คริปโตถูกแฮ็กในไตรมาส 3/2569 สร้างความเสียหายรวม 1.26 พันล้านดอลลาร์จาก 247 เหตุ เพิ่มขึ้น 53.9% จากไตรมาสก่อน ตามข้อมูลของ CertiK และ SlowMist เหตุใหญ่ที่สุดมาจากช่องโหว่ของบุคคลที่สาม บทความนี้เหมาะกับ exchange ผู้รับฝากทรัพย์สิน และบริษัทไทยที่ถือคริปโต ซึ่งอยากรู้ว่าต้องทบทวนสัญญา vendor และแผนรับมือเหตุอย่างไร
ลองนึกภาพบริษัทที่ลงทุนระบบความปลอดภัยของตัวเองอย่างดี แต่ใช้ผู้ให้บริการภายนอกดูแลระบบกระเป๋าเงินบางส่วน วันหนึ่งคนร้ายไม่ได้เจาะประตูหน้าของบริษัท แต่เดินเข้าทางประตูของ vendor ตัวเลขไตรมาสนี้บอกว่าภาพนี้ไม่ใช่เรื่องสมมติ
สรุปสั้น: คริปโตถูกแฮ็กในไตรมาส 3/2569 เสียหาย 1.26 พันล้านดอลลาร์จาก 247 เหตุ เพิ่มขึ้น 53.9% จากไตรมาส 2 ที่ 819.4 ล้านดอลลาร์ เหตุใหญ่สุดคือ Bitget 387.5 ล้านดอลลาร์ หรือ 31% ของทั้งไตรมาส จากช่องโหว่ด้านความปลอดภัยของบุคคลที่สาม ธุรกิจไทยที่ถือคริปโตจึงต้องดูแลทั้งระบบของตัวเองและ vendor ทุกรายที่แตะกระเป๋าเงิน พร้อมขั้นตอนรายงานเหตุต่อผู้กำกับและแจ้งตาม PDPA
คริปโตถูกแฮ็กไตรมาส 3/2569 คืออะไร เกิดอะไรขึ้น
คริปโตถูกแฮ็กไตรมาส 3/2569 คือยอดรวมเหตุโจมตีสินทรัพย์คริปโตทั่วโลกในช่วงกรกฎาคมถึงกันยายน ซึ่งผู้จัดการออนไลน์รายงานโดยอ้างข้อมูลจาก CertiK และ SlowMist ความเสียหายรวม 1.26 พันล้านดอลลาร์ เพิ่มขึ้น 53.9% จากไตรมาส 2 ที่ 819.4 ล้านดอลลาร์
เดือนกันยายนเดือนเดียวเสียหาย 769 ล้านดอลลาร์จาก 99 เหตุ และ 96% ของความเสียหายในเดือนนั้นมาจากการเจาะช่องโหว่ (exploit) พูดง่าย ๆ คือ คนร้ายส่วนใหญ่ไม่ได้หลอกผู้ใช้ทีละคน แต่หาจุดอ่อนในระบบแล้วดูดเงินก้อนใหญ่ทีเดียว
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ความเสียหายไตรมาส 3/2569 | 1.26 พันล้านดอลลาร์ จาก 247 เหตุ (เพิ่ม 53.9% จาก 819.4 ล้านดอลลาร์ในไตรมาส 2) |
| เดือนกันยายน | 769 ล้านดอลลาร์ จาก 99 เหตุ · 96% มาจาก exploit |
| เหตุใหญ่สุด | Bitget 387.5 ล้านดอลลาร์ (31% ของไตรมาส) จากช่องโหว่ของบุคคลที่สาม |
| เหตุใหญ่อื่น | Liquid Network 319 ล้าน (6 ก.ย.) · Tectonic Protocol 120 ล้าน · Coldcard 112.7 ล้านดอลลาร์ |
| แหล่งข้อมูล | CertiK และ SlowMist ผ่านผู้จัดการออนไลน์ |
คริปโตถูกแฮ็กกระทบธุรกิจไทยอย่างไร
คริปโตถูกแฮ็กกระทบธุรกิจไทยเพราะผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลไทยอยู่ใต้การกำกับของ ก.ล.ต. และ vendor กับกระเป๋าเงินดิจิทัลคือจุดที่ถูกโจมตีหลัก ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว แยกตามกลุ่ม
exchange และ custodian ไทยต้องทบทวนอะไร
exchange และ custodian ไทยต้องทบทวนว่า vendor รายไหนเข้าถึงกระเป๋าเงินหรือระบบถอนเงินได้บ้าง เพราะเหตุใหญ่ที่สุดของไตรมาสมาจากช่องโหว่ของบุคคลที่สาม ระบบของตัวเองแข็งแรงแค่ไหนก็ไม่พอ ถ้าประตูของ vendor เปิดอยู่ บทเรียนจากกรณีนี้สรุปไว้ใน Bitget ถูกขโมยคริปโต $387.5 ล้าน CEO ชี้เกาหลีเหนือ บทเรียนการกำกับกระเป๋าเงินดิจิทัลที่ธุรกิจไทยต้องรู้
สัญญา vendor ต้องมีอะไรบ้าง
สัญญา vendor ต้องมีข้อกำหนดด้านความปลอดภัย สิทธิ์ตรวจสอบ และเวลาแจ้งเหตุที่ชัดเจน สัญญาที่เขียนแค่ราคาและขอบเขตงาน จะไม่ช่วยอะไรตอนเกิดเหตุ หลักคิดเดียวกันเห็นได้ในคดีนอกวงการคริปโต เช่น 44 รัฐสหรัฐฯ ปรับ Labcorp $2.3M เพราะ vendor ทำข้อมูลรั่ว บทเรียน Vendor Governance ที่ธุรกิจไทยใช้ได้ทันที
ตัวอย่างสมมติ: บริษัทจ้าง vendor ดูแลระบบลงนามธุรกรรม แต่สัญญาไม่กำหนดว่าต้องแจ้งเหตุภายในกี่ชั่วโมง ถ้า vendor รู้ตัวว่าถูกเจาะแต่แจ้งช้าไปหนึ่งวัน เงินอาจออกไปหมดแล้ว และบริษัทก็รายงานผู้กำกับได้ช้าตามไปด้วย
บริษัทที่ถือคริปโตในงบดุลเกี่ยวด้วยไหม
บริษัทที่ถือคริปโตไว้ในงบดุลเกี่ยวด้วย แม้ไม่ได้ทำธุรกิจคริปโตโดยตรง ถ้าฝากไว้กับ exchange หรือ custodian ความเสี่ยงของผู้รับฝากก็คือความเสี่ยงของบริษัท ควรถามผู้รับฝากว่าใช้ multi-sig หรือไม่ และมีแผนรับมือเหตุอย่างไร
ถ้าข้อมูลลูกค้ารั่วพร้อมเงิน ต้องทำอะไรตาม PDPA
ถ้าเหตุคริปโตถูกแฮ็กทำให้ข้อมูลลูกค้ารั่วด้วย ธุรกิจต้องแจ้งเหตุละเมิดต่อ สคส. ภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4) นอกจากหน้าที่รายงานต่อผู้กำกับด้านสินทรัพย์ดิจิทัล ก.ล.ต. เคยกล่าวโทษผู้ประกอบการรายใหญ่ของไทยกรณีไม่รายงานเหตุถูกแฮ็กมาแล้ว การรายงานช้าจึงเป็นความเสี่ยงที่แยกจากตัวเหตุ
ถ้าไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าธุรกิจไม่ทำอะไรเลย ความเสี่ยงแรกคือเงินของลูกค้าหรือของบริษัทหายผ่านช่องโหว่ของ vendor ที่ไม่เคยถูกตรวจ ความเสี่ยงที่สองคือรายงานเหตุช้าเพราะสัญญาไม่บังคับให้ vendor แจ้งเร็ว ซึ่งอาจนำไปสู่การถูกกล่าวโทษ ความเสี่ยงที่สามคือถ้าข้อมูลลูกค้ารั่วด้วย จะมีภาระตาม PDPA ซ้อนเข้ามาอีกชั้น
exchange และบริษัทที่ถือคริปโตควรทำอะไรตอนนี้
exchange และบริษัทที่ถือคริปโตควรเริ่มจากทำรายการ vendor ที่แตะกระเป๋าเงินหรือระบบถอนเงิน แล้วปิดช่องว่างในสัญญาและแผนรับมือเหตุ งานเหล่านี้ลดความเสี่ยงจากเหตุคริปโตถูกแฮ็กได้ทันทีโดยไม่ต้องรอประกาศใหม่
- 1. ทำรายการ vendor ที่เข้าถึงกระเป๋าเงินหรือระบบถอนเงิน ระบุว่าแต่ละรายเข้าถึงอะไร ด้วยสิทธิ์ระดับไหน
- 2. แก้สัญญา vendor ให้มีข้อกำหนดความปลอดภัย สิทธิ์ตรวจสอบ และเวลาแจ้งเหตุ กำหนดเป็นชั่วโมง ไม่ใช่คำว่า “โดยเร็ว”
- 3. ทบทวนระบบ multi-sig และการแยกกระเป๋าเงิน ดูว่ามีจุดไหนที่คนคนเดียวหรือ vendor รายเดียวโอนเงินออกได้
- 4. ซ้อมรับมือเหตุร่วมกับ vendor รวมขั้นตอนรายงานผู้กำกับ และการแจ้ง สคส. ภายใน 72 ชั่วโมงถ้าข้อมูลลูกค้ารั่ว
ถ้าต้องการคนช่วยวางระบบ vendor governance และแผนรับมือเหตุตาม PDPA ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านประเด็นข้อมูลส่วนบุคคลอื่น ๆ ได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตจากงานตรวจสัญญาคือ สัญญากับ vendor ด้านเทคโนโลยีจำนวนมากยังเขียนเรื่องแจ้งเหตุไว้กว้าง ๆ ว่า “โดยเร็ว” ซึ่งตอนเกิดเหตุจริงไม่มีใครตีความตรงกัน ระบบที่แข็งแรงที่สุดก็แพ้ได้ ถ้าประตูหลังอยู่ในมือคนที่เราไม่เคยตรวจ ผมอยากให้ผู้บริหารถามทีมว่า ถ้า vendor รายใหญ่ที่สุดของเราโดนเจาะคืนนี้ เราจะรู้ตัวภายในกี่ชั่วโมง ถ้าตอบไม่ได้ นั่นคือจุดเริ่มต้นของงาน
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับคริปโตถูกแฮ็ก
ไตรมาส 3/2569 คริปโตถูกแฮ็กไปเท่าไร
ตามข้อมูล CertiK และ SlowMist ที่ผู้จัดการออนไลน์รายงาน คริปโตถูกแฮ็กในไตรมาส 3/2569 รวม 1.26 พันล้านดอลลาร์จาก 247 เหตุ เพิ่มขึ้น 53.9% จากไตรมาส 2 ที่ 819.4 ล้านดอลลาร์
ทำไมช่องโหว่ของบุคคลที่สามถึงอันตราย
ช่องโหว่ของบุคคลที่สามอันตรายเพราะอยู่นอกการควบคุมของบริษัท แต่เข้าถึงระบบสำคัญได้ เหตุ Bitget มูลค่า 387.5 ล้านดอลลาร์ หรือ 31% ของทั้งไตรมาส มาจากช่องโหว่ด้านความปลอดภัยของบุคคลที่สาม
ถ้า exchange ไทยถูกแฮ็ก ต้องแจ้งใครบ้าง
exchange ไทยที่ถูกแฮ็กต้องรายงานเหตุต่อผู้กำกับด้านสินทรัพย์ดิจิทัลตามขั้นตอนที่กำหนด และถ้าข้อมูลลูกค้ารั่วด้วย ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4)
บริษัทที่ฝากคริปโตไว้กับ exchange ควรถามอะไร
บริษัทที่ฝากคริปโตไว้กับ exchange ควรถามว่าผู้รับฝากใช้ multi-sig หรือไม่ ใช้ vendor รายใดดูแลกระเป๋าเงิน และมีแผนรับมือเหตุอย่างไร เพราะความเสี่ยงของผู้รับฝากคือความเสี่ยงของบริษัทเอง
แหล่งอ้างอิง
- ผู้จัดการออนไลน์ (อ้างข้อมูล CertiK และ SlowMist) — (อ่านต้นฉบับ) — อ่านที่ผู้จัดการออนไลน์
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
