อุตสาหกรรมคริปโตยังคงเผชิญกับคลื่นการโจมตีด้านความปลอดภัย อย่างไม่เคยมีมาก่อน ในปี 2025 โดยมีทรัพย์สินดิจิทัลกว่า $3.1 พันล้านถูกรูดออกไปในช่วงครึ่งปีแรกเพียงอย่างเดียว ตามรายงานใหม่ที่ครอบคลุมจากบริษัทความปลอดภัยบล็อกเชน Hacken
การสูญเสียเหล่านี้ ขับเคลื่อนโดยข้อบกพร่องในการควบคุมการเข้าถึง โค้ดที่ล้าสมัย และการโจมตีที่ใช้ AI ซึ่งได้รับการยืนยัน ทำให้ตอนนี้มีมูลค่าเกินยอดทั้งปีที่ $2.85 พันล้านในปี 2024 แล้ว - เป็นสัญญาณถึงวิกฤตความปลอดภัยที่แย่ลงเมื่อการนำ Web3 มาใช้ขยายไปทั่วโลก
ผลการศึกษาของ Hacken เน้นถึงจุดอ่อนเชิงโครงสร้างในระบบ DeFi และ CeFi ที่คงอยู่ โดยเฉพาะเรื่องความปลอดภัยในระดับบุคคลและกระบวนการ ซึ่งขณะนี้ได้แซงหน้าข้อบกพร่องด้านการเข้ารหัสเป็นช่องโหว่ที่สำคัญที่สุด แม้ว่าคดีสำคัญเช่นการแฮ็ก Bybit มูลค่า 1.5 พันล้านดอลลาร์ในเดือนกุมภาพันธ์อาจเป็นกรณีทั่วไปที่แยกออกไป แต่รายงานชี้ให้เห็นว่าการสูญเสียส่วนใหญ่มาจากข้อบกพร่องที่สามารถป้องกันได้ มักจะเชื่อมโยงกับโค้ดที่ล้าสมัย การตั้งค่าสิทธิ์ที่ไม่ถูกต้อง หรือ API ที่ไม่ถูกป้องกัน
ข้อบกพร่องในการควบคุมการเข้าถึง - ซึ่งเกิดขึ้นเมื่อผู้ที่ไม่ได้รับอนุญาตได้รับการควบคุมฟังก์ชันที่ได้รับสิทธิพิเศษเนื่องจากการตั้งค่าสิทธิ์ที่อ่อนแอ - คิดเป็น 59% ของเงินที่ถูกขโมยทั้งหมดในปี 2025 ตามที่ Hacken รายงาน นั่นคือตีเป็นมูลค่าที่หายไปประมาณ $1.83 พันล้านจากหลายสิบคดี
แนวโน้มนี้สะท้อนปี 2024 ซึ่งข้อบกพร่องในขั้นตอนควบคุมที่คล้ายกันครองข้อมูลการโจมตี แต่ทว่าขนาดและความซับซ้อนของการโจมตีเร่งขึ้นในปี 2025 โดยมีการโจมตีขนาดใหญ่หลายครั้งที่มุ่งเป้าไปยังสัญญา Smart Contracts เดิมและตรรกะผู้ดูแลระบบที่เก่าในโปรโตคอลที่กระจายอำนาจ “โครงการจำเป็นต้องดูแลโค้ดหรือลานฐานเก่าหากไม่หยุดการทำงานอย่างสมบูรณ์” กล่าวโดย Yehor Rudytsia หัวหน้าฝ่ายการฟ้องร้องและการตอบสนองทางเหตุการณ์ที่ Hacken “โปรโตคอลหลายโปรโตคอลยังคงเผยแพร่ฟังก์ชันบริหารจากเวอร์ชันที่คิดว่าถูกกยกเลิกแล้ว”
Rudytsia ชี้ตัวอย่างของ GMX v1 ซึ่งมีการโจมตีข้อบกพร่องในโครงสร้างสัญญาเดิมอย่างเป็นต่อเนื่องในไตรมาสที่สามของปี 2025 - หลังจากการเปลี่ยนการพัฒนาของโปรโตคอลไปยังเวอร์ชันใหม่แล้ว
แพลตฟอร์ม DeFi และ CeFi ยังคงสูญเสีย
รวมกันแล้ว แพลตฟอร์มการเงินกระจาย (Decentralized Finance, DeFi) และการเงินศูนย์กลาง (Centralized Finance, CeFi) ประสบกับการสูญเสียกว่า $1.83 พันล้านในปีนี้เนื่องจากข้อบกพร่องด้านปฏิบัติการและความปลอดภัย เหตุการณ์สำคัญที่สุดในไตรมาสที่สองคือการใช้ประโยชน์จากโปรโตคอล Cetus ที่ส่งผลให้เกิดการสูญเสีย $223 ล้านภายใน 15 นาที ทำให้เป็นไตรมาส DeFi ที่เลวร้ายที่สุดตั้งแต่ต้นปี 2023 และสิ้นสุดแนวโน้มการลดปริมาณการแฮ็กต่อเนื่อง 5 ไตรมาส
ตามการวิเคราะห์ของ Hacken ผู้โจมตี Cetus ใช้รูปแบบยืมทีมชั่วคราวที่ใช้ประโยชน์จากการตรวจสอบการล้นเกินในคำนวณกองทุนสภาพคล่องที่บกพร่อง การเปิดซีรีย์ของตำแหน่งจิ๋วทั่วทั้ง 264 กลุ่ม ทำให้ผู้โจมตีสามารถเคลื่อนย้ายจำนวนการเบิกใหญ่โดยไม่เรียกใช้กลไกความปลอดภัยแบบเรียลไทม์
“หาก Cetus ได้เลือกใช้ระบบตรวจสอบ TVL แบบไดนามิกพร้อมเกณฑ์การหยุดอัตโนมัติ เราประมาณการได้ว่า 90% ของเงินที่ถูกขโมยสามารถเก็บไว้ได้” Hacken ระบุในรายงาน
เหตุการณ์นี้ยังทำให้การกระจายประเภทการใช้ประโยชน์ในไตรมาสที่สองเปลี่ยนลง ขณะที่ข้อบกพร่องการควบคุมลดลงถึง $14 ล้าน - ระดับต่ำที่สุดตั้งแต่ไตรมาสที่สองปี 2024 - ข้อบกพร่องสัญญาสมาร์ทเพิ่มขึ้น ซึ่งชี้ให้เห็นว่าข้อบกพร่องการอนุญาตยังคงครองระยะยาว แต่ปัญหาระดับโค้ดยังคงเป็นความเสี่ยงที่สำคัญ
AI และ LLMs เพิ่มทิศทางการโจมตีใหม่
หนึ่งในข้อความอันน่าเป็นห่วงที่สุดในรายงานของ Hacken ปี 2025 คือการเพิ่มขึ้นอย่างมากของเหตุการณ์ความปลอดภัยคริปโตที่เกี่ยวข้องกับ AI การใช้ประโยชน์ที่เชื่อมโยงกับโมเดลภาษาขนาดใหญ่ (Large Language Models, LLMs) และโครงสร้างพื้นฐาน Web3 ที่รวม AI เข้าด้วยกันได้พุ่งทะยานไปถึง 1,025% เทียบกับปี 2023 โดยส่วนใหญ่การโจมตีเป้าหมายที่ API ที่ไม่ปลอดภัยที่ใช้เชื่อมต่อตรรกะในเชนกับระบบปัญญานอกเชน
ในการวิเคราะห์เหตุการณ์ที่เกี่ยวข้องกับ AI:
- 98.9% ของการฝ่าฝืนที่เกี่ยวข้องกับ AI เกี่ยวกับ API ที่เปิดเผยหรือไม่ได้รับการกำหนดค่า
- เพิ่ม CVE ใหม่ที่เกี่ยวข้องกับ LLMs ห้ารายการในปี 2025
- 34% ของโครงการ Web3 ขณะนี้ใช้งาน AI agents ในสภาพแวดล้อมการผลิต ทำให้มันเป็นเป้าหมายที่ดึงดูดมากขึ้นเรื่อยๆ
การโจมตีเหล่านี้แสดงถึงความซ้อนทับที่เพิ่มขึ้นระหว่างช่องโหว่ของ Web2 และโครงสร้างพื้นฐานของ Web3 โดยเฉพาะอย่างยิ่งเมื่อแพลตฟอร์มคริปโตเร่งรีบในการรวมการเรียนรู้ของเครื่องเข้าไปในหุ่นซื้อขาย, DAOs, ระบบการสนับสนุนลูกค้า, และที่ปรึกษาอัตโนมัติ
“กรอบงานความปลอดภัยแบบดั้งเดิมกำลังล้าหลัง” Hacken ระบุ โดยอ้างถึงมาตรฐานเช่น ISO/IEC 27001 และกรอบงานความปลอดภัยทางไซเบอร์ของ NIST ที่ยังไม่ได้ปรับตัวเพื่อตอบสนองต่อภัยคุกคามจาก AI เฉพาะเช่นการฉีดคำสั่งเข้ามา, ภาพหลอนของโมเดล, และการเจือจากข้อมูล
Rug Pulls และการโกงยังคงเป็นปัญหาใหญ่
นอกจากการโจมตีทางเทคนิคแล้ว อุตสาหกรรมคริปโตยังคงต้องทนทุกข์กับการโจมตีสังคม, โครงการหลอกลวง, และที่เรียกว่า “rug pulls” - โครงการที่หายไปหลังจากดึงดูดเงินทุนจากนักลงทุน
แม้ว่าเหตุการณ์เหล่านี้จะยากต่อการประเมินในเชิงเทคนิค Hacken ประมาณว่า การสูญเสียที่ไม่ใช่เทคนิค รวมถึงการหลอกลวง มีส่วนร่วมในการไหลกลับของทุนจำนวนประมาณ $750 ล้านจากทั้งนักลงทุนรายย่อยและสถาบันในปี 2025
Rug pull เดี่ยวที่ใหญ่ที่สุดในปีนี้เกี่ยวข้องกับ Yield Aggregator DeFi บน BNB Chain ที่ผู้พัฒนาสูบเงินผู้ใช้ $62 ล้านผ่านการจัดทำฟังก์ชันคอนแทรกต์ที่ถูกต้อง แล้วลบทุกช่องทางการสื่อสารของโครงการและหายตัวไป
บทเรียนและข้อเสนอแนะสำคัญ
รายงานของ Hacken สรุปด้วยชุดคำแนะนำที่มุ่งหวังให้โครงการลดการเสี่ยงต่อภัยในสภาพแวดล้อมภัยคุกคามที่กำลังเปลี่ยนไปอย่างรวดเร็ว:
- การตรวจสอบโค้ดที่ล้าสมัย: โครงการต้องตรวจสอบและปิดการใช้งานสัญญา Smart Contracts เก่าที่เก็บฟังก์ชันหรือสิทธิ์ที่สูง Hacken ระบุว่าเกินกว่า 20% ของโปรโตคอลที่ถูกโจมตีในปีนี้ยังมีโมดูลเก่าที่เปิดทำงาน
- การควบคุมการเข้าถึงแบบไดนามิก: รายชื่อขาวหรือฟังก์ชันที่ได้รับอนุญาตเฉพาะแอดมินควรถูกแทนที่ด้วยระบบที่มีหลายลายเซ็น, ล็อคเวลา, และระบบการทำงานที่ยึดตามบทบาทที่รองรับระดับภัยคุกคามที่เปลี่ยนแปลง
- ระบบตรวจสอบแบบเรียลไทม์และการหยุดอัตโนมัติ: ใช้โทรมาทรีในเชนและการเตือนการเคลื่อนไหว TVL แบบเรียลไทม์เพื่อป้องกันการเอาเงินออกในเชิงเร็วระหว่างการโจมตีรูปแบบยืมทีม
- การควบคุมความเสี่ยง AI: โครงการที่ใช้งาน LLMs ต้องจัดทำการตรวจสอบข้อมูลขาเข้า, บันทึกตรวจสอบ, และจำกัดการเข้าถึงฟังก์ชันในเชนที่มีความสำคัญ กรอบงานที่มีความเสี่ยงไม่ควรถูกใช้งานโดยไม่มีการอนุมัติ API ที่เข้มงวดและการตรวจสอบการตอบสนอง
- การศึกษาให้ผู้ใช้: ความปลอดภัยในระดับกระเป๋ายังอ่อนแอ การส่งเสริมการใช้กระเป๋าฮาร์ดแวร์, ปิดการลงชื่อแบบไม่พิจารณา และการทดลองจำลองธุรกรรมสามารถลดการสูญเสียคีย์ส่วนตัวจากแคมเปญฟิชชิ่ง
ความปลอดภัยไม่ใช่ทางเลือกอีกต่อไป
ด้วยการรับการใช้งานคริปโตเข้าสู่ระบบการเงินหลักและโครงสร้างพื้นฐานแบบสถาบัน ความปลอดภัยไม่ใช่เรื่องร้ายใจ - แต่เป็นพื้นฐานสำหรับความเสถียรในระยะยาวของ Web3
ในขณะที่ผู้โจมตีกลายเป็นก้าวเท่าเทคโนโลยีและการออกแบบที่แย่ การใช้ AI ในการแอบแฝงซึ่งเป็นภัยคุกคามใหม่ จำเป็นต้องมีมาตรฐานความปลอดภัยที่เป็นไปอย่างสำหรับ, ปรับตัวได้, และแบบครอบคลุมมากกว่าที่เคย
หากแนวโน้มปัจจุบันนี้ยังคงดำเนินต่อไป ปี 2025 จะมีโอกาสเป็นปีที่สิ้นเปลืองที่สุดในประวัติศาสตร์ความปลอดภัยของคริปโต และอุตสาหกรรมจะต้องเผชิญหน้ากับจุดอ่อนที่อ่อนแอที่สุด - จากสัญญา Smart Contracts ที่ล้าสมัยถึงการรวมการเรียนรู้ของเครื่องที่ไม่ปลอดภัย
“คริปโตกำลังเข้าสู่ยุคใหม่ที่การผิดพลาดของมนุษย์, การออกแบบที่ไม่ดี, และการใช้ AI ในการแอบแฝงมีความสำคัญกว่าที่เคย” Rudytsia กล่าวสรุป “โปรโตคอลที่จะรอดพ้นยุคนี้จะเป็นโปรโตคอลที่ให้ความสำคัญกับความปลอดภัยเป็นผลิตภัณฑ์หลัก ไม่ใช่ความคิดภายหลังการเปิดตัว”