Infrastructure

วิธีที่ Stablecoin Bridge พังกันจริงๆ (และสิ่งที่ปี 2025 แก้ไขได้)

By Anurag Verma•April 22, 2026

เวลาที่คนพูดถึงการโจมตีบริดจ์ กรอบความคิดที่มักนึกถึงมักเป็นการหาช่องโหว่อย่างชาญฉลาดในสมาร์ทคอนแทรคต์ Ronin, Wormhole, Nomad, Multichain เงินกว่า 2.5 พันล้านดอลลาร์รั่วไหลออกไปจากเหตุการณ์สำคัญต่าง ๆ การตอบสนองของอุตสาหกรรมก็คาดเดาได้: ตรวจสอบเพิ่มขึ้น, formal verification เพิ่มขึ้น, bug bounty เพิ่มขึ้น

กรอบความคิดนั้นพลาดเรื่องราวที่แท้จริง บริดจ์สเตเบิลคอยน์ส่วนใหญ่ไม่ได้ล้มเหลวเพราะบัก Solidity แต่ล้มเหลวเพราะสถาปัตยกรรมนั้นผิดพลาดตั้งแต่ต้น และตลอดปี 2025 สถาปัตยกรรมนั้นก็ถูกแทนที่

บาปดั้งเดิมของ lock-and-mint

รูปแบบบริดจ์ที่ครองตลาดมาหลายปีนั้นเรียบง่าย: ล็อก USDC บนเชน A แล้วสร้างตัวแทน wrapped (USDC.e, axlUSDC, whUSDC, จะเลือกคำนำหน้าอะไรก็ตาม) บนเชน B โทเคน wrapped นั้นคือใบรับรองหนี้ที่มีหลักประกันเป็นเงินที่ถูกล็อกไว้

สิ่งนี้สร้างจุดล้มเหลวสี่ประการ และการโจมตีครั้งสำคัญทุกครั้งล้วนโดนอย่างน้อยหนึ่งข้อ:

1. ปัญหากับดักน้ำผึ้ง ทุก ๆ หนึ่งดอลลาร์ของสเตเบิลคอยน์ wrapped ที่หมุนเวียนอยู่ หมายความว่ามีหนึ่งดอลลาร์ที่นั่งอยู่ในคอนแทรคต์บริดจ์ บริดจ์ที่มี TVL 500 ล้านดอลลาร์คือรางวัล 500 ล้านดอลลาร์ ความปลอดภัยขยายตัวตามสัดส่วนเชิงเส้นกับ TVL แต่แรงจูงใจในการโจมตีก็ขยายในอัตราเดียวกัน คุณกำลังแข่งกับผู้โจมตีที่มีงบประมาณไม่จำกัดสำหรับ zero-day

2. การโจมตีชุด validator บริดจ์ส่วนใหญ่มอบสิทธิ์ mint ให้กับ multisig หรือชุด validator แบบ proof-of-authority Ronin มี validator เก้าตัว ห้าตัวในนั้นถูกหลอกด้วย phishing Harmony มีแค่สองคีย์ การเข้ารหัสลับทำงานได้ดี แต่ชั้นของมนุษย์ไม่ใช่

3. ช่องโหว่ในการตรวจสอบข้อความ การโจมตี Nomad ไม่ได้ฉลาดแต่อย่างใด การ initialize ที่ผิดพลาดทำให้ข้อความทุกข้อความดูเหมือนได้รับการอนุมัติล่วงหน้า ใครก็ตามที่มีทักษะ copy-paste สามารถระบายเงินออกได้ บริดจ์ทำงานตามที่โค้ดกำหนดอย่างถูกต้องทางเทคนิค

4. สภาพคล่องที่กระจัดกระจายและความล่าช้าของออราเคิล แม้ไม่มีการโจมตีใด ๆ เกิดขึ้น สเตเบิลคอยน์แบบ wrapped ก็ยังผันผวนออกจากราคาอ้างอิงในช่วงที่ตลาดตึงเครียด USDC.e บน Avalanche เคยซื้อขายที่ $0.87 ระหว่างการ depeg ในเดือนมีนาคม 2023 เพราะการอาร์บิทราจถูกจำกัดโดยบริดจ์นั้นเอง บริดจ์จึงกลายเป็นออราเคิลของตัวเอง และออราเคิลนั้นพังพอดีตอนที่คุณต้องการมันมากที่สุด

wrapped assets คืออะไรกันแน่

นี่คือส่วนที่อุตสาหกรรมใช้เวลานานเกินไปกว่าจะยอมรับ: สเตเบิลคอยน์แบบ wrapped ไม่ใช่สินทรัพย์ชนิดเดียวกัน มันคือตราสารเครดิตที่ออกโดยบริดจ์ โดยมีมูลค่าอ้างอิงจากสเตเบิลคอยน์ต้นฉบับ USDC บน Ethereum คือภาระผูกพันของ Circle ส่วน USDC.e บน Avalanche คือภาระผูกพันของ Avalanche bridge ที่ค้ำประกันด้วยภาระผูกพันของ Circle อีกทอดหนึ่ง

คุณได้เพิ่มความเสี่ยงด้านคู่สัญญา ความเสี่ยงของสัญญาอัจฉริยะ และความเสี่ยงของ validator ซ้อนทับบนสินทรัพย์ที่คุณค่าทั้งหมดของมันอยู่ที่การปลอดความเสี่ยง สำหรับโครงสร้างพื้นฐานด้านการชำระเงิน นั่นเป็นสิ่งที่ยอมรับไม่ได้

การเปลี่ยนแปลงในปี 2025: การออกสกุลเงินแบบ native ในทุกเครือข่าย

ทางแก้ไม่ใช่การสร้างบริดจ์ที่ดีขึ้น แต่คือการขจัดความจำเป็นในการบริดจ์สเตเบิลคอยน์ออกไปเลย

CCTP (Cross-Chain Transfer Protocol) ของ Circle เติบโตจากที่น่าสนใจกลายเป็นมาตรฐานในปี 2024 และภายในกลางปี 2025 ก็กลายเป็นเส้นทางหลักสำหรับการเคลื่อนย้าย USDC กลไกคือการ burn-and-mint: USDC บนเครือข่าย A ถูก burn, Circle รับรองการ burn นั้น, แล้ว USDC บนเครือข่าย B ก็ถูก mint โดย Circle โดยตรง ไม่มี wrapped token ไม่มีกองหลักประกันที่ถูกล็อก ไม่มีเหยื่อล่อของบริดจ์

Tether ทำในลักษณะเดียวกันสำหรับ USDT ผ่านการ deploy แบบ native บนกว่า 14 เครือข่าย PYUSD ของ PayPal เปิดตัวแบบ native บน Solana แทนที่จะบริดจ์มาจาก Ethereum Paxos ก็ทำแบบเดียวกันสำหรับ USDG ในทุกการ deploy

รูปแบบนี้สอดคล้องกันทั้งหมด: ผู้ออกสกุลเงินควบคุมการ mint และ burn ในทุกเครือข่าย และการโอนระหว่างเครือข่ายถูกชำระผ่านชั้นการรับรองของผู้ออกสกุลเงินเอง แทนที่จะผ่านบริดจ์จากบุคคลที่สาม

สิ่งนี้เปลี่ยนแปลงอะไรจริง ๆ

หลายสิ่งเปลี่ยนแปลงไปเมื่อการออกสินทรัพย์แบบ native กลายเป็นมาตรฐาน

พื้นที่โจมตีหดตัวลง ไม่มีสัญญาที่มีมูลค่าหลายร้อยล้านดอลลาร์วางอยู่ที่ไหนสักแห่งรอให้ถูกดูดออก ผู้โจมตีที่เจาะระบบ CCTP ได้ก็ยังต้องการลายเซ็นการยืนยันของ Circle ซึ่งอยู่ในโครงสร้างพื้นฐานของ Circle เอง ไม่ใช่บนเชน

ความเสถียรของราคาคงอยู่ได้ในภาวะกดดัน USDC แบบ native บนทุกเชนคือสินทรัพย์เดียวกัน แลกคืนได้ในอัตรา 1:1 กับ Circle ไม่มีสถานการณ์การหลุดตรึงราคาที่เกิดจากความไม่สมดุลของบริดจ์

สภาพคล่องรวมเป็นหนึ่ง DEX aggregator และผู้ดูแลสภาพคล่องไม่ต้องดูแล USDC หลายรูปแบบที่มีสมุดคำสั่งซื้อแยกกัน สินทรัพย์เดียว สภาพคล่องลึกกว่า ส่วนต่างราคาแคบลง

บริดจ์อเนกประสงค์ถูกปรับตำแหน่ง LayerZero, Wormhole, Axelar, Hyperlane: โปรเจกต์เหล่านี้ไม่ได้กำลังจะตาย แต่กำลังถอยออกจากธุรกิจโอนสเตเบิลคอยน์และมุ่งเน้นไปที่การส่งข้อความทั่วไป การเคลื่อนย้าย NFT และการบริดจ์สินทรัพย์ปลีกย่อยที่ยังไม่มีการออกแบบ native

สิ่งที่ยังพังอยู่

การออกสินทรัพย์แบบ native ไม่ใช่คำตอบครบถ้วน ยังมีปัญหาจริงที่เหลืออยู่

เวลาในการชำระสำหรับ CCTP ยังอยู่ที่ 13-20 นาทีบน Ethereum mainnet เนื่องจากข้อกำหนดด้าน finality สำหรับการเทรด นั่นคือนิรันดร์กาล ระบบที่ใช้ intent (Across, CoW, Everclear) แก้ปัญหานี้ด้วยการจัดหาสภาพคล่องล่วงหน้าและชำระผ่าน CCTP เบื้องหลัง แต่นั่นก็นำคู่สัญญากลับมาอีกครั้ง

สเตเบิลคอยน์ขนาดเล็กยังต้องพึ่งบริดจ์ ถ้าคุณถือสเตเบิลคอยน์แบบ algorithmic หรือเฉพาะภูมิภาค คุณยังอยู่ในดินแดนของ lock-and-mint

และการรวมศูนย์คือการแลกเปลี่ยนที่ผู้คนควรยอมรับอย่างตรงไปตรงมา Circle สามารถแช่แข็ง USDC บนเชนใดก็ได้ โมเดล burn-and-mint ทำให้อำนาจนั้นยิ่งสมบูรณ์ขึ้น ไม่ใช่น้อยลง สิ่งนี้ยอมรับได้สำหรับสเตเบิลคอยน์ fiat ที่อยู่ภายใต้กฎระเบียบ แต่จะเป็นหายนะสำหรับสิ่งที่พยายามจะเป็นเงินที่ต้านทานการเซ็นเซอร์

บทเรียนเชิงสถาปัตยกรรม

ประเด็นสำคัญกว่านั้นคือ ความปลอดภัยเชิงการเข้ารหัสไม่ใช่สิ่งเดียวกับความปลอดภัยของระบบ คุณอาจมีสัญญาบริดจ์ที่ผ่านการตรวจสอบอย่างละเอียดและผ่านการพิสูจน์อย่างเป็นทางการแล้ว แต่ก็ยังสูญเสียทุกอย่างได้ เพราะการออกแบบเชิงเศรษฐกิจสันนิษฐานว่ามีความเชื่อถือในจุดที่ไม่มีความเชื่อถือจริง

บริดจ์ที่รอดมาได้ทำเช่นนั้นด้วยการจำกัดขอบเขตของตนเอง สเตเบิลคอยน์ที่ขยายตัวได้ทำเช่นนั้นด้วยการปฏิเสธที่จะถูกเชื่อมผ่านบริดจ์เลย ทั้งสองแนวทางล้วนเป็นรูปแบบที่แตกต่างกันของข้อสรุปเดียวกัน นั่นคือระบบที่ปลอดภัยที่สุดคือระบบที่มีข้อสมมติเรื่องความเชื่อถือน้อยกว่า ไม่ใช่ระบบที่ใช้การเข้ารหัสที่ซับซ้อนกว่าเพื่อชดเชยข้อสมมติที่ผิดพลาด

คำถามด้านการออกแบบที่น่าจับตามองต่อไปคือสิ่งที่จะเกิดขึ้นเมื่อรูปแบบนี้ขยายออกไปนอกเหนือจากสเตเบิลคอยน์ การออกโทเคนของตราสารหนี้รัฐบาลแบบ native issuance มีอยู่แล้ว ส่วน tokenized equities กำลังจะตามมา ณ จุดหนึ่ง แนวคิดของ asset bridge แบบ general-purpose เริ่มดูเหมือนเทคโนโลยีช่วงเปลี่ยนผ่านที่เราสร้างขึ้นเพราะยังหา abstraction ที่เหมาะสมไม่พบ