ความเสี่ยง DeFi มีอะไรบ้าง Rug Pull คืออะไร ดูสัญญาณเตือนยังไง

บทความ #46 ในซีรีส์ "คริปโต 1-100" Section 5 DeFi ต่อจาก Governance Token / DAO คืออะไร ถ้ายังไม่รู้จัก DeFi แนะนำเริ่มที่ DeFi คืออะไร ก่อน

ตลอด Section นี้เราพาไปดูด้านที่สวยงามของ DeFi มาตลอด ทั้งการปล่อยกู้ที่ไม่ต้องขอใคร การเทรดที่ไม่ต้องผ่านตัวกลาง และผลตอบแทนจากการฟาร์มที่ธนาคารได้แต่มองตาปริบๆ แต่ถ้าจบซีรีส์นี้โดยไม่เล่าด้านมืดให้ฟังเลย ก็คงเหมือนสอนขับรถโดยไม่เคยพูดถึงเบรก

ความจริงที่ต้องรู้ก่อนเอาเงินจริงเข้าไปคือ DeFi เป็นหนึ่งในสนามที่เงินหายง่ายที่สุดในโลกคริปโต ปี 2021 ปีเดียว ข้อมูลจากบริษัทวิเคราะห์บล็อกเชน Chainalysis ระบุว่านักลงทุนทั่วโลกเสียเงินให้กลโกงแบบ rug pull ไปกว่า 2.8 พันล้านดอลลาร์ คิดเป็น 37% ของมูลค่าสแกมคริปโตทั้งหมดในปีนั้น ทั้งที่ปีก่อนหน้าตัวเลขนี้มีสัดส่วนแค่ 1% และนั่นยังไม่รวมความเสียหายจากช่องโหว่สัญญา การโจมตี oracle หรือ stablecoin ล่มทั้งระบบอย่างเคส Terra ที่มูลค่าหายไปราว 4 หมื่นล้านดอลลาร์ในสัปดาห์เดียว

ในหนังสือ DeFi Farming 101 ที่เราเขียนไว้ช่วงพีคของกระแสฟาร์มปี 2021 มีบทหนึ่งที่ตั้งใจเขียนให้เป็น "Dream Crasher" สำหรับคนที่คิดจะกระโดดเข้า DeFi ด้วยความมักง่าย เพราะการเข้ามาในโลกนี้โดยไม่รู้จักความเสี่ยง ไม่ต่างอะไรกับการเดินไปตบบอสโดยไม่เก็บเลเวล บทความนี้คือเวอร์ชันอัปเดตของบทนั้น พร้อมบทเรียนจากเคสจริงที่เกิดขึ้นหลังหนังสือตีพิมพ์ ซึ่งหลายเคสเจ็บกว่าที่หนังสือเตือนไว้เสียอีก

Rug Pull คือการที่ทีมพัฒนาโปรเจกต์คริปโตดึงเงินของนักลงทุนออกไปแล้วทิ้งโปรเจกต์หนี เปรียบเหมือนการกระตุกพรมที่ทุกคนกำลังยืนอยู่ให้ล้มทั้งกระดาน คำนี้กลายเป็นคำเรียกรวมของกลโกงยอดฮิตในโลก DeFi ที่ใครก็สร้างโทเคนและเปิดแพลตฟอร์มได้โดยไม่ต้องขออนุญาตใคร

แต่ rug pull เป็นแค่หนึ่งในห้าหมวดความเสี่ยงใหญ่ของ DeFi เท่านั้น บทความนี้จะไล่ให้ครบทั้งห้า พร้อมสัญญาณเตือนที่สังเกตได้จริงก่อนเงินจะหาย

ภาพ: กลไกการดึงสภาพคล่อง เมื่อทีมงานถอนเหรียญหลักออกจาก pool นักลงทุนที่เหลือจะถือโทเคนที่แลกกลับเป็นเงินไม่ได้อีกต่อไป

Rug Pull มีกี่รูปแบบ ทำไมถึงเกิดขึ้นได้ทั้งที่ทุกอย่างอยู่บนบล็อกเชน

หลายคนเข้าใจว่าในเมื่อ smart contract ตรวจสอบได้และแก้ไขไม่ได้ การโกงก็ไม่น่าจะเกิดขึ้นได้ ประเด็นคือความโปร่งใสมีประโยชน์กับคนที่อ่านโค้ดออกเท่านั้น ในหนังสือเราเปรียบไว้ว่ามันเหมือนการเซ็นสัญญาโดยไม่อ่านรายละเอียด หน้าสัญญาเขียนแบบหนึ่งแต่เนื้อในเป็นอีกแบบหนึ่ง ซึ่งคนส่วนใหญ่ที่เข้ามาฟาร์มไม่ได้อ่าน contract เองแม้แต่บรรทัดเดียว

rug pull ที่เกิดขึ้นจริงแบ่งได้เป็น 3 รูปแบบหลัก

1. ดึงสภาพคล่องหนี (Liquidity Pull)

รูปแบบคลาสสิกที่สุด ทีมงานสร้างโทเคนขึ้นมา จับคู่กับเหรียญหลักอย่าง BNB หรือ ETH ใน liquidity pool บน DEX เมื่อนักลงทุนแห่เข้ามาซื้อโทเคนจนใน pool มีเหรียญหลักสะสมมากพอ ทีมงานก็ถอนสภาพคล่องทั้งหมดออกในธุรกรรมเดียว ผลคือโทเคนในมือนักลงทุนขายคืนไม่ได้อีกต่อไป เพราะไม่เหลือเหรียญหลักใน pool ให้แลก มูลค่ากลายเป็นศูนย์ทันที ใครที่อ่านบทความ Liquidity Pool คืออะไร มาแล้วจะเห็นภาพทันทีว่าทำไมการถอน pool ถึงเท่ากับปิดประตูหนีไฟใส่ทุกคน

2. ทีมเทขายเหรียญใส่ (Token Dump)

แบบนี้แนบเนียนกว่า เพราะในทางเทคนิค contract ไม่ได้ถูกเขียนให้ขโมยเงินใครเลย แต่ทีมงานถือโทเคนสัดส่วนมหาศาลตั้งแต่วันแรก แล้วใช้คำโฆษณาปั่นให้คนเข้ามาซื้อจนราคาขึ้น จากนั้นเทขายทั้งหมดใส่หัวนักลงทุน ในหนังสือเรายกเคสเหรียญ Genesis ที่เจ้าของโครงการใช้คำพูดหลอกให้คนซื้อ ทั้งที่ตัวเองถือเหรียญอยู่เต็มมือแล้วเทขายภายหลัง จุดที่ทำให้เคสแบบนี้หมิ่นเหม่คือมันก้ำกึ่งระหว่าง "ผิดกฎหมาย" กับ "แค่ขายของที่ตัวเองถือ" แต่ผลลัพธ์กับกระเป๋านักลงทุนไม่ต่างกัน

วิธีดูเบื้องต้นคือเปิดหน้าการจัดสรรโทเคนของโปรเจกต์ โปรเจกต์ที่จัดการเป็นระบบจะระบุชัดว่าทีมได้เหรียญกี่เปอร์เซ็นต์ จัดสรรไปส่วนไหนบ้าง และมีเงื่อนไขล็อกเวลาปลดเหรียญของทีมชัดเจน ถ้าข้อมูลพวกนี้หาไม่เจอเลย ให้ตั้งธงไว้ก่อน

ภาพ: การจัดสรรโทเคนที่โปร่งใสต้องบอกได้ว่าทีมถือเท่าไหร่และปลดล็อกเมื่อไหร่ ทีมที่ถือก้อนใหญ่โดยไม่ล็อกคือความเสี่ยงเทขายโดยตรง

3. หลังบ้านมีประตูลับ (Backdoor Contract)

อันตรายที่สุดในสามแบบ เพราะทีมงานตั้งใจฝังโค้ดที่เปิดทางให้ตัวเองเข้าถึงเงินของผู้ใช้ได้ตั้งแต่ต้น ในหนังสือเรายกเคส Bullfarm ที่เจ้าของแพลตฟอร์มซ่อนโค้ดไว้ พอผู้ใช้กดอนุมัติสัญญาก็เท่ากับอนุญาตให้เจ้าของเข้าถึงเงินตัวเองโดยไม่รู้ตัว กับอีกเคสที่แนบเนียนกว่าคือ Meerkat Finance บน Binance Smart Chain ที่ลอกโค้ดจากโปรเจกต์ดังแล้วแอบแก้รายละเอียดเล็กจนตาเปล่าแทบแยกไม่ออก (ในหนังสือเล่าไว้ว่าเปลี่ยนตัวอักษรแค่ตัวเดียวจาก "O" เป็น "0") ก่อนดึงเงินออกไปราว 31 ล้านดอลลาร์ หลังเปิดตัวได้เพียงวันเดียว ตามรายงานของ The Block ซึ่งภายหลังทีมงานออกมาอ้างว่าทั้งหมดเป็น "การทดสอบ" และประกาศจะคืนเงิน

ภาพ: rug pull สามรูปแบบหลัก จุดร่วมคือทีมงานออกแบบทางหนีของตัวเองไว้ก่อนที่นักลงทุนจะรู้ตัวเสมอ

เคสจริงที่ควรรู้จัก จากเวทีโลกถึงสนามไทย

เคสที่ดังที่สุดในประวัติศาสตร์ rug pull น่าจะเป็นเหรียญ SQUID ปลายปี 2021 ที่อาศัยกระแสซีรีส์ Squid Game สร้างโทเคนพร้อมสัญญาว่าจะทำเกม play-to-earn ราคาพุ่งจากไม่กี่เซนต์ไปแตะ 2,860 ดอลลาร์ ก่อนทีมงานลบโซเชียลทุกช่องทาง ปิดเว็บ แล้วหอบเงินหายไปราว 3.3 ล้านดอลลาร์ จุดพีคของเคสนี้คือโค้ดถูกเขียนให้ "ซื้อได้แต่ขายไม่ได้" มาตั้งแต่ต้น นักลงทุนได้แต่นั่งดูราคาขึ้นโดยกดขายไม่ออก กลายเป็นตัวอย่างสดของคำว่า backdoor ที่ทั้งโลกได้เห็นพร้อมกัน

ส่วนตัวเลขรวมของปี 2021 ที่ Chainalysis สรุปไว้ 2.8 พันล้านดอลลาร์นั้น มีรายละเอียดที่ควรรู้คือก้อนใหญ่สุดราว 2.6 พันล้านดอลลาร์มาจากเคส Thodex กระดานเทรดรวมศูนย์ในตุรกีที่ผู้ก่อตั้งปิดระบบแล้วหนีออกนอกประเทศ พูดอีกแบบคือการ "เชิดเงินหนี" ไม่ได้ผูกขาดอยู่แค่ใน DeFi กระดานเทรดที่มีตัวตนชัดเจนก็ทำได้เหมือนกัน ต่างกันตรงที่ฝั่ง DeFi เปิดโปรเจกต์ใหม่ได้เร็วกว่า ถูกกว่า และไม่ต้องเปิดเผยหน้าตาใครเลย

เรื่องนี้ไม่ใช่เรื่องไกลตัวคนไทย กลางปี 2021 ช่วงเดียวกับที่หนังสือเล่มนี้กำลังเขียน เกิดเคส rug pull แรกๆ บน Bitkub Chain กับโปรเจกต์ KubSwaps ที่เจ้าของเทขายเหรียญใส่ตลาดแล้วปิดเว็บหายไป จนกลุ่มผู้เสียหายที่คาดว่ามีนับพันคนต้องรวมตัวยื่นฟ้อง และ Bitkub ต้องออกประกาศว่าไม่มีส่วนเกี่ยวข้องกับโปรเจกต์ดังกล่าว ตามรายงานของ THE STANDARD และ Siam Blockchain ถัดมาไม่นานก็มีดราม่า TukTuk Finance ฟาร์มที่โชว์ตัวเลขผลตอบแทนสูงผิดปกติชนิดที่เลขเปอร์เซ็นต์แทบไม่มีความหมาย แล้วราคาเหรียญก็ร่วงแทบเป็นเส้นตรง จนสังคมถกกันว่านี่คือนวัตกรรมหรือแค่แชร์ลูกโซ่ในเสื้อคลุม DeFi บทเรียนของทั้งสองเคสตรงกัน คือการที่โปรเจกต์รันอยู่บนเชนของบริษัทไทยที่เรารู้จัก ไม่ได้แปลว่ามีใครรับประกันโปรเจกต์นั้นให้เราเลย

ภาพ: ไทม์ไลน์เคสความเสียหายใหญ่ในยุคฟาร์มบูม จากสนามโลกถึงสนามไทย

ความเสี่ยงที่สอง ช่องโหว่สัญญา เมื่อทีมตั้งใจดีแต่โค้ดมีรูรั่ว

หมวดนี้ต่างจาก rug pull ตรงเจตนา เพราะทีมงานตั้งใจเขียน contract อย่างถูกต้อง แต่ความผิดพลาดเป็นสิ่งที่เกิดขึ้นได้เสมอในซอฟต์แวร์ โดยเฉพาะใน DeFi ที่หลายฟีเจอร์เป็นของใหม่ที่ไม่เคยมีใครสร้างมาก่อน จนบางครั้งแม้แต่ผู้สร้างเองก็ไม่รู้จะตรวจสอบยังไง

เคสคลาสสิกที่เราเล่าไว้ในหนังสือคือ Balancer ที่ถูกโจมตีผ่านเหรียญ STA ซึ่งออกแบบเป็นเหรียญประเภท deflationary คือทุกครั้งที่โอนจะมีเหรียญส่วนหนึ่งถูกเผาทิ้ง ผู้โจมตีอาศัยคุณสมบัตินี้ swap เหรียญ STA ไปมาใน pool ซ้ำๆ จนจำนวน STA ใน pool ลดลงเรื่อยๆ ถึงจุดหนึ่งก็ใช้ STA จำนวนจิ๋วดูดเหรียญอื่นทั้ง pool ออกไปได้ในราคาถูกผิดปกติ จุดที่น่าสนใจคือทั้ง Balancer และ STA ต่างทำงาน "ตามที่โค้ดของตัวเองเขียนไว้" เป๊ะทุกบรรทัด แค่โค้ดสองชุดนี้ไม่ได้ถูกออกแบบมาให้ทำงานด้วยกัน ความเสียหายจึงเกิดจากรอยต่อที่ไม่มีใครมองเห็นล่วงหน้า และนี่คือเหตุผลที่หลังเกิดเหตุ Balancer เลือกนำเงินทุนสำรองมาเยียวยาผู้เสียหาย ซึ่งเป็นท่าทีที่แยกโปรเจกต์ตั้งใจดีออกจากโปรเจกต์ตั้งใจโกงได้ชัดเจนที่สุด

เครื่องมือที่มักถูกใช้ขยายแผลช่องโหว่พวกนี้คือ Flash Loan ระบบกู้เงินที่ไม่ต้องมีหลักประกันใดๆ แลกกับเงื่อนไขเดียวคือต้องคืนภายในธุรกรรมเดียวกัน ในหนังสือเราเปรียบว่าเหมือนโลกนี้มี The Flash ที่กู้เงินได้ไม่จำกัดแต่ยืมได้แค่เสี้ยววินาที ของแบบนี้ถูกสร้างมาเพื่อให้การทำ arbitrage ราบรื่นขึ้น แต่ในมือผู้ไม่หวังดี มันคือปุ่มเสกเงินก้อนมหึมามาปั่นหรือทุบราคาชั่วขณะ เพื่อหลอกให้ contract ที่อ้างอิงราคา ณ วินาทีนั้นทำงานผิดพลาด แล้วดูดเงินออกก่อนคืนเงินกู้จบในธุรกรรมเดียว ทั้งหมดเกิดและจบภายในไม่กี่วินาทีโดยผู้โจมตีแทบไม่ต้องมีทุนตัวเองเลย

ภาพ: วงจรการโจมตีด้วย Flash Loan ที่เริ่มและจบภายในธุรกรรมเดียว ผู้โจมตีแทบไม่ต้องใช้ทุนตัวเอง

แล้ว Audit ช่วยได้ไหม ช่วยได้ระดับหนึ่งแต่ไม่ใช่ยันต์กันผี การที่โปรเจกต์ผ่านการตรวจสอบจากบริษัท audit อย่าง Certik, PeckShield หรือ Inspex ของคนไทย แปลว่า "ได้รับการตรวจแล้ว" ไม่ได้แปลว่า "ปลอดภัยแล้ว" เพราะผู้ตรวจจะดูเฉพาะขอบเขตที่โปรเจกต์จ้างให้ดู เวอร์ชันที่ส่งตรวจอาจไม่ใช่เวอร์ชันที่รันจริง และส่วนที่อัปเดตหลังตรวจก็หลุดจากการตรวจไปโดยปริยาย ในหนังสือเราถึงกับเขียนไว้ว่าบางครั้งการ audit กลายเป็นการตลาดรูปแบบหนึ่ง สิ่งที่ควรทำคือเข้าไปอ่านรายงานตรวจจริงว่าตรวจอะไร เจออะไร แก้หรือยัง ไม่ใช่เห็นโลโก้ผู้ตรวจแปะหน้าเว็บแล้วสบายใจ

ภาพ: audit เพิ่มความน่าเชื่อถือได้จริง แต่ไม่เคยการันตีความปลอดภัย 100% ต้องอ่านรายงานตรวจประกอบเสมอ

ความเสี่ยงที่สาม ความเสี่ยงเชิงระบบ เมื่อโดมิโนตัวแรกล้ม

สองหมวดแรกเป็นเรื่องของโปรเจกต์เดียว แต่หมวดนี้คือความเสี่ยงที่ลามทั้งกระดาน เพราะ DeFi ทั้งระบบต่อกันเป็นเลโก้ เงินก้อนเดียวถูกวางค้ำ กู้ต่อ แล้วเอาไปฟาร์มซ้อนอีกชั้นได้เรื่อยๆ ความพังของชิ้นเดียวจึงส่งแรงสะเทือนถึงชิ้นอื่นเสมอ

เคสที่ใหญ่ที่สุดคือการล่มของ Terra ในเดือนพฤษภาคม 2022 UST ซึ่งเป็น algorithmic stablecoin ที่ควรมีค่าคงที่ 1 ดอลลาร์เกิดหลุด peg แล้วเข้าสู่ death spiral คือยิ่งคนแห่ถอน ระบบยิ่งพิมพ์เหรียญ LUNA มาชดเชย ราคา LUNA ยิ่งร่วง ความเชื่อมั่นยิ่งพัง วนแบบนี้จนมูลค่าราว 4 หมื่นล้านดอลลาร์หายไปในเวลาไม่ถึงสัปดาห์ LUNA ที่เคยยืนเหนือ 80 ดอลลาร์เหลือเศษเสี้ยวเซนต์ จุดที่เจ็บที่สุดคือคนจำนวนมากไม่ได้คิดว่าตัวเองกำลัง "เก็งกำไร" ด้วยซ้ำ เขาแค่ฝาก UST ไว้กับ Anchor แพลตฟอร์มที่จ่ายผลตอบแทนราว 20% ต่อปี ซึ่งหนังสือของเราเองก็ยกเป็นตัวอย่างของ yield ยุคนั้นไว้ ก่อนที่ทั้งระบบจะพิสูจน์ว่าผลตอบแทนที่สูงเกินจริงย่อมมีวันหมดอายุ นี่เป็นหนึ่งในบทเรียนที่แพงที่สุดที่เกิดขึ้นหลังหนังสือตีพิมพ์ และเป็นเหตุผลว่าทำไมบทความนี้ต้องอัปเดตจากต้นฉบับปี 2021

ภาพ: วงจร death spiral ของ Terra-UST ยิ่งถอนยิ่งพิมพ์ ยิ่งพิมพ์ยิ่งร่วง จนมูลค่าราว 4 หมื่นล้านดอลลาร์หายในสัปดาห์เดียว

อีกรูปแบบคือการโจมตี Oracle ตัวกลางที่ป้อนราคาจากโลกภายนอกเข้า contract ถ้าราคาที่ป้อนถูกปั่นได้ ทั้งแพลตฟอร์มก็ถูกหลอกได้ เคสตัวอย่างคือ Mango Markets บน Solana เดือนตุลาคม 2022 ที่ผู้โจมตีปั่นราคาโทเคน MNGO ในตลาดสภาพคล่องต่ำให้พุ่งขึ้น 13 เท่าภายในครึ่งชั่วโมง แล้วใช้มูลค่าปลอมนั้นเป็นหลักประกันกู้สินทรัพย์จริงออกไปราว 114 ล้านดอลลาร์ ตามข้อมูลของ CFTC และ SEC เคสนี้ยังกลายเป็นมหากาพย์กฎหมายยืดยาว เพราะผู้โจมตียืนยันว่าทั้งหมดคือ "กลยุทธ์เทรดที่ทำกำไรได้ตามกติกา" ซึ่งสะท้อนคำถามใหญ่ของ DeFi ว่าเมื่อโค้ดอนุญาต แล้วใครคือคนผิด

รูปแบบสุดท้ายคือ Cascade Liquidation ที่มักมาพร้อมตลาดขาลงแรงๆ ใครที่อ่านบทความ Lending ใน DeFi มาแล้วจะจำได้ว่าการกู้ทุกก้อนมีเส้น Borrow Limit เมื่อราคาหลักประกันร่วงถึงเส้น ระบบจะบังคับขายหลักประกันอัตโนมัติ ปัญหาคือการบังคับขายจำนวนมากยิ่งกดราคาให้ร่วงต่อ แล้วลากบัญชีถัดไปให้ถึงเส้นบังคับขายตามกันเป็นลูกโซ่ วันที่ตลาดพังแรงๆ มูลค่าที่ถูกบังคับขายบนแพลตฟอร์ม DeFi รวมกันจึงพุ่งขึ้นหลักหลายร้อยล้านดอลลาร์ได้ในวันเดียว และคนที่คิดว่ากู้แบบเผื่อเหลือเผื่อขาดแล้วก็อาจโดนลากไปด้วย

ภาพ: กลไกการโจมตี oracle เมื่อราคาที่ป้อนเข้าระบบถูกปั่นได้ มูลค่าปลอมก็ถูกใช้กู้สินทรัพย์จริงออกไปได้

ความเสี่ยงที่สี่ Phishing และกับดักที่ล่าตัวผู้ใช้โดยตรง

ข้อเท็จจริงที่สวนความรู้สึกที่สุดจากหนังสือคือ ความเสียหายที่เกิดบ่อยที่สุดไม่ได้มาจากแพลตฟอร์มหรือ contract เลย แต่มาจากความผิดพลาดของผู้ใช้เอง เพราะในโลกที่เราถือกระเป๋าเงินเองทุกบาท คนร้ายไม่จำเป็นต้องเจาะระบบอะไรเลย แค่หลอกให้เรายื่นกุญแจให้ก็พอ

รูปแบบที่พบบ่อยในบริบท DeFi มีดังนี้

• เว็บปลอมหน้าตาเหมือนแพลตฟอร์มจริง คนร้ายซื้อโฆษณาบน search engine ให้เว็บปลอมขึ้นเหนือเว็บจริง พอเหยื่อกรอก Seed Phrase ลงไป เงินทั้งกระเป๋าก็เปลี่ยนเจ้าของทันที
• การหลอกทางแชท ทั้งบัญชีปลอมที่ทักมาเสนอตัว "ช่วยแก้ปัญหา" ใน Telegram หรือ Discord แล้วส่งลิงก์ปลอมให้กรอก Seed ซึ่งของจริงไม่มีแอดมินที่ไหนขอ Seed จากผู้ใช้
• การเซ็นอนุมัติแบบไม่จำกัดวงเงิน (Approve Unlimited Spend) ที่หลายแพลตฟอร์มขอเพื่อลดขั้นตอน แต่ถ้าเผลอไปกดให้กับแพลตฟอร์มปลอม เท่ากับมอบสิทธิ์ให้ contract ของคนร้ายดูดโทเคนตัวนั้นออกจากกระเป๋าเราได้เรื่อยๆ แม้เวลาจะผ่านไปนานแล้วก็ตาม ทางแก้คือจำกัดวงเงินทุกครั้งที่ทำได้ และหมั่นใช้เครื่องมืออย่าง Revoke.cash หรือฟีเจอร์ตรวจ approval ใน DeBank เพื่อถอนสิทธิ์ที่ไม่ใช้แล้วออก
• ความผิดพลาดพื้นฐานที่ไม่มีใครช่วยได้ ทั้งเก็บ Seed ไว้ในที่ที่อินเทอร์เน็ตเข้าถึง ถ่ายรูปเก็บในมือถือ โอนผิดเครือข่าย หรือโอนเข้า contract address ตรงๆ ซึ่งเคสหลังสุดแทบไม่มีทางกู้คืนได้เลย

หัวข้อนี้เราตั้งใจเล่าเฉพาะมุมที่เกี่ยวกับการใช้งาน DeFi เท่านั้น กลโกงคริปโตภาพใหญ่ทั้งแก๊งหลอกลงทุน โรแมนซ์สแกม และแชร์ลูกโซ่ จะมีบทความแยกใน Section 7 ที่เจาะเรื่องนี้โดยเฉพาะ

ภาพ: จุดสังเกตเว็บปลอม ของจริงไม่มีวันขอ Seed Phrase และการอนุมัติวงเงินควรจำกัดจำนวนทุกครั้งที่ทำได้

ความเสี่ยงที่ห้า ไม่มีใครรับผิดชอบ และไม่มีประกันแบบโลกการเงินเดิม

ความเสี่ยงข้อสุดท้ายเป็นเรื่องเชิงโครงสร้างที่หลายคนมองข้าม ในโลกการเงินดั้งเดิม เงินฝากธนาคารไทยมีสถาบันคุ้มครองเงินฝากดูแลสูงสุด 1 ล้านบาทต่อรายต่อธนาคาร เว็บเทรดที่มีใบอนุญาตยังอยู่ใต้การกำกับของ ก.ล.ต. แต่พอก้าวเข้า DeFi ทุกอย่างเป็นความรับผิดชอบของเราคนเดียว ไม่มีเบอร์ call center ไม่มีแบบฟอร์มร้องเรียน และไม่มีหน่วยงานไหนไล่ตามเงินคืนให้ ต่อให้แพลตฟอร์มโดนเจาะหรือทีมงานหอบเงินหนี สิ่งที่นักลงทุน DeFi ในไทยทำได้ก็เหมือนเคส KubSwaps คือรวมตัวกันฟ้องแพ่งอาญาตามกฎหมายปกติ ซึ่งทั้งช้า แพง และไม่มีอะไรรับประกันว่าจะได้เงินคืน

โลก DeFi พยายามสร้างตาข่ายรองรับของตัวเองขึ้นมาเหมือนกัน ในหนังสือเราเล่าถึงระบบประกันแบบไร้ตัวกลางอย่าง Nexus Mutual และ InsurAce ที่ให้ซื้อความคุ้มครองความเสียหายจาก smart contract ได้ โดยการเคลมต้องผ่านการโหวตของผู้ถือโทเคนว่าเข้าเงื่อนไขไหม รวมถึงโปรเจกต์จำนวนหนึ่งที่ตั้งเงินทุนสำรองไว้เยียวยาเหตุไม่คาดฝันแบบที่ Balancer ทำ แต่ต้องพูดตรงๆ ว่าจนถึงวันนี้ประกัน DeFi ยังเป็นตลาดเล็กมากเมื่อเทียบกับมูลค่ารวมของระบบ เงินส่วนใหญ่ที่วิ่งอยู่ใน DeFi คือเงินที่ไม่มีอะไรคุ้มครองเลย การตัดสินใจทุกครั้งจึงต้องตั้งต้นจากสมมติฐานว่า ถ้าเงินก้อนนี้หายไปทั้งก้อน ชีวิตเรายังไปต่อได้ไหม

ภาพ: ตาข่ายรองรับของโลกการเงินเดิมเทียบกับ DeFi ที่ความรับผิดชอบทั้งหมดอยู่ที่ผู้ใช้คนเดียว

สัญญาณเตือน 6 ข้อที่สังเกตได้ก่อนเงินหาย

จากเคสทั้งหมดที่เล่ามา บวกกับข้อสังเกตในหนังสือและเครื่องมือที่มีให้ใช้ฟรีในปัจจุบัน สรุปเป็นสัญญาณเตือนที่ตรวจได้เองก่อนเอาเงินเข้าทุกครั้ง

• ทีมนิรนาม ไม่เปิดเผยตัวตน ไม่มีประวัติผลงานตรวจสอบได้ ยิ่งโปรเจกต์เล็กยิ่งอันตราย เพราะต่อให้โกงก็แทบไม่มีต้นทุนทางชื่อเสียง
• APY สูงผิดปกติ ผลตอบแทนหลักพันหลักหมื่นเปอร์เซ็นต์ต้องถามเสมอว่าเงินมาจากไหน ถ้าคำตอบคือ "มาจากคนที่เข้าทีหลัง" นั่นไม่ใช่การลงทุน เคส TukTuk Finance คือตัวอย่างสดของไทยเราเอง
• ไม่มี audit หรือมีแต่ไม่ยอมให้อ่านรายงาน และต่อให้มี ก็ต้องดูว่าตรวจ contract เวอร์ชันที่ใช้จริงไหม ประเด็นที่เจอถูกแก้หรือยัง
• TVL น้อยและกระจุก เงินในระบบส่วนใหญ่อยู่ในมือกระเป๋าไม่กี่ใบ ซึ่งดูได้จาก block explorer ถ้ากระเป๋าใหญ่เทขายหรือถอน pool ครั้งเดียว ราคาไปทั้งกระดาน
• การจัดสรรโทเคนไม่โปร่งใส โปรเจกต์ที่จริงจังจะประกาศชัดว่าทีมถือกี่เปอร์เซ็นต์ ปลดล็อกเมื่อไหร่ ถ้าหาข้อมูลนี้ไม่เจอ หรือทีมถือก้อนใหญ่แบบไม่มีเงื่อนไขล็อกเลย นั่นคือธงแดง
• แก้ contract ได้โดยไม่มี Timelock ถ้าทีมงานอัปเกรดสัญญาได้ทันทีโดยไม่มีระยะเวลารอให้ผู้ใช้ตัดสินใจถอนตัวก่อน เท่ากับกติกาเปลี่ยนได้กลางอากาศตลอดเวลา

ภาพ: สัญญาณเตือน 6 ข้อที่ตรวจได้เองก่อนเอาเงินเข้าโปรเจกต์ DeFi ทุกครั้ง

ฝั่งวิธีปฏิบัติ หนังสือสรุปท้ายบทไว้เรียบง่ายแต่ใช้ได้ถึงวันนี้ จด Seed ในที่ที่อินเทอร์เน็ตเข้าไม่ถึงเท่านั้นและทดลอง recover ให้แน่ใจว่าจดถูก ใช้ Hardware Wallet ถ้าลงเงินจริงจัง เลือกแพลตฟอร์มใหญ่ที่ผ่านการใช้งานมานาน อย่าอนุมัติวงเงินไม่จำกัด เริ่มจากเงินก้อนเล็กจนเข้าใจจริงแล้วค่อยขยับ และเหนือสิ่งอื่นใดคือ DYOR ศึกษาด้วยตัวเองก่อนเสมอ เพราะในสนามที่ไม่มีใครรับผิดชอบแทนเรา ทักษะนี้คือเกราะชิ้นเดียวที่มีจริง

ภาพ: สรุปวิธีปฏิบัติพื้นฐานก่อนลงสนาม DeFi ปรับจากบทสรุป "ฟาร์มยังไงไม่ให้เงินหาย" ในหนังสือ

ย้ำอีกครั้งว่าบทความนี้เล่ากลไกความเสี่ยงเพื่อการศึกษา ไม่ได้ชวนหรือห้ามใครลงทุน การตัดสินใจและความเสี่ยงทั้งหมดเป็นของผู้ลงทุนเอง

คำถามที่พบบ่อย

Rug Pull คืออะไร

กลโกงที่ทีมพัฒนาโปรเจกต์คริปโตดึงเงินนักลงทุนออกไปแล้วทิ้งโปรเจกต์หนี มีทั้งแบบถอนสภาพคล่องออกจาก pool จนโทเคนขายไม่ออก แบบทีมเทขายเหรียญที่ถือไว้จำนวนมากใส่ตลาด และแบบฝังโค้ดหลังบ้านไว้ดูดเงินผู้ใช้โดยตรง

DeFi เสี่ยงไหม ต่างจากฝากเงินธนาคารยังไง

เสี่ยงกว่ามากและคนละโลกกัน เงินฝากธนาคารมีสถาบันคุ้มครองเงินฝากดูแล แต่เงินใน DeFi ไม่มีหน่วยงานไหนคุ้มครอง ถ้าแพลตฟอร์มโดนเจาะ ทีมหนี หรือเราทำ Seed หลุด เงินหายคือหายจริง ผลตอบแทนที่สูงกว่าคือค่าตอบแทนของความเสี่ยงที่เราแบกเองทั้งหมด

โปรเจกต์ที่ผ่าน audit แล้วปลอดภัยใช่ไหม

ไม่ใช่ audit แปลว่า "ผ่านการตรวจ" ไม่ใช่ "ปลอดภัย 100%" ผู้ตรวจดูเฉพาะขอบเขตที่ถูกจ้าง เวอร์ชันที่ตรวจอาจไม่ใช่เวอร์ชันที่รันจริง และเคสอย่าง Balancer ก็พิสูจน์แล้วว่าโปรเจกต์ที่ audit แล้วก็ยังโดนโจมตีได้ ควรอ่านรายงานตรวจจริงประกอบเสมอ

สัญญาณเตือนว่าโปรเจกต์อาจเป็น rug pull มีอะไรบ้าง

ทีมนิรนามไม่มีประวัติ APY สูงผิดปกติ ไม่มีรายงาน audit ให้อ่าน เงินในระบบกระจุกในกระเป๋าไม่กี่ใบ การจัดสรรโทเคนไม่โปร่งใสหรือทีมถือก้อนใหญ่โดยไม่ล็อก และทีมแก้ contract ได้ทันทีโดยไม่มี Timelock

ถ้าโดน rug pull ในไทย ฟ้องใครได้ไหม

ทำได้ทางกฎหมายปกติ เช่น รวมกลุ่มผู้เสียหายฟ้องแพ่งอาญาแบบเคส KubSwaps บน Bitkub Chain แต่ในทางปฏิบัติยากมาก เพราะทีมงานมักนิรนามและเงินถูกโยกข้ามเชนได้เร็ว การป้องกันก่อนลงเงินจึงสำคัญกว่าการตามแก้ทีหลังเสมอ

📖 เนื้อหาหลักของบทความนี้เรียบเรียงจากบท "ความปลอดภัยและกรณีศึกษาช่องโหว่ของ DeFi" ในหนังสือ DeFi Farming 101 (DeFi WTF ปฐมบทระบบการเงินไร้ตัวกลาง) ที่ผู้เขียนเล่าเคส Bullfarm, Meerkat, Balancer-STA, Flash Loan, Audit และประกัน DeFi ไว้ละเอียดกว่านี้ หาซื้อฉบับเต็มได้ที่นี่

ข้อมูลเคสและตัวเลขความเสียหายเพิ่มเติมจากแหล่งภายนอก (แยกจากหนังสือ): Chainalysis 2021 Crypto Crime Report สรุปโดย CoinDesk (rug pull 2.8 พันล้านดอลลาร์ / 37% ของสแกมทั้งหมด / Thodex 2.6 พันล้านดอลลาร์), The Block และ rekt.news (Meerkat 31 ล้านดอลลาร์), Washington Post (SQUID 3.3 ล้านดอลลาร์ ราคาพีค 2,860 ดอลลาร์), MIT Sloan และรายงานคดี Do Kwon (Terra-UST มูลค่าหายราว 4 หมื่นล้านดอลลาร์ พ.ค. 2022), CFTC และ SEC (Mango Markets 114-116 ล้านดอลลาร์ ต.ค. 2022), THE STANDARD และ Siam Blockchain (เคส KubSwaps และ TukTuk Finance บน Bitkub Chain ปี 2021)