นักวิจัย Coin Center ชี้ ข้อมูล KYC คือกับดักน้ำผึ้งล่อแฮกเกอร์ เสนอเปลี่ยนวิธีเก็บ

Laz Pieper ผู้อำนวยการฝ่ายวิจัยของ Coin Center (องค์กรไม่แสวงหากำไรที่รณรงค์เรื่องสิทธิความเป็นส่วนตัวในเครือข่ายบล็อกเชน) เขียนบทความแสดงความคิดเห็นลงใน CoinDesk เตือนว่าข้อมูลยืนยันตัวตนลูกค้า (KYC หรือ Know Your Customer) ที่สถาบันการเงินและเว็บเทรดคริปโทเก็บรวบรวมไว้ในฐานข้อมูลกลาง กำลังกลายเป็น "กับดักน้ำผึ้ง" (Honeypot) ที่ดึงดูดแฮกเกอร์อย่างยากจะต้านทาน และเสนอว่าถึงเวลาต้องเปลี่ยนวิธีเก็บข้อมูลเหล่านี้เสียใหม่

กฎหมายบังคับเก็บข้อมูล แต่ยิ่งเก็บมาก ยิ่งเสี่ยงมาก

Pieper อธิบายว่าปัจจุบันสถาบันการเงินในสหรัฐฯ ถูกบังคับตามกฎหมาย Bank Secrecy Act (BSA) ให้ต้องเก็บรวบรวมและรักษาข้อมูลระบุตัวตนของลูกค้าไว้ เพื่อใช้ต่อสู้กับการเงินผิดกฎหมายและการฉ้อโกง แต่เมื่อข้อมูลเหล่านี้ถูกขโมยไป ก็สามารถนำไปใช้เปิดบัญชีปลอม เจาะบัญชีเดิม ทำธุรกรรมฉ้อโกง หรือฟอกเงินในนามของผู้บริสุทธิ์ได้ทันที เขาตั้งคำถามตรงๆ ว่ามาตรการป้องกันเหล่านี้ได้ผลจริงหรือไม่ โดยอ้างอิงข้อมูลจากฐานข้อมูลของคณะกรรมาธิการการค้าแห่งสหพันธรัฐสหรัฐฯ (FTC) ที่พบว่าจำนวนรายงานเรื่องการฉ้อโกง การขโมยข้อมูลระบุตัวตน และปัญหาผู้บริโภคอื่นๆ พุ่งขึ้นเป็น 6.47 ล้านรายในปี 2567 จากที่เคยอยู่เพียงราว 860,000 รายในปี 2547 หรือเพิ่มขึ้นกว่า 7 เท่าตัวในรอบ 20 ปี

เคสจริง: สินบนพนักงาน Coinbase แลกข้อมูลลูกค้าเกือบ 70,000 ราย

หนึ่งในตัวอย่างที่ถูกหยิบยกมาอ้างอิงคือกรณีของ Coinbase เมื่อปี 2568 ที่มิจฉาชีพติดสินบนพนักงานคอลเซ็นเตอร์ที่รับจ้างช่วงในต่างประเทศ ให้แอบคัดลอกข้อมูลลูกค้าออกจากระบบภายในระหว่างช่วงปลายเดือนธันวาคม 2567 ถึงเดือนพฤษภาคม 2568 กระทบลูกค้ารวม 69,461 ราย ข้อมูลที่หลุดออกไปมีทั้งชื่อ ที่อยู่ เบอร์โทรศัพท์ อีเมล เลขท้ายประกันสังคม 4 หลัก และภาพบัตรประชาชน/พาสปอร์ต แม้จะไม่กระทบรหัสผ่านหรือกุญแจส่วนตัวโดยตรง แต่ Coinbase ต้องเผชิญกับการเรียกค่าไถ่ในเดือนพฤษภาคม 2568 ซึ่งบริษัทปฏิเสธที่จะจ่าย และประเมินค่าใช้จ่ายในการเยียวยาความเสียหายไว้สูงถึง 180-400 ล้านดอลลาร์

ทางออกที่เสนอ: พิสูจน์ตัวตนแบบเปิดเผยเท่าที่จำเป็น

Pieper เสนอว่า แทนที่จะบังคับให้ผู้ใช้เปิดเผยข้อมูลส่วนตัวทั้งหมดให้กับผู้ให้บริการทุกรายที่ติดต่อด้วย ควรหันมาใช้ระบบพิสูจน์ตัวตนที่รักษาความเป็นส่วนตัว (Privacy-preserving Identity Verification) ซึ่งจะช่วยให้ผู้ใช้สามารถพิสูจน์ได้เฉพาะสิ่งที่ผู้ให้บริการจำเป็นต้องรู้จริงๆ เท่านั้น เช่น พิสูจน์ว่าอายุเกิน 18 ปีโดยไม่ต้องเปิดเผยวันเกิดจริง โดยข้อมูลต้นฉบับยังคงอยู่ในการควบคุมของเจ้าของข้อมูลเอง ไม่ใช่ถูกส่งไปกองรวมไว้ในฐานข้อมูลกลางของผู้ให้บริการนับร้อยนับพันแห่งเหมือนที่ผ่านมา ซึ่งเขามองว่าการขยายข้อบังคับยืนยันตัวตนที่ผ่านมา ไม่ได้ทำให้ชาวอเมริกันปลอดภัยขึ้นจริง แต่กลับสร้างความเสี่ยงที่มากกว่าประโยชน์ที่ได้รับ

📎 อ่านเพิ่มเติม: เกี่ยวข้องกับประเด็นข้อมูลรั่วไหลที่ถูกนำไปใช้ทำฟิชชิ่งเจาะจงเป้าหมาย ซึ่งเราเคยรายงานไว้ในกรณีของ Trezor
👉 Trezor เตือนภัย! อีเมลปลอมอ้างช่องโหว่ STM32 หลังผู้ให้บริการอีเมลถูกแฮก

🔗 อ้างอิงต้นฉบับ: CoinDesk (บทความแสดงความคิดเห็นโดย Laz Pieper, Coin Center)

💬 ความเห็นบรรณาธิการ Bitcoinaddict: ต้องย้ำว่าเนื้อหานี้เป็นบทความแสดงความคิดเห็น (Opinion) ของ Laz Pieper ไม่ใช่รายงานข่าวเชิงข้อเท็จจริงล้วน มุมมองของเขาสะท้อนข้อถกเถียงที่มีมานานในวงการคริปโทและฟินเทค ระหว่างความจำเป็นด้านกฎระเบียบป้องกันการฟอกเงินกับความเสี่ยงที่เกิดจากการกระจุกตัวของข้อมูลส่วนบุคคลในฐานข้อมูลเดียว เคส Coinbase ที่ยกมาเป็นตัวอย่างชัดเจนว่าแม้แต่เว็บเทรดรายใหญ่ที่มีระบบความปลอดภัยเข้มงวด ก็ยังพลาดท่าจากช่องโหว่ด้าน "คน" ไม่ใช่แค่ระบบ ผู้ใช้งานคริปโทควรตระหนักว่าข้อมูล KYC ที่ให้ไว้กับแต่ละแพลตฟอร์มมีความเสี่ยงหลุดได้เสมอ และควรติดตามว่าเทคโนโลยีพิสูจน์ตัวตนแบบรักษาความเป็นส่วนตัวจะถูกนำมาใช้จริงในอุตสาหกรรมเมื่อใด บทความนี้เป็นการรายงานข้อมูล ไม่ใช่คำแนะนำการลงทุน

— รายงานโดยทีมข่าว Bitcoinaddict.com