Maya Protocol เครือข่ายสภาพคล่องข้ามเชน สั่งหยุดการทำงานทั้งระบบ หลังถูกแฮกเกอร์เจาะด้วยช่องโหว่ 6 จุดที่ร้อยต่อกันในธุรกรรมเดียว กวาดบิตคอยน์ไป 20.83 BTC พร้อมสินทรัพย์อื่น รวมความเสียหายราว 1.7 ล้านดอลลาร์ ส่งผลให้เหรียญ CACAO ดิ่งเกือบ 89% ในไม่กี่ชั่วโมง และมูลค่าในพูลสภาพคล่องหายไปกว่า 11 ล้านดอลลาร์ ที่น่าตกใจคือบั๊กชุดนี้ซ่อนอยู่ในโค้ดมานาน 3-4 ปีโดยไม่มีใครจับได้
📑 สารบัญ
เกิดอะไรขึ้นกับ Maya Protocol
เมื่อวันที่ 19 สิงหาคม 2026 Maya Protocol (MAYAChain) เครือข่ายสภาพคล่องแบบข้ามเชนที่ให้ผู้ใช้สลับเหรียญระหว่างบล็อกเชนต่างๆ โดยไม่ต้องผ่านตัวกลาง ถูกโจมตีจนต้องประกาศ global halt หรือหยุดการทำงานของเชนทั้งระบบเพื่อสกัดความเสียหาย
ผู้โจมตีไม่ได้ใช้ช่องโหว่เดียว แต่ร้อยช่องโหว่ถึง 6 จุด เข้าด้วยกัน ครอบคลุมตั้งแต่ระบบบัญชีเทรด (trade accounts) การจัดการธุรกรรมขาออก (outbound transaction) ไปจนถึงการคำนวณพูลสภาพคล่อง แล้วยิงออกไปในธุรกรรมเดียวที่บรรจุคำสั่งไว้ถึง 23 ข้อความ
แฮกเกอร์ทำได้ยังไง — ช่องโหว่ 6 จุดใน 23 คำสั่ง
จากการวิเคราะห์เบื้องต้น ขั้นตอนการโจมตีเป็นแบบลูกโซ่ที่ออกแบบมาอย่างดี:
เสกยอด CACAO ปลอม
ใช้ช่องโหว่ปั่นยอด CACAO ในพูลสภาพคล่องให้พองขึ้นถึง 49.45 ล้านเหรียญ ทั้งที่ไม่ได้ฝากเงินจริงเข้าไป
ยึดพูล 99.93%
เมื่อยอดปลอมถูกนับเป็นส่วนแบ่งจริง ผู้โจมตีจึงกลายเป็นเจ้าของพูลเกือบทั้งหมดในทันที
ถอนออกและย้ายข้ามเชน
ถอน CACAO ออกมา 48.87 ล้านเหรียญ แล้วแปลงเป็นบิตคอยน์และสินทรัพย์อื่นส่งออกไปยังเชนภายนอก
การรวมทุกอย่างไว้ในธุรกรรมเดียวทำให้ระบบไม่มีจังหวะตรวจจับระหว่างขั้นตอน กว่าจะรู้ตัวเงินก็ออกจากเชนไปแล้ว
ความเสียหายที่แท้จริง
| รายการ | ตัวเลข | หมายเหตุ |
|---|---|---|
| บิตคอยน์ที่ถูกขโมย | 20.83 BTC | ราว 1.34 ล้านดอลลาร์ ส่งเข้าแอดเดรสเดียว |
| สินทรัพย์ที่ย้ายออกนอกเชน | ราว 1.36 ล้านดอลลาร์ | กู้คืนยากที่สุด |
| สินทรัพย์ที่ยังค้างบน MAYAChain | ราว 291,000 ดอลลาร์ | อยู่ในรูป CACAO และบัญชีเทรด |
| ความเสียหายรวม | ราว 1.7 ล้านดอลลาร์ | ตัวเลขประเมินเบื้องต้น |
| ราคา CACAO | ดิ่ง 88.7% | จากราว 0.115 เหลือ 0.013 ดอลลาร์ |
| มูลค่าในพูลสภาพคล่อง | หายไปราว 11 ล้านดอลลาร์ | สูงกว่ายอดที่ถูกขโมยหลายเท่า |
ทีมงานตอบสนองยังไง
AaluxxMyth ผู้ก่อตั้ง Maya Protocol ออกมายอมรับตรงไปตรงมาว่า “ไม่มีทางพูดให้ดูดีได้ เราน่าจะถูกเจาะไปแล้ว 20 BTC และสินทรัพย์อื่นอีกราว 300,000 ดอลลาร์”
สิ่งที่ทีมงานทำหลังจากนั้น:
- สั่งหยุดเชนทั้งระบบทันทีเพื่อไม่ให้ความเสียหายลุกลาม
- เปิดเผยแอดเดรสบิตคอยน์ที่ต้องสงสัยของผู้โจมตีต่อสาธารณะ
- ยื่นข้อเสนอ bug bounty แลกกับการคืนเงิน
- เริ่มแก้ไขระบบ swap และฟังก์ชันบนเชนก่อนเปิดใช้งานอีกครั้ง
- ประกาศจะหาทางชดเชยบิตคอยน์ราว 20 BTC ที่หายไป หากผู้โจมตีไม่คืน
- ยอมรับว่าต้องเปลี่ยนวิธีตรวจโค้ดให้ “ดุดันแบบผู้โจมตี” มากกว่าเดิม
บทเรียนสำหรับนักลงทุน
🚩 1. “ผ่าน audit แล้ว” ไม่เท่ากับ “ปลอดภัย”
บั๊กชุดนี้อยู่ในโค้ดมา 3-4 ปีและผ่านการตรวจสอบมาแล้ว แต่ก็ยังหลุดรอด เพราะ audit มักดูช่องโหว่ทีละจุด ไม่ได้จำลองการร้อยหลายช่องโหว่เข้าด้วยกัน
🚩 2. เป็นผู้ให้สภาพคล่อง = รับความเสี่ยงเต็มๆ
คนที่ฝากเงินในพูลคือคนที่เจ็บที่สุด มูลค่าหายไป 11 ล้านดอลลาร์ ทั้งที่แฮกเกอร์ได้ไปแค่ 1.7 ล้านดอลลาร์
🚩 3. เชนข้ามสาย (cross-chain) คือเป้าหมายยอดนิยม
โปรโตคอลที่เชื่อมหลายบล็อกเชนมีพื้นผิวการโจมตีกว้างกว่าปกติมาก เพราะต้องจัดการทั้งบัญชี พูล และธุรกรรมขาออกพร้อมกัน
สรุป
💀 ความเสียหาย
บิตคอยน์หาย 20.83 BTC รวมความเสียหายราว 1.7 ล้านดอลลาร์ CACAO ดิ่ง 89% มูลค่าในพูลหายไป 11 ล้านดอลลาร์
⚠️ สถานะปัจจุบัน
เชนหยุดทำงานทั้งระบบ ทีมงานกำลังแก้ช่องโหว่ก่อนเปิดใหม่ และรอดูว่าผู้โจมตีจะคืนเงินแลก bug bounty หรือไม่
เหตุการณ์นี้ตอกย้ำว่าความเสี่ยงที่แท้จริงของ DeFi ไม่ได้อยู่ที่ราคาเหรียญขึ้นลง แต่อยู่ที่โค้ดที่เราไม่เคยอ่านเอง และช่องโหว่ที่อาจนอนรออยู่เงียบๆ มาหลายปี
