เหตุการณ์ KelpDAO ถูกแฮก 293 ล้านดอลลาร์ คือสัญญาณเตือนเรื่องความเสี่ยงจากความซับซ้อนใน DeFi

ฉันติดตามโลก DeFi มาตั้งแต่ปี 2019 และมีสิ่งหนึ่งที่ฉันเรียนรู้คือ คำว่า "นวัตกรรม" มักจะเป็นคำสุภาพที่ใช้เรียกการ "เพิ่มเลเยอร์ความเสี่ยงที่ไม่มีใครเข้าใจมันอย่างถ่องแท้" เข้าไปในระบบ การที่ KelpDAO ถูกแฮกเงินไป 293 ล้านดอลลาร์ครั้งนี้ไม่ใช่แค่การโดนเจาะระบบทั่วไป แต่มันคือตัวอย่างที่ชัดเจนของสิ่งที่เรียกว่าความเสี่ยงจากความซับซ้อนใน defi และมันแสดงให้เห็นว่าอุตสาหกรรมนี้กำลังมาถึงจุดที่คณิตศาสตร์มันพันกันยุ่งเหยิงจนเกินกว่าจะจัดการได้อย่างปลอดภัย ซึ่งก่อนหน้านี้ฉันเคยเขียนถึง ความเสี่ยงของ DeFi wallet ไว้ให้ลองไปอ่านเป็นพื้นฐานกันก่อน

เกิดอะไรขึ้นกับ KelpDAO กันแน่

สำหรับใครที่ไม่ได้ตามเรื่อง liquid restaking แบบเจาะลึก KelpDAO ถูกออกแบบมาเพื่อให้ผู้ใช้ยังคงมีสภาพคล่องในขณะที่ได้รับผลตอบแทนจากการ stake สินทรัพย์ แต่ปัญหาคือ liquid restaking ไม่ใช่เรื่องง่าย มันประกอบด้วยเลเยอร์ของ smart contract, โปรโตคอลจากบุคคลที่สาม และการวนลูปของหลักทรัพย์ค้ำประกันหลายชั้น

ในเคสนี้ ผู้โจมตีไม่ได้แค่หาบั๊กง่ายๆ ในโค้ดบรรทัดเดียว แต่พวกเขาใช้ประโยชน์จากวิธีที่ส่วนประกอบต่างๆ ของโปรโตคอลโต้ตอบกัน โดยการปั่นสถานะของระบบจนสามารถสูบเงินออกไปได้เกือบ 300 ล้านดอลลาร์ นี่ไม่ใช่การโจมตีแบบ "flash loan" ในรูปแบบเดิมๆ แต่เป็นความล้มเหลวของระบบที่ไม่สามารถรับมือกับลำดับเหตุการณ์ที่ซับซ้อนเฉพาะเจาะจงได้

ความเสี่ยงจากความซับซ้อนใน defi คืออะไรและทำไมถึงสำคัญ

เวลาฉันพูดถึงความเสี่ยงจากความซับซ้อน ฉันหมายถึง "ปัญหาตัวต่อเลโก้" ในยุคแรก โปรโตคอลหนึ่งอย่างจะทำหน้าที่เดียว เช่น Uniswap ใช้แลกโทเคน Aave ใช้กู้ยืม ง่ายๆ แค่นั้น แต่ตอนนี้เรามีโปรโตคอลที่ซ้อนทับบนโปรโตคอลอื่น ซึ่งถูกห่อ (wrap) ด้วยโทเคนอีกตัว แล้วค่อยเอาไปฝากในตัวช่วยเพิ่มผลตอบแทน (yield optimizer)

ทุกเลเยอร์ที่เพิ่มเข้ามาคือจุดที่อาจเกิดความล้มเหลวได้ ต่อให้โค้ดแต่ละชิ้นจะผ่านการ "audit" และ "ปลอดภัย" แต่เวลาชิ้นส่วนเหล่านั้นทำงานร่วมกัน มันสามารถสร้างช่องโหว่ใหม่ๆ ขึ้นมาได้ เหมือนกับการสร้างตึกระฟ้าที่น็อตทุกตัวแข็งแรงดี แต่การออกแบบโครงสร้างโดยรวมกลับไม่เสถียร จนแค่ลมพัดผิดทิศทางตึกทั้งหลังก็พังครืนลงมา

ฉันเคยเห็นรูปแบบนี้มาก่อน อย่างตอนที่ฉันเขียนเรื่อง การแฮก Drift Protocol ซึ่งความเสี่ยงไม่ได้อยู่ที่โค้ดอย่างเดียว แต่อยู่ที่ตัวบุคคลและกุญแจผู้ดูแลระบบ แต่กรณี KelpDAO ต่างออกไป เพราะความเสี่ยงมันถูกฝังอยู่ในตรรกะของตัวผลิตภัณฑ์เลย

จุดที่อุตสาหกรรมนี้กำลังล้มเหลว

ปัญหาที่ใหญ่ที่สุดคือผู้ใช้ส่วนใหญ่ (รวมถึงนักพัฒนาบางคนด้วย) มองว่าการ audit คือ "ตราประทับรับรองความปลอดภัย" พอเห็นไฟล์ PDF จากบริษัทรักษาความปลอดภัยชื่อดัง ก็ทึกทักเอาเองว่าเงินของตัวเองปลอดภัย แต่การ audit เป็นเพียงการตรวจสอบ ณ ช่วงเวลาหนึ่งเท่านั้น มันไม่ได้บอกว่าโปรโตคอลจะมีพฤติกรรมอย่างไรเมื่อต้องทำงานร่วมกับโปรโตคอลอื่นอีก 5 ตัวในตลาดที่ผันผวน

บอกตามตรงว่าฉันเบื่อกับแนวคิด "ทำเร็วๆ แล้วค่อยแก้ทีหลัง" (move fast and break things) ในวันที่ "สิ่งที่พัง" คือเงินเก็บทั้งชีวิตของผู้คน ข้อมูลตลาดตอนนี้แสดงให้เห็นถึงความรู้สึกแบบ Neutral โดยมี Fear & Greed Index อยู่ที่ 43 และ Bitcoin dominance อยู่ที่ 60.25% คนเริ่มหนีกลับไปถือ BTC เพราะเริ่มรู้แล้วว่า "ผลตอบแทนสูง" ใน DeFi มักมาพร้อมกับต้นทุนแฝงคือความเสี่ยงเชิงระบบที่รุนแรง

วิธีป้องกันตัวเองจากความล้มเหลวเชิงระบบ

ถ้าคุณเบื่อที่ต้องเห็นเงิน 300 ล้านดอลลาร์หายไปในไม่กี่บล็อก คุณต้องเปลี่ยนวิธีเก็บสินทรัพย์ ฉันบอกไม่ได้ว่าโปรโตคอลไหน "ปลอดภัย" เพราะในระบบที่ซับซ้อน ความปลอดภัยคือภาพลวงตา สิ่งที่ฉันบอกได้คือ อย่าทิ้งสินทรัพย์หลักของคุณไว้ในโปรโตคอลที่คุณไม่เข้าใจการทำงานของมันอย่างถ่องแท้

สำหรับสินทรัพย์ที่กะจะถือยาวจริงๆ ให้เอาออกจาก chain แล้วเก็บใน hardware wallet ฉันใช้ Ledger Flex เพราะหน้าจอ E Ink ทำให้การกดยืนยันธุรกรรมที่อันตรายโดยไม่ตั้งใจทำได้ยากขึ้น ราคา 249 ดอลลาร์ ถือว่าน้อยมากเมื่อเทียบกับการต้องสูญเสียทุกอย่างเพราะช่องโหว่จากความซับซ้อนของระบบ

มุมมองทิ้งท้ายของฉัน

ถึงเวลาที่ DeFi ต้องเติบโตเป็นผู้ใหญ่เสียที ยุคของการซ้อนโปรโตคอล 10 ชั้นเพื่อไล่ล่า APY 20% กำลังจะจบลงเพราะความเสี่ยงมันชัดเจนเกินไป ฉันคิดว่าเราจะเห็นการเปลี่ยนผ่านไปสู่ "DeFi แบบเรียบง่าย" โปรโตคอลที่โปร่งใส ไม่ซับซ้อน และผ่านการทดสอบอย่างหนักหน่วงจะเป็นผู้ชนะ แทนที่พวกโปรโตคอลที่เน้นความหวือหวาและซับซ้อน

จนกว่าจะถึงตอนนั้น ให้สมมติไว้เลยว่าโปรโตคอลไหนที่สัญญาเรื่องผลตอบแทนแบบ "optimized" หรือ "layered" จริงๆ แล้วมันคือการทดลองขนาดใหญ่ที่ใช้เงินของคุณเป็นเดิมพัน ถ้าคุณไม่สามารถวาดเส้นทางการไหลของเงินลงบนกระดาษทิชชู่ให้เสร็จภายใน 30 วินาทีได้ แสดงว่ามันซับซ้อนเกินกว่าจะปลอดภัย

เทรดตามข่าวสารกับ exchange ที่ทีมบรรณาธิการของเราเลือก: MEXC