3.2 พันล้านดอลลาร์สหรัฐ หลังเหตุการณ์ Liquid Network：เมื่อแนวป้องกันชั้นแรกแตกสลาย แพลตฟอร์มสินทรัพย์ดิจิทัลยังป้องกันอะไรได้อีก？

เหตุการณ์ด้านความปลอดภัยที่เกิดขึ้นต่อเนื่องในช่วงที่ผ่านมา ได้นำพาธุรกิจสินทรัพย์ดิจิทัลกลับมาสู่คำถามที่คุ้นเคยอีกครั้งว่า แท้จริงแล้วแพลตฟอร์มแบบใดจึงจะถือว่า "ปลอดภัย"?

เมื่อต้นเดือนกันยายนที่ผ่านมา Liquid Network ซึ่งเป็นเชนด้านข้างของ Bitcoin ได้เกิดเหตุการณ์ด้านความปลอดภัยครั้งสำคัญ ผู้โจมตีใช้ช่องโหว่ด้านการตรวจสอบยืนยันของซอฟต์แวร์ Elements ทำให้มีสินทรัพย์ประมาณ 4,000 BTC คิดเป็นมูลค่าประมาณ 320 ล้านดอลลาร์สหรัฐ ณ ราคาในช่วงเวลาที่เกิดเหตุถูกโอนออกไป สิ่งที่น่าสังเกตคือ PAK และ Federation keys ที่เกี่ยวข้องนั้นไม่ได้ถูกเจาะระบบได้สำเร็จ ซึ่งทำให้คำถามที่น่าถกกันมากยิ่งขึ้นผุดขึ้นมา นั่นคือ เมื่อตัวคีย์เองไม่ได้ถูกเจาะระบบได้สำเร็จ ทำไมการโอนสินทรัพย์ที่ไม่ควรจะเกิดขึ้นได้นั้นจึงยังสามารถทะลุผ่านระบบออกไปได้?

ความเสี่ยงในลักษณะเดียวกันยังปรากฏในส่วนอื่นๆ ด้วย ในเดือนสิงหาคม ผู้โจมตีใช้ช่องโหว่ด้านความปลอดภัยที่สำคัญของ Cosmos EVM โจมตีหลายเครือข่าย โดยมี 6 เครือข่ายที่ถูกใช้ประโยชน์จริง และช่องโหว่ที่เกี่ยวข้องนั้นเคยถูกรายงานผ่านโครงการ Bug Bounty มาก่อนแล้ว ส่วนในเดือนกรกฎาคม Triple-A ประสบปัญหาการโจมตีแบบวิศวกรรมสังคม (Social Engineering) โดยผู้โจมตีได้ข้อมูลรับรองของบุคลากรที่เกี่ยวข้องและเข้าสู่สภาพแวดล้อมการดำเนินงานได้ deeper ส่งผลให้สินทรัพย์ของบริษัทบางส่วนถูกโอนออกไปในที่สุด แต่เนื่องจากเงินทุนของลูกค้าถูกเก็บแยกไว้ในบัญชีทรัสต์ และถูกแยกออกจากสภาพแวดล้อมการดำเนินงานที่ถูกบุกรุก จึงไม่ได้รับผลกระทบ

สาเหตุของทั้งสามเหตุการณ์ไม่เหมือนกัน แต่ทั้งหมดชี้ไปสู่ปัญหาที่เป็นจริงยิ่งกว่า นั่นคือ เหตุการณ์ด้านความปลอดภัยอาจเป็นสิ่งที่ยากจะหลีกเลี่ยงได้อย่างสมบูรณ์ แต่เมื่อ环节ใด环节หนึ่งในโค้ด บุคลากร หรือสิทธิ์ถูกเจาะผ่านไปได้ ความเสี่ยงนั้นจะหยุดอยู่ตรงไหน?

สิ่งที่ต้องป้องกันจริงๆ ไม่ใช่แค่ "การถูกเจาะระบบ" แต่คือความเสี่ยงจะลุกลามได้ไกลแค่ไหน

คำถามที่ควรถามยิ่งกว่า "ถูกโจมตีหรือไม่" คือ หลังจากแนวป้องกันด่านแรก失效ไปแล้ว ผู้โจมตียังไปได้ไกลแค่ไหน? บัญชีหนึ่งบัญชีถูกยึด จะเพียงพอต่อการดำเนินการสินทรัพย์สำคัญได้หรือไม่? สิทธิ์หนึ่งสิทธิ์ถูกเจาะ จะสามารถเข้าสู่ระบบที่เป็นแกนกลางยิ่งขึ้นต่อไปได้หรือไม่? เมื่อสภาพแวดล้อมออนไลน์เกิดปัญหา มีสินทรัพย์สำคัญจำนวนเท่าใดที่แท้จริงแล้วเปิดเผยอยู่ในเส้นทางการโจมตี?

นี่ก็เป็นบทเรียนสำคัญจากเหตุการณ์หลายครั้งในช่วงที่ผ่านมา ผลกระทบสุดท้ายที่การโจมตีครั้งหนึ่งก่อขึ้น ไม่ได้ขึ้นอยู่กับว่าผู้โจมตีเจาะผ่านอะไรไปเท่านั้น แต่ยังขึ้นอยู่กับว่าหลังจากเจาะผ่านไปแล้ว ยังมีแนวป้องกันเหลืออยู่ในระบบอีกกี่ด่าน

หากบัญชีหนึ่งถูกเจาะแล้วสามารถเข้าถึงสิทธิ์ระดับแกนกลางได้โดยตรง เมื่อสภาพแวดล้อมออนไลน์เกิดปัญหาก็อาจส่งผลกระทบต่อสินทรัพย์สำคัญจำนวนมากได้โดยตรง ดังนั้น环节ที่อ่อนแอใดๆ ก็อาจถูกขยายผลอย่างรวดเร็ว ในทางกลับกัน หากระหว่างสิทธิ์ การดำเนินการสำคัญ การติดตามความเสี่ยง และการเก็บรักษาสินทรัพย์มี多层การแยกออกจากกัน การเจาะผ่านเพียงครั้งเดียวก็อาจไม่จำเป็นต้องกลายเป็นการสูญเสียทั้งหมด

กล่าวอีกนัยหนึ่ง การวัดความสามารถด้านความปลอดภัยของแพลตฟอร์มหนึ่ง ไม่ได้ดูแค่ว่า "ประตูบานแรกจะป้องกันไว้ได้หรือไม่" แต่ยังต้องดูว่า หลังจากประตูบานแรกถูกเจาะแล้ว ยังเหลือประตูอีกกี่บาน

มองตามห่วงโซ่การโจมตี "ประตูบานต่อไป" ของ BIT อยู่ที่ไหน?

เมื่อไม่นานมานี้ แพลตฟอร์มบริการทางการเงินดิจิทัลระดับโลก BIT (เดิมชื่อ Matrixport) ได้เผยแพร่ 《BIT Trust Whitepaper》V2.0 (https://www.bit.com/whitepaper) หากอ่าน whitepaper ฉบับนี้ใหม่โดยตั้งคำถามว่า "จะเกิดอะไรขึ้นหลังจากแนวป้องกันด่านแรก失效" จุดหนึ่งที่น่าสนใจคือ ระบบความปลอดภัยของ BIT ไม่ได้พึ่งพาแนวป้องกันเพียงด่านเดียว แต่设置了多层การป้องกันระหว่าง身份 สิทธิ์ การดำเนินการ และสินทรัพย์

ตัวอย่างเช่น การได้ข้อมูลรับรองของบัญชีหนึ่งมาไม่ได้หมายความว่าผู้โจมตีจะมีสิทธิ์ทั้งหมดในการดำเนินการสินทรัพย์สำคัญ whitepaper เปิดเผยว่า BIT ใช้หลักการ最小权限 จำกัดขอบเขตระบบและการดำเนินการที่พนักงานสามารถเข้าถึงได้ ส่วนการดำเนินการสำคัญที่เกี่ยวข้องกับการโอนสินทรัพย์ ความปลอดภัยของบัญชี การเปลี่ยนแปลงสิทธิ์ การสร้างและตรวจสอบคำสั่งซื้อขาย จำเป็นต้องมีบุคลากรที่ได้รับอนุญาตอย่างน้อยสองคนเข้าร่วมด้วยกัน หากยกตัวอย่าง Cactus Custody แนวคิดแบบ多层นี้ยังขยายไปถึง场景การรับฝากสินทรัพย์ดิจิทัลระดับสถาบันด้วย

การผ่านการตรวจสอบ身份ก็ไม่ได้หมายความว่าการดำเนินการหลังจากนั้นจะเป็น "ไฟเขียว" ไปตลอด สำหรับพฤติกรรมเช่นการเข้าสู่ระบบผิดปกติ อุปกรณ์ผิดปกติ การถอนเหรียญผิดปกติ BIT จะติดตามอย่างต่อเนื่อง และในด้านสินทรัพย์ สินทรัพย์ดิจิทัลส่วนใหญ่ถูกเก็บไว้ใน cold wallet ซึ่งช่วยลดการเปิดเผยสินทรัพย์สำคัญเมื่อสภาพแวดล้อมออนไลน์เกิดปัญหาลงไปอีก

เมื่อมองกลไกเหล่านี้รวมกัน ตรรกะด้านความปลอดภัยของ BIT ก็ชัดเจนยิ่งขึ้น 身份หนึ่งถูกเจาะ ไม่ได้หมายความว่าได้สิทธิ์ทั้งหมด การได้สิทธิ์หนึ่งมา ไม่ได้หมายความว่าสามารถดำเนินการสำคัญได้ด้วยตนเอง การผ่านการตรวจสอบ身份 ไม่ได้หมายความว่าพฤติกรรมหลังจากนั้นจะไม่ถูกตัดสินความเสี่ยงอีกต่อไป และเมื่อสภาพแวดล้อมออนไลน์เกิดปัญหา ก็ไม่ได้หมายความว่าสินทรัพย์สำคัญทั้งหมดจะถูกเปิดเผยพร้อมกัน

สิ่งที่ตัดสินว่าการโจมตีครั้งหนึ่งจะไปได้ไกลแค่ไหนจริงๆ ก็คือ "ไม่ได้หมายความว่า" เหล่านี้นี่เอง นี่ไม่ได้หมายความว่าการโจมตีใดๆ จะสามารถหลีกเลี่ยงได้อย่างสมบูรณ์ แต่หมายความว่า แม้แนวป้องกันด่านใดด่านหนึ่งเกิดปัญหา ข้างหลังยังมีโอกาสในการ识别ความผิดปกติ จำกัดสิทธิ์ หรือแยกความเสี่ยงออกไป

ช่องว่างด้านความปลอดภัยหลายครั้งมักซ่อนอยู่หลังจากประตูบานแรกถูกเจาะ

เมื่อพบความเสี่ยง ใครมีสิทธิ์กดปุ่ม "หยุด" จริงๆ?

แต่การมีแนวป้องกันทางเทคนิคหลายชั้นยังไม่ใช่ทั้งหมด ในเหตุการณ์ Cosmos EVM มีรายละเอียดหนึ่งที่น่าสนใจ คือ ช่องโหว่ที่เกี่ยวข้องเคยถูกรายงานผ่านโครงการ Bug Bounty มาก่อนแล้ว แต่จากข้อมูลที่มีอยู่ในขณะนั้น ในตอนแรกถูกตัดสินว่าจะไม่ทำให้เกิดความสูญเสียทางการเงินบนการตั้งค่าเครือข่าย production ที่ทราบกัน

สิ่งนี้ยังเปิดเผยปัญหาอีกข้อที่มักถูกมองข้าม นั่นคือ การพบความเสี่ยงไม่ได้หมายความว่าความเสี่ยงนั้นถูกประเมินอย่างแม่นยำและจัดการอย่างเพียงพอแล้ว

เมื่อช่องโหว่ถูกส่งเข้ามา ใครเป็นผู้ตัดสินว่ามันร้ายแรงแค่ไหน? หากทีมความปลอดภัยเห็นว่าความเสี่ยงยอมรับไม่ได้ พวกเขามีสิทธิ์หยุดยั้งไม่ให้ผลิตภัณฑ์เปิดตัวต่อไปหรือไม่? เมื่อความคืบหน้าของธุรกิจขัดแย้งกับการตัดสินด้านความปลอดภัย ใครมีสิทธิ์ตัดสินใจคนสุดท้าย?

《BIT Trust Whitepaper》V2.0 เปิดเผยว่า เมื่อแผนผลิตภัณฑ์ ความต้องการ สถาปัตยกรรม หรือการเปลี่ยนแปลงก่อนเปิดตัวมีความเสี่ยงด้านความปลอดภัยที่สำคัญ หรือไม่เป็นไปตาม基线ความปลอดภัยและข้อกำหนดด้านการปฏิบัติตามกฎเกณฑ์ ทีมความปลอดภัยมี "สิทธิ์ยับยั้ง" (一票否决权) สามารถ暂停กิจกรรมที่เกี่ยวข้อง และเรียกร้องให้整改และตรวจสอบใหม่ก่อนที่จะดำเนินการต่อไป

สิ่งที่กลไกนี้ควรค่าแก่การจับตาจริงๆ ไม่ใช่แค่การมีขั้นตอนอนุมัติเพิ่มขึ้นอีกขั้น แต่เป็นการตอบคำถามที่ปฏิบัติได้จริงมาก นั่นคือ เมื่อความเสี่ยงเกิดขึ้นจริง มีใครมีสิทธิ์พูดว่า "ไม่" หรือไม่ สำหรับระบบความปลอดภัยแล้ว ความสามารถในการพบปัญหาย่อมสำคัญ แต่การทำให้การตัดสินด้านความปลอดภัยสามารถมีอิทธิพลต่อการตัดสินใจทางธุรกิจได้จริง ก็ตัดสินเช่นกันว่าแนวป้องกันหนึ่งนั้นเป็นเพียงสิ่งที่เขียนไว้ในระบบ หรือสามารถทำหน้าที่ได้จริง

เมื่อธุรกิจซับซ้อนขึ้นเรื่อยๆ "ความปลอดภัย" ก็ไม่ใช่แค่สินทรัพย์ในกระเป๋าเงิน

เมื่อแพลตฟอร์มการเงินดิจิทัลเริ่มเชื่อมต่อสินทรัพย์และโครงสร้างพื้นฐานทางการเงินประเภทต่างๆ เช่น สินทรัพย์ดิจิทัล หุ้นสหรัฐ RWA ไปพร้อมกัน ปัญหาด้านความปลอดภัยก็ไม่ได้เกิดขึ้นเพียงในระดับกระเป๋าเงินและบัญชีอีกต่อไป ใครเป็นผู้จัดการสินทรัพย์ ผ่านสถาบันใดบ้าง ชำระบัญชีและถือครองที่ไหน ล้วนกลายเป็นส่วนสำคัญที่ผู้ใช้ใช้ตัดสินความเสี่ยงเช่นกัน

นี่ก็เป็นจุดที่ 《BIT Trust Whitepaper》V2.0 ขยายความเกี่ยวกับระบบความปลอดภัยและความไว้วางใจยิ่งขึ้น นอกจากมาตรการควบคุมความเสี่ยงและความปลอดภัยแล้ว whitepaper ยังเปิดเผยการจัดการด้านการกำกับดูแล การตรวจสอบ และการยืนยันโดยอิสระที่สอดคล้องกับ entity ทางธุรกิจแต่ละแห่ง ทำให้外界สามารถตัดสินได้มากขึ้นว่า ใครรับผิดชอบอะไร กลไกใดบ้างที่สามารถตรวจสอบได้ และกลไกเหล่านี้ครอบคลุมไปถึงไหน

หากยกตัวอย่างธุรกิจหุ้นสหรัฐของ BIT ธุรกิจหลักทรัพย์ดำเนินการโดย Matrix Gelephu Pte. Ltd. และอยู่ภายใต้การกำกับดูแลของ GFSO โดยธุรกิจที่เกี่ยวข้องยังเชื่อมต่อกับสถาบันการเงินที่ได้รับใบอนุญาตในสหรัฐฯ และโครงสร้างพื้นฐานด้านการชำระบัญชีและการรับฝากที่เกี่ยวข้อง

สำหรับผู้ใช้ทั่วไปแล้ว การจัดการทางการเงินที่ดูซับซ้อนเหล่านี้สุดท้ายแล้วสามารถลดทอนเหลือคำถามง่ายๆ ไม่กี่ข้อได้ สินทรัพย์ของฉันถูกจัดการโดยใคร? ผ่าน环节ใดบ้าง? สถาบันต่างๆ รับผิดชอบอะไรบ้าง? ตัวตนและสถานะการกำกับดูแลของสถาบันเหล่านี้ตรวจสอบได้หรือไม่?

นี่ก็เป็นจุดที่ "สามารถตรวจสอบได้" มีความหมายจริงๆ ความปลอดภัยไม่สามารถพึ่งพาเพียงสิ่งที่แพลตฟอร์มพูดเอง แต่ยังต้องดูว่าผู้ใช้และ外界สามารถตรวจสอบอะไรได้บ้าง

หากมองย้อนกลับไปที่ Liquid Network, Cosmos EVM และ Triple-A จุดเข้าของทั้งสามเหตุการณ์แตกต่างกันโดยสิ้นเชิง แต่ทั้งหมดต่างเตือนตลาดว่า ไม่มีแนวป้องกันใดที่ควรถูกสันนิษฐานว่าจะไม่失效ตลอดไป สิ่งที่ทำให้ช่องว่างด้านความปลอดภัยแตกต่างกันจริงๆ อาจไม่ใช่ตัวเทคโนโลยีความปลอดภัยใดเทคโนโลยีหนึ่ง แต่เป็นว่าใครสามารถสร้างการแยกและการถ่วงดุลระหว่าง身份 สิทธิ์ การดำเนินการ สินทรัพย์ และการตัดสินใจขององค์กรได้มากพอ ทำให้การเจาะผ่านใน局部ยากที่จะกลายเป็นการสูญเสียทั้งหมด

เมื่อมองจากมุมนี้ สิ่งที่ 《BIT Trust Whitepaper》V2.0 ควรค่าแก่การจับตาก็ไม่ใช่แค่การที่มันระบุมาตรการความปลอดภัยไว้กี่ข้อ แต่เป็นว่ามาตรการเหล่านี้สามารถเชื่อมต่อกันเป็นแนวป้องกันที่สมบูรณ์ได้หรือไม่ 环节หนึ่งเกิดปัญหา ยังมีชั้นถัดไป ชั้นถัดไปเกิดปัญหา ยังมีโอกาส识别 สกัดกั้น และแยกความเสี่ยงต่อไป

สำหรับแพลตฟอร์มสินทรัพย์ดิจิทัลแล้ว "ไม่เคยถูกโจมตี" อาจเป็นคำมั่นสัญญาถาวรได้ยาก แต่มีอีกสิ่งหนึ่งที่สามารถสร้างขึ้นได้อย่างต่อเนื่อง นั่นคือ ความปลอดภัยที่แท้จริงคือการที่แม้แนวป้องกันด่านใดด่านหนึ่ง失效 ก็ไม่ปล่อยให้การเจาะผ่านครั้งหนึ่งกลายเป็นการสูญเสียทั้งหมดได้ง่ายๆ และเมื่อแนวป้องกันเหล่านี้ไม่เพียงแต่มีอยู่ แต่ยังสามารถถูก外界ตรวจสอบได้อย่างต่อเนื่อง "ความไว้วางใจ" จึงไม่ใช่เพียงคำพูดที่แพลตฟอร์มพูดออกมาเองอีกต่อไป