Bonzo Lend บน Hedera ถูกโจมตีผ่านออราเคิล สูญสภาพคล่องราว 9 ล้านดอลลาร์

Bonzo Lend โปรโตคอลปล่อยกู้บนเครือข่าย Hedera เปิดเผยว่าได้รับความเสียหายทางเศรษฐกิจราว 9 ล้านดอลลาร์ หลังผู้โจมตีบิดเบือนราคาหลักประกันมูลค่าต่ำที่ระบบใช้ ทำให้เงินฝากจำนวนน้อยถูกแปลงเป็นวงเงินกู้เกินมูลค่าหลักประกันจริง และดูดสภาพคล่องออกจากพูลปล่อยกู้ รายงานเหตุการณ์เบื้องต้นที่ Bonzo เผยแพร่เมื่อวันเสาร์ระบุว่า ความล้มเหลวเกิดจากกลไกออราเคิล โดยผู้โจมตีส่งอัปเดตราคาที่ถูกปรับแต่งสำหรับหลักประกัน SAUCE ทำให้มูลค่าที่ระบบรับรู้ถูก "ปั๊ม" สูงขึ้นราว 12 ลำดับขั้น (12 orders of magnitude) หลังราคาที่บิดเบือนถูกยอมรับ ผู้โจมตีจึงกู้ 6.63 ล้าน USDC และ 34.5 ล้าน wrapped HBAR ประเด็นสำคัญ - Bonzo ประเมินผลกระทบทางเศรษฐกิจราว 9 ล้านดอลลาร์ โดยมีชนวนจากการบิดเบือนราคาหลักประกัน - โปรโตคอลชี้สาเหตุหลักว่า Supra's onchain oracle verifier ยอมรับอัปเดตราคาที่มีลายเซ็นถูกทำให้เป็นศูนย์ (zeroed signature) - เงินฝากเริ่มต้นเพียง 250 SAUCE ซึ่งตามราคาปกติมีมูลค่าไม่กี่ดอลลาร์ เพียงพอให้กู้สินทรัพย์ระดับ "หลักล้าน" ได้เมื่อราคาที่ออราเคิลรายงานถูกปั่นขึ้น - Bonzo ระบุว่าไม่ใช่ช่องโหว่ในสัญญาอัจฉริยะของ Bonzo Lend หรือเครือข่ายหลักของ Hedera แต่เป็นปัญหาการตรวจสอบความถูกต้องของออราเคิลในชั้น upstream - เหตุการณ์นี้คล้ายกับการโจมตีบิดเบือนราคาหลักประกันบน Stellar เมื่อต้นปี ตอกย้ำความเสี่ยงรูปแบบซ้ำใน DeFi จาก "ราคาเสีย" กลายเป็นหลักประกัน "จริง" ในระบบ Bonzo อธิบายลำดับการโจมตีว่าอาศัยวิธีที่แพลตฟอร์มปล่อยกู้แปลงราคาจากออราเคิลให้เป็นอำนาจการกู้ยืม (borrowing power) ผู้โจมตีเริ่มจากฝาก 250 SAUCE จากนั้นส่งอัปเดตราคาที่ทำให้มูลค่า SAUCE พุ่งขึ้นราว 12 ลำดับขั้นผ่านกลไกออราเคิลที่โปรโตคอลเชื่อมต่ออยู่ เมื่ออัปเดตดังกล่าวผ่านการยอมรับ ตรรกะประเมินมูลค่าหลักประกันของโปรโตคอลก็สะท้อนตัวเลขที่ถูกปั่น ทำให้บัญชีผู้โจมตีสามารถกู้เงินที่ไม่สมส่วนกับหลักประกันที่วางไว้ได้ โดยการกู้ที่เกิดขึ้นรวมถึง 6.63 ล้าน USDC และ 34.5 ล้าน wrapped HBAR กรณีนี้สะท้อนความล้มเหลวที่พบได้บ่อยใน DeFi: เมื่อออราเคิลป้อนราคาที่ถูกบิดเบือนเข้าสู่ระบบปล่อยกู้ โปรโตคอลอาจทำงาน "ถูกต้องตามที่ออกแบบ" แต่ยังเปิดทางให้เกิดการดึงมูลค่าออกจากระบบอย่างรุนแรง จุดล้มเหลวอยู่ที่ตัวตรวจสอบออราเคิล Bonzo ไม่ได้โทษตรรกะการปล่อยกู้โดยตรง แต่ชี้ว่าเป็นปัญหาการตรวจสอบความถูกต้องของข้อมูลราคา โดยระบุว่า Supra's onchain oracle verifier ยอมรับราคาของ SAUCE ที่ถูกปรับแต่งทั้งที่อัปเดตนั้นมีลายเซ็นถูกทำให้เป็นศูนย์ Bonzo ระบุด้วยว่า Supra ยอมรับปัญหาและได้ออกแพตช์แก้ไขแล้ว ขณะเดียวกัน Bonzo ย้ำว่าเหตุการณ์นี้ไม่ใช่ช่องโหว่ในคอนแทร็กต์ของ Bonzo Lend หรือในเครือข่ายหลักของ Hedera สำหรับผู้ใช้และผู้เชื่อมต่อระบบ (integrators) ประเด็นนี้สำคัญ เพราะสะท้อนว่าความเสี่ยงอาจอยู่ที่สมมติฐานด้านความน่าเชื่อถือและความปลอดภัยของโครงสร้างพื้นฐานออราเคิล แม้โค้ดระดับแอปพลิเคชันจะถูกต้อง แต่หากชั้นออราเคิลล้มเหลวในการตรวจสอบลายเซ็นหรือการคงสภาพความถูกต้องของข้อมูล ก็สามารถทำลายโมเดลความเสี่ยงทั้งหมดได้ เหตุใดการโจมตีด้วยการบิดเบือนราคาหลักประกันจึงเกิดซ้ำ เหตุการณ์ของ Bonzo เกิดขึ้นท่ามกลางแรงกดดันด้านความปลอดภัยของ DeFi ตลอดปี 2026 โดย Cointelegraph เคยรายงานว่าไตรมาส 2 เป็นไตรมาสที่ถูกแฮ็กมากที่สุดเป็นประวัติการณ์เมื่อวัดตามจำนวนเหตุการณ์ มีการโจมตี 83 ครั้ง และมูลค่าที่ถูกขโมยราว 755 ล้านดอลลาร์ ขณะที่การโจมตีสะพานข้ามเชน (cross-chain bridge) คิดเป็น 351 ล้านดอลลาร์ รายงานเดียวกันระบุว่า การโจมตีจากการยึดสิทธิ์ผู้ดูแลระบบและการบิดเบือนราคาโทเคนปลอม รวมกันคิดเป็น 37% ของความเสียหายรายไตรมาส ด้านความเชื่อมั่นผู้ใช้ก็เป็นตัวแปรสำคัญ โดย Cointelegraph ยังระบุว่า Total Value Locked (TVL) ของ DeFi ลดลง 39% เหลือมากกว่า 70,000 ล้านดอลลาร์ในเดือนมิถุนายน 2026 จากราว 115,000 ล้านดอลลาร์ในเดือนมกราคม ข้อมูล CryptoRank ที่ถูกอ้างอิงในรายงานดังกล่าวยังชี้ว่าช่วงเวลาเดียวกันมีการแฮ็ก 121 ครั้ง และความเสียหายราว 942 ล้านดอลลาร์ สะท้อนว่าเหตุการณ์ความปลอดภัยที่เกิดซ้ำอาจเร่งให้เงินทุนไหลออก กรณี Bonzo สอดคล้องกับภาพรวมนี้ เพราะการโจมตีที่ไปแตะ "อินพุตราคา" มักเลี่ยงการป้องกันแบบดั้งเดิมได้ เนื่องจากโจมตีที่กติกาเศรษฐศาสตร์ของระบบมากกว่าการเจาะคอนแทร็กต์โดยตรง เมื่อการปล่อยกู้ต้องพึ่งการประเมินมูลค่าหลักประกันที่แม่นยำ ชั้นออราเคิลจึงกลายเป็นเป้าหมายมูลค่าสูง และความล้มเหลวในการตรวจสอบความถูกต้องเพียงครั้งเดียวก็อาจพอให้เกิดกลไกการกู้ยืมแบบ "ดูดสภาพคล่อง" โดยไม่ต้องฝ่าด่านเชิงเทคนิคอื่นมากนัก รูปแบบคล้ายกันบน Stellar เมื่อต้นปี รายงานของ Bonzo ยังเชื่อมโยงกับเหตุการณ์บน Stellar ในช่วงต้นปี 2026 โดยเดือนกุมภาพันธ์ผู้โจมตีดูดเงินราว 10 ล้านดอลลาร์จากพูลปล่อยกู้ที่บริหารโดย YieldBlox DAO หลังบิดเบือนเส้นทางราคาที่ใช้ประเมินหลักประกัน USTRY ทำให้กู้เกินมูลค่าจริงได้ แม้จะอยู่คนละระบบนิเวศ แต่กลไกสอดคล้องกันคือโจมตีจุดที่คำนวณและเชื่อถือราคาหลักประกัน แล้วใช้มูลค่าที่บิดเบือนเพื่อดึงสภาพคล่องออกมา สองกรณีนี้ตอกย้ำว่า "ความถูกต้องของราคาหลักประกัน" ไม่ใช่ความเสี่ยงเฉพาะทาง แต่เป็นหนึ่งในช่องโหว่ที่เกิดซ้ำได้มากที่สุดในระบบปล่อยกู้และการกู้ยืมที่มีหลักประกัน สำหรับผู้พัฒนา คำถามเชิงปฏิบัติอยู่ที่มาตรฐานการรับประกันจากผู้ให้บริการออราเคิล รวมถึงระบบมอนิเตอร์หรือแผนสำรองเมื่อความถูกต้องของราคาพังทลาย ขณะที่กรณีของ Bonzo ชี้ให้เห็นว่าการตรวจสอบลายเซ็นเป็นแนวป้องกันสำคัญ และต้องถูกบังคับใช้อย่างเข้มงวดเพื่อไม่ให้ถูกเลี่ยงด้วยอัปเดตที่ผิดรูปแบบหรือไม่ได้รับอนุญาต บทความต้นทางเผยแพร่ภายใต้ชื่อ Oracle Exploit Wipes $9M From Bonzo Lend on Hedera บน Crypto Breaking News