แฮ็กในตลาดแลกเปลี่ยนคริปโตกับข้อสรุปที่ไม่ควรคิด

เมื่อวันที่ 29 ตุลาคม ภายในเวลาประมาณยี่สิบนาที มีเงินออกจากกระเป๋าของ Binance ถึง 6.3 พันล้าน USD นี่เป็นการขโมยคริปโตครั้งใหญ่ที่สุดในประวัติศาสตร์ ซึ่งมีมูลค่าสูงกว่าเหตุการณ์แฮ็ก Bybit ในเดือนกุมภาพันธ์ 2025 ถึงสี่เท่า

ช่องทางการถูกโจมตี ตามที่ทางกระดานแลกเปลี่ยนเปิดเผย เกิดขึ้นจากคอมพิวเตอร์ของวิศวกรคนหนึ่งที่ติดมัลแวร์ หลังจากสัมภาษณ์งานปลอม

สองวันถัดมา Binance ได้ประกาศว่าฟื้นฟูสินทรัพย์ 98% คืนครบ โดยใช้เงินของตนเอง และในวันถัดมาก็เปิดให้ถอนเงินได้อีกครั้ง

โปรดจำไว้ให้ดีว่านี่คือสิ่งสำคัญที่สุด และกลับพูดถึงน้อยที่สุด

สำหรับคนที่มีฆ้อน ทุกปัญหาก็เหมือนตะปู

Mt. Gox, 2014 QuadrigaCX, 2019 FTX, 2022 Bybit, 2025 Binance, 2026 เหล่านี้คือตัวอย่างที่มีชื่อเสียง ต่างมีปัญหาแตกต่างกัน แต่คำตอบเหมือนเดิมเสมอ: เก็บเหรียญไว้เอง เพราะสุดท้ายแล้ว หากคุณไม่ได้ถือคีย์ เงินคุณก็ไม่ใช่ของคุณ

หลักการนี้เป็นความจริงในเชิงเทคนิค ถ้าคุณไม่ได้ถือ private key คุณก็ไม่ได้ควบคุมสินทรัพย์นั้น คุณแค่มีสิทธิ์เรียกร้องกับคนที่ถือเท่านั้น

อย่างไรก็ตาม ข้อสรุปที่มักนำไปใช้ต่อกันไม่ใช่ว่าการเก็บเหรียญเองจะปลอดภัยกว่าเสมอไป

สุสานของผู้พ่ายแพ้เงียบงัน เว้นแต่ผู้แพ้จะยิ่งใหญ่จริงๆ

เมื่อกระดานแลกเปลี่ยนถูกโจมตี โลกทั้งโลกก็รับรู้ มีเงินนับพันล้าน USD เป็นเดิมพัน มีแถลงการณ์และสื่อทั่วโลกนำเสนอข่าว

แต่เมื่อบุคคลคนหนึ่งสูญเสียทุกอย่าง แทบจะไม่มีใครล่วงรู้ แม้ว่าการสูญเสียจะเกิดขึ้นบนเชนและเปิดเผยสาธารณะ คนทั่วไปไม่ได้ตามข่าวสืบสวนบล็อกเชนกันสักเท่าไหร่ เพราะพวกเขาติดตามแต่สื่อกระแสหลัก

ผู้เสียหายจำนวนมากเหล่านี้ ยังไม่กล้าแจ้งความด้วยซ้ำ ด้วยความอายหรือลังเลใจ

สำหรับฝั่งนักสืบ ภาพที่เห็นคุ้นตา: ผู้เสียหายมาพร้อมกับ hash ของธุรกรรมในมือ และหวังว่าจะมีคนช่วย “แช่แข็งบิทคอยน์” ให้ได้

และ เว้นแต่ดวงจะสมพงษ์กันจริงๆ ไม่ว่าจะเป็นผู้เสียหายที่แจ้งเรื่องเร็วและครบถ้วน เจ้าหน้าที่ที่มีศักยภาพ หรือเงินที่ไปถึงกระดานแลกเปลี่ยน หรืออยู่ใน token ที่สามารถแช่แข็งได้ ผลลัพธ์ส่วนใหญ่มักออกมาน่ากลัว

การโจมตีบนกระดานแลกเปลี่ยนขนาดใหญ่ไม่ได้เกิดขึ้นบ่อยที่สุด พวกมันแค่เป็นเหตุการณ์ที่ทุกคนเห็น

เมนูความเสี่ยงของการดูแลสินทรัพย์ด้วยตนเองที่คัดสรรเป็นพิเศษ

การส่งมอบรหัส seed. เมื่อวันที่ 10 มกราคม 2026 นักลงทุนคนหนึ่งอ่านรหัส seed ของ hardware wallet ให้กับมิจฉาชีพที่แอบอ้างเป็นฝ่ายซัพพอร์ตของ Trezor เขาสูญเสีย BTC ทั้งหมด 1,459 เหรียญ และ LTC จำนวน 2.05 ล้านเหรียญ รวมมูลค่ากว่า 282 ล้าน USD อุปกรณ์นี้ทำงานได้สมบูรณ์แบบ แต่เจ้าของกลับไม่ทันระวัง

รหัส seed รั่วไหล. รูปภาพบนโทรศัพท์ บันทึกในคลาวด์ หรืออีเมลที่ส่งถึงตัวเอง ไม่มีใครร้องขอคำเหล่านี้ แต่กลับหลุดออกไป

การหลอกให้เซ็นยืนยันธุรกรรม. คุณเซ็นข้อความนอกเครือข่ายที่ให้สิทธิ์บุคคลภายนอกเคลื่อนย้าย token ของคุณ และเขาสามารถนำมันออกทุกเมื่อที่คนร้ายต้องการ คล้ายเช็คเปล่าที่เซ็นชื่อทิ้งไว้และลืมไว้ในลิ้นชักคนแปลกหน้า แค่เดือนมกราคม 2026 ยอดความเสียหายอยู่ที่ 6.3 ล้าน USD

ที่น่าขันคือ การแฮก Binance ก็เกิดจากการเซ็นแบบนี้เหมือนกัน ระบบของกระดานถูกหลอกให้เซ็นอนุมัติธุรกรรม 50 รายการพร้อมกัน และเพียงหนึ่งรายการก็เพียงพอที่จะส่งกระเป๋าเงินของเหยื่อให้คนร้าย สูญเงินก้อนใหญ่ถึง 2.2 พันล้าน USD ในธุรกรรมเดียว

การบังคับทางกายภาพ (Wrench attack). ชื่อนี้มาจากประแจ ไม่มีรหัสลับใดจะต้านทานภัยทางกายภาพที่มุ่งร้ายต่อคุณหรือครอบครัวได้ ในครึ่งแรกของปี 2026 CertiK นับได้ 52 เหตุการณ์ รวมมูลค่า 124 ล้าน USD; โดยในฝรั่งเศสเกิดขึ้นถึง 33 ครั้ง

การล่อหลอกให้เลือกที่อยู่ผิด (Address poisoning). มิจฉาชีพจะแทรกที่อยู่เกือบเหมือนของจริงไว้ในประวัติธุรกรรมของคุณ เมื่อคุณโอนครั้งถัดไปจึงเผลอคัดลอกที่อยู่นั้น เพียงแค่กรณีเดียวที่เกิดขึ้นในเดือนมกราคมก็สร้างความเสียหายไปถึง 12.25 ล้าน USD แล้ว

อุปกรณ์ล้มเหลว. เมื่อวันที่ 29 กรกฎาคม ผู้ใช้ ColdCard ที่ไม่เคยเชื่อมต่ออุปกรณ์กับอินเทอร์เน็ตถูกขโมยเงิน ด้วยข้อบกพร่องเรื่องการสุ่มสร้างรหัสกุญแจ สูญเสียบิตคอยน์กว่า 1,000 เหรียญ ดิฉันวิเคราะห์กรณีนี้ไว้ใน “ไม่ใช่กุญแจของคุณ ไม่ใช่ coin ของคุณ — แต่คุณรู้หรือไม่ว่ากุญแจเหล่านั้นถูกสร้างขึ้นอย่างไร?“

โปรดทราบ: ในแต่ละกรณี เหยื่อจะไว้วางใจบางสิ่งบางอย่าง สายสนับสนุน, คลาวด์, เว็บไซต์, การตัดสินใจด้วยตนเอง, ประวัติธุรกรรม, เฟิร์มแวร์ และในทุกกรณี พวกเขาเชื่อมั่นในความสามารถของตัวเอง

ดูแลทรัพย์สินเองหรือฝากไว้ในตลาดแลกเปลี่ยน? กับดักความคิดผิดๆ

การฝากทรัพย์สินในรูปแบบใดก็มีความเสี่ยงทั้งนั้น ผู้ที่เก็บสินทรัพย์ไว้บนตลาดแลกเปลี่ยนต้องไว้วางใจการบริหารและความมั่นคงของตลาดนั้น ส่วนผู้ที่ดูแลเองก็ต้องไว้ใจตัวเอง อุปกรณ์ ซอฟต์แวร์ และผู้ที่รู้อยู่แล้วว่าคุณมี bitcoin ปัญหาอยู่ที่เรารู้ถึงความเสี่ยงรูปแบบแรกแต่กลับมองข้ามแบบที่สอง

ไม่มีทางเลือกไหนที่ไม่ต้องพึ่งความไว้ใจ มีทั้งความไว้ใจโดยรู้ตัวและความเชื่อมั่นที่มองข้ามไป ซึ่งความเสี่ยงที่แพงที่สุดคือสิ่งที่คุณไม่เห็นด้วยซ้ำ

ไม่มีใครควรเก็บทรัพย์สินทั้งหมดไว้ใต้ที่นอน หรือทุกอย่างไว้ในธนาคารแห่งเดียว

กับสินทรัพย์คริปโต หลักการก็ควรเหมือนกัน: ส่วนหนึ่งเก็บไว้ในตลาดแลกเปลี่ยนที่มั่นคง (หรืออาจหลายแพลตฟอร์ม) ส่วนหนึ่งเก็บรักษาเองในรูปแบบที่มั่นคง และอีกส่วนใน ETF — ตัวอย่างเช่น 30%, 40% และ 30% ตามลำดับ

การแบ่งสัดส่วนขึ้นอยู่กับความรู้ โปรไฟล์ และเป้าหมายของแต่ละคน ซึ่งความรับผิดชอบนี้ไม่สามารถโอนให้ผู้อื่นได้ ขอโทษสำหรับข่าวไม่ค่อยดีนี้ แต่ดีกว่าได้รู้ตอนนี้มากกว่าวันหลัง

หลังวันพรุ่งนี้

ความรับผิดชอบช่วยลดความเสี่ยงแต่ก็ไม่สามารถกำจัดมันได้ ดังนั้นอย่าถามแค่ ว่าอะไรปลอดภัยกว่ากันสำหรับคุณ? แต่ควรถามด้วยว่า จะเกิดอะไรขึ้นกับคุณหลังถูกโจมตี?

สำหรับการดูแลเอง ไม่มีใครให้โทรขอความช่วยเหลือ กรณีเดือนมกราคม USD 282 ล้านถูกแปลงเป็น Monero ทันที (BTC, BTC, LTC) การหยุดยึดเกิดขึ้นเมื่อเงินเข้า stablecoin issuer หรือแลกเปลี่ยน การกู้คืนทั้งหมดเป็นข้อยกเว้นมากกว่า

ถ้าอยู่บนตลาดแลกเปลี่ยน จะมีคู่สัญญา Bybit คืนทุนลูกค้าในสามวัน Bitget ใช้กองทุนปกป้องลูกค้าคืน USD 388 ล้านที่สูญหายเมื่อกันยายน

Binance รับผิดชอบความเสียหายทั้งหมด และฟื้นฟูคืนมาได้ 98% แล้ว สามารถตรวจสอบได้จากหลักฐานเงินสำรอง

อย่างไรก็ตาม คู่สัญญาจะมีค่าแค่เมื่อมีสภาพคล่องที่เพียงพอ และมักไม่ได้คืนครบทุกอย่างที่คุณมีเสมอไป

เจ้าหนี้ Mt. Gox รอคอยนานสิบปีและได้คืนเพียงประมาณ 15% ของ bitcoin ที่เคยมี แต่เพราะมูลค่า bitcoin เพิ่มสูงขึ้นตลอดช่วงนั้น มูลค่าส่วนที่ได้คืนกลับมีมูลค่าหลายเท่าของยอดคงเหลือปี 2014 แล้ว

เจ้าหนี้ของ FTX ได้รับเงินสด ไม่ใช่สินทรัพย์คริปโตในยอดคงเหลือ: ประมาณ 120% ของมูลค่าขณะเกิดเหตุล่มสลายเมื่อเดือนพฤศจิกายน 2022 ตอนที่บิทคอยน์อยู่ใกล้ 16,000 USD มากกว่าที่มีมูลค่าในขณะนั้นแต่ก็น้อยกว่าที่จะมีมูลค่าในวันนี้

ดังนั้นจึงมีความสำคัญอย่างยิ่งในประเทศบราซิล ที่มีมติของธนาคารกลาง (BCB) ฉบับที่ 519, 520 และ 521 ของปี 2025

สำหรับนักลงทุน สิ่งที่สำคัญที่สุดไม่ใช่การที่เว็บแลกเปลี่ยนคริปโตจะต้องขึ้นตรงกับธนาคารกลาง แต่เป็นข้อกำหนดที่ต้องปฏิบัติ: สินทรัพย์ของลูกค้าต้องแยกจากบริษัท ในกระเป๋าเงินแยกต่างหาก พร้อมหลักฐานสำรองและการตรวจสอบโดยอิสระ และต้องห้ามใช้ในกิจการของบริษัทเอง

สรุปใจความสำคัญ

ไม่ถือ key ของคุณก็ไม่ใช่ coin ของคุณ เป็นสุภาษิตเกี่ยวกับการควบคุม ไม่ใช่เรื่องความปลอดภัย

ใครก็ตามที่ถอนทรัพย์สินทั้งหมดออกจากเว็บแลกเปลี่ยนคริปโต มิได้หยุดความไว้วางใจ แต่แค่ย้ายความไว้ใจนั้นมาไว้กับตัวเองแทบทุกครั้งโดยไม่เคยตั้งคำถามว่าตนสมควรได้รับหรือไม่

การเก็บรักษาทรัพย์สินไม่ใช่การเลือกว่าไม่ไว้ใจใคร แต่เป็นการเลือกอย่างมีสติว่าควรไว้ใจใครและสิ่งใด