เจาะภัยสินทรัพย์ดิจิทัล เมื่อ "คนใน" และ "ความมักง่าย" คือช่องโหว่ที่อันตรายที่สุด

โลกของสินทรัพย์ดิจิทัลกำลังถูกเขย่าด้วยบทเรียนราคาแพงที่แลกมาด้วยมูลค่าความเสียหายมหาศาล สะท้อนให้เห็นว่าความปลอดภัยที่เคยถูกโฆษณาชวนเชื่อนั้นอาจเป็นเพียงเศษกระดาษ บทวิเคราะห์จากการสนทนากับ ปรมินทร์ อินโสม อดีตแฮ็กเกอร์ผู้ผันตัวมาเป็นผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์และผู้วางรากฐานเอ็กซ์เชนจ์ในไทยมาตั้งแต่ปี พ.ศ. 2556 ชี้ให้เห็นความจริงอันน่ากลัวว่า ศัตรูที่ร้ายกาจที่สุดไม่ใช่แฮกเกอร์จากภายนอก แต่คือ "คนใน" และ "ความมักง่าย" ของผู้ออกแบบระบบ แม้แต่แพลตฟอร์มที่มีใบอนุญาตหรืออุปกรณ์ที่เชื่อว่าปลอดภัยที่สุด ก็ไม่อาจต้านทานความโลภและช่องโหว่ที่เกิดจากน้ำมือมนุษย์ได้ ในดินแดนที่ชูจุดขายเรื่องการไม่ใช้ความไว้วางใจ ความเชื่อใจในตัวบุคคลกลับกลายเป็นจุดตายที่อันตรายที่สุด
 
ปรมินทร์ อินโสม ผู้ก่อตั้ง Firo และ Satang กระดานเทรดคริปโตไทย กล่าวในรายการ Behind The Crypto EP.28 ถึงนิยามของความปลอดภัยในสมรภูมิการเงินใหม่นี้มักถูกบิดเบือนด้วยแนวคิดแบบ Silicon Valley ที่ว่า "Go Fast, Break Things, Apologize Later" หรือการมุ่งเน้นการเติบโตอย่างรวดเร็วจนละเลยจริยธรรมและความปลอดภัยพื้นฐาน กรณีของ ควอดริกาซีเอ็กซ์ (QuadrigaCX) ในแคนาดา เป็นตัวอย่างที่เผ็ดร้อนของการใช้ความตายของเจ้าของมาเป็นฉากบังหน้าเพื่อยักยอกทรัพย์สิน แม้ภายหลังจะมีข่าวลือว่าเขายังมีชีวิตอยู่ แต่มันได้พิสูจน์แล้วว่า "ข่าวสาร" ในโลกคริปโตนั้นเชื่อถือไม่ได้ร้อยเปอร์เซ็นต์ และมักถูกใช้เป็นเครื่องมือปั่นหัวนักลงทุน

ความย้อนแย้งที่ชัดเจนยิ่งขึ้นปรากฏในกรณีของ บายบิท (Bybit) ที่ความเสียหายไม่ได้เกิดจากระบบล่ม แต่เกิดจากการที่คอมพิวเตอร์ของพนักงานที่ได้รับอนุญาตเพียงเครื่องเดียวถูกเจาะ (Compromised) นำไปสู่การเปลี่ยนหน้าเว็บ (Front-end) เพื่อโอนเงินออกไปอย่างง่ายดาย นี่คือเครื่องยืนยันว่าต่อให้ระบบเบื้องหลังจะแข็งแกร่งเพียงใด แต่ถ้าจริยธรรมขององค์กรหรือมาตรฐานการควบคุมคนในต่ำเตี้ยเรี่ยดิน ทรัพย์สินของลูกค้าก็ไม่ต่างอะไรกับการวางไว้บนทางเท้าที่ไม่มีเจ้าของ สิ่งนี้เองที่นำไปสู่การขุดลึกถึงรากเหง้าของปัญหาในเชิงโครงสร้างการจัดเก็บทรัพย์สิน

โครงสร้างวอลเล็ต "ความมักง่ายที่ซ่อนอยู่ภายใต้รหัสผ่าน"

การออกแบบระบบความปลอดภัยในเอ็กซ์เชนจ์ยุคใหม่ควรยึดหลัก Defense in Depth หรือการป้องกันเชิงลึกที่ต้องไม่เชื่อใจใครแม้แต่พนักงานตัวเอง แต่ในความเป็นจริงเรากลับพบความมักง่ายในการออกแบบ (Lazy Design) เพื่อประหยัดทรัพยากรฐานข้อมูลและการจัดการที่สะดวกเกินไป ตัวอย่างที่ชัดเจนคือการบริหารจัดการ มาสเตอร์คีย์ (Master Key) และ ซับคีย์ (Sub-key) โดยเอ็กซ์เชนจ์บางแห่งเลือกใช้มาสเตอร์คีย์ชุดเดียวในการควบคุมแอดเดรสของลูกค้าทั้งหมด หากกุญแจหลักดอกนี้หลุดรอดไป ทุกอย่างคือจุดจบ

นอกจากนี้ ความแตกต่างระหว่าง ฮ็อตวอลเล็ต (Hot Wallet) ที่เชื่อมต่ออินเทอร์เน็ตตลอดเวลาเพื่อความรวดเร็วในการทำธุรกรรม กับ โคลด์วอลเล็ต (Cold Wallet) ที่ตัดขาดการเชื่อมต่อ ยังถูกนำมาใช้อย่างละหลวม ฮ็อตวอลเล็ตมักเป็นเป้าหมายหลักผ่านช่องทาง API และฟรอนต์เอนด์ หากการกรองข้อมูล (Sanitization) ไม่รัดกุมพอ แฮ็กเกอร์ก็สามารถสั่งถอนเงินผ่านหน้าเว็บได้ทันที ความสะดวกสบายที่ผู้ใช้งานโหยหาจึงกลายเป็นช่องทางด่วนให้มิจฉาชีพ ซึ่งเป็นเหตุผลสำคัญที่หน่วยงานกำกับดูแลต้องเข้ามาแทรกแซงเพื่อวางมาตรฐานให้รัดกุมยิ่งขึ้น

สนามรบเอ็กซ์เชนจ์ไทย มาตรฐานการกำกับดูแลภายใต้เกราะเซฟตัวเอง

ขณะที่บทบาทของสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ (ก.ล.ต.) ในไทย ถูกมองว่าเป็นทั้งฮีโร่และผู้ปกป้องตนเองในเวลาเดียวกัน การวางโครงสร้างให้อุตสาหกรรมต้องแยก คัสโตเดียน (Custodian) ออกจากผู้ให้บริการซื้อขายอย่างเด็ดขาดถือเป็นจุดเด่นที่สำคัญ เพื่อลดปัญหาผลประโยชน์ทับซ้อน (Conflict of Interest) และป้องกันไม่ให้ผู้บริหารเข้าถึงเงินลูกค้าได้ตามอำเภอใจเหมือนที่เกิดขึ้นในต่างประเทศ

อย่างไรก็ตาม ต้องยอมรับว่ากฎเกณฑ์ที่เข้มงวดเหล่านี้ส่วนหนึ่งเกิดจาก "Regulatory Self-preservation" หรือการออกกฎเพื่อป้องกันความรับผิดชอบของหน่วยงานกำกับดูแลเอง แต่ผลพลอยได้คือความปลอดภัยที่เพิ่มขึ้นสำหรับนักลงทุนไทย เมื่อเปรียบเทียบกับเอ็กซ์เชนจ์ต่างประเทศที่ไม่มีการกำกับดูแล (Unregulated) ซึ่งเราแทบไม่มีทางรู้เลยว่ากระบวนการตรวจสอบภายใน (Audit) มีอยู่จริงหรือไม่ หรือเป็นเพียงผักชีโรยหน้าเพื่อสร้างความเชื่อมั่นปลอมๆ ขณะที่สงครามที่ลึกไปกว่านั้นกำลังดำเนินอยู่ในระดับ "โค้ด" ของซอฟต์แวร์

สงครามโค้ดและหายนะจากความสุ่มที่ไม่จริง

ขณะที่ปรัชญาของคริปโตคือความโปร่งใสผ่านโอเพนซอร์ส (Open Source) แต่ในโลกธุรกิจกลับมีการใช้โคลสซอร์ส (Close Source) เพื่อปกปิดความลับทางการค้าและบ่อยครั้งคือการซ่อนจุดอ่อน กรณีศึกษาของ โคลด์การ์ด (Coldcard) สะท้อนถึงความล้มเหลวในการออกแบบ (Design Flaw) เรื่องการสุ่มตัวเลข (Random Number Generator) ที่ไม่ได้มาตรฐาน ทำให้แฮกเกอร์สามารถคาดเดา ซีด (Seed) หรือรหัสผ่านลับของผู้ใช้ได้ สิ่งนี้ไม่ใช่แค่บั๊กทั่วไป แต่เป็นความพิการตั้งแต่วันแรกที่สร้าง

สำหรับนักลงทุนระดับมืออาชีพ การฝากชีวิตไว้กับซอฟต์แวร์ที่ปิดบังโค้ดคือความเสี่ยงที่ไม่คุ้มค่า คำแนะนำเชิงเทคนิคที่ทรงพลังที่สุดคือการกลับคืนสู่สามัญ (Analog Approach) ด้วยการสร้างซีดผ่านการทอยเต๋าด้วยตนเอง เพื่อให้มั่นใจว่าตัวเลขสุ่มนั้นเกิดขึ้นจากธรรมชาติจริงๆ ไม่ใช่สิ่งที่คอมพิวเตอร์หรือผู้ผลิตกำหนดไว้ล่วงหน้า เพราะในโลกดิจิทัล สิ่งที่เรียกว่าความสุ่มมักจะเป็นเพียงภาพลวงตาทางคณิตศาสตร์ที่แฮกเกอร์ถอดรหัสได้เสมอ

กลยุทธ์เหนือชั้นการบริหารเวลาและความคุ้มค่าในการโจมตี

ความปลอดภัยที่แท้จริงไม่ใช่เรื่องของตัวเลข 0 หรือ 1 ที่บอกว่าปลอดภัยหรือไม่ แต่มันคือเรื่องของ "เวลา" และ "ต้นทุนในการโจมตี" (Attack Cost) หากแฮกเกอร์ต้องใช้เวลาล้านปีในการเจาะระบบ นั่นคือความปลอดภัยที่เพียงพอ กลยุทธ์ที่คุณหนึ่ง ปรมินทร์ อินโสม แนะนำคือกฎ 80/20 แบ่งทรัพย์สิน 80 เปอร์เซ็นต์เก็บรักษาด้วยตนเองแบบตัดขาดการเชื่อมต่อ (Air-gapped) โดยใช้คอมพิวเตอร์ที่ลงระบบปฏิบัติการใหม่ทุกครั้งที่ใช้งาน และอีก 20 เปอร์เซ็นต์ที่เหลือค่อยฝากไว้ในเอ็กซ์เชนจ์เพื่อสภาพคล่อง

นอกจากนี้ การใช้ระบบ เอ็มพีซี (MPC Wallet) ยังเป็นเครื่องมือทางกลยุทธ์สำหรับการวางแผนมรดกดิจิทัล เพื่อให้ทรัพย์สินยังคงอยู่และส่งต่อได้แม้ยามที่เจ้าของไม่อยู่แล้ว บทสรุปสุดท้ายในโลกคริปโตที่ไม่มีความเมตตาให้กับคนประมาท คือการเตรียมพร้อมรับมือกับกรณีที่แย่ที่สุด (Worst Case Scenario) อยู่เสมอ การบริหารความเสี่ยงไม่ใช่เพียงการเลือกวอลเล็ตที่แพงที่สุด แต่คือการมีทัศนคติที่ว่า "ไม่มีอะไรที่เจาะไม่ได้" และหน้าที่ของเราคือการทำให้การเจาะนั้นแลกมาด้วยต้นทุนที่แฮกเกอร์จ่ายไม่ไหวเท่านั้นเอง