เงินจากผู้ใช้ Coinbase ถูกขโมยอย่างไร เมื่อภัยครั้งนี้อาจไม่ได้เริ่มจากช่องโหว่ของสมาร์ตคอนแทรกต์

หลักฐานสาธารณะที่มีอยู่ในขณะนี้ชี้ไปที่ผู้ก่อเหตุซึ่งมุ่งหวังผลประโยชน์ทางการเงินและใช้ฟิชชิงหรือวิศวกรรมสังคม หรืออาจเป็นกลุ่มผู้ก่อเหตุหลายราย มากกว่าจะเป็นผู้โจมตีสมาร์ตคอนแทรกต์ของ Coinbase โดยตรง

รายงานหลังการเคลื่อนไหวครั้งล่าสุดระบุว่า เงินคริปโตประมาณ 500,000 ดอลลาร์ถูกแปลงเป็น Ether และส่งผ่าน Tornado Cash เมื่อวันที่ 16 สิงหาคม หลังจากมีการโอนเงินลักษณะคล้ายกันราว 2 ล้านดอลลาร์เมื่อประมาณสามสัปดาห์ก่อน ขณะเดียวกัน กระเป๋าเงินที่เชื่อมโยงกันยังถูกระบุว่าถือเงินอยู่อีกหลายสิบล้านดอลลาร์

อย่างไรก็ตาม การระบุตัวผู้ก่อเหตุยังเป็นเพียงข้อสันนิษฐาน ชื่อกำกับบนบล็อกเชนอย่าง “Coinbase hacker” เป็นการจัดประเภทของนักวิเคราะห์ ไม่ใช่ข้อสรุปทางกฎหมาย ส่วนตัวเลขความเสียหายรวมกว่า 300 ล้านดอลลาร์เป็นการประเมินของนักสืบบล็อกเชนหรือสื่อ และไม่ได้พิสูจน์ว่าเหตุโจรกรรมจากผู้ใช้ Coinbase ทุกกรณีเกิดจากบุคคลหรือกลุ่มเดียวกัน

เงินจากผู้ใช้ Coinbase ถูกขโมยด้วยวิธีใด

รูปแบบของแคมเปญนี้เป็นการโจมตีมนุษย์มากกว่าการเจาะโค้ด เหยื่อถูกรายงานว่าได้รับการติดต่อจากมิจฉาชีพที่ปลอมตัวเป็นเจ้าหน้าที่ฝ่ายสนับสนุนลูกค้าของ Coinbase จากนั้นผู้โทรหรือผู้ส่งข้อความจะสร้างแรงกดดันให้เหยื่อเปิดเผยข้อมูลเข้าสู่ระบบ อนุมัติธุรกรรม โอนสินทรัพย์ หรือมอบอำนาจควบคุมบัญชีในทางใดทางหนึ่ง รายงานหลายฉบับแยกกรณีนี้ออกจากการโจมตีสมาร์ตคอนแทรกต์อย่างชัดเจน

ความแตกต่างนี้สำคัญมาก เพราะการโจมตีสมาร์ตคอนแทรกต์มักอาศัยช่องโหว่ในตรรกะของแอปพลิเคชันบนบล็อกเชน แต่การปลอมเป็นฝ่ายบริการลูกค้าใช้การชักจูงให้เจ้าของบัญชีเป็นผู้อนุมัติหรือเปิดทางให้ธุรกรรมเกิดขึ้นเอง

จุดอ่อนจึงไม่ได้อยู่ที่โค้ดเพียงอย่างเดียว แต่อยู่ที่ความไว้วางใจและการตัดสินใจของผู้ใช้ โดยผู้หลอกลวงมักเสริมความน่าเชื่อถือด้วยข้อมูลส่วนตัวที่ดูเหมือนรู้จริง พร้อมสร้างบรรยากาศเร่งด่วนจนเหยื่อไม่มีเวลาตรวจสอบ

ตัวเลขความเสียหายสะท้อนอะไร และยังสรุปอะไรไม่ได้

เมื่อเดือนกุมภาพันธ์ 2025 นักสืบบล็อกเชน ZachXBT และ tanuki42 รายงานว่า ผู้ใช้ Coinbase สูญเสียเงินมากกว่า 65 ล้านดอลลาร์ในช่วงเดือนธันวาคม 2024 ถึงมกราคม 2025 และประเมินว่าความเสียหายจากกลโกงวิศวกรรมสังคมที่คล้ายกันอาจสูงกว่า 300 ล้านดอลลาร์ต่อปี การตรวจสอบของทั้งคู่ใช้รายงานจากเหยื่อและกิจกรรมบนบล็อกเชน แต่ก็ยอมรับว่าข้อมูลที่เข้าถึงได้ยังไม่ครบถ้วน

ต่อมา มีรายงานว่าผู้ใช้ Coinbase สูญเสียเงินเพิ่มอีกราว 45 ล้านดอลลาร์จากกลโกงวิศวกรรมสังคมที่ประสานงานกันภายในเวลาเพียงหนึ่งสัปดาห์ในเดือนพฤษภาคม 2025 ตัวเลขเหล่านี้สนับสนุนภาพว่าเหตุโจมตีเกิดขึ้นอย่างต่อเนื่องและมีการจัดการเป็นระบบ แต่ยังไม่เพียงพอที่จะพิสูจน์ว่าเหตุการณ์ทั้งหมด รวมถึงเงินที่ถูกส่งผ่านเครื่องมือผสมธุรกรรม เป็นฝีมือของผู้ควบคุมกระเป๋าเงินรายเดียวกัน

การสืบสวนหนึ่งยังพบที่อยู่สำหรับรวบรวมเงินซึ่งเชื่อมโยงกับเหยื่อมากกว่า 25 ราย การรวมกลุ่มของธุรกรรมเช่นนี้ช่วยให้นักสืบเชื่อมโยงเส้นทางเงินและมองเห็นรูปแบบของแคมเปญได้ แต่ยังถือเป็นการระบุความเชื่อมโยงทางอ้อม ไม่ใช่หลักฐานยืนยันตัวตนในโลกจริง

เหตุข้อมูลลูกค้าของ Coinbase เป็นบริบทสำคัญ แต่ยังยืนยันว่าเป็นกลุ่มเดียวกันไม่ได้

Coinbase เปิดเผยเมื่อเดือนพฤษภาคม 2025 ว่า อาชญากรติดสินบนบุคลากรฝ่ายสนับสนุนลูกค้าในต่างประเทศบางรายเพื่อให้ได้ข้อมูลของลูกค้า ข้อมูลดังกล่าวมีเป้าหมายเพื่อช่วยให้มิจฉาชีพปลอมตัวเป็น Coinbase และหลอกให้ผู้ใช้ส่งคริปโตให้พวกเขา บริษัทประเมินค่าใช้จ่ายในการแก้ไขเหตุการณ์และการชดเชยลูกค้าโดยสมัครใจไว้ที่ 180–400 ล้านดอลลาร์

ข้อมูลอย่างชื่อ หมายเลขโทรศัพท์ หรือรายละเอียดบัญชีบางส่วนอาจทำให้สายหลอกลวงดูน่าเชื่อถือขึ้นอย่างมาก ผู้โทรที่รู้ข้อมูลของลูกค้าอาจทำให้เหยื่อเชื่อว่ากำลังคุยกับเจ้าหน้าที่จริง

แต่หลักฐานสาธารณะที่มีอยู่ยังไม่ได้ยืนยันว่าอาชญากรที่อยู่เบื้องหลังเหตุข้อมูลภายในเป็นกลุ่มเดียวกับผู้ควบคุมกระเป๋าเงินที่เชื่อมโยงกับรายงานการโจรกรรมในวงกว้าง ดังนั้น ทั้งสองเหตุการณ์ควรถูกมองว่าเป็นบริบทของความเสี่ยงที่เกี่ยวข้องกัน ไม่ใช่การระบุผู้ก่อเหตุร่วมกันที่ได้รับการยืนยันแล้ว

ข้อความเยาะเย้ยนักสืบเป็นหลักฐานพฤติกรรม ไม่ใช่หลักฐานตัวตน

เมื่อเดือนพฤษภาคม 2025 กระเป๋าเงินที่นักสืบเชื่อมโยงกับแคมเปญฟิชชิงที่มุ่งเป้าผู้ใช้ Coinbase ถูกระบุว่าแลก Bitcoin มูลค่าประมาณ 42.5 ล้านดอลลาร์เป็น Ether ผ่าน THORChain ซึ่งเป็นโปรโตคอลสภาพคล่องแบบกระจายศูนย์ นอกจากนี้ กระเป๋าเงินดังกล่าวยังส่งข้อความบนบล็อกเชนถึง ZachXBT ว่า “L bozo”

ข้อความนี้แสดงให้เห็นว่าผู้ควบคุมกระเป๋าเงินพร้อมจะยั่วยุนักสืบต่อสาธารณะ แต่ไม่ได้เปิดเผยชื่อ สถานที่อยู่ หรือความเชื่อมโยงของบุคคลนั้นกับเหตุโจรกรรมทุกรายการที่ถูกโยงเข้ากับแคมเปญ

ทำไม Tornado Cash จึงทำให้การติดตามและกู้เงินยากขึ้น

Tornado Cash เป็นเครื่องมือผสมธุรกรรมคริปโต หรือ “มิกเซอร์” ที่ออกแบบมาเพื่อทำให้การเชื่อมโยงโดยตรงระหว่างเงินที่ฝากกับเงินที่ถอนในภายหลังทำได้ยากขึ้น ระบบใช้พูลร่วมและกลไกธุรกรรมที่ช่วยคุ้มครองความเป็นส่วนตัว ทำให้เงินที่ฝากจากที่อยู่หนึ่งอาจถูกถอนออกไปยังอีกที่อยู่หนึ่งได้

นั่นไม่ได้หมายความว่าข้อมูลบนบล็อกเชนถูกลบหรือมองไม่เห็นทั้งหมด แต่เส้นทางแบบง่าย ๆ จากจุดฝากไปยังจุดถอนจะพิสูจน์ได้ยากขึ้นอย่างมาก

นักสืบยังสามารถตรวจสอบช่วงเวลา ขนาดธุรกรรม พฤติกรรมซ้ำ ๆ ของกระเป๋าเงิน การโอนผ่านบริดจ์ การแลกเปลี่ยนบนแพลตฟอร์มกระจายศูนย์ และที่อยู่สำหรับฝากเงินเข้ากระดานซื้อขายแบบรวมศูนย์ เบาะแสเหล่านี้อาจช่วยสร้างความเชื่อมโยงได้

อย่างไรก็ตาม ความสัมพันธ์เชิงสถิติหรือความสอดคล้องของธุรกรรมอาจไม่เพียงพอที่จะระบุตัวบุคคลที่ถอนเงิน หรือทำให้กระดานซื้อขายและศาลมีเหตุผลเพียงพอในการอายัดเงิน ยิ่งสินทรัพย์อยู่นอกผู้ดูแลที่สามารถระบุตัวตนและควบคุมได้เป็นเวลานาน การกู้คืนก็ยิ่งซับซ้อน

คำตัดสินเรื่อง Tornado Cash เมื่อเดือนพฤศจิกายน 2024 เปลี่ยนอะไร

เมื่อวันที่ 26 พฤศจิกายน 2024 ศาลอุทธรณ์สหรัฐฯ ประจำเขตที่ 5 วินิจฉัยว่า สำนักงานควบคุมสินทรัพย์ต่างประเทศของกระทรวงการคลังสหรัฐฯ หรือ OFAC ใช้อำนาจเกินขอบเขตตามกฎหมาย เมื่อคว่ำบาตรสมาร์ตคอนแทรกต์แบบแก้ไขไม่ได้ของ Tornado Cash ศาลให้เหตุผลว่าสมาร์ตคอนแทรกต์ดังกล่าวไม่ใช่ “ทรัพย์สิน” ที่สามารถถูกบล็อกได้ภายใต้กฎหมายที่เกี่ยวข้อง

คำตัดสินนี้พูดถึงฐานทางกฎหมายของมาตรการคว่ำบาตร ไม่ได้ทำให้การโจรกรรมหรือการฟอกเงินกลายเป็นสิ่งถูกกฎหมาย ไม่ได้ลบล้างความรับผิดทางอาญาที่อาจเกิดขึ้น และไม่ได้รับประกันว่าเงินที่ส่งผ่านมิกเซอร์จะกู้คืนได้ง่าย

กล่าวอีกอย่างหนึ่งคือ คำตัดสินของศาลและคำถามว่ามีการใช้ Tornado Cash เพื่อก่ออาชญากรรมหรือไม่ เป็นประเด็นแยกจากกัน กิจกรรมที่น่าสงสัยผ่านมิกเซอร์ไม่ได้เป็นหลักฐานยืนยันโดยอัตโนมัติว่าผู้ใช้มีความผิดหรือบริสุทธิ์

บทเรียนที่ผู้ใช้ Coinbase ควรจำไว้

ความเสี่ยงที่เกิดขึ้นซ้ำ ๆ ในคดีนี้ไม่ได้มาจากความล้มเหลวลึกลับของโครงสร้างบล็อกเชน Coinbase แต่มาจากคนที่น่าเชื่อถือซึ่งอยู่อีกฝั่งของสายโทรศัพท์ ข้อความ หรือลิงก์

ผู้ใช้ควรปฏิบัติดังนี้

• มองสายโทรศัพท์ ข้อความ และไดเร็กต์เมสเสจที่อ้างว่าเป็นฝ่ายสนับสนุน Coinbase โดยไม่ได้ร้องขอว่าอาจเป็นภัย
• ห้ามเปิดเผยรหัสผ่าน ซี้ดเฟรส วลีช่วยกู้คืนบัญชี รหัสใช้ครั้งเดียว หรือคีย์ส่วนตัว
• ห้ามอนุญาตให้บุคคลที่อ้างว่าเป็นเจ้าหน้าที่เข้าควบคุมอุปกรณ์จากระยะไกล
• หลีกเลี่ยงการคลิกลิงก์ฝ่ายสนับสนุนที่ส่งมาในข้อความไม่คาดคิด
• หากต้องการความช่วยเหลือ ให้เปิดแอป Coinbase อย่างเป็นทางการหรือพิมพ์ที่อยู่เว็บไซต์ด้วยตนเอง แทนการกดลิงก์ที่ได้รับ
• หากเกิดการโจรกรรม ให้เก็บข้อความ หมายเลขโทรศัพท์ ที่อยู่กระเป๋าเงิน และแฮชธุรกรรมไว้ แล้วรายงานเหตุทันที

การเคลื่อนไหวของเงินเมื่อวันที่ 16 สิงหาคมแสดงให้เห็นว่า สินทรัพย์ที่เชื่อมโยงกับแคมเปญตามรายงานยังคงถูกโยกย้ายอยู่ แต่ข้อสรุปที่สำคัญกว่านั้นเรียบง่ายกว่ามาก นั่นคือวิศวกรรมสังคมสามารถหลบผ่านระบบป้องกันทางเทคนิคที่แข็งแกร่งได้ หากผู้โจมตีโน้มน้าวให้ผู้ใช้ตัวจริงเป็นผู้อนุมัติการโอนเงินด้วยตัวเอง