มูลนิธิ WEMIX (สังกัด Wemade) ได้ประกาศบนเว็บไซต์ทางการเมื่อวันที่ 30 กรกฎาคม อธิบายสาเหตุและความคืบหน้าในการจัดการเหตุการณ์เพิ่มปริมาณเหรียญ stablecoin WEMIX Dollar โดยผิดกฎหมาย ระบบที่ถูกโจมตีคือสัญญาอัจฉริยะสองตัว ได้แก่ DIOS ซึ่งทำหน้าที่รักษามูลค่าอ้างอิงของ WEMIX Dollar และ AMA ซึ่งทำหน้าที่แลกเปลี่ยนสินทรัพย์ค้ำประกันในอัตรา 1:1 ทั้งสองสัญญามีฟังก์ชัน initializer สำหรับลงทะเบียนที่อยู่ผู้ดูแลระบบ ผู้โจมตีอาศัยช่องโหว่นี้โอนสิทธิ์ผู้ดูแลระบบไปยังที่อยู่บุคคลที่สาม จากนั้นจึงเพิ่มปริมาณเหรียญโดยผิดกฎหมาย มูลนิธิระบุว่าการเพิ่มปริมาณเพิ่มเติมถูกสกัดกั้นแล้ว ในแง่ของขนาดความเสียหาย รายงานของ Tokenpost ใช้หน่วยว่า “ระดับหลายพันล้านวอน” (เมื่อแปลงตามระดับวอนเกาหลีจะอยู่ในช่วงหลายล้านดอลลาร์สหรัฐ) ในขณะที่เขียนบทความนี้เรายังไม่พบตัวเลขความเสียหายที่แน่นอนซึ่งมูลนิธิเปิดเผยอย่างเป็นทางการ ดังนั้นบทความนี้จะไม่ถือเอาจำนวนเงินใดๆ เป็นข้อเท็จจริงที่ยืนยันแล้ว — ผู้อ่านโปรดตรวจสอบต้นฉบับด้วยตนเองที่บอร์ดประกาศของ เว็บไซต์ทางการ WEMIX
บทวิเคราะห์: เหตุการณ์นี้เกี่ยวข้องกับบัตรที่คุณถืออยู่หรือไม่
WEMIX Dollar ไม่ใช่ USDT และไม่ใช่ USDC ผู้อ่านส่วนใหญ่ไม่ได้ถือครองมันโดยตรง ดังนั้นผลกระทบชั้นแรกคือ ศูนย์: หากเส้นทางเงินของคุณคือ “USDT ในกระเป๋า/ตลาดแลกเปลี่ยน → ยอดเงินในบัตร → รูดบัตร” เหตุการณ์ครั้งนี้ไม่เปลี่ยนแปลงอะไรเลย ผู้ใช้ที่ถือ MPCard (รวมถึงรุ่น Asia Elite) หรือ Bybit Card ไม่จำเป็นต้องดำเนินการใดๆ
สิ่งที่ควรตรวจสอบจริงๆ คือชั้นที่สอง: เส้นทางเติมเงินของคุณมี stablecoin ที่ไม่ใช่สายหลักปะปนอยู่หรือไม่ ในช่วงสองปีที่ผ่านมา ผู้ออกบัตรส่วนใหญ่เปิดรับเหรียญและเชนหลากหลายมากขึ้นเรื่อยๆ ในหน้าเติมเงิน เพื่อลดค่าธรรมเนียม เมื่อคุณใช้ “stablecoin ท้องถิ่น” บนเชนใดเชนหนึ่ง หรือโทเคนเกม/ระบบนิเวศใดๆ แลกเป็นยอดเงินในบัตร คุณกำลังรับความเสี่ยงจากสัญญาของสินทรัพย์นั้นโดยตรง — เมื่อเกิดเหตุการณ์เพิ่มปริมาณเหรียญแบบนี้ ปฏิกิริยาแรกของผู้ออกบัตรมักเป็นการระงับช่องทางเติมเงินของเหรียญนั้น ไม่ใช่การระงับทั้งบัตร ในกรณีนี้ ภายใน 7 วัน คุณอาจเห็นตัวเลือกเติมเงินของบางเหรียญถูกทำให้เป็นสีเทา ภายใน 30 วัน อัตราแลกเปลี่ยนของเหรียญนั้นอาจถูกปรับลดหรือเพิ่มส่วนต่าง ภายใน 90 วันอาจถูกถอดออกอย่างเงียบๆ ผลิตภัณฑ์แบบ self-custody เช่น OneKey Card มีเส้นทางการเผชิญความเสี่ยงระดับสัญญาที่ต่างจากแบบ custodial แต่ก็ยังหนีไม่พ้นคำถามพื้นฐานที่ว่า “สินทรัพย์ที่นำมาเติมเงินปลอดภัยหรือไม่”
ข้อสรุปนั้นตรงไปตรงมา: รวมสินทรัพย์เติมเงินไว้ที่ USDT (TRC20 / ERC20 ฯลฯ ที่เป็นสายหลัก) และ USDC ปล่อยให้คนอื่นรับความล่อใจจาก “ถูกกว่า 0.2%” ไปเถอะ หากต้องการเปรียบเทียบโครงสร้างค่าธรรมเนียมของบัตรแต่ละแบบ สามารถดูได้ที่ บัตร USDT ที่มีค่าธรรมเนียมต่ำที่สุด หากยังไม่แน่ใจในตรรกะพื้นฐานของการหมุนเวียนเงินในบัตร U สามารถดูรายละเอียดเส้นทางทั้งหมดได้ที่ บัตร U คืออะไร
เปรียบเทียบทางประวัติศาสตร์: เหยื่อรายใหม่ของ “บั๊กเก่า”
ในทางเทคนิค ฟังก์ชัน initializer ที่ไม่ถูกล็อก (uninitialized initializer หรือฟังก์ชัน init ของสัญญาแบบ proxy) ไม่ใช่ช่องโหว่ประเภทใหม่ แต่เป็นรูปแบบคลาสสิกที่ถูกพูดถึงซ้ำแล้วซ้ำเล่าในวงการความปลอดภัยของสัญญาอัจฉริยะ:
- เหตุการณ์กระเป๋าเงินหลายลายเซ็นของ Parity เดือนพฤศจิกายน 2017: มีผู้เรียกใช้ฟังก์ชัน
initWalletบน library contract ทำให้ตนเองกลายเป็น owner จากนั้นทำลายสัญญาตัวเอง ส่งผลให้ ETH จำนวนมากถูกแช่แข็งถาวร สาเหตุหลักคือ “ฟังก์ชัน initialization ไม่ได้ถูกล็อก” เช่นเดียวกัน - สะพาน Wormhole เดือนกุมภาพันธ์ 2022: สัญญา implementation ฝั่ง Ethereum มีปัญหา proxy ที่ไม่ได้ initialize ถูกเปิดเผยโดย white hat และได้รับรางวัลก่อนที่จะแก้ไข — แสดงให้เห็นว่าปัญหาแบบเดียวกันเกิดขึ้นได้แม้ในโปรเจกต์ที่มีการตรวจสอบ (audit) ที่ครบถ้วน
- เหตุการณ์ Acala aUSD เดือนสิงหาคม 2022: การตั้งค่า reward pool ผิดพลาดทำให้ aUSD ถูกผลิตขึ้นมาผิดจำนวนมหาศาลและหลุดจากการอ้างอิงมูลค่า ชุมชนใช้ on-chain governance แช่แข็งและทำลายสินทรัพย์ที่ถูกผลิตผิดพลาด ซึ่งใกล้เคียงมากกับตรรกะการจัดการ “สกัดการเพิ่มปริมาณเพิ่มเติมหลังการเพิ่มปริมาณผิดกฎหมาย” ในครั้งนี้
ทั้งสามกรณีข้างต้นเป็นเหตุการณ์ในวงการที่เปิดเผยต่อสาธารณะ เรานำมาเปรียบเทียบเฉพาะรูปแบบเท่านั้น จะไม่อ้างอิงตัวเลขความเสียหายที่ยังไม่ได้ตรวจสอบ จุดร่วม คือ ช่องโหว่อยู่ที่การ initialize สิทธิ์ ไม่ใช่อัลกอริทึมการเข้ารหัส ขนาดความเสียหายขึ้นอยู่กับว่า “ใครค้นพบก่อน” และวิธีจัดการก็คือตัดการเพิ่มปริมาณก่อนแล้วค่อยว่ากันเรื่องเยียวยาทีหลัง จุดต่าง คือ ครั้งนี้เป้าหมายที่ถูกโจมตีเป็น stablecoin ที่อ้างอิงกับเงินตราจริง และผู้ออกเหรียญอยู่ภายใต้กลุ่มบริษัทเกมที่จดทะเบียนในตลาดหลักทรัพย์เกาหลี — ซึ่งหมายความว่าต่อจากนี้จะต้องเผชิญไม่เพียงแค่ชุมชน แต่รวมถึงการเปิดเผยข้อมูลและการสอบถามจากหน่วยงานกำกับดูแลของเกาหลีด้วย นอกจากนี้ WEMIX เคยเผชิญเหตุการณ์ถูกถอดออกจากตลาดแลกเปลี่ยนเกาหลีร่วมกันในช่วงปลายปี 2022 (ก่อนจะทยอยกลับเข้าตลาดในภายหลัง) ประวัติดังกล่าวจะทำให้หน่วยงานกำกับดูแลมีความอดทนต่อคุณภาพการเปิดเผยข้อมูลของ WEMIX น้อยลง
มุมมองด้านการปฏิบัติตามกฎระเบียบ: “ความรับผิดชอบของผู้ออก stablecoin” ในเอเชียแปซิฟิกกำลังเข้มงวดขึ้น
ภายใต้กรอบกฎหมายปัจจุบันของเกาหลี กฎหมายคุ้มครองผู้ใช้สินทรัพย์ดิจิทัลได้บรรจุหน้าที่การเก็บรักษาสินทรัพย์และการติดตามธุรกรรมผิดปกติในระดับตลาดแลกเปลี่ยนไว้แล้ว แต่ **การเปิดเผยเงินสำรองและการต