หลังเหตุการณ์ Liquid Network มูลค่า 320 ล้านดอลลาร์: แนวป้องกันแรกพังแล้ว แพลตฟอร์มสินทรัพย์ดิจิทัลจะปกป้องอะไรได้อีก?

เหตุการณ์ด้านความปลอดภัยที่เกิดขึ้นต่อเนื่องในช่วงนี้ ได้นำอุตสาหกรรมสินทรัพย์ดิจิทัลกลับมาสู่คำถามที่คุ้นเคยอีกครั้ง: แพลตฟอร์มแบบไหนถึงจะเรียกว่า "ปลอดภัย"?

ต้นเดือนกันยายน เกิดเหตุการณ์ด้านความปลอดภัยครั้งใหญ่บนไซด์เชน Liquid Network ของ Bitcoin ผู้โจมตีใช้ช่องโหว่การตรวจสอบความถูกต้องของซอฟต์แวร์ Elements ทำให้สินทรัพย์ประมาณ 4,000 BTC หรือคิดเป็นมูลค่าประมาณ 320 ล้านดอลลาร์สหรัฐตามราคา ณ เวลาที่เกิดเหตุ ถูกโอนออกไป ที่น่าสังเกตคือ PAK และ Federation keys ที่เกี่ยวข้องไม่ได้ถูกเจาะระบบแต่อย่างใด นี่จึงทำให้เกิดคำถามที่น่าพิจารณายิ่งขึ้น: เมื่อคีย์ไม่ได้ถูกเจาะ แล้วการโอนสินทรัพย์ที่ไม่ควรเกิดขึ้นนี้ ผ่านระบบไปได้อย่างไร?

ความเสี่ยงในลักษณะเดียวกันก็ปรากฏในจุดอื่น ๆ ด้วย ในเดือนสิงหาคม ผู้โจมตีใช้ช่องโหว่ด้านความปลอดภัยที่สำคัญของ Cosmos EVM โจมตีเครือข่ายหลายแห่ง มีเครือข่ายทั้งหมด 6 แห่งที่ถูกโจมตีจริง โดยช่องโหว่ดังกล่าวเคยถูกรายงานผ่านโครงการ Bug Bounty มาก่อนแล้ว ส่วนในเดือนกรกฎาคม Triple-A ถูกโจมตีด้วยวิศวกรรมสังคม ผู้โจมตีได้ข้อมูลประจำตัวของเจ้าหน้าที่ที่เกี่ยวข้องและเจาะเข้าสู่สภาพแวดล้อมการปฏิบัติงานต่อไป สุดท้ายทำให้สินทรัพย์บางส่วนของบริษัทถูกโอนออกไป แต่เนื่องจากเงินทุนของลูกค้าถูกเก็บแยกไว้ในบัญชีทรัสต์ และแยกออกจากสภาพแวดล้อมการปฏิบัติงานที่ถูกบุกรุก จึงไม่ได้รับผลกระทบ

สาเหตุของทั้งสามเหตุการณ์ไม่เหมือนกัน แต่ชี้ไปที่ปัญหาเชิงปฏิบัติเดียวกัน: เหตุการณ์ด้านความปลอดภัยอาจยากที่จะหลีกเลี่ยงได้โดยสิ้นเชิง แต่เมื่อโค้ด บุคลากร หรือสิทธิ์การเข้าถึงจุดใดจุดหนึ่งถูกเจาะ ความเสี่ยงจะหยุดอยู่ที่ตรงไหน?

สิ่งที่ต้องป้องกันจริง ๆ ไม่ใช่แค่ "ถูกเจาะ" แต่คือความเสี่ยงจะไปได้ไกลแค่ไหน

คำถามที่น่าถามยิ่งกว่า "ถูกโจมตีหรือไม่" คือ: หลังจากแนวป้องกันแรกพังลง ผู้โจมตีจะไปต่อได้ไกลแค่ไหน? การที่บัญชีหนึ่งถูกยึด เพียงพอที่จะดำเนินการกับสินทรัพย์สำคัญได้หรือไม่? การที่สิทธิ์หนึ่งถูกเจาะ จะสามารถเข้าสู่ระบบที่สำคัญกว่าได้หรือไม่? เมื่อสภาพแวดล้อมออนไลน์มีปัญหา สินทรัพย์หลักจำนวนเท่าใดที่อยู่ในเส้นทางการโจมตีจริง ๆ?

นี่คือบทเรียนสำคัญจากเหตุการณ์ที่เกิดขึ้นในช่วงนี้: ผลกระทบสุดท้ายของการโจมตีครั้งหนึ่ง ไม่ได้ขึ้นอยู่กับว่าผู้โจมตีเจาะอะไรได้เท่านั้น แต่ยังขึ้นอยู่กับว่าหลังจากเจาะเข้าไปแล้ว ระบบยังมีแนวป้องกันเหลืออยู่อีกกี่ชั้น

หากบัญชีหนึ่งถูกเจาะแล้วสามารถเข้าถึงสิทธิ์หลักได้โดยตรง หรือสภาพแวดล้อมออนไลน์มีปัญหาแล้วส่งผลกระทบต่อสินทรัพย์หลักจำนวนมากได้โดยตรง จุดอ่อนใด ๆ ก็อาจถูกขยายผลอย่างรวดเร็ว ในทางกลับกัน หากมีการแยกชั้นระหว่างสิทธิ์ การดำเนินการสำคัญ การเฝ้าระวังความเสี่ยง และการเก็บรักษาสินทรัพย์ การเจาะเพียงจุดเดียวก็ไม่จำเป็นต้องกลายเป็นการพังทลายทั้งหมด

พูดอีกอย่างหนึ่ง การวัดความสามารถด้านความปลอดภัยของแพลตฟอร์ม ไม่ใช่แค่ดูว่า "ประตูแรกจะป้องกันได้หรือไม่" แต่ต้องดูด้วยว่า: หลังจากประตูแรกพังลง ยังมีประตูอีกกี่บานที่เหลืออยู่

มองตามห่วงโซ่การโจมตี "ประตูถัดไป" ของ BIT อยู่ตรงไหน?

เมื่อไม่นานมานี้ BIT (เดิมชื่อ Matrixport) แพลตฟอร์มบริการการเงินดิจิทัลระดับโลก ได้เผยแพร่ "BIT Trust Whitepaper" V2.0 (https://www.bit.com/whitepaper) หากอ่านเอกสารนี้อีกครั้งโดยตั้งคำถามว่า "จะเกิดอะไรขึ้นหลังจากแนวป้องกันแรกพังลง" จุดที่น่าสนใจคือ ระบบความปลอดภัยของ BIT ไม่ได้พึ่งพาแนวป้องกันเพียงชั้นเดียว แต่มีการป้องกันหลายชั้นระหว่างตัวตน สิทธิ์ การดำเนินการ และสินทรัพย์

ตัวอย่างเช่น การที่ข้อมูลประจำตัวของบัญชีถูกขโมย ไม่ได้หมายความว่าผู้โจมตีจะมีสิทธิ์ทั้งหมดในการดำเนินการกับสินทรัพย์สำคัญ เอกสารเปิดเผยว่า BIT ใช้หลักการสิทธิ์ขั้นต่ำในการจำกัดระบบและขอบเขตการดำเนินการที่พนักงานเข้าถึงได้ ส่วนการดำเนินการสำคัญ เช่น การโอนสินทรัพย์ ความปลอดภัยของบัญชี การเปลี่ยนแปลงสิทธิ์ การสร้างและตรวจสอบคำสั่งซื้อขาย ต้องมีเจ้าหน้าที่ที่ได้รับอนุญาตอย่างน้อยสองคนร่วมดำเนินการ ยกตัวอย่าง Cactus Custody แนวคิดแบบแบ่งชั้นนี้ยังขยายไปถึงสถานการณ์การดูแลสินทรัพย์ดิจิทัลระดับสถาบันด้วย

การผ่านการยืนยันตัวตน ก็ไม่ได้หมายความว่าการดำเนินการหลังจากนั้นจะ "ไฟเขียว" ตลอดทาง BIT มีการเฝ้าระวังอย่างต่อเนื่องสำหรับพฤติกรรมที่ผิดปกติ เช่น การเข้าสู่ระบบที่ผิดปกติ อุปกรณ์ที่ผิดปกติ การถอนเหรียญที่ผิดปกติ ส่วนในด้านสินทรัพย์ สินทรัพย์ดิจิทัลส่วนใหญ่ถูกเก็บไว้ในกระเป๋าเงินเย็น เพื่อลดการเปิดเผยสินทรัพย์หลักเมื่อสภาพแวดล้อมออนไลน์มีปัญหา

เมื่อมองกลไกเหล่านี้รวมกัน ตรรกะด้านความปลอดภัยของ BIT ก็ชัดเจนขึ้น: การที่ตัวตนหนึ่งถูกเจาะ ไม่เท่ากับได้สิทธิ์ทั้งหมด การได้สิทธิ์หนึ่ง ไม่เท่ากับสามารถดำเนินการสำคัญได้โดยลำพัง การผ่านการยืนยันตัวตน ไม่เท่ากับพฤติกรรมหลังจากนั้นจะไม่ถูกประเมินความเสี่ยงอีก และสภาพแวดล้อมออนไลน์มีปัญหา ก็ไม่เท่ากับสินทรัพย์หลักทั้งหมดจะถูกเปิดเผยพร้อมกัน

สิ่งที่กำหนดว่าการโจมตีครั้งหนึ่งจะไปได้ไกลแค่ไหน ก็คือ "ไม่เท่ากับ" เหล่านี้ นี่ไม่ได้หมายความว่าการโจมตีทุกรูปแบบจะหลีกเลี่ยงได้โดยสิ้นเชิง แต่หมายความว่า แม้แนวป้องกันชั้นใดชั้นหนึ่งจะมีปัญหา ก็ยังมีโอกาสที่จะตรวจจับความผิดปกติ จำกัดสิทธิ์ หรือแยกความเสี่ยงได้ในภายหลัง

ความแตกต่างด้านความปลอดภัย หลายครั้งซ่อนอยู่หลังจากประตูแรกพังลง

เมื่อพบความเสี่ยงแล้ว ใครมีอำนาจกด "ปุ่มหยุด" ได้จริง?

แต่การมีแนวป้องกันทางเทคนิคเพิ่มขึ้นอีกหลายชั้น ยังไม่ใช่ทั้งหมด ในเหตุการณ์ Cosmos EVM รายละเอียดที่น่าสนใจคือ ช่องโหว่ดังกล่าวเคยถูกรายงานผ่านโครงการ Bug Bounty มาก่อนแล้ว แต่จากข้อมูลที่มีในตอนนั้น ถูกประเมินเบื้องต้นว่าจะไม่ทำให้เกิดการสูญเสียเงินทุนบนการกำหนดค่าเครือข่ายการผลิตที่รู้จัก

นี่เผยให้เห็นปัญหาอีกอย่างที่มักถูกมองข้าม: การพบความเสี่ยง ไม่ได้หมายความว่าความเสี่ยงนั้นถูกประเมินอย่างแม่นยำและจัดการอย่างเพียงพอแล้ว

หลังจากมีการส่งรายงานช่องโหว่ ใครเป็นผู้ตัดสินว่ามันร้ายแรงแค่ไหน? หากทีมความปลอดภัยเห็นว่าความเสี่ยงยอมรับไม่ได้ พวกเขามีสิทธิ์หยุดไม่ให้ผลิตภัณฑ์เปิดตัวต่อหรือไม่? เมื่อความคืบหน้าทางธุรกิจขัดแย้งกับการประเมินด้านความปลอดภัย ใครมีอำนาจตัดสินใจขั้นสุดท้าย?

"BIT Trust Whitepaper" V2.0 เปิดเผยว่า เมื่อแผนผลิตภัณฑ์ ความต้องการ สถาปัตยกรรม หรือการเปลี่ยนแปลงก่อนเปิดตัวมีความเสี่ยงด้านความปลอดภัยที่สำคัญ หรือไม่เป็นไปตามมาตรฐานความปลอดภัยขั้นพื้นฐานและข้อกำหนดด้านการปฏิบัติตามกฎระเบียบ ทีมความปลอดภัยมี "สิทธิ์ยับยั้งหนึ่งเสียง" สามารถระงับกิจกรรมที่เกี่ยวข้อง และเรียกร้องให้แก้ไขและตรวจสอบใหม่ก่อนดำเนินการต่อ

จุดที่น่าสนใจจริง ๆ ของกลไกนี้ ไม่ใช่แค่การเพิ่มขั้นตอนอนุมัติอีกขั้น แต่คือการตอบคำถามเชิงปฏิบัติอย่างยิ่ง: เมื่อความเสี่ยงเกิดขึ้นจริง มีใครมีสิทธิ์พูดว่า "ไม่" หรือไม่ สำหรับระบบความปลอดภัย ความสามารถในการค้นพบปัญหานั้นสำคัญ แต่การทำให้การประเมินด้านความปลอดภัยมีผลต่อการตัดสินใจทางธุรกิจได้จริง ก็เป็นตัวกำหนดเช่นกันว่าแนวป้องกันหนึ่งจะเป็นเพียงข้อความในระเบียบ หรือจะทำงานได้จริง

เมื่อธุรกิจซับซ้อนขึ้น "ความปลอดภัย" ก็ไม่ใช่แค่สินทรัพย์ในกระเป๋าเงิน

เมื่อแพลตฟอร์มการเงินดิจิทัลเริ่มเชื่อมต่อสินทรัพย์และโครงสร้างพื้นฐานทางการเงินประเภทต่าง ๆ เช่น สินทรัพย์ดิจิทัล หุ้นสหรัฐฯ และ RWA ปัญหาด้านความปลอดภัยก็ไม่ได้เกิดขึ้นแค่ในระดับกระเป๋าเงินและบัญชีอีกต่อไป ใครเป็นผู้จัดการสินทรัพย์ ผ่านสถาบันใดบ้าง ชำระราคาและเก็บรักษาที่ไหน ก็กลายเป็นส่วนสำคัญที่ผู้ใช้ใช้ประเมินความเสี่ยงเช่นกัน

นี่คือจุดที่ "BIT Trust Whitepaper" V2.0 ขยายความเรื่องระบบความปลอดภัยและความน่าเชื่อถือออกไป นอกเหนือจากมาตรการควบคุมความเสี่ยงและความปลอดภัยแล้ว เอกสารยังเปิดเผยการจัดการด้านการกำกับดูแล การตรวจสอบ และการยืนยันอิสระที่สอดคล้องกับหน่วยธุรกิจต่าง ๆ เพื่อให้บุคคลภายนอกสามารถประเมินเพิ่มเติมได้ว่า ใครรับผิดชอบอะไร กลไกใดตรวจสอบได้ และกลไกเหล่านี้ครอบคลุมถึงจุดใด

ยกตัวอย่างธุรกิจหุ้นสหรัฐฯ ของ BIT ธุรกิจหลักทรัพย์ดำเนินการโดย Matrix Gelephu Pte. Ltd. และอยู่ภายใต้การกำกับดูแลของ GFSO โดยธุรกิจที่เกี่ยวข้องเชื่อมต่อกับสถาบันการเงินที่ได้รับใบอนุญาตในสหรัฐฯ และโครงสร้างพื้นฐานด้านการชำระราคาและการเก็บรักษาหลักทรัพย์ที่เกี่ยวข้อง

สำหรับผู้ใช้ทั่วไป การจัดการทางการเงินที่ดูซับซ้อนเหล่านี้ สุดท้ายแล้วสามารถสรุปเป็นคำถามง่าย ๆ ไม่กี่ข้อ: สินทรัพย์ของฉันถูกจัดการโดยใคร? ผ่านขั้นตอนใดบ้าง? สถาบันต่าง ๆ รับผิดชอบอะไร? สถานะตัวตนและการกำกับดูแลของสถาบันเหล่านี้ตรวจสอบได้หรือไม่?

นี่คือจุดที่ "ตรวจสอบได้" มีความหมายจริง ๆ — ความปลอดภัยไม่สามารถพึ่งพาแค่สิ่งที่แพลตฟอร์มพูดเอง แต่ต้องดูว่าผู้ใช้และบุคคลภายนอกตรวจสอบอะไรได้บ้าง

เมื่อมองย้อนกลับไปที่ Liquid Network, Cosmos EVM และ Triple-A จุดเริ่มต้นของทั้งสามเหตุการณ์แตกต่างกันโดยสิ้นเชิง แต่ทั้งหมดเตือนตลาดว่า ไม่มีแนวป้องกันใดที่ควรถูกสมมติว่าจะไม่มีวันล้มเหลว สิ่งที่สร้างความแตกต่างด้านความปลอดภัยอย่างแท้จริง อาจไม่ใช่เทคโนโลยีความปลอดภัยเพียงอย่างเดียว แต่คือใครสามารถสร้างการแยกชั้นและการถ่วงดุลระหว่างตัวตน สิทธิ์ การดำเนินการ สินทรัพย์ และการตัดสินใจขององค์กรได้มากพอ เพื่อให้การเจาะเฉพาะจุดหนึ่งยากที่จะกลายเป็นการพังทลายทั้งหมด

จากมุมมองนี้ สิ่งที่น่าสนใจใน "BIT Trust Whitepaper" V2.0 ไม่ใช่แค่จำนวนมาตรการความปลอดภัยที่ระบุไว้ แต่คือมาตรการเหล่านี้เชื่อมต่อเป็นแนวป้องกันที่สมบูรณ์ได้หรือไม่: จุดหนึ่งมีปัญหา ยังมีชั้นถัดไป ชั้นถัดไปมีปัญหา ยังมีโอกาสตรวจจับ สกัดกั้น และแยกความเสี่ยงต่อไป

สำหรับแพลตฟอร์มสินทรัพย์ดิจิทัล "ไม่เคยถูกโจมตี" อาจเป็นคำมั่นสัญญาถาวรได้ยาก แต่มีอีกสิ่งหนึ่งที่สร้างได้อย่างต่อเนื่อง: ความปลอดภัยที่แท้จริง คือแม้แนวป้องกันชั้นใดชั้นหนึ่งจะล้มเหลว ก็ไม่ปล่อยให้การเจาะเพียงจุดเดียวกลายเป็นการพังทลายทั้งหมดได้ง่าย ๆ และเมื่อแนวป้องกันเหล่านี้ไม่เพียงมีอยู่ แต่ยังถูกตรวจสอบจากภายนอกได้อย่างต่อเนื่อง "ความน่าเชื่อถือ" ก็จะไม่ใช่แค่คำพูดของแพลตฟอร์มเองอีกต่อไป