กลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับเกาหลีเหนือได้ขโมยไป 24.15 ล้านดอลลาร์สหรัฐในรูปแบบ USDC จากโปรโตคอลอนุพันธ์แบบกระจายศูนย์ — และวิธีการโจมตีไม่ได้เกี่ยวข้องกับสัญญาอัจฉริยะที่มีข้อบกพร่องเลย ขั้นตอนการกู้คืนจากการโจมตีสะพาน AFX กำลังเข้าสู่ช่วงสาธารณะที่สำคัญ โดยโปรโตคอลเตรียมเปิดเผยแผนการชดเชยโดยสมัครใจสำหรับผู้ใช้ที่ได้รับผลกระทบในวันที่ 3 สิงหาคม ภายหลังหนึ่งในการโจมตีห่วงโซ่อุปทานที่มีความซับซ้อนทางเทคนิคมากที่สุดที่เคยเกิดขึ้นใน DeFi ปีนี้
Summary
ประเด็นสำคัญ
- AFX จะเปิดตัวแผนการชดเชยโดยสมัครใจสำหรับผู้ใช้ที่ได้รับผลกระทบจากการโจมตีในวันที่ 3 สิงหาคม 2026
- มีการขโมย USDC มูลค่าประมาณ 24.15 ล้านดอลลาร์จากสะพานดูแลทรัพย์สินของ AFX เมื่อวันที่ 22 กรกฎาคม และต่อมาถูกแปลงเป็น ETH ประมาณ 12,467 เหรียญ
- การโจมตีมีจุดเริ่มต้นจากแคมเปญวิศวกรรมสังคมตั้งแต่วันที่ 9 กรกฎาคม โดยมุ่งเป้าไปที่นักพัฒนาของ AFX ผ่านนักสรรหางานปลอมที่แอบอ้างเป็น Oddium Lab
- สะพานดั้งเดิมและเครือข่ายของ Arbitrum ไม่ได้ถูกเจาะ ระบบที่ถูกละเมิดถูกจำกัดอยู่ภายในโครงสร้างพื้นฐานที่ AFX จัดการเองทั้งหมด
- หลักฐานทางนิติวิทยาศาสตร์เชื่อมโยงการโจมตีกับกลุ่ม UNC4899 หรือที่รู้จักในชื่อ TraderTraitor ซึ่งเป็นกลุ่มภัยคุกคามที่ได้รับการสนับสนุนจาก DPRK ที่ถูกติดตามโดย Mandiant, Microsoft Threat Intelligence, FBI และ CISA
AFX ประกาศแผนการชดเชยโดยสมัครใจสำหรับเหยื่อการโจมตีสะพานมูลค่า 24.15 ล้านดอลลาร์
ประกาศที่เผยแพร่เมื่อวันที่ 31 กรกฎาคม ยืนยันว่า AFX กำลังสรุปแผนการชดเชยโดยสมัครใจและจะเปิดเผยรายละเอียดทั้งหมดในวันจันทร์ที่ 3 สิงหาคม ทีมงานยอมรับว่านักลงทุน พนักงาน และผู้สนับสนุนยุคแรกต่างได้รับผลกระทบทั้งหมด และขอให้ชุมชนอดทนรอในขณะที่ข้อเสนอถูกจัดทำให้เสร็จ โครงสร้างที่แน่นอนของกลไกการชดเชยหรือการกู้คืนใด ๆ ยังไม่ได้รับการเปิดเผย
สิ่งที่ทำให้ช่วงเวลานี้มีความสำคัญคือการประเมินความเชื่อมั่นในภาพรวมที่ฐานผู้ใช้ของ AFX ต้องเผชิญ แผนการชดเชยโดยสมัครใจมักบ่งชี้ว่าการชดใช้เงินที่ถูกขโมยคืนทั้งหมดไม่ใช่สิ่งที่รับประกัน — มันสะท้อนถึงความพยายามของโปรโตคอลในการแสดงความรับผิดชอบเมื่อการกู้คืนจากผู้โจมตียังคงไม่แน่นอน ยังไม่มีรายงานสาธารณะใดที่ยืนยันว่ามีส่วนหนึ่งส่วนใดของทรัพย์สินที่ถูกขโมยถูกส่งคืนแล้ว
ก่อนหน้านี้ AFX เคยเสนอข้อตกลงค่าตอบแทนแบบไวต์แฮตให้กับผู้โจมตี โดยเสนอให้พวกเขาเก็บ 30% ของเงินที่ถูกขโมยไว้ แลกกับการคืนอีก 70% ที่เหลือ ผลลัพธ์ของข้อเสนอนั้นยังไม่ได้รับการยืนยันต่อสาธารณะ
นักสรรหางานปลอมล้มสะพานมูลค่า 24 ล้านดอลลาร์ได้อย่างไร
การโจมตีไม่ได้ใช้ประโยชน์จากบั๊กในโค้ดบนเชนของ AFX แต่เริ่มต้นจากข้อความหนึ่งเมื่อวันที่ 9 กรกฎาคม — เกือบสองสัปดาห์ก่อนที่เงินใด ๆ จะถูกเคลื่อนย้าย
ตามรายงานการวิเคราะห์เหตุการณ์โดยละเอียดของ AFX ผู้โจมตีได้แอบอ้างเป็นนักสรรหางานจากบริษัทชื่อ Oddium Lab และติดต่อไปยังนักพัฒนาคนหนึ่งของ AFX นักพัฒนาถูกชักจูงให้โคลนที่เก็บซอฟต์แวร์ที่ดูเหมือนถูกต้องตามปกติ ภายในนั้นซ่อนการตั้งค่า Git ที่เป็นอันตรายซึ่งรันเพย์โหลดโดยอัตโนมัติระหว่างเวิร์กโฟลว์ Git มาตรฐาน ทำให้ผู้โจมตีได้จุดยืนเริ่มต้นบนเวิร์กสเตชันของนักพัฒนา
จากจุดนั้น การบุกรุกก็ยกระดับขึ้นอย่างเป็นขั้นตอน ผู้โจมตีขยายสิทธิ์การเข้าถึงไปยังระบบพัฒนาภายใน และในที่สุดก็อัปโหลดปลั๊กอิน Groovy ที่เป็นอันตรายเข้าไปในที่เก็บอาร์ติแฟกต์ JFrog ของ AFX สิ่งนี้ทำให้พวกเขาสามารถรันโค้ดจากระยะไกลภายในสภาพแวดล้อมส่งมอบซอฟต์แวร์ของโปรโตคอลได้ ที่สำคัญ เหตุการณ์หน่วยความจำไม่เพียงพอ (out-of-memory) ซ้ำ ๆ บนเซิร์ฟเวอร์ JFrog ถูกมองว่าเป็นปัญหาการปฏิบัติงานตามปกติ — แม้จะมีการช่วยเหลือจากผู้ให้บริการ — ทำให้ปลั๊กอินที่เป็นอันตรายยังคงอยู่ผ่านการรีสตาร์ตหลายครั้งโดยไม่กระตุ้นให้เกิดการตอบสนองด้านความปลอดภัย
การวิเคราะห์ทางนิติวิทยาศาสตร์พบว่าไบนารีของระบบถูกแทนที่ด้วยเวอร์ชันที่ฝังโทรจัน ไลบรารีที่ใช้ร่วมกันที่เป็นอันตรายถูกฉีดเข้าไป และผู้โจมตีพยายามลบล็อกความปลอดภัยก่อนที่ส่วนหนึ่งของมัลแวร์จะล่ม บันทึก SELinux ในที่สุดก็เก็บหลักฐานสำคัญไว้ได้: ทราฟฟิกสั่งการและควบคุมออกไปภายนอก การรันเชลล์ และรูปแบบการรันโค้ดในหน่วยความจำ ซึ่งกลายเป็นหัวใจของการสืบสวน
การเจาะตัวตรวจสอบความถูกต้องเปิดทางสู่การขโมยครั้งสุดท้าย
เมื่อฝังตัวอยู่ในสภาพแวดล้อมการพัฒนาแล้ว ผู้โจมตีก็เปลี่ยนเป้าหมายไปยังโครงสร้างพื้นฐานปฏิบัติการผ่านบริการจัดการภายในที่ใช้ Ansible ซึ่งมีสิทธิ์เข้าถึงโหนดตัวตรวจสอบความถูกต้องอยู่แล้ว โดยไม่จำเป็นต้องขโมยข้อมูลรับรองใหม่ ผู้โจมตีเพียงใช้ประโยชน์จากความสัมพันธ์ความเชื่อถือภายในที่มีอยู่เพื่อส่งเพย์โหลดที่เป็นอันตรายไปยังตัวตรวจสอบความถูกต้องบางส่วน
ตัวตรวจสอบความถูกต้องที่ติดมัลแวร์ได้ดาวน์โหลดเพย์โหลดระยะที่สองจากเซิร์ฟเวอร์ระยะไกล จากนั้นเข้าไปแทรกแซงการจัดการข้อความฉันทามติ เมื่อเวลา 21:27 น. ตามเวลา UTC ของวันที่ 22 กรกฎาคม ตัวตรวจสอบความถูกต้องที่ถูกเจาะเหล่านั้นได้ร่วมลงนามในธุรกรรมสะพานปลอม ทำให้มีการโอน USDC มูลค่าประมาณ 24.15 ล้านดอลลาร์ออกจากสะพานดูแลทรัพย์สินของ AFX USDC ที่ถูกขโมยถูกย้ายจาก Arbitrum ไปยัง Ethereum ซึ่งถูกแปลงเป็น ETH ประมาณ 12,467 เหรียญ
สะพานดั้งเดิมของ Arbitrum ไม่เคยตกอยู่ในความเสี่ยง
ความแตกต่างที่สำคัญประการหนึ่งปรากฏขึ้นตั้งแต่ช่วงต้นของการตอบสนองเหตุการณ์: การละเมิดถูกจำกัดอยู่ภายในโครงสร้างพื้นฐานที่ AFX จัดการและดำเนินการเองทั้งหมด สะพานดั้งเดิมของ Arbitrum ได้รับความปลอดภัยจากสถาปัตยกรรมโรลอัป ซึ่งท้ายที่สุดพึ่งพาหลักประกันความปลอดภัยของ Ethereum — ซึ่งเป็นโมเดลความเชื่อถือที่แตกต่างโดยพื้นฐานจากสะพานของบุคคลที่สามอย่างสะพานดูแลทรัพย์สินของ AFX ที่ดำเนินชุดตัวตรวจสอบความถูกต้องและแนวทางการจัดการกุญแจของตนเอง
Steven Goldfeder ผู้ร่วมก่อตั้งและซีอีโอของ Offchain Labs ยืนยันต่อสาธารณะว่าธุรกรรมที่น่าสงสัยมีต้นทางจากโปรโตคอลของบุคคลที่สาม ไม่ใช่จากสะพานหลักของ Arbitrum บริษัทความปลอดภัยบล็อกเชน Blockaid ก็ได้สืบสวนและได้ข้อสรุปเช่นเดียวกัน รายงานการวิเคราะห์เหตุการณ์ของ AFX สนับสนุนข้อค้นพบเหล่านั้น โดยระบุว่าไม่พบหลักฐานการเจาะเครือข่าย Arbitrum หรือสะพานดั้งเดิมของมัน
ความแตกต่างนี้มีความสำคัญอย่างยิ่งสำหรับผู้ใช้ มันขีดเส้นแบ่งที่ชัดเจนระหว่างหลักประกันความปลอดภัยที่มาพร้อมกับสถาปัตยกรรมโรลอัปของ Arbitrum กับสิ่งที่เสนอโดยโปรโตคอลบุคคลที่สามที่ดำเนินงานอย่างอิสระภายในระบบนิเวศ เดือนกรกฎาคม 2026 เพียงเดือนเดียวมีเหตุการณ์ละเมิดความปลอดภัยที่บันทึกไว้ไม่น้อยกว่า 14 ครั้งทั่วภาคคริปโต ตามรายงานของ Crypto Briefing — ปริมาณที่ยิ่งทำให้การตัดสินใจเลือกใช้สะพานมีน้ำหนักมากขึ้น
การโยงไปยัง DPRK และภัยคุกคามห่วงโซ่อุปทานต่อ DeFi
AFX ระบุว่าข้อค้นพบทางนิติวิทยาศาสตร์ของตนสอดคล้องกับการระบุแหล่งที่มาจากภายนอกที่เชื่อมโยงการโจมตีกับ UNC4899 หรือที่รู้จักในชื่อ TraderTraitor — กลุ่มภัยคุกคามที่เชื่อมโยงกับ DPRK ซึ่งถูกติดตามอย่างอิสระโดย Mandiant, Microsoft Threat Intelligence, FBI และ CISA เทคนิคที่สังเกตได้สอดคล้องกับรูปแบบที่ผู้โจมตีที่ได้รับการสนับสนุนจากรัฐเกาหลีเหนือได้พัฒนาขึ้นผ่านการขโมยคริปโตระดับสูงหลายครั้ง: มุ่งเป้านักพัฒนาผ่านข้อเสนองานปลอม สร้างการฝังตัวลึกภายในระบบบิลด์ จากนั้นใช้ประโยชน์จากความสัมพันธ์ความเชื่อถือภายในเพื่ออนุมัติธุรกรรมปลอม
เหตุการณ์นี้แสดงให้เห็นถึงช่องโหว่เชิงโครงสร้างที่การตรวจสอบความปลอดภัยของบล็อกเชนมักไม่ครอบคลุม การตรวจสอบสัญญาอัจฉริยะจะตรวจสอบโค้ดบนเชนเท่านั้น พวกมันไม่ได้บอกเลยว่านักพัฒนาอาจโคลนที่เก็บที่เป็นอันตรายหรือไม่ หรือว่าไปป์ไลน์ CI/CD อาจถูกใช้เพื่อเจาะโหนดตัวตรวจสอบความถูกต้องอย่างเงียบ ๆ ได้หรือไม่ ความพยายามกู้คืนจากการโจมตีสะพาน AFX จึงเป็นกรณีศึกษาในแง่นี้ ว่าพื้นที่โจมตีของโปรโตคอล DeFi ขยายออกไปไกลกว่าตัวบล็อกเชนเองมาก
การยกเครื่องความปลอดภัยหลังการโจมตี
AFX ได้ดำเนินการอย่างรวดเร็วในการฟื้นฟูโครงสร้างพื้นฐาน โปรโตคอลได้สร้างระบบที่ได้รับผลกระทบขึ้นใหม่ หมุนเวียนข้อมูลรับรองการปฏิบัติงาน เพิ่มความไวของการมอนิเตอร์ และย้ายสภาพแวดล้อมโปรดักชันไปสู่สถาปัตยกรรมที่แยกตัวมากขึ้นโดยใช้การแบ่งส่วนแบบ zero-trust มาตรการเพิ่มเติมที่วางแผนไว้ในอีกไม่กี่เดือนข้างหน้ารวมถึงการมอนิเตอร์พฤติกรรมที่ขยายขอบเขต การตรวจสอบความปลอดภัยภาคบังคับก่อนรีสตาร์ตบริการโปรดักชัน การล่าภัยคุกคามในวงกว้าง และการฝึกอบรมพนักงานโดยเฉพาะที่มุ่งเป้าไปที่กลยุทธ์วิศวกรรมสังคม
เหตุการณ์นี้ยังสอดคล้องกับรูปแบบที่กว้างขึ้นของการโจมตีนอกเชนที่ส่งผลกระทบต่อโปรโตคอล DeFi เมื่อวันที่ 30 กรกฎาคม Ostium เปิดเผยว่าการโจมตี USDC มูลค่า 23.75 ล้านดอลลาร์ที่แยกต่างหากเกิดจากการเข้าถึงโครงสร้างพื้นฐานนอกเชนโดยไม่ได้รับอนุญาต ซึ่งทำให้สามารถป้อนข้อมูลราคาคู่ BTC-USD ปลอมเพื่อดูดสภาพคล่องจากคลังของมัน — ขณะที่สัญญาอัจฉริยะยังคงไม่ถูกแตะต้อง บริษัทชำระเงินในสิงคโปร์ Triple-A ก็รายงานการเข้าถึงกระเป๋าเงินคลังของบริษัทโดยไม่ได้รับอนุญาตเช่นกัน แม้จะระบุว่าเงินของลูกค้าไม่ได้รับผลกระทบ
การประกาศแผนการชดเชยโดยสมัครใจในวันที่ 3 สิงหาคมจะถูกจับตามองอย่างใกล้ชิดทั่วชุมชน DeFi — ไม่เพียงเพราะสิ่งที่ AFX เสนอให้กับผู้ใช้ที่ได้รับผลกระทบเท่านั้น แต่ยังเพราะสิ่งที่มันสะท้อนถึงวิธีที่โปรโตคอลจัดการความรับผิดชอบเมื่อมีผู้โจมตีที่ได้รับการสนับสนุนจากรัฐเข้ามาเกี่ยวข้องและเงินยังไม่ถูกกู้คืน
คำถามที่พบบ่อย
อะไรเป็นสาเหตุของการโจมตีสะพาน AFX?
การโจมตีเริ่มต้นจากแคมเปญวิศวกรรมสังคมเมื่อวันที่ 9 กรกฎาคม ซึ่งผู้โจมตีแอบอ้างเป็นนักสรรหางานจาก Oddium Lab และชักจูงให้นักพัฒนาของ AFX โคลนที่เก็บ Git ที่เป็นอันตราย นั่นทำให้ผู้โจมตีได้จุดยืนเริ่มต้น ซึ่งต่อมาถูกใช้เพื่อเจาะระบบพัฒนาภายใน อัปโหลดปลั๊กอิน Groovy ที่เป็นอันตรายเข้าไปในที่เก็บ JFrog และในที่สุดก็เข้าถึงโหนดตัวตรวจสอบความถูกต้องผ่านบริการจัดการ Ansible ภายใน
มีการขโมยเงินไปเท่าไรจากการโจมตีสะพาน AFX และเงินเหล่านั้นเกิดอะไรขึ้น?
มีการขโมย USDC มูลค่าประมาณ 24.15 ล้านดอลลาร์จากสะพานดูแลทรัพย์สินของ AFX เมื่อวันที่ 22 กรกฎาคม 2026 เงินถูกย้ายจาก Arbitrum ไปยัง Ethereum และถูกแปลงเป็น ETH ประมาณ 12,467 เหรียญ ยังไม่มีรายงานสาธารณะใดยืนยันว่ามีส่วนหนึ่งส่วนใดของทรัพย์สินที่ถูกขโมยถูกกู้คืนแล้ว
การโจมตีส่งผลกระทบต่อสะพานดั้งเดิมหรือเครือข่ายของ Arbitrum หรือไม่?
ไม่ การโจมตีมุ่งเป้าไปที่สะพานดูแลทรัพย์สินของ AFX เท่านั้น สะพานดั้งเดิมและเครือข่ายของ Arbitrum ไม่ได้ถูกเจาะ ตามที่ยืนยันโดยรายงานการวิเคราะห์เหตุการณ์ของ AFX, Steven Goldfeder ซีอีโอของ Offchain Labs และบริษัทความปลอดภัยบล็อกเชน Blockaid
AFX วางแผนตอบสนองต่อการโจมตีอย่างไร?
AFX จะเปิดตัวแผนการชดเชยโดยสมัครใจสำหรับผู้ใช้ที่ได้รับผลกระทบในวันที่ 3 สิงหาคม 2026 โปรโตคอลได้สร้างโครงสร้างพื้นฐานหลักขึ้นใหม่แล้ว หมุนเวียนข้อมูลรับรอง นำการแบ่งส่วนแบบ zero-trust มาใช้ และเพิ่มการมอนิเตอร์เป็นส่วนหนึ่งของการยกเครื่องความปลอดภัยหลังการโจมตี โครงสร้างการชดเชยที่แน่นอนสำหรับผู้ใช้ที่ได้รับผลกระทบยังไม่ได้รับการเปิดเผยต่อสาธารณะก่อนการประกาศในวันที่ 3 สิงหาคม
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”อะไรเป็นสาเหตุของการโจมตีสะพาน AFX?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”การโจมตีเริ่มต้นจากแคมเปญวิศวกรรมสังคมเมื่อวันที่ 9 กรกฎาคม ซึ่งผู้โจมตีแอบอ้างเป็นนักสรรหางานจาก Oddium Lab และชักจูงให้นักพัฒนาของ AFX โคลนที่เก็บ Git ที่เป็นอันตราย นั่นทำให้ผู้โจมตีได้จุดยืนเริ่มต้น ซึ่งต่อมาถูกใช้เพื่อเจาะระบบพัฒนาภายใน อัปโหลดปลั๊กอิน Groovy ที่เป็นอันตรายเข้าไปในที่เก็บ JFrog และในที่สุดก็เข้าถึงโหนดตัวตรวจสอบความถูกต้องผ่านบริการจัดการ Ansible ภายใน.”}},{“@type”:”Question”,”name”:”มีการขโมยเงินไปเท่าไรจากการโจมตีสะพาน AFX และเงินเหล่านั้นเกิดอะไรขึ้น?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”มีการขโมย USDC มูลค่าประมาณ 24.15 ล้านดอลลาร์จากสะพานดูแลทรัพย์สินของ AFX เมื่อวันที่ 22 กรกฎาคม 2026 เงินถูกย้ายจาก Arbitrum ไปยัง Ethereum และถูกแปลงเป็น ETH ประมาณ 12,467 เหรียญ ยังไม่มีรายงานสาธารณะใดยืนยันว่ามีส่วนหนึ่งส่วนใดของทรัพย์สินที่ถูกขโมยถูกกู้คืนแล้ว.”}},{“@type”:”Question”,”name”:”การโจมตีส่งผลกระทบต่อสะพานดั้งเดิมหรือเครือข่ายของ Arbitrum หรือไม่?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ไม่ การโจมตีมุ่งเป้าไปที่สะพานดูแลทรัพย์สินของ AFX เท่านั้น สะพานดั้งเดิมและเครือข่ายของ Arbitrum ไม่ได้ถูกเจาะ ตามที่ยืนยันโดยรายงานการวิเคราะห์เหตุการณ์ของ AFX, Steven Goldfeder ซีอีโอของ Offchain Labs และบริษัทความปลอดภัยบล็อกเชน Blockaid.”}},{“@type”:”Question”,”name”:”AFX วางแผนตอบสนองต่อการโจมตีอย่างไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”AFX จะเปิดตัวแผนการชดเชยโดยสมัครใจสำหรับผู้ใช้ที่ได้รับผลกระทบในวันที่ 3 สิงหาคม 2026 โปรโตคอลได้สร้างโครงสร้างพื้นฐานหลักขึ้นใหม่แล้ว หมุนเวียนข้อมูลรับรอง นำการแบ่งส่วนแบบ zero-trust มาใช้ และเพิ่มการมอนิเตอร์เป็นส่วนหนึ่งของการยกเครื่องความปลอดภัยหลังการโจมตี โครงสร้างการชดเชยที่แน่นอนสำหรับผู้ใช้ที่ได้รับผลกระทบยังไม่ได้รับการเปิดเผยต่อสาธารณะก่อนการประกาศในวันที่ 3 สิงหาคม.”}}]}
บทความนี้จัดทำขึ้นโดยได้รับความช่วยเหลือจากปัญญาประดิษฐ์และผ่านการตรวจทานโดยทีมบรรณาธิการแล้ว
