 ล้านดอลลาร์แล้ว

ในข้อความเกี่ยวกับธุรกรรมดังกล่าว แฮ็กเกอร์อธิบายว่าการตัดสินใจของเขาไม่ได้เกิดจากความกลัวว่าจะถูกจับ แต่เกิดจากความไม่ต้องการทำลายโปรเจกต์ JPEG's project ยังยืนยันการคืน 5,494 WETH (มูลค่ามากกว่า 10 ล้านดอลลาร์) ด้วยเช่นกัน แฮ็กเกอร์ได้รับรางวัล 10% จำนวน 610.6 WETH (1.1 ล้านดอลลาร์)

บทสรุป

ด้วยการที่ CRV ถูกใช้เป็นสินทรัพย์ค้ำประกันอย่างแพร่หลาย ลูกโซ่การล้างพอร์ตอาจสร้างความท้าทายอย่างมากให้กับภาค DeFi ภาคส่วนนี้ยังไม่ฟื้นตัวเต็มที่จาก bear market ที่ยืดเยื้อ

แต่ดูเหมือนว่านักพัฒนาจะจำกัดความเสียหายที่เกิดจากการแฮ็กครั้งนี้ได้แล้ว นอกจากนี้ Michael Egorov CEO ของ Curve ยังลงมือจัดการด้วยตัวเอง โดยนำสินทรัพย์ของเขาไปชำระหนี้เพื่อหลีกเลี่ยงการล่มสลายของ DeFi 

น่าเสียดายที่เรื่องราวของคริปโตไม่ได้จบลงอย่างสวยงามเสมอไป CertiK ระบุว่า เฉพาะในไตรมาสที่สองของปี 2023 เพียงไตรมาสเดียว มีการขโมยทรัพย์สินมูลค่า 313.6 ล้านดอลลาร์ โดยมีการส่งคืนกลับมาน้อยกว่าครึ่ง และอาชญากรรมส่วนใหญ่ยังไม่ถูกคลี่คลาย