แม้บล็อกเชน (Blockchain) จะได้ชื่อว่าเป็นเทคโนโลยีที่มีความปลอดภัยสูงจากโครงสร้างแบบกระจายศูนย์ (decentralized) แต่โอกาสในการถูกเจาะระบบก็สามารถเกิดขึ้นได้ โดยมีกรณีของนักศึกษาจากสถาบัน MIT ที่ใช้เทคนิคใหม่ โจมตีบล็อกเชน Ethereum และสามารถนำคริปโตออกไปได้ 25 ล้านเหรียญสหรัฐฯ
การเปิดเผยเทคนิคของสองนักศึกษา MIT ครั้งนี้มีขึ้นโดยกระทรวงยุติธรรมของสหรัฐอเมริกา (Department of Justice) หรือ DOJ ที่ระบุว่า วิธีการที่สองพี่น้องอย่าง Anton Peraire-Bueno และ James Peraire-Buen ใช้ในการเจาะ Ethereum นั้น เป็นการอาศัยช่องโหว่ของบล็อกเชนที่มีการ pending การทำธุรกรรม (Transaction) และใช้โอกาสที่ Transaction นั้นกำลังรอการตรวจสอบ เข้าไปแก้ไขข้อมูล และ “ปล้น” คริปโตของเหยื่อมาเป็นของตัวเอง จากนั้นก็ทำการโอน – เปลี่ยนมือหลาย ๆ ทอด โดยหวังว่าเจ้าหน้าที่รัฐ หรือหน่วยงานที่เกี่ยวข้องจะไม่สามารถตรวจสอบถึงแหล่งที่มาของคริปโตเหล่านั้นได้
จุดเริ่มต้น ปฏิบัติการปล้น 25 ล้านเหรียญ
การขโมยคริปโตจากบล็อกเชน Ethereum ของนักศึกษา MIT เริ่มต้นขึ้นเมื่อช่วงปี 2022 โดยบน Ethereum จะมี validator ทำหน้าที่ตรวจสอบและยืนยันความถูกต้องของธุรกรรมในบล็อกเชน รวมถึงการเข้ารหัสของบล็อกและการทำงานที่เกี่ยวข้องกับการยืนยันการทำธุรกรรมต่าง ๆ ในเครือข่าย ซึ่งการเลือกผู้ที่จะเป็น Validator นั้นทำโดยอัลกอริธึม (ความน่าเชื่อถือในการเลือกจะขึ้นอยู่กับปริมาณเหรียญที่ผู้ใช้ใส่ไว้เป็นตัวแทน (staking) ในระบบ และหาก Validator มีพฤติกรรมไม่น่าเชื่อถือ จะมีการลงโทษในรูปแบบต่าง ๆ เช่น การถูกหักเหรียญ หรือถูกนำออกจากระบบ ฯลฯ)
เมื่อมีการสร้างธุรกรรมบน Ethereum ธุรกรรมที่สร้างขึ้นจะถูกเก็บใน mempool ด้วยสถานะรอการตรวจสอบ (pending) และต้องรอจนกว่าจะมีโหนดในเครือข่ายเลือกธุรกรรมนั้นมาทำการ Validate เพื่อรวบรวมเข้าในบล็อกที่จะถูกเพิ่มในเครือข่าย หลังจากที่บล็อกถูกเพิ่มแล้ว ธุรกรรมจึงจะถือว่าสมบูรณ์ และเป็นส่วนหนึ่งของบล็อกบนเครือข่าย Ethereum
อย่างไรก็ดี ธุรกรรมที่รอการตรวจสอบใน mempool นั้น ไม่ได้ถูกหยิบมาทำตามลำดับ แต่เป็นการทำตาม MEV หรือ Maximum Extractable Value นั่นคือใครจ่ายส่วนตรงนี้มาก ธุรกรรมของเขาก็จะถูกหยิบมาทำเร็วกว่าคนอื่น
ทีนี้ก็มีซอฟต์แวร์โอเพ่นซอร์สตัวหนึ่งชื่อ MEV-Boost โดยตัวซอฟต์แวร์จะมีบ็อทคอยทำหน้าที่หาธุรกรรมที่ให้ผลตอบแทนสูงกับ Validator เช่น ผลตอบแทนเป็นคริปโตที่มีโอกาสเติบโตด้านมูลค่าในอนาคต ฯลฯ (MEV-Boost เป็นซอฟต์แวร์ที่ Validators ของ Ethereum กว่า 90% ใช้งาน)
สองพี่น้อง Peraire-Bueno จึงได้สร้าง Validator ปลอม ๆ ขึ้นมา (ซึ่งกระบวนการนี้ใช้เวลาหลายเดือน และมีความพยายามในการปกปิดตัวตนโดยสร้างผ่าน Shell Company) พร้อมกับสร้างธุรกรรมปลอมเพื่อทดสอบว่าแนวคิดของพวกเขาใช้ได้ไหม และเมื่อทดสอบแล้วว่าใช้ได้ก็เป็นการทำเพื่อลวงเหยื่อ (บ็อทของ MEV-Boost) ให้มาติดกับ เช่น การกำหนดตัวแปรของธุรกรรมให้น่าสนใจเพื่อให้บ็อทเลือกเพื่อไปส่งต่อให้ Validator
การลงมือในเดือนเมษายน 2023
การลงมือเพื่อขโมยคริปโต 25 ล้านเหรียญสหรัฐฯ ของสองพี่น้องเกิดขึ้นในเดือนเมษายน 2023 โดยใช้วิธีการล่อบ็อท MEV ของนักเทรดที่เป็นเหยื่อ ด้วยธุรกรรม 8 รายการที่มีคริปโตที่ไม่มีสภาพคล่อง เพื่อให้บ็อทเหล่านั้นเข้ามาแย่งซื้อ จากนั้นก็โอนคริปโตเหล่านั้นเป็นสกุลเงินที่มีสภาพคล่องสูง เช่น สเตเบิลคอยน์
ความพีคคือธุรกรรมที่ใช้ล่อเหยื่อเหล่านี้ถูกออกแบบมาให้ถูกตรวจสอบโดย Validator ที่พี่น้องทั้งสองเป็นเจ้าของเอง จากนั้นพวกเขาใช้การปลอมแปลงลายเซ็นเพื่อหลอก Relay ให้เปิดเผยข้อมูลการทำธุรกรรม ซึ่งพวกเขานำไปปรับแต่ง ทำให้สามารถขโมยเงินคริปโตได้ 25 ล้านเหรียญสหรัฐฯ ออกจาก Ethereum อย่างลอยนวล
หมายเหตุ – รีเลย์ (relay) คือตัวกลางในการรับและจัดการบล็อกที่เสนอจากผู้สร้าง (builder) ไปยัง validator โดยรีเลย์จะตรวจสอบความถูกต้องของบล็อกเพื่อให้แน่ใจว่า Validator จะได้รับข้อมูลในลำดับที่ถูกต้อง และรีเลย์อาจมีบทบาทในการเปิดเผยข้อมูลการทำธุรกรรมที่ยังไม่เสร็จสิ้นให้กับผู้ใช้งานหรือระบบอื่น ๆ เพื่อให้สามารถดำเนินการเพิ่มเติมได้
อย่างไรก็ดี เส้นทางการโอนย้ายถ่ายเทคริปโตทั้งหมดถูกตามได้ และนำไปสู่การจับกุมสองพี่น้องในบอสตันและนิวยอร์กเมื่อเดือนพฤษภาคม 2024 และถูกตั้งข้อหาสมรู้ร่วมคิดในการฉ้อโกงผ่านสายโทรคมนาคม (wire fraud) และการฟอกเงิน (money laundering) หากพวกเขาถูกตัดสินว่ามีความผิด แต่ละคนอาจต้องรับโทษสูงสุดถึง 20 ปีในคุกสำหรับแต่ละข้อกล่าวหา
ตามคำกล่าวของ Thomas Fattorusso เจ้าหน้าที่พิเศษของสำนักงานสืบสวนทางอาญาของ IRS-CI นิวยอร์กระบุว่า พี่น้องคู่นี้ได้ใช้วิธีการใหม่ในการโกงระบบ Ethereum โดยใช้ประโยชน์จากช่องโหว่ในซอฟต์แวร์ MEV-Boost การเข้าถึงข้อมูลการทำธุรกรรมที่ยังไม่เสร็จสิ้น (Pending) และการตั้งค่าผู้ตรวจสอบที่ควบคุมโดยพวกเขาเอง สร้างธุรกรรมหลอก และปลอมแปลงข้อมูลธุรกรรมเพื่อขโมยเงินดิจิทัลจากผู้ค้าที่ตกเป็นเหยื่อ ซึ่งเคสดังกล่าวถือเป็นครั้งแรกที่มีการฟ้องร้องการฉ้อโกงในลักษณะนี้ และแสดงให้เห็นว่า มีความซับซ้อนและเทคนิคที่ทันสมัยที่พี่น้อง Peraire-Bueno ใช้ในการโจมตีระบบบล็อกเชนที่คนทั่วโลกไว้วางใจ