ช่องโหว่บน Solana ของ Rain กับสิ่งที่ผู้ใช้ Ether.fi Cash ควรตรวจจริง ๆ

การเปิดเผยของ Rain เมื่อไม่นานมานี้เกี่ยวข้องกับช่องโหว่ในสัญญาบน Solana รุ่นเก่าที่โปรแกรมบัตรจำนวนไม่มากใช้อยู่ สำหรับผู้ใช้ Ether.fi Cash คำถามสำคัญไม่ใช่ว่าคำว่า "Rain" ปรากฏอยู่ตรงไหนในโครงสร้างหรือไม่ แต่คือเงินที่ตั้งใจไว้ใช้จ่ายผ่านบัตรนั้นอยู่ในสัญญายอดคงเหลือบัตรแบบใช้ร่วมกันชนิดที่ได้รับผลกระทบหรือเปล่า

ข้อตกลงบัตรระหว่างประเทศฉบับเดิมของ Ether.fi ระบุชื่อ Rain ไว้ในโครงสร้างบัตรจริง ดังนั้นการบอกว่าสองผลิตภัณฑ์นี้ไม่มีความเกี่ยวข้องกันเลยย่อมไม่ถูกต้อง ในเวลาเดียวกัน เอกสารปัจจุบันของ Cash อธิบายเส้นทางการใช้เงินอีกแบบ คือผู้ใช้ฝากสินทรัพย์ที่รองรับเข้าสู่ Safe ส่วนตัว เงินนั้นพร้อมใช้กับ Direct Pay หรือเป็นหลักประกันในโหมด Credit และการถอนจะเกิดขึ้นก็ต่อเมื่อเจ้าของตามที่ Safe กำหนดได้ลงนามแล้ว ซึ่งต่างจากการเอายอดเติมเงินไปวางไว้ในสัญญาบัตรที่ใช้ร่วมกันบน Solana อย่างมีนัยสำคัญ

ณ เวลาที่เผยแพร่ ยังไม่พบประกาศเหตุการณ์สาธารณะจาก Ether.fi ที่ยืนยันอย่างเป็นอิสระว่ามีผลกระทบ หรือสรุปอย่างเป็นทางการว่าไม่มีผลกระทบ สำหรับกรณีของ Rain ครั้งนี้โดยเฉพาะ ข้ออ้างว่าสถาปัตยกรรมต่างกันนั้นสอดคล้องกับโมเดล Safe ที่ Ether.fi เผยแพร่ไว้ แต่ควรอ่านในฐานะความต่างเชิงสถาปัตยกรรม ไม่ใช่การรับประกันความปลอดภัยแบบครอบจักรวาล

โมเดลเก็บรักษาทรัพย์สินเองของ Ether.fi แยกการเก็บรักษาออกจากการออกบัตร

สำหรับ Ether.fi Cash Card ข้อได้เปรียบที่ใช้ได้จริงคือกระบวนการใช้จ่ายไม่จำเป็นต้องเริ่มจากกองเงินเติมล่วงหน้าที่ผู้ออกบัตรถือไว้ ในโหมด Direct Pay การซื้อของใช้ยอดที่พร้อมใช้ ส่วนในโหมด Borrow Mode การซื้อของสร้างการกู้ยืมโดยมีหลักประกันหนุนอยู่ แทนที่จะขายหลักประกันตรงจุดชำระเงิน แอปและศูนย์ช่วยเหลือของ Ether.fi อธิบายว่า Safe คือที่ซึ่งเงินที่รองรับถูกเก็บไว้ และเป็นที่ที่การถอนได้รับอนุมัติ

โมเดลนี้แยกคำถามสองข้อที่มักถูกปนกันหลังเกิดเหตุการณ์กับบัตร การออกบัตรและการชำระบัญชีอาจพึ่งพาพันธมิตรภายนอกได้ ขณะที่การเก็บรักษาและอำนาจในการถอนยังอยู่ใน Safe บนเชนของผู้ใช้ การแยกเช่นนี้ลดการเปิดรับความเสี่ยงรูปแบบที่เกี่ยวกับยอดคงเหลือบัตรซึ่งรวมกันไว้ที่เดียว แต่ไม่ได้ทำให้ผลิตภัณฑ์ทั้งหมดปลอดความเสี่ยง โปรแกรมบัตร แอป การตั้งค่า Safe สัญญาที่รองรับ การควบคุมด้าน KYC และสถานะการกู้ยืม ล้วนยังเป็นพื้นผิวที่ต้องประเมินแยกกัน

ประโยชน์เป็นเรื่องจริง แต่ Borrow Mode เพิ่มความเสี่ยงของตัวเอง

บัตร Cash ของ Ether.fi ยังยืดหยุ่นกว่าบัตรเติมเงินธรรมดา Direct Pay ให้ใช้จ่ายจากยอดที่เทียบเท่าสเตเบิลคอยน์แบบหนึ่งต่อหนึ่ง ส่วน Borrow Mode ปล่อยให้หลักประกันอยู่ที่เดิมขณะที่บัตรใช้กำลังกู้ ซึ่งมีประโยชน์กับคนที่บริหารหลักประกันบนเชนอยู่แล้วและไม่อยากให้ทุกการซื้อบังคับให้ต้องขายสินทรัพย์ การซื้อที่เข้าเกณฑ์ได้รับแคชแบ็กได้ และผลิตภัณฑ์รองรับทั้งบัตรเสมือนและบัตรจริง ควบคู่กับ Apple Pay และ Google Pay

การกู้ยืมเปลี่ยนความเสี่ยง ไม่ได้ลบมันทิ้ง ถ้ามูลค่าหลักประกันลดลง กำลังกู้และสุขภาพของสถานะก็สำคัญขึ้นมา การที่บัตรถูกปฏิเสธหรือต้องเติมหลักประกัน เป็นคนละปัญหากับการที่ยอดเงินฝั่งผู้ออกบัตรถูกเจาะ แคชแบ็กเองก็มีเงื่อนไขเรื่องร้านค้าและช่วงการใช้จ่าย การอ่านที่ปลอดภัยกว่าไม่ใช่ "เก็บทรัพย์สินเองแล้วจะไม่มีอะไรผิดพลาด" แต่คือ "ทั้งเงินและรูปแบบความล้มเหลวไม่ได้กระจุกอยู่ในยอดบัตรเติมเงินก้อนเดียว"

หลังมีรายงานอย่างกรณีของ Rain ผู้ใช้ Ether.fi Cash ตรวจสามอย่างที่จับต้องได้ คือสินทรัพย์ยังมองเห็นอยู่ใน Safe ของตัวเองไหม โหมดบัตรที่เลือกอยู่คือ Direct Pay หรือ Borrow Mode และวงเงินใช้จ่ายของบัตรยังตรงกับยอดที่ตั้งใจใช้ประจำวันหรือเปล่า การตรวจเหล่านี้บอกเรื่องการเปิดรับความเสี่ยงเฉพาะหน้าได้มากกว่าชื่อโครงสร้างพื้นฐานที่ใช้ร่วมกันเพียงอย่างเดียว

แหล่งอ้างอิง: หน้าผลิตภัณฑ์ Ether.fi Cash, คำถามที่พบบ่อยของ Ether.fi Cash, ข้อตกลงบัตรระหว่างประเทศของ Ether.fi, รายงานข่าวเหตุการณ์ของ Rain.