การให้กู้ยืมคริปโตกลับมาเพิ่มขึ้นอีกครั้ง แต่พวกเขาแก้ปัญหาความเสี่ยงแล้วหรือยัง

เมื่อกราฟเปลี่ยนจากแดงเป็นเขียว การกู้ยืมคริปโตก็กลับมาได้รับความสนใจอีกครั้ง หลังไตรมาสสองที่ซบเซาอย่างหนัก ข้อมูลจาก Galaxy ระบุว่ามูลค่า 11.33 พันล้านดอลลาร์สหรัฐไหลออกจากภาคส่วนนี้ในไตรมาสสอง ส่วนหนึ่งจากความเชื่อมั่นต่อผู้ให้กู้ยืมสั่นคลอนหลัง Kelp DAO ถูกเจาะในเดือนเมษายน ทำให้ผู้ใช้โปรโตคอลที่ได้รับความเชื่อถือมากที่สุดอย่าง Aave เข้าถึง ETH ไม่ได้

อย่างไรก็ตาม ตั้งแต่ต้นเดือนกรกฎาคม มูลค่าการให้กู้ยืมที่ถูกล็อกไว้ทั้งหมดเพิ่มขึ้นมากกว่า 55% และอยู่ที่ราว 56 พันล้านดอลลาร์สหรัฐในเวลานี้ แต่การเพิ่มขึ้นนั้นหมายความว่าสินทรัพย์ที่ถูกรวมไว้กลายเป็นเป้าโจมตีที่ใหญ่ขึ้น คำถามคือ ผู้ใช้จะไว้วางใจโปรโตคอลกู้ยืม DeFi ที่เชื่อมโยงกันในยุคที่การโจมตีมี AI ช่วยได้อย่างไร เมื่อช่องโหว่จากโปรโตคอลใดโปรโตคอลหนึ่งสามารถส่งผลกระทบต่อเนื่องอย่างรุนแรงต่อโปรโตคอลอื่นที่เชื่อมต่ออยู่

Stani Kulechov ผู้ก่อตั้งและ CEO ของ Aave Labs ให้สัมภาษณ์กับ Magazine ว่าปัญหานี้เป็นเรื่องที่ต้องคิดเป็นลำดับต้น ๆ เขาอธิบายว่า เมื่อโปรโตคอลยอมรับโทเคนเป็นหลักประกัน โปรโตคอลก็ยอมรับสะพานเชื่อมของโทเคนนั้น การกำหนดค่าผู้ตรวจสอบ ออเคิล และความปลอดภัยในการดำเนินงานของผู้ออกโทเคนด้วย

พื้นผิวการโจมตีที่ขยายวงกว้าง

เหตุการณ์นั้นสะท้อนสิ่งที่ทำให้ Aave ประสบปัญหา เมื่อผู้โจมตีใช้ประโยชน์จากเส้นทางเชื่อมข้ามเชนของ Kelp DAO ในเดือนเมษายน พวกเขาสร้าง rsETH ที่ไม่มีสินทรัพย์หนุนจำนวน 116,500 หน่วย ซึ่งมีมูลค่าราว 290 ล้านดอลลาร์สหรัฐ ณ ขณะนั้น และโทเคนจำนวนมากถูกนำไปวางเป็นหลักประกันเพื่อกู้สินทรัพย์อื่นในตลาดของ Aave

แม้สัญญาอัจฉริยะของ Aave เองไม่ได้ถูกเจาะ แต่โปรโตคอลยังเห็นเงินฝักราว 15 พันล้านดอลลาร์สหรัฐลดลงในไม่กี่วันหลังเหตุการณ์เจาะ และต้องอายัดตลาด rsETH และ wrsETH ข้อมูลจาก Galaxy ระบุว่าตลาดการให้กู้ยืมหดตัว 16.78% ในไตรมาสสอง

Kulechov บอกว่า Aave ใช้แนวทางที่มองภาพรวมมากขึ้นหลังเหตุการณ์นี้ เขาบอกว่าโปรโตคอลปรับแนวทางการรักษาความปลอดภัยใหม่ โดยตั้งต้นว่าความปลอดภัยไม่สามารถจบที่สัญญาอัจฉริยะเพียงอย่างเดียว และการตรวจสอบแบบเดิมมักไม่ครอบคลุมความเสี่ยงที่ซ่อนอยู่ในสะพานเชื่อม เครือข่ายผู้ตรวจสอบ และโครงสร้างพื้นฐานอื่นที่สินทรัพย์นั้นพึ่งพา

ผู้ใช้โปรโตคอลกู้ยืมจึงต้องประเมินด้วยว่าโปรโตคอลหนึ่ง ๆ เปิดรับความเสี่ยงภายนอกและภายในมากเพียงใด Thomas Wu, CFO ของ Ledn ผู้ให้กู้ยืมที่รับ Bitcoin เป็นหลักประกัน บอกว่าตัวห่อ สะพานเชื่อม และออเคิลที่อยู่ระหว่างผู้ให้กู้ยืมกับสินทรัพย์พื้นฐาน ล้วนเป็นจุดที่การกู้ยืมอาจผิดพลาดได้

Sid Powell ผู้ร่วมก่อตั้งและ CEO ของ Maple แพลตฟอร์มสินเชื่อคริปโต บอกกับ Magazine ว่าผู้ให้กู้ยืมที่จริงจังควรมองว่าผู้กู้สามารถล้มเหลวได้ทุกเมื่อ และออกแบบกระบวนการถอยกลับมาจากระยะนั้น โดยต้องตอบคำถามว่าถืออะไรไว้ อยู่ที่ไหน มองเห็นแบบเรียลไทม์ได้หรือไม่ และเข้าถึงได้เร็วแค่ไหนเมื่อเกิดปัญหา

เมื่อการป้องกันล้มเหลว การกักกันความเสียหายสำคัญ

Sam MacPherson CEO ของ Spark ผู้ให้กู้ยืม DeFi บอกว่านอกจากสัญญาอัจฉริยะ ทีมงานยังตรวจสอบการออกแบบธรรมาภิบาล ความปลอดภัยในการดำเนินงาน คุณภาพหลักประกัน การจัดการสภาพคล่อง และการพึ่งพาระบบนิเวศที่กว้างขึ้น

Spark เริ่มค่อย ๆ ลดการรองรับ rsETH บน SparkLend ตั้งแต่เดือนมกราคม ก่อนเหตุการณ์เจาะ Kelp ในเดือนเมษายน หลังประเมินว่า rsETH มีการใช้งานและรายได้ต่ำ จึงไม่คุ้มกับความเสี่ยงเพิ่มเติมที่การรองรับสินทรัพย์นั้นจะสร้างขึ้น

Kulechov บอกว่า Aave นำกลไกคล้ายกันมาใช้ และทบทวนสินทรัพย์ทุกตัวทุกไตรมาส รวมถึงทบทวนอีกครั้งหลังมีการเปลี่ยนแปลงที่มีนัยสำคัญ โปรโตคอลยังเริ่มกระบวนการปิดตัวอย่างมีระเบียบใน 6 เครือข่ายที่ไม่ผ่านมาตรฐานระดับเชน

ตามข้อมูลของ DeFiLlama มูลค่าการให้กู้ยืมที่ถูกล็อกไว้เพิ่มขึ้นมากกว่า 55% จากปลายไตรมาสสอง Kulechov สรุปว่าไม่มีโปรโตคอลใดควบคุมระบบนิเวศทั้งหมดได้ แต่โปรโตคอลสามารถควบคุมว่าจะรับความเสี่ยงมากแค่ไหนและตอบสนองเร็วเพียงใด

MacPherson เสริมว่าการป้องกันความล้มเหลวเป็นเป้าหมายหลัก แต่โปรโตคอลยังต้องมีขั้นตอนรับมือหากเกิดเหตุการณ์จริง เพราะการป้องกันความสูญเสียเป็นเพียงส่วนหนึ่งของโจทย์ โปรโตคอลยังต้องแสดงด้วยว่าหากเกิดความเสียหายขึ้นจะจำกัดความเสียหายอย่างไร

ช่องว่างจากข้อผิดพลาดของมนุษย์

Shawn Owen ผู้ก่อตั้งและ CEO ของ SALT Lending บอกว่าข้อผิดพลาดของมนุษย์ยังเป็นช่องโหว่ใหญ่ที่สุดอย่างหนึ่ง และเป็นจุดที่มักถูกมองข้ามมากที่สุด เพราะความสูญเสียจำนวนมากมาจากปัญหาการจัดการคีย์ การควบคุมสิทธิ์เข้าถึง หรือการหลอกลวงเชิงวิศวกรรมสังคม ซึ่งการตรวจสอบสัญญาอัจฉริยะเพียงอย่างเดียวไม่อาจตรวจจับ

ความเสี่ยงเพิ่มเติมยังเกิดขึ้นเมื่อสินทรัพย์ถูกนำไปวางในที่อื่นเพื่อสร้างผลตอบแทน ผู้ให้กู้ยืมคริปโตเรียนรู้บทเรียนนี้จากสภาวะตลาดที่เลวร้ายในปี 2022 เมื่อผู้ให้กู้ยืมอย่าง Celsius, Voyager และ BlockFi ล่มสลายหลังรับความเสี่ยงที่ลูกค้าไม่เข้าใจหรือไม่คาดว่าจะรับ

เพื่อลดพื้นผิวการโจมตี Ledn เก็บ Bitcoin ของลูกค้าไว้กับผู้รับฝากที่มีคุณสมบัติ แทนที่จะนำออกไปให้กู้ยืมเพื่อสร้างผลตอบแทนเพิ่มเติม Wu บอกว่าทุกธุรกรรมเป็นจุดที่อาจเกิดข้อผิดพลาดเพิ่มอีกจุดหนึ่ง ยิ่งมีน้อย ความเสี่ยงจากการถูกเจาะก็ยิ่งต่ำ

เขามองว่าวิธีเดียวที่จะลดความเสี่ยงนั้นคือการเก็บ Bitcoin ของลูกค้าในสถานะรับฝากแบบแยกสินทรัพย์ ควบคุมเข้มงวด และเคลื่อนย้ายให้น้อยที่สุด

Powell เตือนว่าเมื่อเงินฝากไหลเข้าเร็วกว่าที่ผู้จัดการจะหาแหล่งให้กู้ยืมที่ดีได้ แรงกดดันให้ผลตอบแทนคงที่อาจนำไปสู่การตัดสินใจที่ผิดพลาด ผู้จัดการอาจรับความเสี่ยงเพิ่มขึ้น มาตรฐานหลักประกันอาจหละหลวมลง หรืออาจให้กู้ยืมกับผู้กู้ที่อาจเคยปฏิเสธเมื่อหนึ่งปีก่อน

เขามองว่าผู้จัดการที่อยู่รอดในขาลงมักเป็นคนที่กล้าปฏิเสธเงินทุนเมื่อไม่มีแหล่งใช้เงินที่ดี

AI จะช่วยทำให้การกู้ยืมปลอดภัยขึ้นหรือไม่

แม้ช่วงหลังจะมีพาดหัวข่าวเกี่ยวกับการโจมตีที่ AI ช่วย ช่องโหว่ และเอเจนต์ที่หลุดจากการควบคุมของมนุษย์ แต่ AI อาจช่วยทำให้การกู้ยืมคริปโตปลอดภัยขึ้นได้

Aave ระบุว่าการทดสอบที่มี AI ช่วยถูกใช้งานควบคู่กับกระบวนการรักษาความปลอดภัยแบบเดิม โปรโตคอลใช้การทดสอบแบบกลายพันธุ์เพื่อจงใจใส่ข้อผิดพลาดในสัญญา V4 และชุดทดสอบตรวจจับช่องโหว่ที่ใส่เข้าไป 271 จาก 304 รายการ

ในการตรวจสอบล่าสุดของโค้ด V3 และ V4 เครื่องมือความปลอดภัย AI 3 ตัวให้ข้อค้นพบ 71 รายการ หลังการตรวจสอบโดยมนุษย์ มี 20 รายการถือว่ามีผลจริง ส่วนอีก 51 รายการสะท้อนว่าผู้เชี่ยวชาญความปลอดภัยที่เป็นมนุษย์ยังจำเป็นต่อไป

Kulechov บอกว่า AI ทำได้ดีมากในแง่ความกว้างและความเร็ว แต่ราว 70% ของข้อค้นพบเบื้องต้นเป็นผลบวกลวง การตัดสินใจของผู้เชี่ยวชาญจึงยังจำเป็น

AI ยังเป็นดาบสองคม เพราะเมื่อสิทธิ์การเข้าถึง ความรู้เรื่องโปรโตคอล และกระบวนการตัดสินใจของ AI กลายเป็นส่วนหนึ่งของการจัดการเงินทุนบนเชน สิ่งเหล่านี้ก็กลายเป็นพื้นผิวการโจมตีอีกจุดหนึ่ง Kulechov บอกว่าเมื่อ AI agent เริ่มจัดการเงินทุนบนเชน สิทธิ์ อินพุต และตรรกะการตัดสินใจของ agent ต้องถูกปกป้องให้เหมือนสัญญาอัจฉริยะ

ดังนั้น เมื่อการกู้ยืมคริปโตกลับมาเติบโตอีกครั้ง ความท้าทายไม่ได้อยู่ที่การทำให้โค้ดปลอดภัยเพียงอย่างเดียว แต่ต้องทำให้ทุกชิ้นส่วนใหม่ถูกเข้าใจ เฝ้าติดตาม และจำกัดความเสียหายได้เมื่อเกิดปัญหา