เปิดโปงมหันตภัยแฮก Step Finance: จากแล็ปท็อปผู้บริหารสู่การสูญเสีย 40 ล้านดอลลาร์และการฟอกเงินข้ามเครือข่าย

เมื่อวันที่ 31 มกราคม 2026 Step Finance แพลตฟอร์มติดตามพอร์ต DeFi บน Solana ที่เคยถูกขนานนามว่าเป็น "หน้าหลักของ Solana" ต้องพบกับมหันตภัยครั้งใหญ่ การโจมตีครั้งนี้ไม่ได้ใช้ช่องโหว่ของสมาร์ทคอนแทรกต์, Flash Loan หรือการยักยอก Oracle สิ่งที่เกิดขึ้นคือแฮกเกอร์เจาะอุปกรณ์ส่วนตัวของทีมผู้บริหารของบริษัท ขโมยคีย์ส่วนตัว และเท treasury จนเกลี้ยง ผลลัพธ์ที่ตามมา: ความเสียหาย 40 ล้านดอลลาร์, ราคาเหรียญ STEP ร่วงกว่า 96%, และการปิดตัวลงถาวรของสามโปรเจกต์ ห้าเดือนต่อมา แฮกเกอร์กลับมาอีกครั้งเพื่อฟอกเงินผ่าน Tornado Cash นี่คือเรื่องราวแบบมีที่มาที่ไปของสิ่งที่เกิดขึ้น และเหตุว่าทำไมมันถึงสำคัญกับทุกคนในโลก DeFi

การโจมตีในเดือนมกราคม 2026 เกิดขึ้นได้อย่างไร

วิธีการโจมตี: เจาะอุปกรณ์ ไม่ใช่เจาะโค้ด

แฮกเกอร์สามารถเข้าถึงข้อมูลรับรองสำหรับยืนยันตัวตนและคีย์ส่วนตัวได้โดยการโจมตีอุปกรณ์ส่วนตัวของทีมผู้บริหาร Step Finance บริษัทความปลอดภัย Halborn ระบุว่าสาเหตุหลักคือ "อุปกรณ์ที่ถูกบุกรุก ซึ่งนำไปสู่การเปิดเผยคีย์ส่วนตัว" นี่ไม่ใช่การโจมตีรูปแบบใหม่ — แต่มันคือความล้มเหลวของการรักษาความปลอดภัยในการปฏิบัติงานแบบคลาสสิก

สิ่งที่ถูกขโมยไป

SOL ประมาณ 261,854 เหรียญ ถูกถอนออกจากการ Stake ใน treasury และถูกย้ายออกไป ในช่วงเวลาที่เกิดการขโมย SOL เพียงอย่างเดียวมีมูลค่าระหว่าง 27 ถึง 30 ล้านดอลลาร์ เมื่อรวมสินทรัพย์อื่น ๆ ในกระเป๋าเงินที่ถูกบุกรุกเข้าไปด้วยแล้ว ความเสียหายทั้งหมดอยู่ที่ประมาณ 40 ล้านดอลลาร์

การล่มสลายของเหรียญ STEP

เหรียญ STEP ซึ่งเป็นเหรียญดั้งเดิมของแพลตฟอร์มร่วงลงทันที รายงานในวันเกิดเหตุระบุว่าร่วงถึง 93.3% ลงมาอยู่ที่ 0.001578 ดอลลาร์ รายงานในภายหลังระบุว่าการร่วงลงนั้น มากกว่า 96% ภายในปลายเดือนกุมภาพันธ์ ราคาเหรียญซื้อขายอยู่ที่ประมาณ 0.000608 ดอลลาร์ — ลดลง 99.12% จากระดับก่อนเกิดเหตุ

การกู้คืนและการปิดตัว

ความพยายามกู้คืนสามารถนำเงินที่ถูกขโมยกลับมาได้ประมาณ 4.7 ล้านดอลลาร์ ซึ่งเป็นเพียงเศษเสี้ยวเล็กน้อยของทั้งหมด โดยใช้ความสามารถในการอายัดเหรียญของ Solana Token22 และการประสานงานกับพาร์ทเนอร์ ทีมงานใช้เวลาประมาณสี่สัปดาห์ในการหาแหล่งเงินกู้ Bridge Financing, ข้อเสนอซื้อกิจการ หรือเงินทุนจากภายนอกเพื่อดำเนินการต่อแต่ไม่สำเร็จ

ในวันที่ 23-24 กุมภาพันธ์ 2026 Step Finance — พร้อมกับโปรเจกต์ในเครือ SolanaFloor (ด้านการวิเคราะห์) และ Remora Markets (ด้านตราสารอนุพันธ์) — ประกาศหยุดดำเนินการทั้งหมดทันที ทีมงานระบุว่า "ได้สำรวจทุกเส้นทางที่เป็นไปได้แล้ว รวมถึงโอกาสในการจัดหาเงินทุนและการซื้อกิจการ" แต่ไม่สามารถหาผลลัพธ์ที่ยั่งยืนได้ มีการประกาศแผนการซื้อคืนเหรียญ STEP สำหรับผู้ถือเหรียญจากภาพถ่าย (Snapshot) ก่อนเกิดเหตุแยกต่างหาก

การกลับมาของแฮกเกอร์: การฟอกเงินในเดือนกรกฎาคม 2026

หลังจากเงียบหายไปห้าเดือน กระเป๋าเงินของแฮกเกอร์ที่ใช้โจมตี Step Finance ก็กลับมามีการเคลื่อนไหวอย่างกะทันหันในต้นเดือนกรกฎาคม 2026 ตามการตรวจสอบข้อมูลบนเครือข่าย (On-chain) โดย Lookonchain มีลำดับเหตุการณ์ดังนี้ :

• แฮกเกอร์ ขาย SOL ทั้งหมด 261,933 เหรียญ (ซึ่งมากกว่า 261,854 เหรียญเล็กน้อย น่าจะมาจากกำไรจากการ Stake หรือยอดคงเหลือเล็กน้อย) ได้เงินประมาณ 21.4 ล้านดอลลาร์
• เงินจำนวนนี้ถูก สะพาน (Bridge) จากเครือข่าย Solana ไปยังเครือข่าย Ethereum
• เมื่อมาถึง Ethereum แล้ว แฮกเกอร์ ซื้อ ETH จำนวน 12,128 เหรียญ และ ฝากเงินทั้งหมดเข้า Tornado Cash ซึ่งเป็นมิกเซอร์เพื่อความเป็นส่วนตัว เพื่อฟอกเงินที่ได้จากการโจมตี

วิธีการนี้ — ขายบน Solana, สะพานไป Ethereum, และฝากเข้ามิกเซอร์ — แสดงให้เห็นถึงความยากลำบากหลักของหน่วยงานบังคับใช้กฎหมายในปี 2026: การฟอกเงินข้ามเครือข่าย เมื่อเงินถูกย้ายข้ามเครือข่ายและเข้าสู่มิกเซอร์ การระบุแหล่งที่มาและการอายัดเงินก็จะยากขึ้นมาก

บริบทความปลอดภัยของ DeFi ในปี 2026 ในภาพรวม

เหตุการณ์แฮก Step Finance คือสัญลักษณ์ของแนวโน้มอันน่าเจ็บปวดหลายอย่างที่กำหนดความปลอดภัยของ DeFi ในปี 2026:

ความถี่ของการแฮกทำลายสถิติ

ในช่วงครึ่งแรกของปี 2026 แฮกเกอร์ก่อเหตุแฮกทั้งหมด 207 ครั้ง — มากที่สุดที่ TRM Labs เคยบันทึกไว้ในช่วงเวลาหกเดือน — โดยมียอดความเสียหายรวมอยู่ที่ 972 ล้านดอลลาร์ รายงานอื่นระบุว่าความเสียหายระหว่างเดือนมกราคมถึงพฤษภาคมอยู่ที่มากกว่า 840 ล้านดอลลาร์ เพิ่มขึ้น 70% จากช่วงเดียวกันของปี 2025

การขโมยข้อมูลรับรอง ไม่ใช่การโจมตีช่องโหว่ของโค้ด

ที่น่าตกใจคือ 72% ของความเสียหายในปี 2026 มาจากการขโมยคีย์ส่วนตัวและการขโมยข้อมูลรับรองยืนยันตัวตน — ไม่ใช่บั๊กของสมาร์ทคอนแทรกต์ การโจมตี Step Finance (เจาะแล็ปท็อป ไม่ใช่เจาะโค้ด) คือตัวอย่างชั้นดี สิ่งนี้ทำให้การรักษาความปลอดภัยยากขึ้น เพราะมันเปลี่ยนพื้นผิวการโจมตีจากโค้ดที่ตรวจสอบได้ ไปสู่ความปลอดภัยของอุปกรณ์ส่วนตัวที่เป็นจุดสิ้นสุด

มูลค่ารวมที่ถูกล็อกใน DeFi ลดลง

มูลค่ารวมที่ถูกล็อก (TVL) ในโปรโตคอล DeFi ลดลง 39% ในปี 2026 จากประมาณ 115 พันล้านดอลลาร์ในเดือนมกราคม เหลือประมาณ 70 พันล้านดอลลาร์ในเดือนมิถุนายน ทำให้เม็ดเงินที่ถูกล็อกหายไปประมาณ 45 พันล้านดอลลาร์ การลดลงนี้เกิดจากภาวะตลาดขาลงในวงกว้าง ซ้ำเติมด้วยคลื่นการโจมตีที่ทำลายสถิติ

กระบวนทัศน์ใหม่: "Keys, Not Code"

กรณีของ Step Finance และข้อมูลปี 2026 โดยรวม ทำให้ชัดเจนว่าจุดอ่อนที่ร้ายแรงที่สุดของ DeFi ไม่ได้อยู่ที่สมาร์ทคอนแทรกต์อีกต่อไป แต่อยู่ที่ความปลอดภัยในการปฏิบัติงานของทีมงานซึ่งเป็นผู้ถือคีย์ สำหรับนักพัฒนาโปรโตคอลและผู้ใช้ DeFi ทุกคน บทเรียนที่ได้คือ: ความปลอดภัยของอุปกรณ์ส่วนตัวและการจัดการคีย์ส่วนตัวคือแนวหน้าของการป้องกันในตอนนี้