มีปัญหาใหญ่ที่เกี่ยวกับการทำธุรกรรม Bitcoin จากมุมธุรกิจซึ่งแทบไม่มีใครพูดถึง สมมติว่าธุรกิจหนึ่งจ่ายเงินให้ซัพพลายเออร์ด้วย BTC จากที่อยู่กระเป๋าสตางค์ที่ใช้งานซ้ำ ซัพพลายเออร์สามารถดูข้อมูลได้มากกว่าแค่ใบแจ้งหนี้
ในขณะนี้ ขณะที่คุณกำลังอ่านบทความนี้ คู่แข่งอาจเปิด block explorer แล้วดูได้ว่าคุณจ่ายเงินด้วย Bitcoin ให้ใครในดีลล่าสุด — จ่ายเท่าไร เมื่อไร และกับใคร การติดตามธุรกรรมไม่ใช่ปัญหาสำหรับคนที่มีอะไรต้องปกปิดเท่านั้น แต่มันคือความเสี่ยงทางธุรกิจที่อยู่ตลอดเวลา: การเคลื่อนไหวของคลังเงิน ความสัมพันธ์กับพาร์ทเนอร์ และกระแสของดีลต่าง ๆ เปิดเผยต่อทุกคนที่ยินดีใช้เวลาตามรอยเพียงไม่กี่ชั่วโมง
โดยปกติแล้ว หลายคนคิดว่าความเสี่ยงนี้เริ่มต้นที่ธุรกรรมบนเครือข่ายขณะที่คุณเซ็นธุรกรรม แต่จริง ๆ แล้วไม่ใช่แบบนั้น ในเดือนกรกฎาคม 2026 นักวิจัยจากกลุ่ม DistriNet แห่ง KU Leuven ได้ทดสอบ กระเป๋าสตางค์แบบส่วนขยายเบราว์เซอร์ยอดนิยม 85 ตัว และพบว่าตัวกระเป๋าเองมีช่องโหว่เพียงพอที่จะระบุตัวตนและติดตามผู้ใช้งานได้ — แม้จะยังไม่ได้เซ็นธุรกรรมเลยสักครั้ง
กระเป๋าสตางค์จะส่งข้อมูลไปยังเซิร์ฟเวอร์ภายนอกเพื่อแสดงยอดเงิน และการร้องขอครั้งนั้นก็เปิดเผยที่อยู่กระเป๋าสตางค์โดยตรง ไม่ใช่ช่องโหว่แฮกเกอร์ เนื่องจากส่วนขยายเหล่านี้ทำงานตามที่ถูกสร้างมา จากทั้งหมด 85 ตัว พบว่าช่องโหว่การติดตามนี้เกิดขึ้นกับ 36 กระเป๋า ซึ่งครอบคลุมราว 82% ของยอดติดตั้งที่ศึกษา — ตัวเลขทั้งหมดในส่วนถัดไปจะอ้างอิงจากกลุ่มนี้
และแม้แต่คนที่บริสุทธิ์ใจก็มีความเสี่ยงเช่นกัน Andy Greenberg ใช้เวลากว่าทศวรรษติดตามข่าวอาชญากรรมคริปโตอย่างระมัดระวัง โดยรายงานเกี่ยวกับแฮกเกอร์ พ่อค้า และผู้ฟอกเงินที่ใช้บล็อกเชนเป็นที่หลบซ่อน — พร้อมทั้งเห็นนักสืบดึงตัวพวกเขาออกมาทีละคน เขาใช้เวลา สิบปีถึงเข้าใจ ความจริงว่า Bitcoin ไม่ได้ไร้รอยตามอย่างที่คิด บัญชีแยกประเภทที่ควรปกป้องกลับกลายเป็นหลักฐานที่มัดตัวพวกเขาเอง
ความมั่นใจผิด ๆ นี้เกิดขึ้นกับฝ่ายเดียว นั่นคือคนที่คิดว่าตัวเองทำทุกอย่างเพื่อรักษาความเป็นส่วนตัวแล้ว ซึ่งส่วนใหญ่ก็คือคนที่ไม่มีอะไรต้องปิดบัง: ผู้บริจาคที่ประวัติการบริจาคทั้งหมดกลายเป็นสาธารณะ นักข่าวที่ถูกเดาจากเส้นทางการจ่ายเงิน หรือคู่ค้าทางธุรกิจที่กล่าวถึงข้างต้น
แทบจะทุกชั้นของปัญหานี้เกิดขึ้นกับคุณ ไม่ใช่โดยการกระทำของคุณเอง เนื้อหาส่วนที่เหลือในบทความนี้จะอธิบายช่องโหว่ทั้งหมดอย่างละเอียด — และชี้ให้เห็นเพียงหนึ่งจุดที่คุณมีสิทธิ์กำหนดเอง
ข้อมูลใดรั่วไหลจากกระเป๋าสตางค์นอกเหนือจากตัวธุรกรรมเอง
กระเป๋าสตางค์คริปโตสามารถเปิดเผยข้อมูลได้ก่อนที่คุณจะทำธุรกรรมด้วยซ้ำ เพื่อแสดงยอดเงิน กระเป๋าเบราว์เซอร์ส่วนใหญ่มักติดต่อกับเซิร์ฟเวอร์ภายนอกและส่งที่อยู่กระเป๋าของคุณไปด้วย นักวิจัยจาก KU Leuven ศึกษากระเป๋าส่วนขยายยอดนิยม 85 ตัว ซึ่งมีการติดตั้งบน Chrome Web Store ราว 35 ล้านครั้ง และพบว่า 36 กระเป๋า — ครอบคลุมราว 82% ของยอดติดตั้งที่ศึกษา — สามารถระบุตัวและติดตามผู้ใช้งานได้ด้วยวิธีนี้
กระเป๋าเงินดิจิทัลจำนวนสิบเจ็ดแห่ง ซึ่งครอบคลุมการติดตั้งประมาณ 23 ล้านครั้ง อาจเปิดเผยความเชื่อมโยงระหว่างที่อยู่ที่ต่างกันซึ่งเป็นของผู้ใช้คนเดียวกันได้ นอกจากนี้ สำหรับกระเป๋าเงินดิจิทัล 22 ใน 36 แห่งที่ได้รับผลกระทบ เว็บไซต์ยังสามารถอ่านข้อความที่อยู่ได้ แม้ว่าผู้ใช้จะเพิกถอนการเข้าถึงและรีสตาร์ทเบราว์เซอร์แล้วก็ตาม
นอกจากนี้ ยังมีปัญหาอื่นอีก เว็บไซต์มักจะสามารถตรวจจับได้ว่าผู้ใช้ติดตั้งส่วนขยายกระเป๋าเงินใดบ้าง โดยที่ผู้ใช้ยังไม่ได้เชื่อมต่อกระเป๋าเงินเลย นักวิจัยยังค้นพบว่า กระเป๋าเงินที่ได้รับผลกระทบ 23 ใน 36 แห่ง สามารถรั่วไหลที่อยู่ได้ผ่านเนื้อหาที่โหลดจากเว็บไซต์อื่น ถึงแม้ว่าผู้ใช้จะไม่ได้คลิกอะไรเลยก็ตาม
ผู้ให้บริการกระเป๋าเงินส่วนใหญ่ที่นักวิจัยติดต่อ ไม่ได้มองว่านี่คือบั๊กที่ร้ายแรงนัก Coinbase Wallet, Coin98 และ Hana ได้มีการปรับเปลี่ยน แต่รายอื่น เช่น MetaMask, Rabby และ OKX ยังไม่มีการปรับเปลี่ยน นักวิจัยยังได้ทดสอบแอปพลิเคชันแบบกระจายศูนย์ 30 แอปฯ และพบว่า มีเพียง 11 แอปฯ เท่านั้นที่เพิกถอนการเข้าถึงกระเป๋าเงินอย่างถูกต้องเมื่อผู้ใช้กดปุ่ม disconnect หรือออกจากระบบ
เมื่อที่อยู่ใดที่หนึ่งถูกเปิดเผยแล้ว บล็อกเชนสาธารณะจะให้ข้อมูลที่เหลือครบถ้วน
บริษัทวิเคราะห์บล็อกเชนจะตรวจสอบรูปแบบธุรกรรม ที่บ่งชี้ว่าหลายที่อยู่อาจเป็นของบุคคลหรือองค์กรเดียวกัน
ตัวอย่างเช่น หากกระเป๋าเงินหลายใบมีการโอนเงินระหว่างกันบ่อยครั้งหรือมีลักษณะการใช้งานคล้ายกัน ซอฟต์แวร์จะสามารถรวมกลุ่มเหล่านี้ไว้ด้วยกันได้ ดังนั้นหากมีที่อยู่อันหนึ่งที่ทราบแน่ชัด ก็สามารถนำไปสู่การเชื่อมโยงกับที่อยู่หลายอันอื่นๆ ได้
สิ่งนี้เกิดขึ้นในระดับมหาศาล ในกลางปี 2026 Chainalysis ระบุ ว่า บริษัทได้จัดกลุ่มที่อยู่บล็อกเชนมากกว่า 1 พันล้านรายการเป็นมากกว่า 134,000 เอนทิตีที่สามารถระบุตัวตนได้
การเคลื่อนย้ายเงินระหว่างบล็อกเชนก็ไม่ได้ทำให้การติดตามขาดหาย นักวิเคราะห์ยังสามารถติดตามสินทรัพย์ผ่านบริดจ์ระหว่างเครือข่ายต่างๆ ได้ การใช้ decentralized exchange ก็ไม่ได้ปกปิดธุรกรรมโดยอัตโนมัติ เพราะข้อมูลการแลกเปลี่ยนยังถูกบันทึกไว้บนบล็อกเชนแบบสาธารณะ
ผลลัพธ์จึงค่อนข้างชัดเจน นั่นคือ ที่อยู่กระเป๋าเงินอาจดูเหมือนชุดตัวอักษรและตัวเลขแบบสุ่ม แต่เมื่อมีการเชื่อมโยงกิจกรรมมากพอ ก็อาจกลายเป็นโปรไฟล์ทางการเงินที่ละเอียดมาก
มีตัวอย่างจริงที่สิ่งนี้เกิดขึ้น หลังจาก เหตุโจมตีด้วยแรนซัมแวร์ Colonial Pipeline ในปี 2021 เจ้าหน้าที่สอบสวนสหรัฐฯ ได้ติดตาม Bitcoin ผ่านกระเป๋าเงินหลายใบ และกู้คืนเงินค่าไถ่กลับมาได้ประมาณ 2.3 ล้าน USD จากยอดรวม 4.4 ล้าน USD
Helix: กลไกที่คุณไม่สามารถหลอกได้ด้วยการพยายามซ่อนตัว
ในยุคแรกของ Bitcoin Helix ได้รับความนิยมมากในตลาดมืด โดยสร้างขึ้นมาเพื่อจุดประสงค์เดียว คือทำให้ Bitcoin ไม่สามารถติดตามได้ Larry Dean Harmon เป็นผู้ดำเนินการในฐานะ tumbler ระหว่างปี 2014 ถึง 2017 โดยผสม coin ของลูกค้าเพื่อปกปิดแหล่งที่มาของเงินทุน และเขาโฆษณาผลลัพธ์เป็น bitcoin ที่ clean การบริการทั้งหมดนี้มีจุดประสงค์เพื่อปกปิดเท่านั้น ไม่มีส่วนไหนของบริการนี้เลยที่มีอยู่ นอกจากการตัดความเชื่อมโยงระหว่างจุดเริ่มต้นและจุดปลายทางของ coin
มี Bitcoin ทั้งหมด 354,468 BTC ประมาณ 311 ล้าน USD ในขณะนั้น ได้เคลื่อนผ่านที่นั่น การผสมเหล่านี้เปลี่ยนรูปรอยที่ทิ้งไว้ในเส้นทางแต่ไม่ได้ลบเส้นทางออก ทุก coin ยังคงทิ้งร่องรอยอย่างถาวรบนบล็อกเชนซึ่งไม่สามารถแก้ไขหรือถูกลบหลังจากเกิดเหตุการณ์นั้นแล้ว
Harmon ได้รับค่าคอมมิชชั่น 2.5% จากแต่ละครั้งที่มีการสลับ และค่าคอมมิชชั่นนั้นก็ไปอยู่บนเชนเช่นเดียวกับ coin อื่นๆ อย่างถาวร ส่วนแบ่งที่เขาหักเพื่อดำเนินบริการปกปิดก็กลายเป็นหลักฐานที่ย้อนกลับไปหาผู้ดำเนินการเอง ด้วยเหตุนี้บริการที่ถูกออกแบบมาเพื่อลบเส้นทางตั้งแต่ต้นกลับเขียนชื่อเจ้าของไว้ในเส้นทางที่มันไม่อาจลบออกได้
เส้นทางกระเป๋าเงินถูกผูกกับตัวตนของคนจริงได้อย่างไร
Helix แสดงให้เห็นว่าการเคลื่อน Bitcoin ไปมาไม่ได้หมายความว่าเส้นทางจะหายไป แต่การติดตามเงินเป็นเพียงครึ่งหนึ่งของงาน นักวิเคราะห์ต่างต้องเชื่อมโยงที่อยู่ของกระเป๋าเงินเหล่านั้นเข้ากับบุคคลหรือธุรกิจจริงให้ได้
โดยปกติแล้วสิ่งนี้จะเกิดขึ้นเมื่อเงินแตะถึงศูนย์แลกเปลี่ยนที่ถูกกำกับดูแล ศูนย์แลกเปลี่ยนจะรู้ว่าที่อยู่ฝากแต่ละรายการเป็นของลูกค้าคนใดและมีบันทึกข้อมูลระบุตัวตนผ่านการตรวจสอบ KYC ดังนั้นหากนักสืบสามารถติดตาม Bitcoin ไปยังที่อยู่เหล่านั้นได้ เขาสามารถขอข้อมูลบัญชีเหล่านี้ผ่านกระบวนการทางกฎหมาย
เพียงแค่การเชื่อมโยงครั้งเดียวก็อาจเปิดเผยมากกว่าการทำธุรกรรมเดียว หากการวิเคราะห์บล็อกเชนเชื่อมโยงหลายที่อยู่ว่าอาจเป็นเจ้าของรายเดียวกัน การระบุชื่อเจ้าของเพียงรายเดียวก็สามารถเปิดเผยรายชื่อให้กับที่อยู่ทั้งหมด แม้ศูนย์แลกเปลี่ยนจะทราบเพียงที่อยู่ที่เชื่อมต่อกับแพลตฟอร์ม แต่ด้วยการวิเคราะห์ก่อนหน้าสามารถเชื่อมโยงกับกลุ่มที่เหลือทั้งหมดได้
บางครั้งไม่จำเป็นต้องขอข้อมูลตามกฎหมาย คนและธุรกิจมักเผยแพร่ที่อยู่กระเป๋าเงินด้วยตัวเอง — บนเว็บไซต์ หน้ารับบริจาค แชท Telegram หรือโปรไฟล์สาธารณะ เช่นนั้นเมื่อที่อยู่ใดถูกผูกกับชื่ออย่างเปิดเผย ธุรกรรมในอดีตก็จะถูกเปิดเผยด้วย
สำหรับธุรกิจ นี่สร้างปัญหาความเป็นส่วนตัวขั้นพื้นฐาน การจ่ายเงินให้ซัพพลายเออร์อาจเปิดเผยการจ่ายก่อนหน้านี้ การเคลื่อนเงินทุนและคู่ค้ารายอื่น เนื่องจากธุรกรรมบนบล็อกเชนเป็นแบบถาวรและมีเวลาแนบ นั่นหมายความว่าหากมีการระบุที่อยู่กระเป๋าเงินหนึ่ง ที่อยู่นั้นก็ทำให้กิจกรรมตลอดหลายปีที่ผ่านมาถูกย้อนรอยได้ง่ายขึ้น
จุดที่การติดตามบล็อกเชนอาจผิดพลาดได้
แต่นั่นไม่ได้หมายความว่าการวิเคราะห์บล็อกเชนจะถูกต้องเสมอไป
ระบบที่ใช้เชื่อมโยงกระเป๋าเงินต่างอาศัยรูปแบบและความน่าจะเป็นอย่างมาก ซึ่งอาจสร้างผลลัพธ์ผิดฝั่งและถูกฝั่งได้ เช่น กิจกรรมปกติอาจถูกแจ้งเตือนแต่พฤติกรรมน่าสงสัยอาจถูกมองข้าม
ปัญหาหนึ่งคือประวัติการทำธุรกรรม Bitcoin อาจผ่านเจ้าของมาหลายราย หาก coin เคยผ่าน mixer หรือกระเป๋าที่มีความเสี่ยง เจ้าของภายหลังอาจตกเป็นผู้ต้องสงสัยโดยไม่เกี่ยวข้องกับกิจกรรมเก่าเลย
มีกรณีผู้ซื้อแบบ P2P รายหนึ่ง ที่บัญชีโดนแช่แข็งเนื่องจาก Bitcoin ที่ได้รับเคยผ่าน mixer ก่อนที่จะเป็นของเขา
สำหรับศูนย์แลกเปลี่ยนและธุรกิจภายใต้ข้อบังคับ ข้อผิดพลาดเหล่านี้มีต้นทุนจริง การแจ้งเตือนผิดอาจทำให้เงินของลูกค้าปกติถูกแช่แข็งและสร้างปัญหาด้านการปฏิบัติตามข้อกำหนดและการให้บริการลูกค้า
ยังมีข้อจำกัดในสิ่งที่บริษัทติดตามสามารถมองเห็นได้เช่นกัน โดยสกุลเงินดิจิทัลที่เน้นความเป็นส่วนตัวอย่างเช่น Monero ยังคงติดตามได้ยากกว่าอย่างมาก นอกจากนี้ การสืบสวนมักหยุดชะงักเมื่อเงินถูกโอนไปยังตลาดซื้อขายในประเทศที่ปฏิเสธการให้ความร่วมมือ
แม้แต่บริษัทวิเคราะห์บล็อกเชนขนาดใหญ่ที่สุดก็เคยต้องปรับข้อมูลสำคัญเช่นกัน ในต้นปี 2025 Chainalysis ได้ปรับลดประมาณการของคริปโตที่ถูกเกาหลีเหนือขโมยไปในปีก่อนหน้านั้นจาก 1 พันล้าน USD เหลือ 660.5 ล้าน USD ซึ่งเป็นการปรับแก้ข้อมูลมากกว่า 300 ล้าน USD หลังจากตรวจสอบการแฮ็กหลายกรณีอีกครั้ง
ความน่าเชื่อถือของระบบเหล่านี้ยังถูกท้าทายต่อศาลด้วย โดยทีมฝ่ายจำเลยในหลายคดี เช่น Bitcoin Fog และ Tornado Cash ได้ตั้งคำถามว่าควรให้ความสำคัญกับการวิเคราะห์ที่มาจากซอฟต์แวร์กรรมสิทธิ์ซึ่งบุคคลภายนอกไม่สามารถตรวจสอบได้มากเพียงใด
การตรวจสอบนี้สำคัญเพราะว่า Chainalysis ก็เป็นหนึ่งในผู้รับเหมาให้รัฐบาลสหรัฐอเมริกาด้วย รายงานอิสระบนพื้นฐานข้อมูลราชการ พบว่าบริษัทได้รับรางวัลจากรัฐบาลมากกว่า 93.2 ล้าน USD
ความเสี่ยงที่ใหญ่ที่สุดจากผลลัพธ์ที่ผิดพลาดนั้นจะตกอยู่กับผู้ใช้ที่บริสุทธิ์ การเชื่อมโยงผิดพลาดอาจส่งผลให้บัญชีถูกอายัด และในประเทศที่มีการคุ้มครองสิทธิ์อ่อนแอกว่า เครื่องมือการติดตามแบบเดียวกันสามารถเปิดเผยผู้บริจาค สื่อมวลชน หรือผู้สนับสนุนการเคลื่อนไหวทางการเมืองได้ แม้การติดตามบล็อกเชนจะเปิดเผยข้อมูลได้มาก แต่ผลลัพธ์จะต้องไม่ถูกถือว่าเป็นความจริงโดยอัตโนมัติ
ส่วนเดียวของเส้นทางที่ผู้ใช้ยังควบคุมได้
ส่วนใหญ่ของการเปิดเผยต่าง ๆ ข้างต้นเกิดขึ้นนอกเหนือการควบคุมของผู้ใช้ โดยกระเป๋าเงินอาจปล่อยข้อมูลที่อยู่ก่อนจะมีธุรกรรมเกิดขึ้น การวิเคราะห์บล็อกเชนอาจเชื่อมโยงที่อยู่หลายอันเข้าด้วยกัน และตลาดซื้อขายที่ได้รับการกำกับดูแลสามารถเชื่อมโยงกระเป๋าเหล่านั้นกับตัวตนจริงผ่านข้อมูล KYC ได้
แต่ส่วนที่ผู้ใช้ยังควบคุมได้ คือ การเชื่อมโยงโดยตรงระหว่างผู้ส่งกับผู้รับ เมื่อกระเป๋าเงินหนึ่งส่งเงินไปยังอีกกระเป๋า ข้อมูลนั้นจะถูกบันทึกถาวรบนบล็อกเชน และสามารถเปิดเผยคู่ธุรกรรม การเคลื่อนไหวของเงินสำรอง และความสัมพันธ์ทางธุรกิจได้ภายหลัง
ChangeNOW ได้เปิดตัว Private Transfers เพื่อลดการเชื่อมโยงโดยตรงนั้น โดยฟีเจอร์นี้จะเปลี่ยนเส้นทางการชำระเงินผ่านที่อยู่เฉพาะกิจแยกต่างหาก ดังนั้นผู้รับจะไม่ได้รับเงินโดยตรงจากผู้ส่ง ซึ่งจะตัดเส้นทางที่มองเห็นได้จากผู้ส่งถึงผู้รับ โดยไม่อ้างว่าเป็นการทำธุรกรรมแบบไม่ระบุตัวตนโดยสมบูรณ์
อย่างไรก็ตาม ยังคงเหลือการเปิดเผยอื่นอีกหลายจุด โดยข้อมูลเมทาดาทาของกระเป๋ายังสามารถรั่วไหลได้ การวิเคราะห์บล็อกเชนยังคงติดตามกิจกรรมรอบข้างได้ และการตรวจสอบ AML ยังคงใช้กับทุกขั้นตอน ทั้งการฝาก โอน และถอน
สำหรับพันธมิตร API แล้ว Private Transfers ถือเป็น ฟีเจอร์เสริมที่เลือกใช้ได้ ภายใต้โครงสร้างการโอนเงินที่มีอยู่ โดยใช้คีย์ API และอัตราค่าธรรมเนียมเดิม ไม่ต้องใช้ผลิตภัณฑ์หรือการเชื่อมต่อใหม่ จุดประสงค์ก็มีขอบเขตแคบลง คือ เพื่อลบลิงก์ที่ผู้ใช้เลือกได้ว่าจะสร้างหรือไม่สร้างเอง
บทสรุป
ขอกลับไปที่จุดตั้งต้น Andy Greenberg ใช้เวลาหลายปีเชื่อว่าบล็อกเชนปกปิดตัวตนของผู้ใช้งาน ก่อนจะค้นพบความจริงที่ตรงกันข้าม บทสรุป คือ เขาต้องใช้เวลาสิบปีกว่าจะตระหนักว่าความไม่สามารถติดตาม Bitcoin ได้นั้นผิดโดยสิ้นเชิง และนี่คือประเด็นหลักของบทความทั้งชิ้น การติดตามไม่ได้เป็นไปไม่ได้ทั้งหมด เพราะกระเป๋าเงินรั่วไหล ข้อมูลในบล็อกเชนถูกรวบรวม และกลุ่มข้อมูลเหล่านั้นก็สามารถเชื่อมต่อกับตัวตนได้
นั่นคือจุดยืนที่ควรถือไว้สำหรับคู่ค้า ไม่ใช่เรื่องนิรนามที่เหรียญซึ่งถูกติดตามมาตลอดทศวรรษพิสูจน์แล้วว่าเป็นเรื่องเล่า ไม่ใช่คุณสมบัติ แต่เป็นการชี้แจงอย่างชัดเจนว่าชั้นไหนจะปิดและชั้นไหนเปิดอยู่ Private Transfers ได้ตัดลิงก์เดียวซึ่งผู้ใช้สามารถสร้างขึ้นเองออกไปโดยสิ้นเชิง
