NFT 23,155 รายการได้รับการกู่คืนจากช่องโหว่ในระบบประมวลผลชำระเงินของ Magic Eden

เรื่องนี้คืออะไร

รายงานจาก Ambcrypto เมื่อวันที่ 25 ระบุว่า NFT จำนวน 23,155 รายการได้รับการกู้คืนจากช่องโหว่ในตัวประมวลผลการชำระเงิน Limit Break V2 ของ Magic Eden ขณะที่ WETH ราว 660 เหรียญไม่สามารถกู้คืนได้ เหตุการณ์นี้ทำให้ผู้ใช้กระเป๋าคริปโตที่อาจเคยอนุมัติสัญญาผ่านตลาด EVM ของ Magic Eden ในอดีตกลับมาสนใจความปลอดภัยของสิทธิ์อนุมัติอีกครั้ง

Magic Eden ระบุว่าได้ยุติการใช้ตัวประมวลผลการชำระเงิน Limit Break V2 เมื่อเดือนตุลาคม 2024 แต่สิทธิ์การอนุมัติของกระเป๋าเงินเดิมอาจยังคงอยู่ ช่องโหว่ดังกล่าวเกี่ยวข้องกับสิทธิ์การอนุมัติสัญญาที่อาจยังคงอยู่ในกระเป๋าเงินจากตลาด EVM ของ Magic Eden ในอดีต

ทำไมเรื่องนี้ถึงสำคัญกับผู้ใช้กระเป๋าคริปโต

ในทางเทคนิค การซื้อหรือใช้งาน NFT บนแพลตฟอร์มที่รองรับ EVM มักต้องให้กระเป๋าเงินอนุมัติให้สัญญาอัจฉริยะมีสิทธิ์จัดการโทเคนแทนผู้ใช้ ตัวอย่างเช่น อนุมัติให้เปลี่ยนการเป็นเจ้าของ NFT หรืออนุมัติให้ใช้ WETH ตามเงื่อนไขของแพลตฟอร์ม สิทธิ์นี้จำเป็นต่อการทำงาน แต่หากสิทธิ์ยังค้างอยู่ ผู้ใช้จะเสียเปรียบเพราะไม่รู้ว่าสัญญาใดสามารถดำเนินการแทนได้บ้าง

สิ่งที่ทำให้เหตุการณ์นี้สำคัญคือ การยุติการใช้งานระบบหนึ่งไม่ได้หมายความว่าสิทธิ์ที่ผู้ใช้เคยให้ไว้จะหายไปโดยอัตโนมัติ ถ้ายังมีสิทธิ์อนุมัติหลงเหลืออยู่ในกระเป๋าเงิน ความเสี่ยงก็อาจยังอยู่ในรูปแบบที่ผู้ใช้ทั่วไปมองไม่เห็น

จำนวนสินทรัพย์ที่กู้คืนได้และส่วนที่ยังกู้ไม่ได้

ตามรายงาน มี NFT จำนวน 23,155 รายการที่ได้รับการกู้คืนจากช่องโหว่นี้ โดยแฮ็กเกอร์หมวกขาวช่วยย้ายไปยังกระเป๋าเงินที่ปลอดภัย การย้ายเช่นนี้เป็นการปฏิบัติการเชิงป้องกัน เพื่อทำให้สินทรัพย์ไม่ตกอยู่ในมือผู้โจมตีหรือสัญญาที่เสี่ยงต่อการใช้งานโดยไม่ได้รับอนุญาต

อย่างไรก็ตาม มีรายงานว่า WETH ราว 660 เหรียญไม่สามารถกู้คืนได้ WETH เป็นรูปแบบหนึ่งที่ใช้แทน ETH ในสัญญาอัจฉริยะบนเครือข่ายที่เข้ากันได้กับ Ethereum และมักถูกใช้เพื่อถือมูลค่าหรือดำเนินการธุรกรรม NFT โดยทั่วไป สินทรัพย์ที่แต่ละเหรียญเหมือนกันสามารถถูกโอนหรือแลกเปลี่ยนต่อได้ทันทีเมื่อมีสิทธิ์อนุมัติ จึงทำให้การติดตามและกู้คืนทำได้ยากกว่า NFT ที่มีลักษณะเฉพาะตัวและตรวจสอบการเคลื่อนไหวได้ชัดเจนกว่า

ผู้ใช้ควรรู้และตรวจสอบอะไร

สำหรับผู้ใช้ทั่วไป ข้อสรุปที่ควรทราบคือให้ตรวจสอบว่ากระเป๋าเงินของตนเองเคยอนุมัติสัญญาใดไว้บ้าง โดยเฉพาะสัญญาจากแพลตฟอร์มหรือระบบที่ยุติการใช้งานไปแล้วหรือเปลี่ยนผู้ให้บริการ รายงานครั้งนี้ชี้ให้เห็นว่าการอนุมัติสัญญาเป็นสิทธิ์ที่ยังมีผลแม้ผู้ใช้จะเลิกใช้หน้าเว็บไซต์หรือเลิกใช้บริการนั้นแล้ว

การตรวจสอบและยกเลิกสิทธิ์อนุมัติที่หมดความจำเป็นเป็นแนวปฏิบัติพื้นฐานด้านความปลอดภัยในวงการกระเป๋าคริปโต ผู้ใช้ควรพิจารณาว่ายังต้องให้สัญญาใดมีสิทธิ์จัดการสินทรัพย์หรือไม่ และควรยกเลิกสิทธิ์ที่ไม่ได้ใช้แล้ว เพื่อลดช่องว่างที่สัญญาหรือระบบที่อาจถูกโจมตีสามารถอาศัยได้

บทเรียนสำหรับตลาดสินทรัพย์ดิจิทัลในไทย

เหตุการณ์นี้ไม่ใช่เรื่องเฉพาะของ Magic Eden หรือ Limit Break V2 เท่านั้น แต่เป็นบทเรียนสำหรับผู้ใช้ NFT ทั่วโลก รวมถึงผู้ใช้ในไทยที่ซื้อหรือสะสม NFT ผ่านแพลตฟอร์มระหว่างประเทศ ความเสี่ยงไม่ได้อยู่ที่ราคาของสินทรัพย์ดิจิทัลเพียงอย่างเดียว แต่อยู่ที่การตั้งค่าสิทธิ์ในกระเป๋าเงินที่ผู้ใช้อาจไม่ได้อ่านหรือเข้าใจก่อนกดอนุมัติ

ผู้ใช้ควรตั้งสมมติฐานว่าทุกการอนุมัติสัญญาคือความเสี่ยงระยะยาวหากไม่ได้จัดการให้เรียบร้อย ระบบที่ยุติการใช้งานแล้วอาจยังทิ้งร่องรอยทางเทคนิคไว้ในรูปแบบของสิทธิ์อนุมัติที่ค้างอยู่ รายงานจาก Ambcrypto เมื่อวันที่ 25 จึงเป็นสัญญาณเตือนให้ผู้ใช้ตรวจสอบสถานะกระเป๋าของตนเองหลังเหตุการณ์นี้

เนื้อหาเป็นการรายงานข้อเท็จจริงจากเหตุการณ์ที่เกิดขึ้น และไม่ใช่คำแนะนำการลงทุน