เจาะลึกคดีปล้นบิทคอยน์ครั้งประวัติศาสตร์ เมื่อ "กระเป๋าเงินคริปโต" ที่คริปโตทั่วโลกไว้ใจ กลายเป็นประตูหลังให้แฮกเกอร์ปล้นเงินเงียบเชียบเกือบ 3,000 ล้านบาทในไม่กี่นาที การปล้นแบบเงียบๆ ที่สร้างความเสียหายเทียบเท่าการปล้นธนาคารครั้งใหญ่ที่สุดครั้งหนึ่งของโลก เกิดขึ้นกับกระเป๋าฮาร์ดแวร์ Coldcard ที่นักลงทุนบิทคอยน์ทั่วโลกเชื่อว่าปลอดภัยที่สุด จนถึงวันที่ 2 สิงหาคม 2569 ความเสียหายพุ่งแตะเกือบ 89 ล้านดอลลาร์สหรัฐ จากทรัพย์สินที่ถูกเก็บไว้ "ออฟไลน์" มานานถึง 5 ปีโดยไม่มีใครรู้ตัวว่ากำลังนั่งอยู่บนระเบิดเวลา
เรื่องนี้จัดเป็นคดีอาชญากรรมทางเศรษฐกิจที่สั่นคลอนรากฐานความเชื่อของวงการคริปโตทั้งใบ ไม่ใช่เพียงบั๊กหรือช่องโหว่ไอทีธรรมดาๆ นั่นคือความเชื่อที่ว่า การถือครองกุญแจส่วนตัวด้วยตัวเอง (self-custody) คือทางออกที่ปลอดภัยที่สุด ไม่ต้องพึ่งพาธนาคารหรือตัวกลางใด ๆ
ระเบิดเวลาที่ฝังมา 5 ปี
ต้นตอของหายนะครั้งนี้ไม่ใช่การแฮ็กแบบทั่วไปที่บุกเจาะเซิร์ฟเวอร์หรือหลอกเหยื่อให้กรอกรหัสผ่าน แต่เป็นข้อผิดพลาดที่ฝังลึกอยู่ในระบบของอุปกรณ์เอง ย้อนกลับไปเดือนมีนาคม 2564 บริษัท Coinkite ผู้ผลิตกระเป๋าฮาร์ดแวร์ Coldcard จากแคนาดา ได้ปล่อยอัปเดตเฟิร์มแวร์เวอร์ชัน 4.0.0 ออกมา โดยมีการเปลี่ยนแปลงโค้ดเพียงจุดเดียวที่ไม่มีใครสังเกตเห็น แต่กลับทำให้ระบบสร้างรหัสกู้คืนกระเป๋า หรือ seed phrase เปลี่ยนจากการใช้ตัวสร้างเลขสุ่มจากฮาร์ดแวร์แท้ ๆ (Hardware Random Number Generator) ไปใช้ตัวสร้างเลขสุ่มแบบซอฟต์แวร์แทนโดยเงียบเชียบ
ฟังดูเป็นเรื่องเทคนิคเล็กน้อย แต่ผลลัพธ์คือหายนะ เพราะตามหลักการแล้ว ความปลอดภัยของกระเป๋าคริปโตขึ้นอยู่กับ "ความสุ่ม" ของรหัสกู้คืนที่ควรมีความซับซ้อนระดับ 128 บิต หรือมีความเป็นไปได้มากเสียจนไม่มีคอมพิวเตอร์เครื่องไหนในโลกเดารหัสถูกได้ทันเวลา แต่สำหรับอุปกรณ์รุ่น Mk3 ที่ได้รับผลกระทบ พื้นที่การเดารหัสยุบตัวลงเหลือเพียงราว 40 บิตเท่านั้น เปรียบเสมือนกุญแจบ้านที่ควรมีแบบนับล้านล้านรูปแบบ กลับเหลือเพียงไม่กี่พันแบบให้โจรลองไขทีละดอกจนเจอ
25 นาทีที่เงินหายไปเกือบ 3 ล้านดอลลาร์
วันที่ 30 กรกฎาคม 2569 เวลา 01.31 ถึง 01.56 น. ตามเวลาสากล คือช่วงเวลาที่นักลงทุนคริปโตหลายร้อยรายทั่วโลกแตกตื่น และถูกบันทึกไว้ในหน้าประวัติศาสตร์คริปโต เมื่อแฮกเกอร์ที่วางแผนมาอย่างดีได้กวาดบิทคอยน์ออกจากกระเป๋าแบบ single-signature ราว 500 ใบ ทุกใบล้วนถือครองมากกว่า 0.15 BTC และหลายใบนอนนิ่งอยู่ในกระเป๋าโดยไม่เคลื่อนไหวมานานหลายปี รวมมูลค่าความเสียหายรอบแรกทันทีราว 38 ล้านดอลลาร์สหรัฐ หรือประมาณ 594 BTC
นักวิจัยจาก Chainalysis ตรวจสอบพบพฤติกรรมที่บ่งบอกว่านี่ไม่ใช่การโจมตีแบบสุ่ม แต่เป็นปฏิบัติการที่คำนวณมาอย่างอย่างดี เพราะแฮกเกอร์เลือกโจมตีกระเป๋าที่มีมูลค่าสูงสุดก่อนเป็นอันดับแรก ทำให้กวาดเงินไปได้ถึง 30 ล้านดอลลาร์ ภายในเวลาเพียง 10 นาทีแรกเท่านั้น
ทีมวิจัย Galaxy Research ตามรอยเพิ่มเติมพบว่าเมื่อขยายกรอบเวลาการวิเคราะห์ออกไป การโจมตีจริงครอบคลุมมากถึง 1,196 แอดเดรส ภายในเวลา 41 นาที มูลค่าความเสียหายพุ่งเป็น 1,082.65 BTC หรือราว 70.2 ล้านดอลลาร์สหรัฐ และนี่เป็นเพียงจุดเริ่มต้น
ช็อคเวฟคลื่นความเสียหาย เริ่มกระจายตัวเป็นวงกว้าง
หลังการโจมตีระลอกแรกเพียงหนึ่งวัน วันที่ 1 สิงหาคม Galaxy Research ตรวจพบคลื่นการโจมตีระลอกที่สองจากผู้ก่อเหตุรายเดิม ดันยอดความเสียหายสะสมขึ้นไปแตะ 1,158.66 BTC จาก 2,673 แอดเดรส คิดเป็นมูลค่าราว 75.1 ล้านดอลลาร์ และเพียงหนึ่งวันถัดมา คลื่นความเสียหายระลอกที่สามก็ตามมาอีกระลอก โดยรอบนี้แฮกเกอร์เปลี่ยนกลยุทธ์หันไปเล็งเป้ากระเป๋าขนาดเล็กลง พร้อมใช้รูปแบบธุรกรรมที่ซับซ้อนขึ้นเพื่อให้ยากต่อการตามรอย ยอดความเสียหายรวมล่าสุดพุ่งเป็น 1,367 BTC จาก 4,585 แอดเดรส คิดเป็นมูลค่าเกือบ 89 ล้านดอลลาร์สหรัฐ
นักวิเคราะห์จาก Galaxy Research เชื่อว่าแต่ละคลื่นน่าจะเป็นฝีมือของแฮกเกอร์เพียงคนเดียวต่อคลื่น แต่ยังไม่สามารถยืนยันได้ว่าทั้งสามคลื่นเป็นฝีมือคนเดียวกันหรือเครือข่ายเดียวกันหรือไม่ เพราะธรรมชาติของบล็อกเชนไม่ได้เปิดเผยว่าใครอยู่เบื้องหลังการโอนแต่ละครั้ง
ที่น่ากังวลยิ่งกว่าตัวเลขความเสียหาย คือคำเตือนจากทีมวิจัยด้านความปลอดภัย Wizardsardine ที่ระบุว่า ณ วันที่ 1 สิงหาคม การโจมตีลักษณะนี้ยังไม่แพร่หลายมากนัก แต่คาดการณ์ว่าจะกลายเป็นเรื่องปกติและเกิดขึ้นแบบอัตโนมัติหรือแทบจะแน่นอนภายในไม่กี่วันถึงไม่กี่สัปดาห์ข้างหน้า นั่นหมายความว่าเงินหลายสิบล้านดอลลาร์ที่ยังไม่ถูกปล้นในวันนี้ อาจกำลังรอเวลาถูกกวาดในไม่ช้า
ใครบ้างที่ตกอยู่ในความเสี่ยง
Coinkite ผู้ผลิต Coldcard ออกประกาศแจ้งเตือนโดยระบุรุ่นและเวอร์ชันเฟิร์มแวร์ที่ได้รับผลกระทบไว้อย่างชัดเจน ครอบคลุมรุ่น Mk2 และ Mk3 เวอร์ชัน 4.0.0 ถึง 4.1.9 ซึ่งได้รับการแก้ไขแล้วในเวอร์ชัน 4.2.0 ส่วนรุ่น Mk4 และ Mk5 ทุกเวอร์ชันก่อน 5.6.0 และรุ่น Q ทุกเวอร์ชันก่อน 1.5.0Q ก็อยู่ในกลุ่มเสี่ยงเช่นกัน แม้บริษัทจะยืนยันว่ายังไม่พบความเสียหายที่ยืนยันแล้วในรุ่น Mk4 Q และ Mk5 ก็ตาม
ข้อยกเว้นสำคัญที่ผู้ใช้ควรรู้คือ หากรหัสกู้คืนกระเป๋าถูกสร้างขึ้นด้วยลักษณะสุ่มแบบการทอยลูกเต๋าอย่างน้อย 50 ครั้งด้วยตนเอง หรือใช้ passphrase แบบ BIP-39 เพิ่มเติม จะไม่ตกอยู่ในความเสี่ยงจากบั๊กนี้ แต่สำหรับผู้ใช้ทั่วไปที่ปล่อยให้อุปกรณ์สร้างรหัสให้อัตโนมัติตามค่าเริ่มต้น คือกลุ่มที่น่าเป็นห่วงที่สุด
คำถามที่ตามมาคือ ใครควรรับผิดชอบ ทีมวิศวกรรมของ Block ซึ่งเข้าไปช่วยวิเคราะห์ปัญหาระบุว่า ผู้โจมตีที่สามารถระบุหรือจำกัดขอบเขตของรหัสอุปกรณ์ (UID) สถานะตัวจับเวลา และประวัติการเรียกใช้ตัวสร้างเลขสุ่มก่อนหน้าได้ จะสามารถคำนวณสร้างรหัสกู้คืนขึ้นใหม่แบบออฟไลน์ได้โดยไม่ต้องแตะต้องอุปกรณ์จริงเลยด้วยซ้ำ นั่นหมายความว่าผู้ก่อเหตุไม่จำเป็นต้องขโมยอุปกรณ์ ไม่จำเป็นต้องหลอกเหยื่อ เพียงแค่รู้จุดอ่อนทางคณิตศาสตร์ของระบบก็เพียงพอในการเข้าถึงสินทรัพย์ของเหยื่อได้แล้ว
แผลลึกที่กระทบความเชื่อมั่นทั้งวงการ
นักพัฒนา Bitcoin ที่มีผู้ติดตามจำนวนมากอย่าง Udi Wertheimer แสดงความเห็นต่อเหตุการณ์นี้ว่า แนวคิดที่ว่าเก็บบิทคอยน์ไว้ในที่ปลอดภัยแล้วใช้ชีวิตต่อไปโดยไม่ต้องกังวลนั้น ไม่ใช่เรื่องที่เป็นจริงได้อีกต่อไปในโลกปัจจุบัน นักลงทุนที่ต้องการดูแลทรัพย์สินด้วยตัวเองต้องคอยติดตามภัยคุกคามใหม่ ๆ อยู่ตลอดเวลา หรือไม่ก็ต้องจ่ายเงินให้ผู้ดูแลมืออาชีพที่มีทีมความปลอดภัยเฝ้าระวังแทน
ข้อมูลจากบริษัทความปลอดภัยบล็อกเชน Blockaid ยังเสริมให้เห็นภาพที่น่ากังวลยิ่งขึ้น เพราะความเสียหายส่วนใหญ่จากอาชญากรรมคริปโตในช่วงครึ่งแรกของปี 2569 ไม่ได้มาจากการแฮกสัญญาอัจฉริยะเหมือนในอดีต แต่มาจากกุญแจที่ถูกเจาะและความล้มเหลวด้านการรักษาความปลอดภัยเชิงปฏิบัติการเป็นหลัก สะท้อนว่าจุดอ่อนของวงการคริปโตกำลังเปลี่ยนทิศทาง จากช่องโหว่ในโค้ดสัญญา ไปสู่ช่องโหว่ในอุปกรณ์ที่มนุษย์ใช้ปกป้องทรัพย์สินของตัวเอง
เหตุการณ์นี้จึงไม่ใช่แค่ความเสียหายทางการเงิน แต่เป็นบททดสอบทางความเชื่อของทั้งอุตสาหกรรม บางฝ่ายมองว่าจะยิ่งเร่งให้นักลงทุนหันไปพึ่งพาผู้ดูแลทรัพย์สินแบบมืออาชีพ หรือกองทุน Bitcoin ETF ที่มีการกำกับดูแลมากขึ้น แทนการถือครองด้วยตัวเองแบบเดิม
ความเสี่ยงของนักลงทุนไทยและตลาดอาเซียน
สำหรับประเทศไทยและภูมิภาคอาเซียน ที่การลงทุนคริปโตเติบโตอย่างต่อเนื่องในช่วงหลายปีที่ผ่านมา และกระเป๋าฮาร์ดแวร์อย่าง Coldcard ก็เป็นหนึ่งในตัวเลือกยอดนิยมของนักลงทุนสายถือยาวหรือ Bitcoin maximalist ที่เชื่อในหลักการ not your keys not your coins เหตุการณ์นี้ควรเป็นสัญญาณเตือนที่ไม่ควรมองข้าม
นักลงทุนไทยที่ใช้อุปกรณ์ Coldcard ควรตรวจสอบทันทีว่าอุปกรณ์ของตนอยู่ในรุ่นและเวอร์ชันเฟิร์มแวร์ที่ได้รับผลกระทบหรือไม่ หากพบว่าเข้าข่ายเสี่ยง สิ่งที่ต้องทำโดยด่วนคืออัปเดตเฟิร์มแวร์เป็นเวอร์ชันที่แก้ไขแล้ว และที่สำคัญยิ่งกว่าคือการย้ายเงินทั้งหมดไปยังกระเป๋าใบใหม่ที่สร้างรหัสกู้คืนขึ้นใหม่หลังการอัปเดต เพราะการอัปเดตเฟิร์มแวร์เพียงอย่างเดียวไม่ได้ทำให้ seed เดิมที่อาจรั่วไหลไปแล้วกลับมาปลอดภัย
ข้อควรระวังที่สำคัญไม่แพ้กันคือ ห้ามนำรหัสกู้คืนกระเป๋าไปกรอกในเว็บไซต์หรือเครื่องมือใด ๆ ที่อ้างว่าสามารถตรวจสอบความเสี่ยงได้ เพราะในช่วงที่เกิดข่าวลักษณะนี้ มักมีมิจฉาชีพฉวยโอกาสสร้างเว็บปลอมหลอกเก็บ seed phrase ซ้อนเข้ามาอีกชั้นหนึ่ง ซึ่งเป็นรูปแบบการหลอกลวงที่พบได้บ่อยในตลาดคริปโตของไทยและอาเซียนอยู่แล้ว
ในมุมกว้างกว่านั้น เหตุการณ์นี้ตอกย้ำบทเรียนสำคัญสำหรับนักลงทุนไทยว่า การถือครองสินทรัพย์ดิจิทัลด้วยตนเองไม่ใช่จุดสิ้นสุดของความปลอดภัย แต่เป็นจุดเริ่มต้นของความรับผิดชอบที่ต้องติดตามอย่างต่อเนื่อง ไม่ว่าจะเป็นการอัปเดตอุปกรณ์ การกระจายความเสี่ยงด้วยกระเป๋าแบบ multi-signature หรือแม้แต่การพิจารณาใช้บริการผู้ดูแลสินทรัพย์ดิจิทัลที่ได้รับใบอนุญาตจากสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) สำหรับผู้ที่ไม่มั่นใจในการดูแลกุญแจด้วยตัวเอง
บทเรียนราคาแพงเกือบ 89 ล้านดอลลาร์ครั้งนี้ อาจเป็นจุดเปลี่ยนที่ทำให้ทั้งวงการต้องกลับมาทบทวนใหม่ว่า ระหว่างอิสรภาพทางการเงินแบบไร้ตัวกลาง กับความปลอดภัยที่ต้องแลกมาด้วยความรับผิดชอบมหาศาล เส้นแบ่งที่แท้จริงอยู่ตรงไหนกันแน่
ข้อมูลอ้างอิงจากการรายงานของ CoinDesk, TheStreet Crypto, The Hacker News, PYMNTS, TradingView News และ Wizardsardine ข้อมูลตัวเลขความเสียหายอาจมีการเปลี่ยนแปลงเพิ่มเติมเนื่องจากทีมสืบสวนยังคงติดตามธุรกรรมบนบล็อกเชนอย่างต่อเนื่อง