ประวัติเว็บเทรดคริปโต จากเว็บบอร์ดถึงกระดานที่มีใบอนุญาต

เว็บเทรดคือประตูบานแรกที่คนส่วนใหญ่ใช้เข้าสู่คริปโต และเป็นจุดเดียวกับที่คนเสียเหรียญมากที่สุดในประวัติศาสตร์ บทความนี้ไล่ทีละเจ้าว่าใครล่มเมื่อไหร่ เสียไปเท่าไหร่ เพราะอะไร และเจ้าที่รอดมาได้ทำอะไรต่างออกไป ปิดท้ายด้วยสถานะของเว็บเทรดในไทยที่อยู่ใต้ใบอนุญาต

ก่อนมีเว็บเทรด การซื้อขายเกิดขึ้นในกระทู้

ปี 2009 ถึงต้นปี 2010 ไม่มีตลาดกลางสำหรับ Bitcoin ใครอยากได้เหรียญต้องโพสต์หาคู่ค้าในเว็บบอร์ดแล้วตกลงราคากันเอง โอนเงินผ่านช่องทางที่ทั้งสองฝ่ายยอมรับ แล้วหวังว่าอีกฝ่ายจะไม่เชิด

ปัญหาของวิธีนี้ไม่ใช่แค่ความเสี่ยงโดนโกง แต่คือไม่มีราคาอ้างอิง ทุกดีลต้องต่อรองใหม่หมด และไม่มีใครรู้ว่าราคาตลาดจริงควรเป็นเท่าไหร่

เว็บเทรดจึงเกิดขึ้นมาแก้สองอย่างพร้อมกัน คือทำให้มีราคากลางที่ทุกคนเห็นตรงกัน และทำให้ไม่ต้องเชื่อใจคู่ค้าเป็นรายคน เพราะมีคนกลางถือเงินและเหรียญไว้ให้ แต่นั่นแหละคือจุดที่สร้างปัญหาใหม่ที่ใหญ่กว่าเดิม เพราะแทนที่จะเชื่อใจคนแปลกหน้าทีละคน กลายเป็นต้องเชื่อใจบริษัทเดียวที่ถือเหรียญของทุกคนไว้

Mt. Gox จากเว็บแลกการ์ดเกมสู่เว็บเทรดที่ใหญ่ที่สุดในโลก

ชื่อ Mt. Gox ย่อมาจาก Magic: The Gathering Online Exchange เพราะเดิมทีเป็นเว็บให้คนแลกการ์ดเกม ก่อนที่ Jed McCaleb จะเปลี่ยนมาทำเว็บแลกเปลี่ยน Bitcoin ในเดือนกรกฎาคม 2010

เดือนมีนาคม 2011 McCaleb ประกาศขายกิจการให้ Mark Karpelès โปรแกรมเมอร์ชาวฝรั่งเศสวัย 26 ปีที่อยู่ในญี่ปุ่น โดยให้เหตุผลว่าอยากให้คนที่พาเว็บไปต่อได้เป็นคนดูแล ในช่วงพีค Mt. Gox ประมวลผลปริมาณการซื้อขาย Bitcoin ส่วนใหญ่ของทั้งโลก

วิกฤตครั้งแรกมาถึงในเดือนมิถุนายน 2011 ไม่กี่เดือนหลัง Karpelès รับช่วงต่อ

• 19 มิถุนายน 2011 มีผู้บุกรุกเข้าถึงบัญชีที่มีสิทธิ์สูงบนระบบ แล้วสั่งขายเหรียญจำนวนมากรวดเดียว ทำให้ราคาบนกระดานของ Mt. Gox ร่วงจากราว 17 ดอลลาร์ลงไปเหลือระดับเศษเซนต์ภายในไม่กี่นาที
• เหรียญที่หายไปราว 25,000 BTC จากบัญชีผู้ใช้ 478 บัญชี คิดเป็นมูลค่าตอนนั้นราว 425,000 ดอลลาร์ เมื่อคิดที่ราคาก่อนเกิดเหตุราว 17 ดอลลาร์ต่อเหรียญ
• เว็บต้องหยุดให้บริการชั่วคราวและย้อนธุรกรรม ซึ่งเป็นสัญญาณแรกว่าราคาบนกระดานเดียวไม่ใช่ราคาของทั้งตลาด และคนกลางแก้ไขประวัติการซื้อขายได้

สามปีถัดมา Mt. Gox ยังเป็นเว็บเทรดที่ใหญ่ที่สุด แต่ปัญหาเบื้องหลังสะสมขึ้นเรื่อยๆ ทั้งระบบบัญชีที่ไม่แยกเงินลูกค้ากับเงินบริษัท และการถอนเงินที่ช้าลงจนผู้ใช้เริ่มบ่น

สองสัปดาห์ที่ Mt. Gox หายไปทั้งบริษัท

กราฟนี้ตอบคำถามที่คนถามบ่อยว่าตลาดตกใจแค่ไหนตอน Mt. Gox ล่ม ราคาไหลลงตั้งแต่ก่อน ประกาศระงับการถอน แล้วลงต่อจนถึงกลางปี 2014 ไม่ได้ดิ่งลงเหวในวันเดียวอย่างที่หลายคนจำ แต่เป็นการไหลลงต่อเนื่องหลายเดือนตามข่าวที่ทยอยออกมา

เดือนกุมภาพันธ์ 2014 คือจุดจบ และมันเกิดเร็วมาก

• 7 กุมภาพันธ์ 2014 Mt. Gox ประกาศระงับการถอน Bitcoin ทั้งหมด โดยอ้างปัญหาทางเทคนิคที่เรียกว่า transaction malleability ซึ่งเป็นช่องที่ทำให้รหัสธุรกรรมถูกแก้ได้ก่อนยืนยัน
• 25 กุมภาพันธ์ 2014 เว็บไซต์ทั้งหมดปิดตัวลงโดยไม่มีคำอธิบาย ผู้ใช้ทั่วโลกเข้าไปเจอหน้าเปล่า
• 28 กุมภาพันธ์ 2014 บริษัทยื่นล้มละลายที่ญี่ปุ่น พร้อมแถลงว่าเหรียญของลูกค้าและของบริษัทรวมกันราว 850,000 BTC หายไป

ในงานแถลงข่าวที่โตเกียววันนั้น Karpelès โค้งขอโทษต่อหน้าสื่อ และพูดประโยคที่ถูกอ้างถึงมาจนถึงทุกวันนี้

ระบบมีจุดอ่อนอยู่จุดหนึ่ง และผลก็คือเราทำ Bitcoin หายไป ผมขอโทษอย่างสุดซึ้งที่สร้างความเดือดร้อนให้ทุกคน

"There was a weak area in the system, and, as a result, we lost Bitcoins. I am deeply sorry that I have caused trouble to everyone."

เรื่องยังไม่จบแค่นั้น เดือนสิงหาคม 2015 Karpelès ถูกตำรวจญี่ปุ่นจับกุมในข้อหาที่เกี่ยวกับการปลอมแปลงข้อมูลทางบัญชี และคดีลากยาวหลายปี ส่วนเจ้าหนี้ที่เป็นผู้ใช้ทั่วไปต้องรอ

รอนานถึงสิบปี เพราะกระบวนการคืนเหรียญให้เจ้าหนี้เพิ่งเริ่มจริงจังในเดือนกรกฎาคม 2024 ซึ่งตอนนั้นราคา Bitcoin ต่างจากปี 2014 คนละโลก ทำให้เจ้าหนี้บางรายได้เงินคืนมากกว่ามูลค่าที่เสียไปตอนนั้นหลายเท่า แต่ก็มีอีกหลายรายที่ขายสิทธิ์เรียกร้องทิ้งไปตั้งแต่ตอนที่ยังไม่มีใครเชื่อว่าจะได้คืน

ภาพ: เปิด mtgox.com วันนี้ยังเจอหน้าของผู้ชำระบัญชี ไม่ใช่หน้าเว็บเทรด มีทั้งระบบยื่นคำขอรับชำระหนี้ หน้าเอกสารสำหรับเจ้าหนี้ และประกาศเลื่อนกำหนด ชำระคืนจากวันที่ 31 ตุลาคม 2025 เป็นวันที่ 31 ตุลาคม 2026 สิบสองปีหลังบริษัทล่ม เรื่องยังไม่จบ ที่มา: mtgox.com

จุดอ่อนที่คนมองข้าม ไม่ใช่แฮ็กเกอร์ แต่คือท่อเงิน

ก่อนที่ Mt. Gox จะล่มเกือบหนึ่งปี มีเหตุการณ์ที่เป็นสัญญาณเตือนแต่คนส่วนใหญ่มองผ่าน

เดือนพฤษภาคม 2013 หน่วยงานความมั่นคงแห่งมาตุภูมิของสหรัฐออกหมายยึดเงินในบัญชีของบริษัทลูกในอเมริกาของ Mt. Gox ชื่อ Mutum Sigillum ที่เปิดไว้กับผู้ให้บริการชำระเงินชื่อ Dwolla ยอดที่ถูกยึดครั้งแรกคือ 2,915,507.40 ดอลลาร์ และเดือนสิงหาคมปีเดียวกันถูกยึดเพิ่มอีกราว 2.1 ล้านดอลลาร์ รวมแล้วราว 5 ล้านดอลลาร์

เหตุผลในหมายยึดไม่ได้เกี่ยวกับการแฮ็กหรือการฉ้อโกงลูกค้าเลย แต่เป็นเรื่องที่บริษัทลูกรายนี้ทำหน้าที่รับส่งเงินให้ลูกค้าในสหรัฐโดยไม่ได้จดทะเบียนเป็นผู้ให้บริการโอนเงินตามกฎหมาย

ผลที่ตามมาคือลูกค้าอเมริกันถอนเงินดอลลาร์ออกจาก Mt. Gox ได้ช้าลงมาก บางรายรอเป็นเดือน และนั่นคือจุดที่ราคาบนกระดาน Mt. Gox เริ่มแพงกว่ากระดานอื่นอย่างผิดปกติ เพราะคนที่มีเงินติดอยู่ข้างในยอมซื้อเหรียญแพงกว่าตลาดเพื่อเอาเงินออกมาในรูปเหรียญแทน

บทเรียนของเคสนี้คือเว็บเทรดไม่ได้ล้มเพราะโดนเจาะอย่างเดียว ท่อเงินฝั่งสกุลเงินปกติที่ถูกตัดก็ทำให้ธุรกิจตายได้เหมือนกัน และสัญญาณมักโผล่ในรูปของการถอนช้าก่อนเสมอ

คลื่นการล่มปี 2011 ถึง 2012 ที่คนมักลืม

Mt. Gox ไม่ใช่รายเดียว ช่วงเวลาเดียวกันมีเว็บเทรดล้มเป็นแถบ และแต่ละเจ้าล้มด้วยสาเหตุที่ต่างกัน ซึ่งรวมกันแล้วเป็นบทเรียนที่ครบกว่าดูแค่เคสเดียว

• Bitomat เดือนกรกฎาคม 2011 เว็บเทรดอันดับสามของโลกตอนนั้นจากโปแลนด์ ทำไฟล์กระเป๋าเงินหายจากความผิดพลาดของระบบ ไม่ได้ถูกแฮ็ก แต่เหรียญราว 17,000 BTC เข้าถึงไม่ได้อีกเลย เพราะไม่มีสำรองกุญแจไว้
• MyBitcoin เดือนสิงหาคม 2011 บริการกระเป๋าเงินออนไลน์ที่ถือเหรียญไว้ราว 154,000 BTC หายไปทั้งเว็บ ก่อนกลับมาแถลงว่าถูกแฮ็กและเหรียญหายไปราว 51% ของทั้งหมด หรือราว 78,700 BTC
• TradeHill เดือนกุมภาพันธ์ 2012 เว็บเทรดอันดับสองของยุคนั้นปิดตัวโดยไม่แจ้งล่วงหน้า เหตุผลที่ให้คือปัญหาการกำกับดูแล การขาดทุนราวหนึ่งแสนดอลลาร์ และข้อพิพาทกับผู้ให้บริการชำระเงิน
• Bitcoinica ปี 2012 โดนเจาะสองครั้งในปีเดียว ครั้งแรกเดือนมีนาคมเสีย 43,554 BTC ครั้งที่สองเดือนพฤษภาคมเสียอีก 18,547 BTC แล้วปิดกิจการถาวร
• Bitfloor เดือนกันยายน 2012 ผู้ก่อตั้งแถลงว่าเซิร์ฟเวอร์ถูกเจาะ และผู้บุกรุกเจอไฟล์สำรองกุญแจที่ไม่ได้เข้ารหัสไว้ เหรียญหายไป 24,000 BTC

ถ้าอ่านเรียงกันจะเห็นว่าสาเหตุไม่ได้มีแค่การถูกแฮ็ก แต่รวมถึงการทำกุญแจหายเอง การเก็บไฟล์สำรองแบบไม่เข้ารหัส และการถูกตัดช่องทางชำระเงินจนธุรกิจเดินต่อไม่ได้

ปี 2011 เป็นปีที่ราคาขึ้นจากไม่ถึง 4 ดอลลาร์ไปเกือบ 20 ดอลลาร์ภายในเดือนเดียว แล้วไหลลงยาวตลอดครึ่งปีหลังพร้อมกับข่าวเว็บเทรดล้มติดกัน ซึ่งเป็นรูปแบบที่กลับมาซ้ำ อีกหลายรอบ คือราคาขึ้นเร็วจนโครงสร้างพื้นฐานตามไม่ทัน แล้วจุดที่อ่อนที่สุดพังก่อน

เจ้าที่รอดมาได้ทำอะไรต่างออกไป

ในคลื่นเดียวกันนั้นมีบริษัทที่เลือกเดินอีกทาง คือยอมช้าลงเพื่อเข้าระบบ

• มิถุนายน 2012 Coinbase ก่อตั้งที่ซานฟรานซิสโก โดยวางตัวเป็นบริษัทเทคโนโลยีที่ทำงานกับหน่วยงานกำกับตั้งแต่ต้น ไม่ใช่เว็บที่รันโดยคนไม่กี่คน
• มกราคม 2015 Coinbase เปิดเว็บเทรดที่มีใบอนุญาตในสหรัฐ ซึ่งเป็นครั้งแรกที่คำว่าเว็บเทรดคริปโตกับคำว่าใบอนุญาตอยู่ในประโยคเดียวกันได้
• ธันวาคม 2012 Bitcoin Central ในยุโรปได้สถานะที่ทำให้ทำงานร่วมกับระบบธนาคารได้เป็นรายแรก ซึ่งแสดงว่าเส้นทางการเข้าระบบเป็นไปได้จริงตั้งแต่ตอนนั้น

ข้อสังเกตคือเว็บที่รอดไม่ใช่เว็บที่ไม่เคยโดนเจาะ Bitstamp เองก็เสีย 19,000 BTC จากการถูกเจาะในเดือนมกราคม 2015 แต่บริษัทมีทุนสำรองพอจะชดเชยให้ผู้ใช้และเปิดบริการต่อได้ ต่างจากเจ้าที่ล้มไปซึ่งไม่มีอะไรรองรับเลยเมื่อเหรียญหาย

2016 ถึง 2019 ยุคที่ตัวเลขความเสียหายใหญ่ขึ้นเรื่อยๆ

พอตลาดโตขึ้น เงินที่กองอยู่บนเว็บเทรดก็มากขึ้นตาม และการโจมตีก็เปลี่ยนจากมือสมัครเล่นเป็นระดับอาชีพ

• สิงหาคม 2016 Bitfinex ถูกเจาะเสีย 119,756 BTC ทางออกที่เลือกคือเฉลี่ยความเสียหายไปยังผู้ใช้ทุกคนราว 36% แล้วออกโทเคนแทนหนี้ให้ ก่อนจะทยอยไถ่ถอนคืนภายหลัง
• มกราคม 2018 Coincheck ในญี่ปุ่นถูกขโมยเหรียญ NEM มูลค่าราว 530 ล้านดอลลาร์ ซึ่งใหญ่ที่สุดในเวลานั้น สาเหตุหลักคือเก็บเหรียญไว้ในกระเป๋าร้อนที่ต่อกับอินเทอร์เน็ตโดยไม่มีระบบหลายลายเซ็น
• มิถุนายน 2018 Coinrail ในเกาหลีใต้ถูกเจาะ ตลาดตอบสนองด้วยการร่วงต่อเนื่อง สะท้อนว่าความเชื่อมั่นในเว็บเทรดยังผูกกับราคาโดยตรง
• กันยายน 2018 หน่วยงานกำกับของญี่ปุ่นสั่งให้เว็บเทรดในประเทศยกระดับมาตรฐานความปลอดภัยหลังเกิดเหตุซ้ำ ซึ่งเป็นจุดที่การกำกับดูแลเริ่มตามทัน
• พฤษภาคม 2019 Binance ถูกเจาะเสีย 7,000 BTC แต่ชดเชยจากกองทุนสำรองที่ตั้งไว้ล่วงหน้าชื่อ SAFU ทำให้ผู้ใช้ไม่เสียหาย

ความต่างระหว่างเคส Coincheck กับ Binance อยู่ที่การเตรียมตัว ไม่ใช่ที่ฝีมือของผู้โจมตี เจ้าหนึ่งไม่มีอะไรรองรับ อีกเจ้ากันเงินไว้ก่อนแล้ว

ราคาปิดวันที่ข่าวออกอยู่ที่ 605.56 ดอลลาร์ แล้วลงต่อไปต่ำสุดที่ 530.74 ดอลลาร์ ในวันถัดมา คิดเป็นการลดลงราว 15% จากต้นเดือน จากนั้นกลับขึ้นจนจบปีที่ 958.12 ดอลลาร์ ซึ่งสูงกว่าก่อนเกิดเหตุมาก

2020 ถึง 2025 กฎหมายตามทัน และการโจมตีระดับรัฐ

• ตุลาคม 2020 อัยการสหรัฐตั้งข้อหาผู้บริหาร BitMEX ฐานไม่ทำระบบรู้จักตัวตนลูกค้าตามกฎหมายต่อต้านการฟอกเงิน เป็นสัญญาณว่าการอยู่นอกเขตอำนาจไม่ได้แปลว่าปลอดภัยอีกต่อไป
• พฤศจิกายน 2022 FTX ล่มภายในสัปดาห์เดียว ตามด้วยกระแสให้เว็บเทรดทุกเจ้าเปิดเผยหลักฐานการถือครองสินทรัพย์ที่เรียกว่า Proof of Reserve
• กุมภาพันธ์ 2025 Bybit ถูกขโมยสินทรัพย์มูลค่าราว 1.4 พันล้านดอลลาร์ ใหญ่ที่สุดในประวัติศาสตร์คริปโต โดยการโจมตีมุ่งไปที่ขั้นตอนการอนุมัติธุรกรรมของกระเป๋าเย็น ไม่ใช่การเดารหัสผ่านแบบยุคก่อน

สิ่งที่เปลี่ยนไปชัดเจนคือผู้โจมตี จากเดิมที่เป็นแฮ็กเกอร์เดี่ยวเจาะเซิร์ฟเวอร์ กลายเป็นกลุ่มที่มีทรัพยากรระดับรัฐและวางแผนเป็นเดือน ส่วนการป้องกันก็ย้ายจากการตั้งรหัสผ่านที่ดี ไปเป็นการออกแบบขั้นตอนอนุมัติที่ไม่มีใครคนเดียวสั่งย้ายเงินได้

เว็บเทรดเก็บเหรียญของเราไว้ยังไง

ภาพ: เว็บเทรดเก็บเหรียญไว้สองกอง กระเป๋าร้อนต่ออินเทอร์เน็ตตลอดเวลาเพื่อให้ถอนได้ทันที จึงเก็บสัดส่วนน้อย ส่วนกระเป๋าเย็นอยู่ออฟไลน์และต้องมีหลายคนอนุมัติถึงจะย้ายได้ สัดส่วนระหว่างสองกองนี้คือสิ่งที่ผู้ใช้มองไม่เห็น

ถ้ายังไม่คุ้นกับคำว่ากระเป๋าร้อนกับกระเป๋าเย็น อ่านพื้นฐานได้ที่บทความเรื่องกระเป๋าร้อนและกระเป๋าเย็นก่อนได้

เวลาเราฝากเหรียญเข้าเว็บเทรด เหรียญนั้นไม่ได้อยู่ใน address ของเราอีกต่อไป แต่ถูกรวมไปกองไว้ในกระเป๋าของบริษัท ส่วนตัวเลขที่เราเห็นบนหน้าจอคือรายการในฐานข้อมูลที่บอกว่าบริษัทติดหนี้เราเท่าไหร่

บริษัทจะแบ่งเหรียญที่ถือไว้เป็นสองกองใหญ่

• กระเป๋าร้อน ต่ออินเทอร์เน็ตตลอดเวลาเพื่อให้ถอนได้ทันที ปกติเก็บสัดส่วนน้อยของทั้งหมด แต่เป็นกองที่ถูกโจมตีบ่อยที่สุดเพราะกุญแจอยู่บนเครื่องที่เข้าถึงได้จากภายนอก
• กระเป๋าเย็น เก็บกุญแจแบบออฟไลน์ ต้องมีขั้นตอนอนุมัติหลายชั้นถึงจะย้ายเหรียญได้ ปลอดภัยกว่ามากแต่ช้า จึงใช้เก็บส่วนใหญ่ที่ไม่ต้องหมุนรายวัน

เคสที่เสียหายหนักมักเกิดจากสามรูปแบบ คือกระเป๋าร้อนถูกเจาะโดยตรงอย่าง Coincheck กุญแจของกระเป๋าเย็นถูกเก็บสำรองไว้แบบไม่เข้ารหัสอย่าง Bitfloor หรือขั้นตอนอนุมัติของกระเป๋าเย็นถูกหลอกให้เซ็นอย่างเคส Bybit ปี 2025

สิ่งที่ผู้ใช้มองไม่เห็นเลยคือสัดส่วนระหว่างสองกองนี้ และไม่มีทางรู้ว่าเหรียญที่บริษัทบอกว่ามีนั้นมีจริงหรือเปล่า จนกว่าจะมีการเปิดเผยหลักฐานการถือครองที่ตรวจสอบได้ ซึ่งเพิ่งกลายเป็นมาตรฐานหลังปี 2022

กระดานที่ไม่มีคนกลาง แก้ปัญหานี้ได้จริงไหม

ถ้าปัญหาทั้งหมดมาจากการที่บริษัทถือเหรียญแทนเรา คำถามที่ตามมาคือทำไมไม่ใช้กระดานที่ไม่ต้องฝากเหรียญเลย

กระดานแบบนั้นมีจริง เรียกกันว่า DEX ซึ่งทำงานด้วยสัญญาอัจฉริยะบนบล็อกเชน ผู้ใช้เชื่อมกระเป๋าของตัวเองเข้ากับเว็บแล้วแลกเหรียญกันตรงๆ เหรียญไม่เคยออกจากกระเป๋าเราไปอยู่ในมือบริษัท จึงไม่มีเคสแบบ Mt. Gox ที่บริษัทหายไปพร้อมเหรียญ

แต่มันแลกมาด้วยข้อจำกัดที่ต้องรู้ก่อนใช้

• ทำผิดแล้วไม่มีใครช่วย ส่งผิด address หรือเซ็นอนุมัติสัญญาที่เป็นกับดัก ไม่มีฝ่ายบริการลูกค้าให้ร้องเรียน
• ความเสี่ยงย้ายไปอยู่ที่โค้ด แทนที่จะกลัวบริษัทโกง กลายเป็นต้องกลัวบั๊กในสัญญาอัจฉริยะแทน ซึ่งเคสสะพานข้ามเชนที่ถูกเจาะหลายร้อยล้านดอลลาร์ก็อยู่ในกลุ่มนี้
• เข้าออกด้วยเงินบาทไม่ได้ สุดท้ายคนส่วนใหญ่ยังต้องผ่านกระดานที่มีคนกลางอยู่ดีตอนแลกเป็นเงินสกุลปกติ

สรุปคือ DEX ตัดความเสี่ยงเรื่องคนกลางถือเหรียญออกไปได้จริง แต่ไม่ได้ตัดความเสี่ยงทั้งหมด มันย้ายความเสี่ยงจากบริษัทไปอยู่ที่ตัวผู้ใช้และตัวโค้ด ใครจะใช้ต้องรับสองอย่างนั้นแทน

ต่างจากเคสก่อนหน้าตรงที่รอบนี้ราคาไม่ฟื้นเร็ว ราคาปิดวันยื่นล้มละลายอยู่ที่ 17,550 ดอลลาร์ แล้วไหลลงต่อไปต่ำสุดที่ 16,260 ดอลลาร์ในวันที่ 21 พฤศจิกายน และค้างอยู่แถวนั้น ถึงสิ้นปี เพราะความเสียหายรอบนี้ไม่ได้จบที่บริษัทเดียว แต่ลามไปถึงเจ้าหนี้ต่ออีกหลายราย

ทำไมเว็บเทรดถึงล่มซ้ำแล้วซ้ำอีก

ถ้าไล่ดูทั้งหมดจะเห็นสาเหตุที่วนกลับมาเป็นชุดเดิม

• เหรียญของทุกคนกองอยู่ที่เดียว เว็บเทรดคือเป้าที่คุ้มค่าที่สุดสำหรับผู้โจมตี เพราะเจาะครั้งเดียวได้เหรียญของคนหลายแสนคน
• กระเป๋าร้อนต้องออนไลน์ตลอดเวลา เพื่อให้ผู้ใช้ถอนได้ทันที ซึ่งแลกมาด้วยความเสี่ยงที่กุญแจอยู่บนเครื่องที่ต่ออินเทอร์เน็ต
• ไม่มีใครตรวจว่าเหรียญอยู่ครบจริงไหม ก่อนยุค Proof of Reserve ผู้ใช้เห็นแค่ตัวเลขบนหน้าจอ ซึ่งเป็นแค่ฐานข้อมูลของบริษัท ไม่ใช่หลักฐานว่าเหรียญมีอยู่
• เงินลูกค้าไม่ได้แยกจากเงินบริษัท เมื่อบริษัทขาดทุนหรือผู้บริหารเอาไปใช้ ผู้ใช้จะรู้ตัวก็ตอนถอนไม่ได้แล้ว

สามข้อแรกเป็นปัญหาทางเทคนิคที่แก้ได้ด้วยการออกแบบระบบ ส่วนข้อสุดท้ายเป็นปัญหาเชิงกติกาที่ต้องมีคนบังคับจากภายนอก ซึ่งเป็นเหตุผลที่การกำกับดูแลเข้ามามีบทบาทมากขึ้นทุกปี

เว็บเทรดในไทยอยู่ตรงไหนของเส้นนี้

ไทยเริ่มมีเว็บเทรดในประเทศให้บริการจริงจังตั้งแต่ราวปี 2559 แต่ตอนนั้นยังไม่มีกฎหมายเฉพาะรองรับ สถานะจึงคลุมเครือทั้งกับผู้ให้บริการและผู้ใช้

• พฤษภาคม 2561 ไทยประกาศใช้พระราชกำหนดการประกอบธุรกิจสินทรัพย์ดิจิทัล ซึ่งกำหนดให้การเป็นศูนย์ซื้อขาย นายหน้า และผู้ค้าสินทรัพย์ดิจิทัล ต้องได้รับใบอนุญาต รายละเอียดของกรอบกฎหมายฉบับนี้อยู่ในบทความกฎหมายคริปโตไทยที่ต้องรู้
• กันยายน 2561 เป็นต้นมา ก.ล.ต. ทยอยอนุมัติผู้ประกอบธุรกิจรายแรกๆ และออกใบอนุญาตเพิ่มในปีถัดมา
• พฤศจิกายน 2564 กลุ่ม SCBX ประกาศดีลซื้อหุ้นใหญ่ของ Bitkub มูลค่า 17,850 ล้านบาท ซึ่งเป็นสัญญาณว่าเว็บเทรดไทยเข้าสู่สายตาของกลุ่มธนาคารแล้ว ต่อมาทั้งสองฝ่ายตกลงยกเลิกดีลนี้ร่วมกันเมื่อวันที่ 25 สิงหาคม 2565 ดีลจึงไม่เกิดขึ้นจริง

ข้อดีของการมีใบอนุญาตคือมีหน่วยงานที่กำหนดเกณฑ์การเก็บรักษาทรัพย์สินลูกค้าและตรวจสอบได้ ข้อจำกัดคือใบอนุญาตไม่ได้แปลว่าเหรียญจะไม่หาย เพราะเคสที่ล่มในต่างประเทศหลายเจ้าก็อยู่ใต้การกำกับเหมือนกัน ใบอนุญาตช่วยเรื่องการเยียวยาและการตรวจสอบย้อนหลังมากกว่าการป้องกันเหตุ

ภาพ: ตัวเลขในแอปของเว็บเทรดคือรายการในฐานข้อมูลที่บอกว่าบริษัทติดหนี้เราเท่าไหร่ ต่างจากการถือเหรียญเองที่เหรียญอยู่ใน address ที่เราถือกุญแจ

เคสไทยที่ใกล้ตัวที่สุด

ไทยไม่ได้อยู่นอกวงจรนี้ กรกฎาคม 2565 Zipmex ประกาศระงับการถอนของผู้ใช้ทั้งหมด หลังได้รับผลกระทบต่อเนื่องจากการล่มของระบบ Terra และการล้มของผู้ให้บริการปล่อยกู้คริปโตในต่างประเทศที่ Zipmex เอาเงินไปฝากไว้

• กรกฎาคม 2565 ระงับการถอน ทำให้ผู้ใช้ชาวไทยจำนวนมากเข้าถึงเงินตัวเองไม่ได้
• 7 กันยายน 2565 ก.ล.ต. กล่าวโทษบริษัทและผู้บริหารต่อกองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี กรณีไม่นำส่งข้อมูลกระเป๋าอิเล็กทรอนิกส์ที่เก็บทรัพย์สินลูกค้าภายในเวลาที่กำหนด
• 2 กุมภาพันธ์ 2567 คณะกรรมการ ก.ล.ต. สั่งให้ระงับการประกอบธุรกิจศูนย์ซื้อขายและนายหน้าสินทรัพย์ดิจิทัลเป็นการชั่วคราว เพราะแก้ไขฐานะการเงินและการดำเนินงานตามคำสั่งไม่ได้ พร้อมสั่งให้เปิดให้ลูกค้าถอนทรัพย์สินได้ตลอดเวลาระหว่างที่ถูกระงับ

เคสนี้ตอบคำถามที่คนไทยถามบ่อยว่าการมีใบอนุญาตแปลว่าเงินปลอดภัยหรือเปล่า คำตอบคือใบอนุญาตทำให้มีหน่วยงานที่เข้าไปตรวจสอบและสั่งการได้จริง ซึ่งต่างจากการใช้เว็บต่างประเทศที่ไม่มีใครในไทยสั่งอะไรได้เลย แต่ใบอนุญาตไม่ได้แปลว่าเงินจะไม่ติดอยู่ข้างใน

จุดที่ควรสังเกตคือความเสียหายรอบนี้ไม่ได้มาจากการถูกแฮ็ก ตามคำชี้แจงของบริษัทเองและรายงานข่าวในเวลานั้น เหรียญของผู้ใช้ส่วนหนึ่งถูกนำไปหาผลตอบแทนต่อกับคู่ค้าในต่างประเทศที่ล้มไปก่อนหน้า ซึ่งเป็นความเสี่ยงคนละแบบกับที่คนกลัวกันตอนพูดถึงเว็บเทรด

สิ่งที่ผู้ใช้ทำได้จริงจากบทเรียนสิบห้าปีนี้

• แยกเหรียญที่ใช้เทรดกับเหรียญที่ถือยาว ส่วนที่ถือยาวไม่จำเป็นต้องอยู่บนเว็บเทรดเลย
• ดูว่าเว็บนั้นเปิดเผยหลักฐานการถือครองไหม และหลักฐานนั้นตรวจสอบได้เองหรือแค่บริษัทประกาศ
• เช็คว่าอยู่ใต้ใบอนุญาตที่ไหน เพราะเวลามีปัญหาจริง คำถามแรกคือฟ้องร้องหรือร้องเรียนที่ไหนได้
• อย่าเชื่อยอดบนหน้าจอว่าเท่ากับเหรียญจริง ตัวเลขในบัญชีคือหนี้ที่บริษัทมีต่อเรา ไม่ใช่เหรียญที่เราถืออยู่

ถ้าอยากได้ขั้นตอนที่ทำตามได้ทันที ดูได้ที่บทความวิธีใช้เว็บเทรดอย่างปลอดภัย ประโยคที่วงการพูดกันมานานว่า not your keys, not your coins ฟังดูเป็นคำขวัญ แต่ทุกเคสในบทความนี้คือหลักฐานว่ามันไม่ใช่คำขวัญ

สรุปไทม์ไลน์เว็บเทรดที่ล่มและที่รอด

ภาพ: จุดสีแดงคือเจ้าที่ล่ม จุดสีเขียวคือเจ้าที่ผ่านเหตุการณ์มาได้ จะเห็นว่าการล่มไม่ได้เกิดครั้งเดียวแล้วจบ แต่วนกลับมาทุกช่วงที่ตลาดโตขึ้น

ไล่เรียงเฉพาะเหตุการณ์ที่เปลี่ยนวงการจริง

• 2010 Mt. Gox เปิดให้บริการ กลายเป็นกระดานหลักของโลกภายในเวลาไม่นาน
• 2011 Mt. Gox โดนเจาะจนราคาบนกระดานร่วงเหลือเศษเซนต์ ตามด้วย Bitomat ทำกุญแจหายและ MyBitcoin ปิดหนี
• 2012 TradeHill ปิด Bitcoinica โดนเจาะสองรอบ Bitfloor เสีย 24,000 BTC ส่วน Coinbase ก่อตั้งในปีเดียวกัน
• 2013 บัญชีในสหรัฐของ Mt. Gox ถูกยึดเพราะไม่ได้จดทะเบียนเป็นผู้โอนเงิน เป็นสัญญาณเตือนก่อนล่มจริง
• 2014 Mt. Gox ปิดตัวและยื่นล้มละลาย เหรียญหายราว 850,000 BTC
• 2015 Bitstamp โดนเจาะแต่รอด Coinbase ได้ใบอนุญาตในสหรัฐ Karpelès ถูกจับที่ญี่ปุ่น
• 2016 ถึง 2019 Bitfinex Coincheck Coinrail และ Binance ถูกเจาะตามลำดับ ญี่ปุ่นเริ่มบังคับมาตรฐานความปลอดภัย
• 2020 ถึง 2022 ผู้บริหาร BitMEX ถูกตั้งข้อหา FTX ล่ม และ Zipmex ในไทยระงับการถอน
• 2024 ถึง 2025 Mt. Gox เริ่มคืนเหรียญให้เจ้าหนี้หลังรอสิบปี และ Bybit ถูกขโมยสินทรัพย์ 1.4 พันล้านดอลลาร์

คำถามที่พบบ่อย

Mt. Gox เสียเหรียญไปเท่าไหร่กันแน่

ตอนยื่นล้มละลายบริษัทแถลงว่าเหรียญของลูกค้าและของบริษัทรวมกันราว 850,000 BTC หายไป ภายหลังพบเหรียญบางส่วนในกระเป๋าเก่าที่ลืมไป ทำให้ยอดที่หายจริงลดลง และกระบวนการคืนให้เจ้าหนี้เริ่มในเดือนกรกฎาคม 2024

เว็บเทรดที่มีใบอนุญาตปลอดภัยกว่าจริงไหม

ปลอดภัยกว่าในแง่การเยียวยาและการตรวจสอบ เพราะมีเกณฑ์การเก็บรักษาทรัพย์สินลูกค้าและมีหน่วยงานให้ร้องเรียน แต่ไม่ได้แปลว่าเหรียญจะไม่หาย เพราะเจ้าที่ล่มหลายรายก็อยู่ใต้การกำกับ

Proof of Reserve คืออะไร เชื่อได้แค่ไหน

คือการที่เว็บเทรดเปิดเผยหลักฐานว่าถือเหรียญอยู่จริงเท่าไหร่ ข้อจำกัดคือถ้าเปิดเผยแค่ฝั่งทรัพย์สินโดยไม่เปิดฝั่งหนี้สิน ก็ยังบอกไม่ได้ว่าเหรียญพอจ่ายคืนทุกคนหรือไม่ จึงต้องดูว่ารายงานนั้นครอบคลุมทั้งสองฝั่งและมีผู้ตรวจสอบอิสระหรือเปล่า

ถ้าเว็บเทรดล่ม ผู้ใช้ในไทยทำอะไรได้

ถ้าเป็นผู้ประกอบธุรกิจที่มีใบอนุญาตในไทย สามารถร้องเรียนต่อ ก.ล.ต. และใช้กระบวนการทางกฎหมายในประเทศได้ แต่ถ้าเป็นเว็บต่างประเทศที่ไม่มีใบอนุญาตในไทย การตามเรื่องจะยากกว่ามาก เพราะต้องไปตามเขตอำนาจที่บริษัทนั้นจดทะเบียนอยู่

เก็บเหรียญไว้บนเว็บเทรดได้ไหมถ้าจำนวนไม่เยอะ

ได้ถ้ายอมรับความเสี่ยงนั้น หลักที่ใช้กันคือเก็บบนเว็บเทรดเท่าที่พร้อมจะเสีย ส่วนที่เหลือย้ายออกมาถือเอง ซึ่งแลกมากับความรับผิดชอบในการดูแลกุญแจด้วยตัวเอง