คริปโตที่ถูกขโมยไปจริง ๆ แล้วไปอยู่ที่ไหน: เจาะลึกเครื่องจักรฟอกเงินภายใน 45 วัน

หกปี สูญหายไปมากกว่า 1.6 หมื่นล้านดอลลาร์

การขโมยคริปโตไม่ใช่เพียง “ช่วงหนึ่ง” ที่อุตสาหกรรมสินทรัพย์ดิจิทัลกำลังค่อย ๆ ก้าวพ้นไปอีกต่อไป แต่ได้กลายเป็นอุตสาหกรรมในตัวเองแล้ว ณ ตอนนี้ เพียงครึ่งทศวรรษที่ผ่านมา นักสืบสายออนเชนได้ระบุยอดที่ถูกขโมยซึ่ง พุ่งสูงขึ้นเรื่อย ๆ (3.7 พันล้านดอลลาร์ในปี 2022, 1.7 พันล้านดอลลาร์ในปี 2023, 2.2 พันล้านดอลลาร์ในปี 2024 และ 3.4 พันล้านดอลลาร์ในปี 2025) ซึ่งเป็นตัวเลขที่ไม่แสดงสัญญาณว่าจะหยุดลง

อันที่จริงควรกล่าวด้วยว่า เกือบครึ่งหนึ่งของยอดรวมปีที่แล้วมาจากเหตุการณ์เดียว นั่นคือเหตุแฮก Bybit ในเดือนกุมภาพันธ์ 2025 ซึ่งผู้โจมตีเจาะกระบวนการลงนามของกระเป๋าเย็น (cold wallet) ของเอ็กซ์เชนจ์ และ กวาดไป 1.5 พันล้านดอลลาร์ (ทำให้เป็นการขโมยคริปโตครั้งใหญ่ที่สุดในประวัติศาสตร์)

ครึ่งแรกของปีนี้ก็คล้ายกันอย่างน่าขนลุก โดยเพิ่มความเสียหายราว 1.1 พันล้านดอลลาร์จากสถิติ 212 เหตุการณ์ ตามบริษัทความปลอดภัย Blockaid ความเสียหายรายครั้งที่ใหญ่ที่สุดคือการเอ็กซ์พลอยต์โปรโตคอลรีสเตกกิ้ง KelpDAO เมื่อวันที่ 19 เมษายน (มูลค่า 293 ล้านดอลลาร์) และ TRM Labs นับได้ 207 เหตุการณ์ในช่วงหกเดือนนี้ มากกว่าช่วงเดียวกันของปีก่อนหน้ามากกว่าสองเท่า

พิมพ์เขียว 45 วัน

สิ่งที่มักเกิดขึ้นหลังการขโมยข้างต้นได้กลายเป็นเหมือนสคริปต์ไปแล้วในตอนนี้ โดยนักวิจัยอธิบายถึงวงจรฟอกเงินที่มีลักษณะเฉพาะซึ่งกินเวลาราว 45 วัน แบ่งเป็นสามระลอก

ในช่วงวันศูนย์ถึงวันที่ห้า ความเร็วสำคัญที่สุด และโทเคนที่ถูกขโมยมักถูกสวอปผ่านโปรโตคอลการเงินแบบกระจายศูนย์ (DeFi) (กิจกรรมพุ่งได้มากถึง 370%) และถูกส่งเข้าไปยังบริการมิกซิ่ง ซึ่งจะรวมและสับเปลี่ยนเหรียญเพื่อทำลายความเชื่อมโยงระหว่างต้นทางและปลายทาง ในช่วงวันที่หกถึงวันที่สิบ เงินจะข้ามเชนผ่านบริดจ์ข้ามเชน และไหลผ่านเอ็กซ์เชนจ์ที่มีการตรวจสอบรู้จักลูกค้า (KYC) จำกัด

จากนั้นตั้งแต่ราววันที่ 20 ถึงวันที่ 45 เหรียญจะถูกถอนออกเป็นชุดย่อย ๆ (โดยทั่วไปต่ำกว่า 500,000 ดอลลาร์เพื่อให้อยู่ต่ำกว่าเกณฑ์การรายงาน) ผ่านช่องทางที่ไม่ต้อง KYC ผู้แลกเปลี่ยนทันที และเครือข่ายซื้อขายนอกกระดาน (OTC) ภาษาจีน รวมถึงบริการการันตีอย่างตลาด Huione ที่ถูกคว่ำบาตร

ด้วยเหตุนี้ เมื่อจบรอบ เงินได้ผ่านหลายเชน มิกเซอร์ และเขตอำนาจศาลมากมายจนแม้การระบุที่มา (attribution) จะยังเป็นไปได้ (เพราะบล็อกเชนไม่เคยลืม) แต่การกู้คืนแทบไม่เคยเกิดขึ้น เพื่อให้เห็นภาพ เงินที่ถูกขโมยจาก Bybit กู้คืนได้ไม่ถึง 5% แม้เอ็กซ์เชนจ์จะมีทีมไวท์แฮตชั้นแนวหน้าคอยช่วยเหลือก็ตาม

ปี 2026: แฮกมากขึ้น แต่กอบโกยน้อยลง

ปีนี้ ผู้โจมตีขยายเป้าหมายให้กว้างขึ้น เพราะนอกจากการเอ็กซ์พลอยต์โปรโตคอลอย่าง KelpDAO แล้ว เฉพาะเดือนเมษายนเพียงเดือนเดียวก็ทำสถิติ รายเดือนด้วยมูลค่าถูกขโมย 641.67 ล้านดอลลาร์ กลุ่มเกาหลีเหนือที่เชื่อมโยงกับ Lazarus อยู่เบื้องหลังความเสียหายในครึ่งปีแรกราว 55% และการนับของ CertiK ซึ่งรวมฟิชชิ่งและการดูดเงินจากวอลเล็ตส่วนบุคคล ระบุว่า ความเสียหายอยู่ที่ 1.32 พันล้านดอลลาร์ จาก 344 เหตุการณ์

ล่าสุด การเอ็กซ์พลอยต์ฮาร์ดแวร์วอลเล็ต Coldcard แสดงให้เห็นว่าพิมพ์เขียวนี้กำลังปรับตัวเข้าหาบิตคอยน์ด้วยเช่นกัน หลังจาก ดูดเงินไปราว 116 ล้านดอลลาร์ จากวอลเล็ตที่ใช้ซีดอ่อนแอ ผู้โจมตีเริ่มรวบรวมเหรียญในขณะที่ผู้สังเกตการณ์เฝ้าดูทุกจุดกระโดด (hop) จากเหตุการณ์นี้ จุดขายหลัก (USP) ของบิตคอยน์อย่างความโปร่งใสและความย้อนกลับไม่ได้ กลับกลายเป็นดาบสองคมแทบจะชั่วข้ามคืน เพราะแม้ทุกคนจะเห็นเหรียญที่ถูกขโมยเคลื่อนย้าย แต่ไม่มีใครย้ายมันกลับคืนได้

ทำไมการกู้คืนแทบไม่เคยเกิดขึ้น

เมื่อการโจมตีเหล่านี้เกิดขึ้น กลไกเดียวที่ครั้งแล้วครั้งเล่ายังใช้ได้อย่างเชื่อถือได้คือการอายัดสเตเบิลคอยน์แบบศูนย์กลาง Tether และ Circle สามารถแบล็กลิสต์ที่อยู่ในระดับสัญญาได้ทันที ทำให้ USDT หรือ USDC ใด ๆ ที่โจรยังถืออยู่ติดค้างอยู่กับที่ ซึ่งนี่เองคือเหตุผลที่ผู้โจมตีที่ซับซ้อนจะรีบสวอปสเตเบิลคอยน์ที่ขโมยมาเป็นอีเธอร์หรือบิตคอยน์ภายในไม่กี่นาทีหลังการเจาะระบบ ยอมรับความเสี่ยงด้านราคาเพื่อหนีจากรัศมีการอายัด

นี่เป็นความไม่สมมาตรที่ชวนให้คิด กล่าวคือ สินทรัพย์ที่ต้านทานการเซ็นเซอร์ได้มากที่สุดกลับฟอกได้ง่ายที่สุด และสินทรัพย์ที่ถูกอายัดได้ง่ายที่สุดกลับกู้คืนได้ง่ายที่สุด ทุกพิมพ์เขียวการฟอกเงินท้ายที่สุดคือการแข่งขันเพื่อแปลง “ของที่จับได้” ให้เป็น “ของที่จับไม่ได้” ก่อนที่ใครก็ตามที่มีปุ่มหยุดชั่วคราวจะสังเกตเห็น

คณิตศาสตร์ที่น่าอึดอัดของการขโมยคริปโตคือ การป้องกันแทบจะเป็นทั้งหมดของเกม เอ็กซ์เชนจ์และบริษัทวิเคราะห์สามารถอายัดเงินที่แตะต้องแพลตฟอร์มที่ปฏิบัติตามกฎได้ ซึ่งเป็นเหตุผลว่าทำไมผู้ฟอกเงินจึงเร่งใช้ DeFi และมิกเซอร์ตั้งแต่ต้น ที่ซึ่งไม่มีใครอายัดอะไรได้

การคว่ำบาตรมิกเซอร์และบริการอย่าง Huione ช่วยเพิ่มต้นทุน แต่ก็เพียงผลักให้กระแสเงินไหลไปยังผู้สืบทอดมากกว่าจะหยุดมัน และนาฬิกา 45 วันก็หมายความว่า เมื่อกระบวนการทางกฎหมายข้ามพรมแดนเริ่มเดินจริง ๆ เหรียญก็มักจะจบเส้นทางไปแล้ว

สำหรับผู้ใช้และแพลตฟอร์ม บทเรียนคือ เมื่อถูกขโมยไปแล้ว เงินส่วนใหญ่ท่วมท้นแทบไม่กลับมาอีก ยิ่งไปกว่านั้น วงจรของผู้โจมตีเร็วกว่าการปฏิบัติตามกฎ และทุกปีที่มีพาดหัวว่า “การขโมยคริปโตกำลังลดลง” ตัวอย่างหักล้างระดับพันล้านดอลลาร์ถัดไปก็เริ่มเคลื่อนไหวไปแล้ว บล็อกเชนบันทึกทุกอย่างและไม่คืนอะไรเลย