แฮ็กช่องโหว่บริดจ์ของ Payy ทำให้บัตรคริปโตใช้งานไม่ได้ ยอดเงินในบัญชีไม่ปลอดภัยอีกต่อไป

Payy ผู้ให้บริการเครือข่ายชำระเงินด้วยสเตเบิลคอยน์์ที่มีบัตรจ่ายเงิน ประกาศระงับการทำธุรกรรมทุกประเภทชั่วคราว หลังพบว่าสัญญาสะพาน (bridge) บน Ethereum ถูกโจมตีและถูกระบายเงินออกเมื่อวันที่ 24 กันยายน

เกิดอะไรขึ้น

Payy ระบุว่าเหตุโจมตีเกิดขึ้นเวลา 4:21 น. ตามเวลา UTC ของวันที่ 24 กันยายน ข้อมูลบนบล็อกเชน Ethereum แสดงธุรกรรมที่บล็อกที่ 26044909 เวลา 4:21:23 น. UTC ซึ่งเงิน USDC จำนวน 1,832,149.4681 หน่วยไหลออกจากสัญญา rollup ของ Payy

อย่างไรก็ตาม แถลงการณ์ของบริษัทไม่ได้ระบุยอด USDC ที่สูญหายทั้งหมด ไม่ระบุ transaction hash และยังไม่ได้อธิบายสาเหตุทางเทคนิคของช่องโหว่ ตัวเลขที่ปรากฏคือเงินที่ไหลออกจากสัญญาเดียวเท่านั้น ส่วนขอบเขตความเสียหายรวมยังรอการยืนยันจาก Payy

ใครได้รับผลกระทบบ้าง

การระงับบริการครอบคลุมทุกอย่าง ทั้งการฝาก ถอน โอนย้าย และการใช้บัตรจ่ายเงิน หมายความว่าผู้ใช้ไม่สามารถย้ายสเตเบิลคอยน์์หรือใช้จ่ายผ่านแอปพลิเคชันได้ในขณะนี้

บริษัทไม่ได้เปิดเผยว่ามีผู้ใช้จำนวนเท่าไรที่มียอดคงเหลืออยู่ในระบบหรือได้พยายามทำรายการระหว่างที่บริการหยุดทำงาน จึงยังไม่มีตัวเลขผู้ได้รับผลกระทบที่วัดได้จริง นอกจากนี้ จำนวนเงินที่ลูกค้าอาจสูญเสียก็ยังไม่มีการเปิดเผย

ทำไมเรื่องนี้จึงสำคัญ

สำหรับผู้ใช้ Payy ผลที่ตามมาอย่างแน่นอนในวันนี้คือการหยุดให้บริการทั้งหมด ส่วนความเสียหายทางการเงินที่แท้จริงยังรอการประเมิน คำถามสำคัญตอนนี้คือเมื่อไรระบบจะกลับมาทำงานปกติ และการสูญเสียของสะพานจะกระทบยอดคงเหลือของลูกค้าหรือไม่ ซึ่งแถลงแรกของบริษัทไม่ได้ระบุทั้งกำหนดการกู้คืนระบบและตัวเลขความเสียหายของลูกค้า

Payy ระบุว่ากำลังดำเนินการตามแนวทางการรับมือเหตุการณ์ (incident response) และจะประกาศข้อมูลเพิ่มเติมตามลำดับ

ข่าวนี้เป็นอีกกรณีที่เห็นว่าบริการชำระเงินด้วยสเตเบิลคอยน์์ที่เชื่อมต่อกับสะพานข้ามเชนมีความเสี่ยงจากช่องโหว่ของสัญญาอัจฉริยะ เมื่อใดมีข้อมูลใหม่จากทาง Payy เราจะนำมาอัปเดตให้ทราบ