อุตสาหกรรมคริปโตสูญเงินเป็นสถิติ 3.4 พันล้านดอลลาร์จากการแฮ็กในปี 2025 แต่เรื่องหลักไม่ใช่โค้ด Solidity ที่มีบั๊กอีกต่อไป หากเป็นแล็ปท็อปของนักพัฒนาที่ถูกเจาะ ข้อมูลยืนยันตัวตนบนคลาวด์ที่ถูกขโมย แคมเปญวิศวกรรมสังคมที่กินเวลาหลายเดือน และกระเป๋า multisig ที่ไม่มี timelock
TL;DR
- ความล้มเหลวด้านโครงสร้างพื้นฐานและการปฏิบัติงานเป็นสาเหตุ 76% ของมูลค่าความเสียหายจากแฮ็กคริปโตทั้งหมดในปี 2025 ขณะที่การโจมตีสมาร์ตคอนแทรกต์คิดเป็นเพียง 12%
- แฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐเกาหลีเหนือขโมยเงิน 2.02 พันล้านดอลลาร์ในปี 2025 คิดเป็นราว 60% ของการขโมยคริปโตทั่วโลก โดยใช้ยุทธการสายลับมากกว่าการโจมตีโค้ด
- การตรวจสอบความปลอดภัย บักบาวน์ตี และคุณภาพโค้ดบนเชนกำลังดีขึ้น แต่พื้นผิวการโจมตีขยายเกินขอบเขตที่เครื่องมือเหล่านี้จะครอบคลุมได้
ตัวเลขชี้ให้เห็นว่าปัญหากำลังใหญ่ขึ้น ไม่ได้แคบลง
หลายบริษัทด้านความปลอดภัย converge ไปสู่ข้อสรุปเดียวกัน: ปี 2025 เป็นปีที่มีต้นทุนด้านความปลอดภัยคริปโตสูงที่สุดในประวัติศาสตร์ Chainalysis รายงานเงินถูกขโมย 3.4 พันล้านดอลลาร์ เพิ่มขึ้น 55% จาก 2.2 พันล้านดอลลาร์ในปี 2024 CertiK documented ความเสียหาย 3.35 พันล้านดอลลาร์จาก 630 เหตุการณ์ จำนวนการโจมตีน้อยกว่าปี 2024 แต่ผลตอบแทนเฉลี่ยต่อเหตุการณ์พุ่งขึ้น 66.6% เป็น 5.32 ล้านดอลลาร์
การกระจุกตัวของข้อมูลรุนแรงมาก การแฮ็กสามครั้งใหญ่สุดในปี 2025 คิดเป็น 69% ของความเสียหายระดับบริการทั้งหมด เหตุการณ์เจาะระบบ Bybit เพียงครั้งเดียวทำให้สูญเงิน 1.46 พันล้านดอลลาร์เมื่อวันที่ 21 ก.พ. 2025 หรือประมาณ 43% ของการขโมยทั้งปี
หากตัด Bybit ออก ความเสียหายในปี 2025 จะลดลงเหลือประมาณ 1.5–1.9 พันล้านดอลลาร์ ยังถือว่าสูง แต่ใกล้ระดับปี 2024 มากขึ้น
รูปแบบนี้ reveals ให้เห็นอุตสาหกรรมที่ความปลอดภัยเชิงระบบของโปรโตคอลโดยเฉลี่ยดีขึ้น แต่ความเสี่ยงหางที่หายนะจากการเจาะโครงสร้างพื้นฐานกลับเลวร้ายลงมาก
ไตรมาส 1 ปี 2025 เป็นไตรมาสที่เลวร้ายที่สุดในประวัติศาสตร์คริปโต Immunefi tracked การสูญเสีย 1.64 พันล้านดอลลาร์จาก 40 เหตุการณ์ เพิ่มขึ้น 4.7 เท่าจาก 348 ล้านดอลลาร์ในไตรมาส 1 ปี 2024 CeFi คิดเป็น 94% ของความเสียหายในไตรมาส 1 จากเพียงสองเหตุการณ์คือ Bybit และ Phemex (85 ล้านดอลลาร์)
ความเสียหายใน DeFi กลับลดลง 69% เมื่อเทียบปีต่อปีในไตรมาส 1 ความปลอดภัยของโค้ดบนเชนดีขึ้นอย่างแท้จริง ในขณะที่ความปลอดภัยเชิงปฏิบัติการพังทลาย
ข้อมูลต้นปี 2026 shows แนวโน้มยังดำเนินต่อไป CertiK รายงานการสูญเสีย 501 ล้านดอลลาร์ในไตรมาส 1 ปี 2026 จาก 145 เหตุการณ์ การแฮ็ก Drift Protocol เมื่อวันที่ 1 เม.ย. 2026 สูบเงิน 285 ล้านดอลลาร์ใน 12 นาที จากปฏิบัติการวิศวกรรมสังคมที่กินเวลาหกเดือน การโจมตีที่มุ่งเป้าคนอย่างซับซ้อนยังคงเป็นเวกเตอร์คุกคามหลักในปี 2026
อ่านเพิ่มเติม: Why The U.S. Treasury Is Now Sharing Cyber Threat Data With Crypto Firms
บั๊กสมาร์ตคอนแทรกต์ยังสำคัญ แต่ไม่ใช่เรื่องทั้งหมดอีกต่อไป
ช่องโหว่สมาร์ตคอนแทรกต์ remain เป็นส่วนใหญ่ของจำนวนเหตุการณ์ คิดเป็น 54.5% ของการโจมตีทั้งหมด หลายการแฮ็กระดับโค้ดที่สำคัญในปี 2025 และ 2026 พิสูจน์ว่าความเสี่ยงบนเชนแบบดั้งเดิมยังคงมีอยู่และพัฒนาอย่างต่อเนื่อง
การแฮ็ก Cetus Protocol (223 ล้านดอลลาร์ 22 พ.ค. 2025) เป็นตัวอย่างข้อผิดพลาดด้านตรรกะแบบตำรา overflow ของจำนวนเต็มในไลบรารีคณิตศาสตร์ที่ใช้ร่วมกันชื่อ "integer-mate" ทำให้การตรวจ overflow ล้มเหลวอย่างเงียบ ๆ ผู้โจมตี minted สภาพคล่องจำนวนมหาศาลด้วยต้นทุนแทบเป็นศูนย์
Cetus ผ่านการตรวจสอบสามครั้งโดย MoveBit, OtterSec และ Zellic รายงานของ Zellic ไม่พบปัญหาใด ๆ นอกจากข้อสังเกตระดับข้อมูล ช่องโหว่อยู่ใน dependency ภายนอก ไม่ใช่โค้ดของ Cetus เอง แสดงให้เห็นว่าระบบที่ประกอบกันได้ต้องรับความเสี่ยงจากกราฟ dependency ทั้งหมด
การโจมตีสมาร์ตคอนแทรกต์ที่โดดเด่นอื่น ๆ ได้แก่:
- ช่องโหว่ reentrancy บน GMX v1 (42 ล้านดอลลาร์ ก.ค. 2025) แสดงให้เห็นว่า reentrancy ยังเล่นงานเหยื่อผ่านรูปแบบข้ามคอนแทรกต์แบบใหม่
- ช่องโหว่ปัดเศษของ Balancer (70–128 ล้านดอลลาร์ พ.ย. 2025) ที่สะสมเศษทศนิยมเล็ก ๆ จากการสวอปแบบชุดหลายร้อยครั้ง เป็นการโจมตีเชิงเศรษฐศาสตร์ที่การตรวจสอบมาตรฐานมองไม่เห็น
- การละเมิด invariant ของ Yearn Finance (9 ล้านดอลลาร์ ธ.ค. 2025) ที่ข้อผิดพลาดในการคำนวณส่วนแบ่งทำให้ทั้งเครื่องมือวิเคราะห์แบบสแตติกและ fuzzer ตรวจไม่พบ
จุดต่างสำคัญคือ การโจมตีสมาร์ตคอนแทรกต์มักสร้างความเสียหายต่อเหตุการณ์น้อยกว่า TRM Labs calculated ค่าเฉลี่ย 6.7 ล้านดอลลาร์ต่อการโจมตีโค้ด เทียบกับ 48.5 ล้านดอลลาร์ต่อการโจมตีโครงสร้างพื้นฐาน อุตสาหกรรมดีขึ้นอย่างมีนัยสำคัญในการเขียนโค้ดบนเชนที่ปลอดภัย แต่ความก้าวหน้านั้นถูกกลบด้วยขนาดความเสียหายจากความล้มเหลวเชิงปฏิบัติการ
อ่านเพิ่มเติม: Stablecoin Volume Could Hit $1.5 Quadrillion By 2035, Chainalysis Report Shows
ชั้นมนุษย์: วิศวกรรมสังคมกลายเป็นการโจมตีคริปโตระดับแนวหน้าได้อย่างไร
แฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐเกาหลีเหนือคือภัยคุกคามเดี่ยวที่ใหญ่ที่สุดต่ออุตสาหกรรมคริปโต Chainalysis attributed การขโมยคริปโต 2.02 พันล้านดอลลาร์ในปี 2025 ให้กับผู้เล่นจาก DPRK เพิ่มขึ้น 51% จาก 1.34 พันล้านดอลลาร์ในปี 2024 และคิดเป็นประมาณ 60% ของการขโมยคริปโตทั่วโลก ยอดรวมสะสมตลอดเวลาถึง 6.75 พันล้านดอลลาร์สิ้นปี 2025
สิ่งที่ทำให้ปฏิบัติการเหล่านี้โดดเด่นคือความอดทน
การโจมตี Drift Protocol began จากการพบกันในงานสัมมนาช่วงปลายปี 2025 พัฒนาเป็นการสร้างความสัมพันธ์นานหลายเดือน และรวมถึงการฝากเงินของผู้โจมตีเองมากกว่า 1 ล้านดอลลาร์เพื่อสร้างความน่าเชื่อถือ การดูดเงินครั้งสุดท้ายใช้เวลาเพียง 12 นาที
ยุทธวิธีของ DPRK กระจายไปไกลกว่าการแฮ็กโดยตรง:
- แคมเปญ "Contagious Interview" targets นักพัฒนาผ่านข้อเสนองานปลอมบน LinkedIn และบอร์ดงานสายคริปโต โดยส่งโจทย์เขียนโค้ดที่ฝังโทรจันเพื่อเปิด backdoor
- บริษัทปลอมชื่อ "Veltrix Capital" แจกแพ็กเกจ npm อันตรายที่ออกแบบมาเพื่อตรวจสอบโดยเฉพาะว่ามีส่วนขยาย MetaMask หรือไม่
- พ.ค. 2025 ทีมรักษาความปลอดภัยของ Kraken identified ผู้ปฏิบัติการชาวเกาหลีเหนื่อสมัครงานวิศวกรภายใต้นามแฝง "Steven Smith" โดยมีการเปลี่ยนเสียงระหว่างสัมภาษณ์ บ่งชี้การโค้ชแบบเรียลไทม์
- โปรแกรมแทรกซึมเป็นพนักงาน IT สร้างรายได้ปีละประมาณ 250–600 ล้านดอลลาร์ตามการประเมินของ UN โดย ZachXBT พบเครือข่าย 390 บัญชีที่ทำรายได้ราว 1 ล้านดอลลาร์ต่อเดือน
การเจาะ Coinbase (พ.ค. 2025) demonstrated แนวทางวิศวกรรมสังคมที่แตกต่างออกไป พนักงานซัพพอร์ตลูกค้าต่างประเทศถูกติดสินบนให้ดึงข้อมูลส่วนตัวผู้ใช้ 69,000 ราย ทำให้เกิดการฟิชชิงตามมาด้วยมูลค่าความเสียหายราว 180–400 ล้านดอลลาร์ สมาร์ตคอนแทรกต์ไม่เคยถูกแตะต้องเลย
อ่านเพิ่มเติม: Cardano Defies Bearish Trend With Record Transactions And Surging Whale Interest
คีย์, multisig และคลาวด์: การรวมศูนย์ที่ซ่อนอยู่ใน Web3
การรวมศูนย์ที่ซ่อนอยู่ของ Web3 อาจเป็นความเสี่ยงเชิงระบบที่คนในอุตสาหกรรมประเมินต่ำที่สุด Halborn found จากการวิเคราะห์ 100 การแฮ็ก DeFi อันดับต้น ๆ ว่ามีเพียง 19% ของโปรโตคอลที่ถูกแฮ็กใช้กระเป๋า multisig และแค่ 2.4% ใช้ cold storage การโจมตี off-chain คิดเป็น 80.5% ของเงินที่ถูกขโมยในชุดข้อมูลของพวกเขา
Trail of Bits published กรอบวุฒิภาวะสำหรับการควบคุมสิทธิ์เข้าถึงสมาร์ตคอนแทรกต์ในมิ.ย. 2025 แบ่งเป็น 4 ระดับ ระดับ 1 ใช้บัญชีภายนอกเดี่ยว (EOA เดียว) หมายความว่าถ้าคีย์ส่วนตัวอันเดียวถูกเจาะก็สูญหมด ระดับ 2 ใช้ multisig แบบรวมศูนย์แต่ยังมีจุดควบคุมเดียว ระดับ 3 และ 4 เพิ่ม timelock การแยกบทบาท และท้ายสุดคือความเปลี่ยนแปลงไม่ได้อย่างสุดขั้ว
การแฮ็ก Bybit, WazirX และ Radiant Capital ล้วนใช้ประโยชน์จากสถาปัตยกรรมระดับ 2 การแฮ็ก Drift Protocol เปิดโปงความล้มเหลวด้านการรวมศูนย์อีกแบบหนึ่ง: multisig 2-of-5 ที่ไม่มี timelock ใด ๆ บนฟังก์ชัน admin
โครงสร้างพื้นฐานคลาวด์เพิ่มเวกเตอร์การรวมศูนย์อีกชั้น การแฮ็ก Resolv Labs (25 ล้านดอลลาร์ มี.ค. 2026) involved การเจาะ AWS Key Management Service
ผู้โจมตีเข้าถึงสภาพแวดล้อมคลาวด์ที่เก็บคีย์เซ็นชื่อสิทธิ์สูงอยู่ แล้วใช้คีย์นั้น mint โทเค็นสเตเบิลคอยน์ที่ไม่มีหลักประกัน 80 ล้านโทเค็น
Resolv ผ่านการตรวจสอบสมาร์ตคอนแทรกต์ 18 ครั้งจากหน่วยงานภายนอก และมีบักบาวน์ตีบน Immunefi มูลค่า 500,000 ดอลลาร์ ซึ่งไม่มีอันไหนครอบคลุมนโยบาย AWS IAM เลย
โปรโตคอลที่ "กระจายศูนย์" จำนวนมากพึ่งพาผู้ให้บริการโครงสร้างพื้นฐานแบบรวมศูนย์อย่างสิ้นเชิงสำหรับหน้าอินเทอร์เฟซผู้ใช้ Safe{Wallet} โฮสต์ frontend บน AWS S3/CloudFront โดยไม่มีการใช้ Subresource Integrity เพื่อตรวจจับการแก้ไขโค้ด ช่องว่างนั้นเองที่เปิดทางให้การโจมตี Bybit เกิดขึ้น
อ่านเพิ่มเติม: Bloomberg Strategist Predicts Tether Will 】 Overtake Both Bitcoin And Ethereum By Market Cap
ปัญหาฝั่งหน้าเว็บ: เมื่อผู้ใช้ถูกแฮ็กก่อนที่บล็อกเชนจะถูกแตะต้อง
หมวดหมู่การโจมตีที่เติบโตขึ้นเรื่อย ๆ กำลังมุ่งเป้าไปที่ส่วนหน้าเว็บ (frontend) ของโปรโตคอล DeFi แทนที่จะเป็นคอนแทรกต์บนเชน ในทุกกรณีที่มีการบันทึกไว้ คอนแทรกต์อัจฉริยะยังคงปลอดภัยและทำงานได้ตามปกติ ช่องโหว่อยู่ทั้งหมดในเลเยอร์โครงสร้างพื้นฐาน Web2 ที่เชื่อมผู้ใช้เข้ากับคอนแทรกต์เหล่านั้น
Curve Finance สเผชิญ การจี้ DNS เมื่อวันที่ 12 พฤษภาคม 2025 เมื่อผู้โจมตีสามารถเข้าถึงผู้ให้บริการจดโดเมน iwantmyname และแก้ไขการชี้ DNS เพื่อเปลี่ยนเส้นทางทราฟฟิกไปยังไซต์หลอกที่เป็น static decoy ที่เป็นอันตราย
ระหว่างที่ frontend ใช้งานไม่ได้ คอนแทรกต์ของ Curve ยังคงประมวลผลปริมาณธุรกรรมบนเชนมากกว่า 400 ล้านดอลลาร์ แสดงให้เห็นว่าคอนแทรกต์ทำงานได้สมบูรณ์ ขณะที่ frontend ถูกทำให้กลายเป็นอาวุธโจมตี
นี่เป็นการโจมตี DNS ครั้งที่สองของ Curve ผ่านผู้ให้บริการจดโดเมนรายเดิม ภายหลัง Curve ย้ายไปใช้โดเมน curve.finance และออกมาเรียกร้องให้ทั้งอุตสาหกรรมหันมาใช้ ENS
Aerodrome และ Velodrome (21 พฤศจิกายน 2025) สูญเสียเงินไปประมาณ 700,000 ดอลลาร์ เมื่อการจี้ DNS เปลี่ยนเส้นทางผู้ใช้ไปยังเว็บไซต์ฟิชชิ่ง MetaMask และ Coinbase Wallet แสดงคำเตือนภายในสองนาทีหลังจากธุรกรรมที่เป็นอันตรายครั้งแรก แต่ผู้ใช้ที่โต้ตอบก่อนมีคำเตือนปรากฏ สูญเสียเงินไปแล้ว
การโจมตี DNS เพิ่มเติม เกิดขึ้นกับ Arrakis Finance (มกราคม 2025), OpenEden (กุมภาพันธ์ 2026) และ Neutrl (มีนาคม 2026)
การโจมตี Neutrl ได้รับการยืนยันแล้วว่ามีจุดเริ่มต้นมาจากการโจมตีแบบ social engineering ต่อผู้ให้บริการ DNS เอง
รูปแบบการโจมตีมีความสอดคล้องกันอย่างชัดเจน: เจาะระบบผู้ให้บริการจดโดเมน แก้ไขระเบียน DNS เปลี่ยนเส้นทางผู้ใช้ไปยังไซต์เลียนแบบแบบฟิชชิ่ง ดูดเก็บการอนุมัติกระเป๋าเงิน และดูดทรัพย์สินออกไป ผู้ให้บริการจดโดเมนทำหน้าที่เป็นจุดล้มเหลวแบบรวมศูนย์ (centralized single point of failure) สำหรับโปรโตคอลที่ตามหลักแล้วควรจะมีการกระจายศูนย์
อ่านเพิ่มเติม: Cloudflare Follows Google, Sets 2029 Deadline To Go Quantum-Proof
เหตุใดการตรวจสอบโค้ดจึงไม่เพียงพออีกต่อไป
การตรวจสอบคอนแทรกต์อัจฉริยมาตรฐานจะครอบคลุมช่องโหว่ระดับโค้ด: การโจมตีแบบ reentrancy, overflow, บั๊กด้านการควบคุมสิทธิ์เข้าถึง และรูปแบบช่องโหว่ที่เป็นที่รู้จัก
โดยทั่วไปแล้วจะไม่ได้ครอบคลุมความปลอดภัยของ frontend และ UI, ความปลอดภัยของ API และโครงสร้างพื้นฐาน backend, การจัดการกุญแจแอดมิน, เวกเตอร์ social engineering, การโจมตี supply chain บน dependencies, ความปลอดภัยด้าน DNS และโดเมน หรือความถูกต้องของโมเดลเศรษฐศาสตร์
Trail of Bits ระบุ อย่างชัดเจนในเดือนมิถุนายน 2025 ว่าการโจมตีที่มุ่งเป้ากุญแจส่วนตัวเป็นเวกเตอร์ที่เกิดขึ้นใหม่ ที่การตรวจสอบคอนแทรกต์อัจฉริยะที่มีขอบเขตแคบและการแข่งขันด้าน auditing มักมองข้ามอยู่เป็นประจำ บริษัทชี้ให้เห็นว่า บริษัทตรวจสอบบล็อกเชนโดยเฉพาะมักไม่แจ้งปัญหาด้านสถาปัตยกรรมการควบคุมสิทธิ์เข้าถึงให้เป็น “finding” อย่างเป็นทางการ
หลักฐานมีจำนวนมาก:
- Cetus Protocol ผ่านการตรวจสอบจากบริษัทที่มีชื่อเสียงสามแห่งก่อนจะสูญเสีย 223 ล้านดอลลาร์ให้กับบั๊กในไลบรารีคณิตศาสตร์ของบุคคลที่สาม
- Resolv Labs ผ่านการตรวจสอบอิสระ 18 ครั้งก่อนจะสูญเสีย 25 ล้านดอลลาร์จากการที่โครงสร้างพื้นฐาน AWS ถูกเจาะ
- ผู้ให้บริการกระเป๋าเงินของ Bybit อย่าง Safe{Wallet} ถูกตรวจสอบอย่างละเอียดแล้ว แต่ช่องโหว่อยู่ที่แล็ปท็อปของนักพัฒนาที่ถูกเจาะ
- การโจมตีแบบ rounding exploit ของ Balancer สะสมข้อผิดพลาดระดับ sub-wei จากลำดับ batch swap เชิงโจมตี ซึ่งเป็นคลาสการโจมตีที่การทดสอบแบบมองเป็นรายปฏิบัติการไม่อาจตรวจจับได้
การตรวจสอบยังคงมีคุณค่า โปรโตคอลที่ไม่ผ่านการตรวจสอบมีโอกาสประมาณ 70% ที่จะถูกโจมตีภายในปีแรก เทียบกับ 15% ถึง 20% สำหรับโปรโตคอลที่ผ่านการตรวจสอบ แต่การที่อุตสาหกรรมพึ่งพาป้าย “audited by X” ในฐานะใบรับรองความปลอดภัยนั้นเป็นการตีความผิดโดยพื้นฐานว่า การตรวจสอบในความเป็นจริงแล้วยืนยันอะไร พวกมันเป็นเพียงภาพ snapshot ณ ช่วงเวลาหนึ่งของความถูกต้องของโค้ด ไม่ใช่การประเมินความปลอดภัยแบบครอบคลุม
อ่านเพิ่มเติม: Bitcoin Can Be Made Quantum-Safe Without An Upgrade, But There's A Catch
ดีไซน์ที่ปลอดภัยยิ่งขึ้นหน้าตาเป็นอย่างไรหลังคลื่นการแฮ็กปี 2026
Vyper ภาษาคอนแทรกต์อัจฉริยะเชิง Pythonic ที่ ถูกสร้างขึ้น โดย Vitalik Buterin ในปี 2017 ยึดปรัชญา “ความปลอดภัยผ่านความเรียบง่าย” ซึ่งตัดกับความอุดมไปด้วยฟีเจอร์ของ Solidity อย่างชัดเจน Vyper ตั้งใจตัดทิ้ง inheritance, modifiers, operator overloading และ inline assembly
มันมีระบบตรวจ overflow อัตโนมัติ, ตัว decorator nonreentrant ในตัว, อาเรย์ที่ตรวจสอบขอบเขต และระบบ type ที่เข้มงวด
ปัจจุบันมีคอนแทรกต์ Vyper กว่า 7,959 ตัว ที่ช่วยปกป้องมูลค่ารวมที่ถูกล็อกไว้มากกว่า 2.3 พันล้านดอลลาร์
ภาษา Vyper เผชิญวิกฤตความปลอดภัยของตัวเองในเดือนกรกฎาคม 2023 เมื่อช่องโหว่ในกลไกป้องกัน reentrancy ของเวอร์ชันคอมไพเลอร์เก่า เปิดทางให้ การโจมตี Curve Finance การตอบสนองเป็นระบบมาก: มีการตรวจสอบ 12 ครั้งกับบริษัทอย่าง ChainSecurity และ OtterSec, จ้างผู้เชี่ยวชาญด้านความปลอดภัยเต็มเวลา 2 คน, ตั้งโปรแกรม bug bounty 2 โปรแกรม และระบบมอนิเตอร์คอนแทรกต์ที่ทำดัชนีคอนแทรกต์ 30,000 ตัวบน 23 เชน
การพัฒนายังคง ดำเนินต่อ อย่างแข็งขันตลอดปี 2025 และ 2026 เวอร์ชัน 0.4.2 “Lernaean Hydra” (พฤษภาคม 2025) มีจุดเด่นที่การแบนการเรียกฟังก์ชัน nonreentrant จากภายในฟังก์ชัน nonreentrant ด้วยกันเอง ตัดทั้งคลาสของช่องโหว่ที่เป็นไปได้นี้ออกไปโดยสิ้นเชิง
ผู้ใช้รายใหญ่ประกอบด้วย Curve Finance, Yearn Finance V3 และ Velodrome/Aerodrome
ปรัชญาการออกแบบของ Vyper ที่ว่า “ฟีเจอร์ที่คุณตัดออกสำคัญกว่าฟีเจอร์ที่คุณเพิ่มเข้าไป” สอดรับกับฉันทามติด้านความปลอดภัยที่กำลังก่อตัวขึ้น เมื่อเวกเตอร์การโจมตีหลักเป็นเรื่องมนุษย์และการปฏิบัติงาน มากกว่าระดับโค้ด ภาษาโปรแกรมที่ทำให้โค้ดอ่านง่ายและตรวจสอบได้ดีกว่า จึงให้ข้อได้เปรียบเชิงโครงสร้างที่แท้จริง
อ่านเพิ่มเติม: Only 10% Of New CEX Tokens Survive Their First Year, CoinGecko Data Reveals
วัฒนธรรมความปลอดภัย vs การสร้างภาพความปลอดภัยในโลก Web3
โปรแกรม bug bounty กลายมาเป็น แนวป้องกันที่คุ้มค่ามากแนวหนึ่ง Immunefi จ่ายค่าบั๊กไปแล้วมากกว่า 112 ล้านดอลลาร์จากรายงานบั๊กที่ได้รับการยืนยันกว่า 3,000 ฉบับ รายงานระดับวิกฤตคิดเป็น 87.8% ของยอดจ่ายทั้งหมด แพลตฟอร์มอ้างว่าช่วยปกป้องเงินผู้ใช้มูลค่ามากกว่า 190 พันล้านดอลลาร์
ด้านเศรษฐศาสตร์ถือว่าน่าเชื่อถืออย่างมาก มูลค่าบั๊กที่จ่ายไปทั้งหมด (112 ล้านดอลลาร์) คิดเป็นประมาณ 3.3% ของมูลค่าความสูญเสียจากการแฮ็กในปี 2025 เพียงปีเดียว แค่ป้องกันการโจมตีครั้งใหญ่ได้หนึ่งครั้งก็ให้ ROI มหาศาลแล้ว โปรแกรม bounty เชิงรุกตอนนี้มีขนาดที่มีนัยสำคัญ เช่น Usual เสนอเพดานรางวัล 16 ล้านดอลลาร์บน Sherlock และ Uniswap v4 เสนอสูงสุด 15.5 ล้านดอลลาร์บน Immunefi
แพลตฟอร์มตรวจสอบเชิงแข่งขันพัฒนาควบคู่ไปกับ bounty แบบดั้งเดิม Code4rena จัดการแข่งขันที่มีนักวิจัยลงทะเบียน 16,600 คน และมีผู้เข้าร่วมต่อการตรวจสอบราว 100 คน
Sherlock ดำเนินงาน ด้วยโมเดลวงจรชีวิตเต็มรูปแบบที่ผสานการแข่งขันตรวจสอบ, bug bounty และความคุ้มครองประกันภัย โดยได้ช่วยปกป้องมูลค่ารวมที่ถูกล็อกไว้มากกว่า 100 พันล้านดอลลาร์
อย่างไรก็ตาม bug bounty ก็มีข้อจำกัดพื้นฐานร่วมกับการตรวจสอบโค้ด ข้อมูลของ Immunefi แสดงว่า 77.5% ของเงินรางวัลจ่ายให้กับการค้นพบบั๊กบนคอนแทรกต์อัจฉริยะ เวกเตอร์การโจมตีที่สร้างความเสียหายมากที่สุดในปี 2025 รวมถึงการโจมตี supply chain, social engineering และการเจาะโครงสร้างพื้นฐาน ล้วนอยู่นอกขอบเขตส่วนใหญ่ของสิ่งที่นักล่าบั๊กสามารถทดสอบได้
อุตสาหกรรมจำเป็นต้องมีโครงสร้างแรงจูงใจที่เทียบเท่ากันสำหรับการประเมินความปลอดภัยด้านปฏิบัติการ การรีวิวโค้ดเพียงอย่างเดียวไม่สอดคล้องกับจุดกำเนิดของความสูญเสียจริงอีกต่อไป
อ่านเพิ่มเติม: Gemini Survey Reveals 51% Of Gen Z Adults Worldwide Own Crypto
ผู้ใช้ ผู้สร้าง และนักลงทุนควรทำสิ่งใดต่างออกไปในปี 2026
ข้อมูลในปี 2025 และ 2026 ชี้ชัดว่าความปลอดภัยต้องขยายออกไปไกลกว่าการตรวจสอบคอนแทรกต์อัจฉริยะ ไปครอบคลุมสแตกด้านปฏิบัติการทั้งหมด
สำหรับผู้สร้างโปรโตคอล ระดับท่าทีความปลอดภัยขั้นต่ำที่ยอมรับได้ในตอนนี้ประกอบด้วย:
- กระเป๋าเงิน multisig พร้อม timelock สำหรับฟังก์ชันด้านการจัดการทั้งหมด
- ระบบควบคุมสิทธิ์เข้าถึงแบบกำหนดบทบาท (role-based) โดยยึดหลัก “สิทธิ์เท่าที่จำเป็น”
- ใช้ฮาร์ดแวร์วอลเล็ตในการเซ็นทุกการกระทำที่มีสิทธิ์พิเศษ
- ระบบมอนิเตอร์ต่อเนื่องสำหรับการเปลี่ยนแปลงสิทธิ์ การอัปเกรด และการโอนมูลค่าสูง
- การใช้ Subresource Integrity hash กับโค้ด frontend ทั้งหมด รวมถึง DNSSEC และการพิจารณาทางเลือกอย่าง ENS แทนผู้ให้บริการจดโดเมนแบบรวมศูนย์
ความปลอดภัยของ supply chain ต้องการ การ pin dependencies, จำกัดการกระจายตัวของแพ็กเกจ, ล็อก pipeline CI/CD ด้วย credentials อายุสั้น และตรวจสอบความถูกต้องของ release artifacts แผนตอบสนองเหตุการณ์ควรถูกทดสอบผ่านการซ้อมจำลองสถานการณ์ ไม่ใช่เขียนแล้วเก็บเข้าลิ้นชัก
สำหรับผู้ใช้ แนวป้องกันเชิงปฏิบัติค่อนข้างตรงไปตรงมา ฮาร์ดแวร์วอลเล็ตยังคงจำเป็นสำหรับสินทรัพย์มูลค่ามาก เครื่องมือจำลองธุรกรรมอย่าง Pocket Universe อ้างว่ามีผู้ใช้ 180,000 ราย และช่วยปกป้องเงินมากกว่า 1 พันล้านดอลลาร์
การเพิกถอนการอนุมัติโทเค็นแบบไม่จำกัดเป็นประจำ การบุ๊กมาร์ก URL ที่เชื่อถือแทนการกดตามลิงก์ และการแยกกระเป๋าเงินสำหรับการใช้งานต่างกัน ล้วนช่วยลดขนาดความเสียหายจากลายเซ็นที่ถูกเจาะเพียงครั้งเดียว
บทเรียนเรื่องการเซ็นแบบไม่ดูรายละเอียด (blind signing) จากเหตุการณ์แฮ็ก Bybit ใช้กับบุคคลทั่วไปเช่นกัน ควรตรวจสอบรายละเอียดของธุรกรรมบนอุปกรณ์ที่ใช้เซ็นด้วยตัวมันเอง ไม่ใช่ดูแค่หน้าตาอินเทอร์เฟซที่ส่งคำขอให้เซ็น
สำหรับนักลงทุนที่ใช้ประเมินโปรโตคอล ป้าย “audited by X” เป็นสิ่งที่จำเป็นแต่ไม่เพียงพออย่างมาก ตัวชี้วัดด้านความปลอดภัยที่มีความหมาย ได้แก่ การมีการตรวจสอบหลายครั้งจากบริษัทที่หลากหลาย โปรแกรม bug bounty เชิงรุกที่มีเงินรางวัลสูง การตั้งค่า multisig ที่โปร่งใสพร้อมการกระจายทางภูมิศาสตร์ และ timelock ในการอัปเกรดfunctions ที่มองเห็นได้บนเชน และความสามารถในการรับมือเหตุการณ์ด้านความปลอดภัยที่แสดงให้เห็นได้จริง
การขาดตัวบ่งชี้เหล่านี้ควรถูกมองว่าเป็นสัญญาณอันตรายอย่างชัดเจน ไม่ว่าประวัติการตรวจสอบ (audit) จะเป็นอย่างไรก็ตาม
Also Read: From Joke To ETF? PEPE's Wall Street Moment Raises Big Questions
Conclusion
ภูมิทัศน์ด้านความปลอดภัยของคริปโตในปี 2025 และ 2026 เผยให้เห็นความย้อนแย้ง เทคโนโลยีกำลังมีความปลอดภัยมากขึ้น ในขณะที่อุตสาหกรรมกลับสูญเสียเงินมากกว่าที่เคยเป็นมา
ความสูญเสียจากการโจมตี smart contract ลดลง เนื่องจากคุณภาพโค้ดบนเชนดีขึ้นผ่านเครื่องมือที่ดีกว่า การตรวจสอบที่มากขึ้น แพลตฟอร์มรีวิวแบบแข่งขันกัน และการออกแบบภาษาที่คำนึงถึงความปลอดภัยอย่าง Vyper แต่ความก้าวหน้านี้กลับถูกกลบด้วยการยกระดับอย่างรวดเร็วของการโจมตีด้านโครงสร้างพื้นฐานและการปฏิบัติการ
โมเดลความปลอดภัยที่สร้างขึ้นบนพื้นฐานการรีวิวโค้ดเพียงอย่างเดียว ตอนนี้ครอบคลุมความเสี่ยงต่อความสูญเสียจริงเพียงประมาณ 12% ส่วนอีก 88% ที่เหลืออยู่ในแล็ปท็อปของนักพัฒนา ข้อมูลรับรอง (credentials) ของ AWS ผู้ให้บริการจดทะเบียนโดเมน อุปกรณ์ของผู้ลงนาม multisig กระบวนการจ้างพนักงาน และท่อส่ง (pipeline) การดีพลอย frontend ทั้งหมดนี้คือปัญหาแบบ Web2 ที่ต้องใช้การป้องกันแบบ Web2 มาประยุกต์ใช้กับองค์กร Web3 ซึ่งมักขาดวัฒนธรรมความปลอดภัยเชิงสถาบันในการนำไปใช้จริง
โปรโตคอลที่จะอยู่รอดจากคลื่นลูกถัดไปของการโจมตีโดยรัฐชาติ จะต้องเป็นโปรโตคอลที่ปกป้องไม่ใช่แค่โค้ด แต่รวมถึงคน โครงสร้างพื้นฐาน และสมมติฐานด้านความไว้วางใจของตน ในฐานะระบบที่เชื่อมโยงเป็นหนึ่งเดียว อะไรที่น้อยกว่านั้นคือการแสดงละครด้านความปลอดภัยที่ถูกแต่งตัวด้วยแบรนด์กระจายศูนย์เท่านั้น
Read Next: The U.S. Is Redefining Stablecoins — Here's What The New Rules Do