NFT ราว 23,000 รายการถูกกู้คืนแล้ว พร้อมแนะให้ยกเลิกการอนุมัติเดิม

ไวท์แฮตย้าย NFT ราว 23,000 รายการไปเก็บในกระเป๋า CryptoPotato หลังช่องโหว่สัญญาประมวลผลชำระเงิน

เหตุการณ์นี้คืออะไร

มีรายงานว่ากลุ่มนักเคลื่อนไหวด้านความปลอดภัยแบบไวท์แฮตได้ย้าย NFT ราว 23,000 รายการที่ถูกโอนโดยไม่ได้รับอนุญาต ออกจากสภาพแวดล้อมที่มีความเสี่ยง ไปเก็บไว้ในกระเป๋าที่ปลอดภัยของ CryptoPotato หลังพบช่องโหว่ในสัญญาประมวลผลการชำระเงินของระบบที่ทำงานด้วยสัญญาอัจฉริยะรุ่นเก่าของผู้ให้บริการประมวลผลการชำระเงิน

ตามข้อมูลรายงาน NFT ที่ถูกย้ายโดยไม่ได้รับอนุญาตถูกโอนออกจากกระเป๋าที่ยังคงมีสิทธิ์อนุมัติเดิมอยู่ กล่าวคือ เจ้าของกระเป๋าบางส่วนอาจเคยอนุมัติให้สัญญาอัจฉริยะดำเนินการกับ NFT แทนตัวเอง และสิทธิ์นั้นยังคงเปิดอยู่เมื่อเกิดปัญหาขึ้น

ทำไมจึงสำคัญกับเจ้าของ NFT

สำหรับผู้ที่ถือ NFT บนเครือข่าย Ethereum เหตุการณ์นี้ไม่ใช่เพียงข่าวทางเทคนิค แต่เป็นเรื่องของสิทธิ์ในการเคลื่อนย้ายทรัพย์สินดิจิทัล หากกระเป๋าของผู้ใช้งานยังอนุมัติให้สัญญาอัจฉริยะที่อาจถูกโจมตีควบคุมสินทรัพย์ได้ NFT ก็สามารถถูกโอนออกได้แม้เจ้าของจะไม่กดทำธุรกรรมใหม่ด้วยตัวเอง

กรณีนี้ชี้ให้เห็นว่าความเสี่ยงไม่ได้เกิดจากการถูกหลอกให้กดลิงก์เสมอไป แต่อาจเกิดจากการอนุมัติสัญญาอัจฉริยะที่ล้าสมัยหรือมีช่องโหว่ และปล่อยสิทธิ์นั้นค้างไว้เป็นเวลานาน

ไวท์แฮตย้าย NFT เพื่อทำอะไร

การย้าย NFT ที่ถูกโอนโดยไม่ได้รับอนุญาตไปเก็บในกระเป๋าที่ปลอดภัยของ CryptoPotato มีลักษณะเป็นการกู้คืนเพื่อป้องกันไม่ให้ทรัพย์สินถูกกระจายต่อหรือถูกขโมยไปใช้ประโยชน์ในทางมิชอบ โดยกลุ่มไวท์แฮตมักทำงานในเชิงป้องกันมากกว่าการแสวงหาประโยชน์

ในบริบทนี้ NFT ที่ถูกกู้คืนได้จะถูกส่งคืนให้เจ้าของต่อไป แต่เจ้าของที่ได้รับผลกระทบต้องดำเนินการสำคัญก่อน คือยกเลิกการอนุมัติสัญญาเดิมที่ยังเปิดสิทธิ์อยู่

ทำไมต้องยกเลิกสิทธิ์อนุมัติเดิมก่อน

การยกเลิกสิทธิ์อนุมัติมีความสำคัญ เพราะแม้ NFT จะถูกส่งคืนเข้ากระเป๋าเดิมแล้ว แต่ถ้าเจ้าของยังปล่อยสิทธิ์อนุมัติสัญญาเก่าไว้ สินทรัพย์นั้นอาจถูกดึงออกได้อีกในอนาคต การยกเลิกสิทธิ์จึงเป็นขั้นตอนลดความเสี่ยงที่ควรทำโดยเร็ว

รายงานระบุคำแนะนำให้ยกเลิกการอนุมัติ Payment Processor V2 บนเครือข่าย Ethereum เพื่อปิดสิทธิ์ของสัญญาอัจฉริยะรุ่นเก่าที่อาจถูกโจมตี

ผู้ใช้งาน NFT ควรทำอย่างไร

ผู้ใช้งานที่ถือ NFT หรือมีสิทธิ์อนุมัติค้างอยู่ในระบบประมวลผลการชำระเงินแบบเดียวกัน ควรตรวจสอบสถานะการอนุมัติในกระเป๋า Ethereum ของตัวเอง และดำเนินการยกเลิกสิทธิ์ตามคำแนะนำที่ระบุไว้ล่วงหน้า โดยเฉพาะสิทธิ์ของ Payment Processor V2

หากเป็นผู้ใช้งานทั่วไปที่ยังไม่ได้รับผลกระทบโดยตรง การตรวจสอบรายการอนุมัติในกระเป๋าสินทรัพย์ดิจิทัลเป็นนิสัยที่ช่วยลดความเสี่ยง เพราะทุกครั้งที่อนุมัติให้สัญญาอัจฉริยะเข้าถึง NFT หรือโทเคน หมายความว่าสัญญาชิ้นนั้นสามารถเคลื่อนย้ายสินทรัพย์ได้ภายในขอบเขตที่เจ้าของอนุญาต

สิ่งนี้เตือนอะไรเกี่ยวกับสัญญาอัจฉริยะ

เหตุการณ์นี้สะท้อนว่าสัญญาอัจฉริยะรุ่นเก่าอาจมีความเสี่ยงมากกว่าที่ผู้ใช้สังเกตได้ โดยเฉพาะเมื่อถูกใช้งานกับสินทรัพย์ที่มีมูลค่าหรือมีลักษณะเฉพาะตัว เช่น NFT การโจมตีไม่จำเป็นต้องรอให้ผู้ใช้งานกดอนุญาตใหม่ แต่สามารถอาศัยสิทธิ์ที่อนุญาตไว้แล้วเป็นช่องทาง

ดังนั้น การตรวจสอบว่าสัญญาใดสามารถเข้าถึงกระเป๋าได้ และยกเลิกสิทธิ์ที่ไม่จำเป็นแล้ว เป็นมาตรการพื้นฐานที่เจ้าของสินทรัพย์ดิจิทัลควรทำเป็นประจำ

สำหรับผู้ที่ติดตามข่าวนี้ ควรยึดคำแนะนำตามรายงานของ CryptoPotato และข้อมูลจากทีมที่เกี่ยวข้อง โดยไม่กดลิงก์หรืออนุมัติธุรกรรมที่ไม่แน่ใจ เพื่อลดความเสี่ยงซ้ำซ้อนกับเหตุการณ์ที่เกิดขึ้น