สะพานข้ามเชนที่เกี่ยวข้องกับอีเธอเรียม 2 แห่งเกิดเหตุติดกันภายในไม่กี่ชั่วโมง ตามรายงานของ Tokenpost ที่อ้างอิงจาก CryptoSlate บริษัทด้านความปลอดภัย Blockaid ตรวจพบการโจมตีช่องโหว่ของ AFX ราวเวลา 21:30 น. (UTC) วันที่ 22 กรกฎาคม — โปรโตคอลแลกเปลี่ยนแบบกระจายศูนย์นี้รันบน Arbitrum และสะพานฝากรักษา USDC ของมันถูกโอนออกไป 24.15 ล้าน USDC โดยธุรกรรมที่เกี่ยวข้องถูกบันทึกอยู่บนเชน Arbitrum ในช่วงเวลาใกล้เคียงกัน สะพาน Verus–Ethereum ก็เกิดความสูญเสียเช่นกัน รวมสองเหตุการณ์นี้ประมาณ 31.69 ล้านดอลลาร์ ในอีกด้านหนึ่ง B² Network ประกาศระงับการสเตคโทเคน หลังสิทธิ์อัปเกรดของสัญญาสเตคถูกเข้าถึงโดยไม่ได้รับอนุญาต จุดร่วมของทั้งสามเหตุการณ์คือ: สิ่งที่มีปัญหาไม่ใช่ผู้ออกสเตเบิลคอยน์ แต่คือชั้นโครงสร้างพื้นฐานที่ทำหน้าที่ “ผ่านทาง” ให้สินทรัพย์ข้ามเชนต่างๆ
บทวิเคราะห์: สิ่งที่ได้รับผลกระทบไม่ใช่บัตร แต่คือเส้นทางก่อนถึงบัตร
ขอสรุปก่อนเลย — เหตุการณ์ลักษณะนี้ส่งผลกระทบโดยตรงต่อผู้ถือบัตรเสมือน USDT ส่วนใหญ่ เท่ากับศูนย์ ยอดคงเหลือในบัตรถูกฝากไว้ในระบบบัญชีของผู้ออกบัตร ไม่ผ่านสัญญาของ AFX หรือ B² ความเสี่ยงที่แท้จริงเกิดขึ้นก่อนขั้นตอนการเติมเงิน — เมื่อคุณต้องการประหยัดค่าธรรมเนียม จึงถอน USDT จากเอ็กซ์เชนจ์ไปยัง L2 บางเชน แล้วใช้สะพานของบุคคลที่สามแลกเป็นอีกเชนหนึ่ง ก่อนจะเติมเข้าบัตรในที่สุด ทุกสะพานบนเส้นทางนี้คือความเสี่ยงของสัญญาที่แยกจากกันแต่ละอัน
แบ่งตามพฤติกรรมการใช้งานได้เป็น 3 กลุ่ม:
- ผู้ใช้ที่โอนภายในเอ็กซ์เชนจ์（สถานการณ์ทั่วไปของบัตรสายเอ็กซ์เชนจ์อย่าง Bybit Card）: เงินโอนตรงจากบัญชี spot ไปยังบัญชีบัตร ไม่ผ่านเชนตลอดทาง เหตุการณ์นี้ไม่ก่อความเสี่ยงเพิ่มเติมใดๆ
- ผู้ใช้ที่เติมตรงผ่าน TRC20 / เชนสาธารณะหลัก（รุ่น Asia Elite ของ MPCard และบัตร U แบบรวมศูนย์ส่วนใหญ่）: โอน USDT จากกระเป๋าโดยตรงไปยังที่อยู่ที่ผู้ออกบัตรกำหนด ไม่ผ่านสะพานของบุคคลที่สาม ความเสี่ยงจึงไม่เกี่ยวข้องเช่นกัน
- ผู้ใช้ที่ใช้ L2 + สะพานบุคคลที่สามเพื่อประหยัดค่าธรรมเนียม: นี่คือกลุ่มเดียวที่ต้องทบทวนใหม่ สภาพคล่อง USDC บน Arbitrum เผชิญแรงกดดันในระยะสั้นหลังเหตุการณ์ ทั้งสลิปเพจในการแลกข้ามเชนและเวลาคิวของสะพานอาจถูกขยายให้มากขึ้น
คาดการณ์กรอบเวลา: ภายใน 7 วัน ผู้ให้บริการกระเป๋าเงินและบัตร U แบบรวมศูนย์บางรายอาจปรับมาตรการควบคุมความเสี่ยงชั่วคราวสำหรับช่องทางเติมเงินผ่าน Arbitrum และสะพานที่มีผู้ใช้น้อย ซึ่งจะแสดงผลเป็นความล่าช้าในการเข้าบัญชีหรือข้อความแจ้งว่า “เชนนี้ยังไม่รองรับชั่วคราว”; ภายใน 30 วัน ว่า AFX จะออกรายงานสรุปเหตุการณ์และแผนชดเชยหรือไม่ B² จะกลับมาเปิดการสเตคหรือไม่ จะเป็นตัวกำหนดว่าเงินทุนในระบบนิเวศที่เกี่ยวข้องจะไหลกลับมาหรือไม่; ภายใน 90 วัน ผู้ออกบัตร U รายใหญ่มีแนวโน้มสูงที่จะจำกัดรายชื่อ “เชนที่รองรับอย่างเป็นทางการ” ให้แคบลงอีก — ทิศทางนี้สอดคล้องกับทุกครั้งที่เกิดเหตุสะพานในช่วง 2 ปีที่ผ่านมา ผู้อ่านที่ยังไม่เข้าใจโครงสร้างการเคลื่อนย้ายเงินทุนของบัตร U สามารถอ่านส่วนที่เกี่ยวกับเส้นทางเติมเงินและขอบเขตการฝากรักษาใน บัตร U คืออะไร ก่อนได้
เทียบกับเหตุการณ์ในอดีต: คล้าย Multichain ปี 2023 ไม่เหมือน USDC หลุดพาร์ปี 2023
เหตุการณ์ Multichain ในเดือนกรกฎาคม 2023 เป็นกรณีอ้างอิงที่ใกล้เคียงที่สุด — เป็นการสูญเสียการควบคุมคีย์/สิทธิ์ในฝั่งสะพานเหมือนกัน ทำให้สินทรัพย์ที่ผ่านสะพานบนหลายเชนขาดหลักประกันในการแลกคืนทันทีเหมือนกัน สเตเบิลคอยน์ที่ผ่านสะพานบนเชนอย่าง Fantom เกิดส่วนต่างราคา (discount) ที่ชัดเจน กรณี AFX ครั้งนี้ที่ USDC 24.15 ล้านถูกโอนออกจากสะพานฝากรักษาถือเป็นสินทรัพย์จริงที่ถูกดึงออกไป ลักษณะใกล้เคียงกับ Multichain มาก: ตัวผู้ออกสเตเบิลคอยน์เองไม่มีปัญหา แต่ปัญหาอยู่ที่ “ใครเป็นคนถือรักษาเงินก้อนนี้แทนคุณ”
ส่วนเหตุการณ์ USDC หลุดพาร์ในเดือนมีนาคม 2023 (กรณีธนาคาร Silicon Valley Bank ที่ทำให้ USDC ร่วงลงมาใกล้ 0.87 ดอลลาร์) เป็นความเสี่ยงอีกแบบหนึ่ง — ปัญหาอยู่ที่ฝั่งสำรอง ซึ่งกระทบผู้ถือทุกคนพร้อมกัน ไม่ว่าจะใช้เชนใดก็ตาม ปีนั้นยอดคงเหลือในบัตรที่อ้างอิงมูลค่าเป็น USDC เกือบทุกใบได้รับผลกระทบ แต่ครั้งนี้จะไม่เป็นเช่นนั้น
เทียบกับ Ronin ปี 2022 (625 ล้านดอลลาร์) และ Wormhole (326 ล้านดอลลาร์) ขนาดของเหตุการณ์ครั้งนี้ที่ 31.69 ล้านดอลลาร์ถือว่าไม่ใหญ่มาก แต่การที่ “สิทธิ์อัปเกรดของ B² ถูกเข้าถึงโดยไม่ได้รับอนุญาต” เป็นสัญญาณที่น่าเฝ้าระวังมากกว่า: สิทธิ์ผู้ดูแลระบบของสัญญาที่สามารถอัปเกรดได้ กำลังกลายเป็นช่องโจมตีที่พบบ่อยกว่าช่องโหว่ในโค้ด ข้อนี้เป็นเครื่องเตือนใจสำหรับผู้ใช้ที่ฝากเงินไว้ในโปรโตคอลสร้างผลตอบแทนบนเชนเป็นระยะเวลานาน แล้วค่อยถอนออกมาใช้จ่ายผ่านบัตรเป็นระยะๆ
มุมมองด้านกำกับดูแล: สะพานไม่ใช่กลไกที่มีใบอนุญาต แทบไม่มีเส้นทางเรียกร้องค่าเสียหาย
ต้องอธิบายขอบเขตให้ชัดเจน ผู้ออกสเตเบิลคอยน์ (Tether, Circle) ในหลายเขตอำนาจศาลได้เข้าสู่กรอบใบอนุญาตหรือการจดทะเบียนแล้ว ระบบใบอนุญาตผู้ออกภายใต้ “กฎหมายสเตเบิลคอยน์” ของฮ่องกง และกรอบกำกับดูแลสเตเบิลคอยน์ของ MAS สิงคโปร์กำลังคืบหน้าอยู่ ประเด็นสำคัญสามารถอ่านได้ที่ แนวทางการปฏิบัติตามกฎระเบียบของฮ่องกง และ แนวทางการปฏิบัติตามกฎระเบียบของสิงคโปร์ ผู้ออกบัตรเสมือนและผู้รับชำระเงินก็อยู่ภายใต้ข้อบังคับใบอนุญาต EMI / การชำระเงินโดยทั่วไปเช่นกัน
แต่ สะพานข้ามเชนอยู่ในพื้นที่สุญญากาศทางกำกับดูแล: มันไม่ใช่ผู้ออก ไม่ใช่สถาบันชำระเงินที่มีใบอนุญาต ส่วนใหญ่รันด้วยโค้ดล้วนๆ ไม่มีภาระผูกพันในการแยกเงินทุนของลูกค้า ไม่มีทุนสำรองสำหรับชดเชย และไม่มีหน่วยงานกำกับดูแลที่รับเรื่องร้องเรียนได้ เมื่อเงินไหลออกจากสัญญาสะพานไปแล้ว สิ่งที่คุณพึ่งพาได้มีเพียง 2 อย่าง — ความสามารถในการขึ้นบัญชีดำของผู้ออก (Circle มีความสามารถทางเทคนิคในการอายัด USDC ของที่อยู่ที่กำหนด แต่จะดำเนินการหรือไม่ขึ้นอยู่กับดุลยพินิจของตน) และแผนชดเชยที่โครงการนั้นๆ เลือกดำเนินการเองโดยสมัครใจ นี่ไม่ใช่ “ผิดกฎหมาย” แต่คือ “ไม่มีกฎหมายรองรับ” การมองว่าเรื่องนี้เทียบเท่ากับความปลอดภัยของเงินทุนในผู้ออกบัตรที่มีใบอนุญาต เป็นความเข้าใจผิดที่พบบ่อยที่สุด
ประเด็นที่ต้องจับตาต่อไป
- **Circle จ