Bitget ถูกขโมยคริปโต $387.5 ล้าน และเรื่องนี้ไม่ไกลตัวคนไทยที่ซื้อขายเหรียญผ่าน exchange ต่างประเทศ ลองนึกภาพพนักงานออฟฟิศที่เก็บเงินเก็บไว้ในแอปเทรดคริปโต แล้วเช้าวันหนึ่งกดถอนไม่ได้ เหตุการณ์ที่ Bitget ไม่ได้เกิดจากผู้ใช้ทำรหัสผ่านหลุด แต่เกิดจากระบบหลังบ้านที่อนุมัติการโอนเองจากข้อมูลปลอม
สรุปสั้น: Bitget exchange ในสิงคโปร์ถูกขโมยคริปโต $387.5 ล้าน แฮ็กเกอร์เข้าระบบหลังบ้านของกระเป๋าเงินแล้วปลอมข้อมูลธุรกรรมให้ระบบอนุมัติการโอนออกเองใน 7 เชน CEO ชี้ว่าเป็นฝีมือเกาหลีเหนือ Bitget ใช้กองทุนคุ้มครองกว่า $464M ชดเชย บทเรียนสำหรับธุรกิจไทยคือ Wallet Governance ต้องไม่ปล่อยให้ระบบอัตโนมัติเชื่อข้อมูลภายในโดยไม่ตรวจซ้ำ
Bitget ถูกขโมยคริปโตคืออะไร เกิดอะไรขึ้น
Bitget คือ exchange ซื้อขายคริปโตที่ตั้งอยู่ในสิงคโปร์ และเพิ่งถูกขโมยคริปโตมูลค่า $387.5 ล้าน The Record และ BleepingComputer รายงานเรื่องนี้ระหว่างวันที่ 25–28 กันยายน 2026 โดย CEO ของ Bitget ชี้ว่าเป็นฝีมือเกาหลีเหนือ
วิธีที่แฮ็กเกอร์ใช้คือเข้าไปในระบบหลังบ้านของกระเป๋าเงิน แล้วปลอมข้อมูลธุรกรรมจนระบบของ Bitget อนุมัติการโอนออกเอง การโอนเกิดขึ้นใน 7 เชน พูดง่าย ๆ คือ ระบบเชื่อข้อมูลที่ถูกปลอมมา แล้วทำตามอย่างซื่อสัตย์
หลังเกิดเหตุ Bitget ใช้กองทุนคุ้มครองที่มีกว่า $464M ชดเชยผู้ใช้ ประกาศให้รางวัล 5% แก่ผู้ช่วยกู้คืนเงิน และทยอยเปิดให้ถอนใหม่ BleepingComputer รายงานว่าเริ่มเปิดถอน Bitcoin แล้ว
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้เสียหาย | Bitget (exchange ในสิงคโปร์) |
| มูลค่าที่ถูกขโมย | $387.5 ล้าน |
| วิธีโจมตี | เข้าระบบหลังบ้านของกระเป๋าเงิน ปลอมข้อมูลธุรกรรมให้ระบบอนุมัติการโอนออกเอง |
| จำนวนเชนที่กระทบ | 7 เชน |
| ผู้ที่ถูกกล่าวหา | เกาหลีเหนือ (ตามคำกล่าวของ CEO) |
| การชดเชย | กองทุนคุ้มครองกว่า $464M |
| รางวัลกู้คืน | 5% |
| วันที่รายงาน | 25–28 กันยายน 2026 (The Record, BleepingComputer) |
เหตุการณ์ Bitget กระทบธุรกิจไทยอย่างไร
เหตุการณ์ Bitget กระทบธุรกิจไทยเพราะจุดอ่อนที่ถูกใช้ไม่ได้เป็นเรื่องของคริปโตอย่างเดียว แต่เป็นเรื่องของระบบอนุมัติอัตโนมัติที่เชื่อข้อมูลภายในโดยไม่ตรวจซ้ำ ซึ่งมีอยู่ในธุรกิจการเงินและอีคอมเมิร์ซไทยจำนวนมาก ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว
ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลในไทย
ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลในไทย ทั้ง exchange ผู้รับฝากทรัพย์สิน และผู้ให้บริการกระเป๋าเงิน ควรใช้กรณี Bitget เป็นกรณีศึกษาเรื่อง Wallet Governance โดยตรง คำถามสำคัญคือ ถ้ามีคนปลอมข้อมูลธุรกรรมในระบบภายในได้ ระบบของเราจะโอนเงินออกไปโดยไม่มีใครเห็นหรือไม่
ผู้เขียนมองว่าจุดที่ควรตรวจก่อนคือเกณฑ์การอนุมัติอัตโนมัติ ถ้าการโอนมูลค่าสูงผ่านได้ด้วยข้อมูลจากระบบเดียว ความเสี่ยงไม่ได้อยู่ที่ว่าแฮ็กเกอร์เก่งแค่ไหน แต่อยู่ที่ว่าระบบของเราไม่มีด่านที่สอง ติดตามประเด็นธุรกิจดิจิทัลเพิ่มเติมได้ที่ หมวด Digital Business
ฟินเทคและธุรกิจที่มีระบบจ่ายเงินอัตโนมัติ
ฟินเทค แพลตฟอร์มจ่ายเงินให้ร้านค้า และบริษัทที่ตั้งระบบโอนเงินคืนลูกค้าอัตโนมัติ ใช้บทเรียนเดียวกันได้ แม้จะไม่เกี่ยวกับคริปโตเลย
ตัวอย่างสมมติ: แพลตฟอร์มขายของออนไลน์ตั้งระบบคืนเงินอัตโนมัติเมื่อสถานะคำสั่งซื้อเป็น “ยกเลิก” ถ้ามีคนเข้าไปแก้สถานะในฐานข้อมูลได้ ระบบก็จะโอนเงินออกเองโดยไม่มีใครตรวจ รูปแบบนี้คือหลักการเดียวกับที่เกิดกับ Bitget ในขนาดที่เล็กกว่า
นักลงทุนไทยที่ใช้ exchange ต่างประเทศ
นักลงทุนไทยที่ฝากเหรียญไว้กับ exchange ต่างประเทศ ควรรู้ว่าเมื่อเกิดเหตุ การได้เงินคืนขึ้นอยู่กับว่า exchange นั้นมีเงินสำรองหรือกองทุนคุ้มครองพอไหม ในกรณี Bitget มีกองทุนกว่า $464M แต่ไม่ใช่ทุก exchange จะมี
การฟ้องร้องข้ามประเทศมีต้นทุนสูงและใช้เวลานาน สิ่งที่นักลงทุนคุมได้จริงคือการเลือกที่ฝาก และไม่ฝากทุกอย่างไว้ที่เดียว
กฎหมายไทยช่วยอะไรได้บ้าง
การเข้าระบบของผู้อื่นโดยมิชอบและการทำให้ข้อมูลเสียหาย เป็นความผิดตาม พ.ร.บ.คอมพิวเตอร์ พ.ศ. 2560 มาตรา 5 และมาตรา 9 แต่เมื่อผู้โจมตีอยู่ต่างประเทศ กฎหมายอาญาแทบไม่ช่วยให้ได้เงินคืน สำหรับธุรกิจที่อยู่ภายใต้การกำกับของ ก.ล.ต. บทเรียนนี้จึงเป็นเรื่องการป้องกันมากกว่าการไล่เอาผิด อ่านเรื่องกฎหมายเทคโนโลยีเพิ่มเติมได้ที่ หมวด Tech Law & IP
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าธุรกิจไม่ทบทวน Wallet Governance หรือระบบอนุมัติอัตโนมัติเลย ความเสี่ยงคือเงินลูกค้าออกจากระบบได้ภายในเวลาสั้น ๆ และตามคืนยากมากเมื่อข้ามหลายเชนหรือหลายประเทศ ส่วนนักลงทุนที่ฝากทุกอย่างไว้ที่ exchange เดียว เสี่ยงถอนไม่ได้ในช่วงที่ต้องการเงินที่สุด
ธุรกิจสินทรัพย์ดิจิทัลและฟินเทคไทยควรทำอะไรตอนนี้
ธุรกิจสินทรัพย์ดิจิทัลและฟินเทคไทยควรใช้เหตุการณ์ Bitget เป็นโจทย์ทดสอบระบบของตัวเอง เริ่มจากคำถามว่าการโอนมูลค่าสูงเกิดขึ้นได้โดยไม่มีการตรวจซ้ำหรือไม่
- 1. ไล่ดูเส้นทางอนุมัติการโอนทั้งหมด ระบุว่าการโอนแบบไหนผ่านอัตโนมัติ และใช้ข้อมูลจากระบบใดเป็นเกณฑ์
- 2. ใส่ด่านอนุมัติซ้ำสำหรับการโอนมูลค่าสูง ให้คนหรือระบบอิสระอีกชุดยืนยันก่อน ไม่พึ่งข้อมูลจากระบบเดียว
- 3. ตรวจข้อมูลธุรกรรมกับแหล่งอิสระ เทียบยอดในระบบภายในกับข้อมูลจริงบนเชนหรือธนาคาร เพื่อจับข้อมูลที่ถูกปลอม
- 4. จำกัดสิทธิ์เข้าระบบหลังบ้าน ทบทวนว่าใครและระบบใดแก้ข้อมูลธุรกรรมได้ และเก็บบันทึกการแก้ไขทุกครั้ง
- 5. เตรียมแผนรับมือและเงินสำรอง กำหนดล่วงหน้าว่าจะหยุดการถอน แจ้งลูกค้า และชดเชยอย่างไร ถ้าข้อมูลส่วนบุคคลของลูกค้าหลุดไปด้วย ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4)
ถ้าองค์กรต้องการคนช่วยวางกรอบธรรมาภิบาลและประเมินความเสี่ยงของระบบ ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ผมมองว่าเหตุการณ์ Bitget ไม่ใช่เรื่องรหัสลับที่ถูกขโมย แต่เป็นเรื่องระบบที่เชื่อตัวเองมากเกินไป ระบบที่อนุมัติเงินออกเองได้โดยไม่มีใครถามซ้ำ ไม่ได้เป็นระบบอัตโนมัติ แต่เป็นประตูที่เปิดค้างไว้ บริษัทไทยหลายแห่งตั้งระบบโอนเงินอัตโนมัติเพื่อความเร็ว ซึ่งไม่ผิด แต่ต้องมีด่านที่สองสำหรับยอดที่ใหญ่พอจะทำให้บริษัทล้มได้
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Bitget
Bitget ถูกแฮ็กได้อย่างไร
ตามรายงานข่าว แฮ็กเกอร์เข้าระบบหลังบ้านของกระเป๋าเงินของ Bitget แล้วปลอมข้อมูลธุรกรรมจนระบบอนุมัติการโอนออกเอง การโอนเกิดใน 7 เชน รวมมูลค่า $387.5 ล้าน
ผู้ใช้ Bitget จะได้เงินคืนไหม
Bitget ประกาศใช้กองทุนคุ้มครองกว่า $464M ชดเชยความเสียหาย และทยอยเปิดให้ถอนใหม่ โดยเริ่มจาก Bitcoin ผู้ใช้ควรติดตามประกาศทางการของ Bitget โดยตรง
ใครอยู่เบื้องหลังการขโมยคริปโตครั้งนี้
CEO ของ Bitget ชี้ว่าเป็นฝีมือเกาหลีเหนือ ข้อมูลนี้เป็นคำกล่าวของ CEO ตามที่สื่อรายงาน ไม่ใช่ผลการสอบสวนของหน่วยงานรัฐ
Wallet Governance คืออะไร
Wallet Governance คือกติกาและการควบคุมว่าใครหรือระบบใดสั่งโอนเงินจากกระเป๋าเงินดิจิทัลได้ ต้องผ่านการอนุมัติกี่ขั้น และตรวจสอบย้อนหลังอย่างไร กรณี Bitget แสดงว่าการอนุมัติอัตโนมัติจากข้อมูลแหล่งเดียวคือจุดเสี่ยงสำคัญ
แหล่งอ้างอิง
- The Record — (อ่านต้นฉบับ) — อ่านที่ The Record
- BleepingComputer — (อ่านต้นฉบับ) — อ่านที่ BleepingComputer
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
