# OWASP Smart Contract Top 10:2026, SCSVS และ SCWE สำหรับการตรวจสอบ Smart Contract

Locale: `th`

Source: `/th/compliance/owasp-smart-contract/`

Summary: OWASP Smart Contract Top 10:2026, มาตรฐานทวนสอบ SCSVS (35 Control) และฐานข้อมูลจุดอ่อน SCWE (156 รายการ) เทียบเคียงหลักเกณฑ์ ก.ล.ต. สำหรับสินทรัพย์ดิจิทัล

สารบัญ

1. [ภาพรวม](/th/compliance/owasp-smart-contract/#topic-overview)
2. [OWASP Smart Contract Top 10:2026 (SC01 ถึง SC10)](/th/compliance/owasp-smart-contract/#smart-contract-top-10-2026)
3. [มาตรฐานทวนสอบ OWASP SCSVS: 35 Control ใน 11 หมวดหมู่ (S1 ถึง S11)](/th/compliance/owasp-smart-contract/#scsvs-verification-standard)
4. [ฐานข้อมูลจุดอ่อน OWASP SCWE และ Alternate Top 15 ของเวกเตอร์โจมตี Web3](/th/compliance/owasp-smart-contract/#scwe-and-top15-web3-vectors)
5. [การเทียบเคียงกับหลักเกณฑ์ ก.ล.ต. ไทย สำหรับ ICO Portal และธุรกิจสินทรัพย์ดิจิทัล](/th/compliance/owasp-smart-contract/#thai-sec-smart-contract-audit)
6. [ตารางเปรียบเทียบข้อกำหนด](/th/compliance/owasp-smart-contract/#compliance-matrix)
7. [รายการติดตามการดำเนินงาน](/th/compliance/owasp-smart-contract/#compliance-readiness-checklist)
8. [คำถามที่พบบ่อย](/th/compliance/owasp-smart-contract/#compliance-faq)
9. [หัวข้อที่เกี่ยวข้อง](/th/compliance/owasp-smart-contract/#related-compliance-frameworks)

# OWASP Smart Contract Top 10:2026, SCSVS และ SCWE สำหรับการตรวจสอบ Smart Contract

สรุปความเสี่ยง OWASP Smart Contract Top 10 รุ่นปี 2026 (SC01 ถึง SC10) คู่กับ OWASP SCSVS จำนวน 35 Control ใน 11 หมวด (S1 ถึง S11) และฐานข้อมูลจุดอ่อน OWASP SCWE จำนวน 156 รายการ (SCWE-001 ถึง SCWE-156) พร้อมเทียบเคียงหลักเกณฑ์ของสำนักงาน ก.ล.ต. ทั้งนี้ OWASP เป็นแนวปฏิบัติโดยสมัครใจที่ใช้เป็นเกณฑ์อ้างอิงทางเทคนิค ไม่ใช่ข้อกำหนดของ ก.ล.ต.

สรุปภาพรวม

กลุ่มเป้าหมาย

ผู้พัฒนาโปรโตคอล Web3 และ DeFi, ICO Portal และผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลภายใต้การกำกับของ ก.ล.ต.

รอบการทดสอบและทบทวน

ก่อน Deploy สัญญาขึ้นเครือข่ายหลัก (Mainnet), ก่อนเสนอขายโทเคนดิจิทัล และทุกครั้งที่มีการอัปเกรดสัญญาหรือเปลี่ยนแปลงสำคัญ

ขอบเขตการทดสอบ

Smart Contract Source Code, Upgradeable Proxy, Oracle Feed, สมการทางเศรษฐกิจ (Invariants), Web3 Frontend และระบบจัดการกุญแจ

ความเสี่ยงที่เกี่ยวข้อง

การสูญเสียสินทรัพย์จากช่องโหว่ Access Control, Flash Loan หรือ Reentrancy และการไม่ผ่านเกณฑ์ตรวจสอบโค้ดของหน่วยงานกำกับดูแล

## OWASP Smart Contract Top 10:2026 (SC01 ถึง SC10)

การจัดลำดับความเสี่ยง Smart Contract ปี 2026 มุ่งเน้นช่องโหว่ที่นำไปสู่การสูญเสียสินทรัพย์จริงบนเครือข่าย EVM และโปรโตคอล DeFi สมัยใหม่

[![OWASP Smart Contract Top 10 2026: สิทธิ์และ Proxy (SC01, SC10), ตรรกะและอินพุต (SC02, SC05), Oracle, Flash Loan และ Reentrancy (SC03, SC04, SC06, SC08), คณิตศาสตร์และเกณฑ์ทวนสอบ (SC07, SC09)](/assets/compliance/guide-owasp-smart-contract-compliance-control-summary-th-v2.webp)](/assets/compliance/guide-owasp-smart-contract-compliance-control-summary-th-v2.webp)

**OWASP Smart Contract Top 10 2026**

SC01 ถึง SC10 คู่กับ SCSVS 35 ข้อควบคุมและ SCWE 156 จุดอ่อน

- **สิทธิ์และ Proxy (SC01, SC10)**
  - Access Control และ Proxy Upgradeability ที่บกพร่อง
- **ตรรกะและอินพุต (SC02, SC05)**
  - Business Logic ที่บกพร่องและการไม่ตรวจสอบข้อมูลนำเข้า
- **Oracle, Flash Loan และ Reentrancy (SC03, SC04, SC06, SC08)**
  - การบิดเบือนราคา Oracle, Flash Loan, Unchecked External Call และ Reentrancy
- **คณิตศาสตร์และเกณฑ์ทวนสอบ (SC07, SC09)**
  - Arithmetic Error และ Integer Overflow ทวนสอบด้วย SCSVS 35 ข้อควบคุมและ SCWE 156 รายการ

- SC01 Access Control Vulnerabilities และ SC10 Proxy and Upgradeability Vulnerabilities ครอบคลุมการควบคุมสิทธิ์ฟังก์ชันของผู้ดูแลระบบที่บกพร่อง และช่องโหว่ของสัญญาแบบ Upgradeable Proxy รวมถึงฟังก์ชัน Initialize ที่ไม่ได้ป้องกัน
- SC02 Business Logic Vulnerabilities และ SC05 Lack of Input Validation เกิดจากตรรกะทางธุรกิจที่ผิดพลาดและการไม่ตรวจสอบพารามิเตอร์ที่ผู้ใช้ส่งเข้ามา
- SC03 Price Oracle Manipulation และ SC04 Flash Loan–Facilitated Attacks ใช้การบิดเบือนแหล่งราคาหรือสภาพคล่องที่กู้ยืมชั่วคราวในธุรกรรมเดียวเพื่อดึงมูลค่าออกจากโปรโตคอล
- SC06 Unchecked External Calls, SC08 Reentrancy Attacks, SC07 Arithmetic Errors และ SC09 Integer Overflow and Underflow ครอบคลุมการเรียกสัญญาภายนอกโดยไม่ตรวจสอบผลลัพธ์ การเรียกซ้ำ และข้อผิดพลาดทางคณิตศาสตร์ รวมถึงการปัดเศษและความแม่นยำ

## มาตรฐานทวนสอบ OWASP SCSVS: 35 Control ใน 11 หมวดหมู่ (S1 ถึง S11)

OWASP Smart Contract Security Verification Standard (SCSVS) กำหนดกรอบการทวนสอบเชิงวิศวกรรมและการตรวจประเมินโค้ดแบบทำซ้ำได้ ปัจจุบัน OWASP ระบุว่าเป็นรุ่นเริ่มต้นเวอร์ชัน 0.0.1 (Alpha)

- ครอบคลุม 11 หมวดหมู่ ได้แก่ S1 Architecture, Design, and Threat Modeling (3 ข้อ), S2 Policies, Procedures, and Code Management (3 ข้อ), S3 Business Logic and Economic Security (3 ข้อ), S4 Access Control and Authentication (3 ข้อ), S5 Secure Interactions and Communications (4 ข้อ), S6 Cryptographic Practices (3 ข้อ), S7 Arithmetic and Logic Security (2 ข้อ), S8 Denial of Service (2 ข้อ), S9 Blockchain Data and State Management (4 ข้อ), S10 Gas Usage, Efficiency, and Limitations (2 ข้อ) และ S11 Component-Specific Security (6 ข้อ) รวม 35 Control
- แบ่งระดับการทวนสอบเป็น L1 Basic Security (สัญญาที่มีความเสี่ยงต่ำกว่า), L2 Moderate Security (สัญญาที่จัดการข้อมูลอ่อนไหวหรือธุรกรรมการเงิน หรืออยู่ในระบบ DeFi) และ L3 High Assurance Security (สัญญาที่มีความสำคัญสูงต่อภารกิจซึ่งเกี่ยวกับสินทรัพย์ทางการเงินจำนวนมาก การกำกับดูแล หรือธุรกรรมมูลค่าสูง)
- ตัวอย่าง Control ที่ใช้ตรวจสอบ ได้แก่ S1.2 Proxy Patterns สำหรับสัญญาแบบ Upgradeable, S4.1 Role-Based Access Control สำหรับการแยกสิทธิ์ และ S5.1 Contract Interactions สำหรับการโต้ตอบระหว่างสัญญา
- เชื่อมโยงผลการตรวจประเมินเข้ากับหลักฐานที่ผู้พัฒนา ผู้ตรวจสอบอิสระ และผู้กำกับดูแลใช้ทวนสอบร่วมกันได้

## ฐานข้อมูลจุดอ่อน OWASP SCWE และ Alternate Top 15 ของเวกเตอร์โจมตี Web3

OWASP Smart Contract Security Weakness Enumeration (SCWE) รวบรวมจุดอ่อนจำนวน 156 รายการ ส่วนโครงการ Top 10 เดียวกันมี Alternate Top 15 (WA01 ถึง WA15) ของเวกเตอร์โจมตี Web3 ที่อยู่นอกเหนือสัญญาอัจฉริยะ ซึ่งเป็นรายการสร้างความตระหนักรู้และยังไม่จัดอันดับ

- จัดหมวดหมู่จุดอ่อน SCWE-001 ถึง SCWE-156 (รวม 156 รายการ) เพื่อระบุรากเหง้าของปัญหาในรายงาน Audit ให้ชัดเจนเหมือน CWE ในระบบซอฟต์แวร์ทั่วไป
- WA01 Multisig Hijacking, WA02 Supply Chain Attacks, WA03 Private Key Compromise และ WA04 Drainer Malware เป็นตัวอย่างเวกเตอร์ที่ทีมทดสอบควรพิจารณานอกเหนือจากโค้ดสัญญา
- WA05 ถึง WA15 ครอบคลุมตั้งแต่ Social Engineering และ UI Spoofing ไปจนถึงการเจาะโครงสร้างพื้นฐาน Web2 ของศูนย์ซื้อขาย Insider Threat และการแทรกซึมโดยรัฐผ่านการจ้างงานปลอม
- ข้อเสนอแนะของ STH คือใช้รหัส SCWE เป็นแนวทางออกแบบ Fuzzing, Invariant Testing และ Symbolic Execution ให้ตรงกับรูปแบบช่องโหว่ของแต่ละโปรโตคอล

## การเทียบเคียงกับหลักเกณฑ์ ก.ล.ต. ไทย สำหรับ ICO Portal และธุรกิจสินทรัพย์ดิจิทัล

OWASP เป็นแนวปฏิบัติโดยสมัครใจ ประกาศของ ก.ล.ต. ที่ตรวจสอบไม่ได้อ้างถึง OWASP, SCSVS หรือ SCWE จึงควรใช้เป็นเกณฑ์อ้างอิงทางเทคนิคควบคู่กับหน้าที่ตามประกาศด้านล่าง

- ประกาศ กจ. 16/2561 ข้อ 17(1)(ค) กำหนดให้ผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล (ICO Portal) ตรวจสอบให้เชื่อมั่นว่า Source Code ในสัญญาอัจฉริยะหรือกลไกอื่นที่นำมาใช้ทดแทนมีรายละเอียดตรงกับข้อมูลในร่างหนังสือชี้ชวน และข้อ 16/1 กำหนดให้ปฏิบัติตามประกาศ ก.ล.ต. ว่าด้วยข้อกำหนดในรายละเอียดเกี่ยวกับการจัดให้มีระบบเทคโนโลยีสารสนเทศและแนวปฏิบัติ ทั้งนี้ตัวประกาศ กจ. 16/2561 ไม่มีข้อกำหนดเรื่องการทดสอบเจาะระบบโดยตรง
- ประกาศ กธ. 19/2561 ข้อ 18 กำหนดให้ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลทดสอบเจาะระบบกับระบบงานสำคัญก่อนเริ่มให้บริการและอย่างน้อยปีละ 1 ครั้งหลังเริ่มให้บริการ โดยบุคคลที่เป็นอิสระจากหน่วยงานที่รับผิดชอบด้านเทคโนโลยีสารสนเทศ และรายงานผลต่อสำนักงาน ก.ล.ต. ภายใน 30 วันนับจากวันที่ได้รับผลการทดสอบอย่างเป็นทางการ แต่ไม่เกิน 90 วันนับจากวันที่สิ้นสุดกระบวนการทดสอบ ส่วนข้อ 17 ให้ปฏิบัติตามประกาศและแนวปฏิบัติด้านระบบเทคโนโลยีสารสนเทศ เช่น นป. 6/2567 โดยอนุโลม
- การอ้างอิงรหัส SC01 ถึง SC10, หมวด SCSVS (S1 ถึง S11) และรหัสจุดอ่อน SCWE-001 ถึง SCWE-156 ในรายงานตรวจประเมินช่วยให้การทวนสอบหลังแก้ไข (Retest) มีหลักฐานชัดเจน
- ควรทดสอบควบคู่กับส่วนเชื่อมต่อ Web3 Frontend, Wallet Signing Flow, RPC Endpoint และระบบบริหารจัดการกุญแจส่วนตัว (Key Management) ของผู้ให้บริการ

## ตารางอ้างอิงและขอบเขตการประเมิน

สรุปเอกสารอ้างอิง ขอบเขตการประเมิน และรอบทบทวนตามบริบทของแต่ละรายการ

| เอกสารอ้างอิง | สาระสำคัญ | ขอบเขตการทดสอบ | รอบเวลาทดสอบ |
| --- | --- | --- | --- |
| **OWASP Smart Contract Top 10:2026 (SC01 ถึง SC10)** | การประเมินความเสี่ยง Smart Contract ทั้ง 10 หมวด | ตรวจสอบ Access Control, Business Logic, Price Oracle, Flash Loan, Input Validation, External Call, Arithmetic, Reentrancy และ Proxy Upgradeability | ก่อน Deploy ขึ้น Mainnet และหลังการแก้ไขหรืออัปเกรดสัญญา |
| **OWASP SCSVS (S1 ถึง S11)** | การทวนสอบ 35 Control ตามระดับความเชื่อมั่น L1, L2 และ L3 | ทวนสอบสถาปัตยกรรม นโยบายและการจัดการโค้ด ตรรกะธุรกิจ การควบคุมสิทธิ์ การโต้ตอบระหว่างสัญญา การเข้ารหัส คณิตศาสตร์ DoS ข้อมูล Blockchain การใช้ Gas และส่วนประกอบเฉพาะทาง | ตามระดับความเสี่ยงของโปรโตคอล (L1 พื้นฐาน, L2 ปานกลาง, L3 ความมั่นใจสูง) |
| **OWASP SCWE (156 Weaknesses)** | การจำแนกรากเหง้าจุดอ่อนและพิจารณา Alternate Top 15 ของเวกเตอร์โจมตี Web3 | ใช้รหัส SCWE-001 ถึง SCWE-156 และพิจารณาเวกเตอร์ WA01 ถึง WA15 เช่น Multisig Hijacking, Supply Chain Attack และ Private Key Compromise | ตลอดวงจรการพัฒนาและในการทำ Smart Contract Security Audit |
| **ประกาศ ก.ล.ต. กจ. 16/2561 และ กธ. 19/2561** | การตรวจรับรอง Source Code และความมั่นคงปลอดภัยธุรกิจสินทรัพย์ดิจิทัล | ตรวจสอบว่า Source Code ของ Smart Contract ตรงกับร่างหนังสือชี้ชวน (กจ. 16/2561 ข้อ 17(1)(ค)) และทำ Penetration Testing ระบบงานสำคัญ (กธ. 19/2561 ข้อ 18) | ก่อนเสนอขายโทเคนดิจิทัล และสำหรับ Penetration Testing ก่อนเริ่มให้บริการและอย่างน้อยปีละ 1 ครั้งตาม กธ. 19/2561 ข้อ 18 |

### รายการติดตามการดำเนินงาน

เลือกรายการที่องค์กรดำเนินการแล้ว เปอร์เซ็นต์แสดงสัดส่วนรายการที่เลือกเท่านั้น ไม่ใช่ผลประเมินความปลอดภัยหรือการปฏิบัติตามข้อกำหนด

0%

ทวนสอบการควบคุมสิทธิ์ผู้ดูแลระบบและกลไก Upgradeable Proxy ตามหมวด S4 และข้อ S1.2 ของ SCSVS
          
          
            
            กำหนดสมการ Invariant ทางธุรกิจและทำ Stateful Fuzzing เพื่อตรวจจับช่องโหว่ Business Logic (SC02) และข้อผิดพลาดทางคณิตศาสตร์ (SC07, SC09)
          
          
            
            ตรวจสอบแหล่งข้อมูลราคา Oracle และสถานการณ์ Flash Loan เพื่อป้องกัน Price Oracle Manipulation (SC03) และ Flash Loan-Facilitated Attacks (SC04)
          
          
            
            ตรวจการเรียกสัญญาภายนอก (SC06) และ Reentrancy (SC08) พร้อมการตรวจสอบอินพุต (SC05) โดยข้อเสนอแนะของ STH คือใช้ลำดับ Checks-Effects-Interactions และ Reentrancy Guard
          
          
            
            จัดทำรายงาน Smart Contract Audit และผลการทำ Retest ที่อ้างอิงรหัส SC01 ถึง SC10, หมวด SCSVS และ SCWE เป็นหลักฐานทางเทคนิคประกอบการตรวจสอบของ ICO Portal หรือ ก.ล.ต. ตามที่เกี่ยวข้อง โดย OWASP ไม่ใช่เกณฑ์ที่ ก.ล.ต. กำหนด

ยังไม่ได้เลือกรายการ

เลือกรายการด้านบนเพื่อติดตามการดำเนินงาน

[ปรึกษาผู้เชี่ยวชาญ และขอใบเสนอราคา](/th/#contact)

## คำถามที่พบบ่อย (FAQ)

คำถามและข้อสงสัยสำคัญเกี่ยวกับข้อกำหนดและการตรวจประเมินตามมาตรฐาน

### OWASP Smart Contract Top 10:2026 ต่างจาก SCSVS และ SCWE อย่างไร?

OWASP Smart Contract Top 10:2026 (SC01 ถึง SC10) คือการจัดลำดับ 10 ความเสี่ยงสำคัญเพื่อสร้างความตระหนักรู้ ส่วน SCSVS คือมาตรฐานทวนสอบเชิงวิศวกรรมจำนวน 35 Control ใน 11 หมวดหมู่ (S1 ถึง S11) แบ่งระดับ L1, L2 และ L3 โดย OWASP ระบุว่ายังเป็นรุ่นเริ่มต้นเวอร์ชัน 0.0.1 และ SCWE คือฐานข้อมูลจำแนกรากเหง้าจุดอ่อนจำนวน 156 รายการ (SCWE-001 ถึง SCWE-156) สำหรับอ้างอิงในรายงาน Audit

### ธุรกิจภายใต้การกำกับของ ก.ล.ต. ไทย ต้องตรวจ Smart Contract อย่างไร?

ประกาศ กจ. 16/2561 ข้อ 17(1)(ค) กำหนดให้ผู้ให้บริการระบบเสนอขายโทเคนดิจิทัล (ICO Portal) ตรวจสอบให้เชื่อมั่นว่า Source Code ของ Smart Contract หรือกลไกที่ใช้แทนมีรายละเอียดตรงกับร่างหนังสือชี้ชวน และประกาศ กธ. 19/2561 ข้อ 18 กำหนดให้ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลทดสอบเจาะระบบกับระบบงานสำคัญก่อนเริ่มให้บริการและอย่างน้อยปีละ 1 ครั้ง ประกาศเหล่านี้ไม่ได้อ้างถึง OWASP

### การใช้เครื่องมือ Static Analysis เพียงพอสำหรับการตรวจ Smart Contract หรือไม่?

ไม่เพียงพอ เครื่องมืออัตโนมัติช่วยตรวจจับรูปแบบโค้ดที่ผิดพลาดพื้นฐานได้ แต่ช่องโหว่ที่สร้างความเสียหายสูง เช่น Business Logic (SC02), Price Oracle Manipulation (SC03) และ Flash Loan-Facilitated Attacks (SC04) ต้องอาศัยการทวนสอบสมการทางเศรษฐกิจ การทำ Stateful Fuzzing และการตรวจสอบโดยผู้เชี่ยวชาญ

## หัวข้อและกฎหมายกำกับดูแลที่เกี่ยวข้อง

- [
                ธุรกิจภายใต้ ก.ล.ต. ต้องทำ Penetration Testing ไหม
                
              ](/th/compliance/sec/)
- [
                OWASP ASVS 5.0: มาตรฐานตรวจสอบความปลอดภัยแอปพลิเคชัน
                
              ](/th/compliance/owasp-asvs/)
- [
                OWASP Top 10: เว็บ มือถือ API LLM และ Agentic
                
              ](/th/compliance/owasp-top-10/)
- [
                พ.ร.ก. มาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี
                
              ](/th/compliance/tech-crime-decree/)

เปิดภาพขนาดเต็มเพื่อซูม

## เอกสารต้นทางฉบับทางการ

OWASP Smart Contract Top 10:2026, SCSVS และ SCWE

[ไปยังแหล่งทางการ ](https://owasp.org/www-project-smart-contract-top-10/)

- [OWASP Smart Contract Security Verification Standard (SCSVS)](https://owasp.org/www-project-smart-contract-security-verification-standard/)
- [OWASP Smart Contract Security Weakness Enumeration (SCWE)](https://scs.owasp.org/SCWE/)

## ต้องการทำ Pentest ให้สอดคล้องกับข้อกำหนดเหล่านี้?

เล่าขอบเขตระบบและข้อกำหนดที่ต้องปฏิบัติตามให้เราฟัง ทีม STH จะช่วยประเมินแนวทางและจัดทำใบเสนอราคาให้

[ขอใบเสนอราคา Pentest](/th/#contact)

อัปเดตล่าสุด 1 พฤศจิกายน 2569