คริปโตถูกแฮ็กบ่อยขึ้นไม่ใช่น้อยท่อระบายน้ำของ Liquid Network แสดงให้เห็นถึงปัญหาที่แท้จริง: $ 1.5 ล้านใช้เพื่อปกป้องทรัพย์สิน $ 5 พันล้าน
# ทำไมคริปโตถึงถูกแฮ็ก — $ 1.5 ล้านเพื่อปกป้อง $ 5 พันล้าน
ประเด็นที่สำคัญ:
- Crypto ถูกแฮ็กบ่อยขึ้นไม่ใช่น้อย: ประมาณ 1.4 พันล้าน $ ถูกขโมยจากการโจมตี 250 ครั้งในปี 2026 เทียบกับ $ 2.7 พันล้านใน 146 ครั้งในปี 2025 — การปล้นเฉลี่ยที่น้อยกว่าและมีความถี่ที่สูงกว่ามาก
- การแฮ็ก [Liquid Network](https://liquid.net) ของ [Blockstream](https://blockstream.com) เผยให้เห็นแรงจูงใจที่ผุพังอยู่เบื้องหลัง: งบประมาณด้านความปลอดภัย 1.5 ล้านดอลลาร์สหรัฐ ที่ปกป้องสินทรัพย์มูลค่า 5 พันล้านดอลลาร์สหรัฐ — คิดเป็นค่าใช้จ่ายเพียง 0.03%.
- แฮกเกอร์ที่เรียกตัวเองว่า "white hat" ได้คืน 3,400 BTC และเก็บไว้ 598.5 BTC (ประมาณ 47 ล้านดอลลาร์สหรัฐ) เป็นรางวัลที่ตนเองตั้งขึ้น — ซึ่งคิดเป็นประมาณ 30 เท่าของงบประมาณด้านความปลอดภัยทั้งหมด.
- คีย์ที่ถูกบุกรุกและวิศวกรรมสังคม — ไม่ใช่บั๊กของสัญญาอัจฉริยะ — ได้แซงหน้าการโจมตีผ่านโค้ด กลายเป็นสาเหตุหลักของการสูญเสียใน DeFi ตามมูลค่าเงินดอลลาร์สหรัฐในปีนี้.
- บทเรียนที่ยั่งยืน: ความเสี่ยงด้านความปลอดภัยกลายเป็นปัจจัยนำเข้าที่มีราคาและสามารถกำหนดราคาได้เป็นอันดับหนึ่ง และโปรโตคอลที่จะอยู่รอดได้คือโปรโตคอลที่จัดสรรงบประมาณด้านความปลอดภัยเหมือนเป็นผลิตภัณฑ์หลัก ไม่ใช่สิ่งที่คิดภายหลัง.
เมื่อวันที่ 6 กันยายน 2026 มีคนขโมย Bitcoin ไปประมาณ 4,000 BTC — คิดเป็นมูลค่าประมาณ 320 ล้านดอลลาร์สหรัฐ — จากกระเป๋าเงินแบบสหภาพ (federation wallet) ที่รองรับ Liquid ซึ่งเป็น Bitcoin sidechain ของ Blockstream ไม่ใช่คีย์ที่ถูกขโมย ระบบ multisig แบบ 11-of-15 ยังคงทำงานอยู่ และคีย์สำหรับการอนุมัติ peg-out ก็ไม่เคยถูกแตะต้อง ผู้ไม่หวังดีพบช่องโหว่ใน Elements ซึ่งเป็นฐานโค้ดโอเพนซอร์สที่ Liquid ทำงานอยู่ จึงสร้าง L-BTC ที่ไม่มี Bitcoin จริงรองรับ และแลกมันผ่านประตูหน้าเหมือนลูกค้าทั่วไป ทุนสำรองลดลงจาก 4,200 BTC เหลือ 197 BTC ในเวลาประมาณ 23 นาที.
จากนั้นจึงมาถึงส่วนที่แปลกประหลาด แฮกเกอร์ไม่ได้หนีไป พวกเขาเขียนข้อความว่า "เราคือ whitehats. ติดต่อเราบนเชน" ลงในธุรกรรม Bitcoin และเริ่มเจรจาขอเงินคืน 320 ล้านดอลลาร์สหรัฐต่อหน้าสาธารณชน ทีละข้อความ OP_RETURN วันรุ่งขึ้นพวกเขาได้คืน 3,400 BTC — คิดเป็น 85% ของจำนวนที่ขโมยไป — และเก็บไว้ 598.5 BTC หรือประมาณ 47 ล้านดอลลาร์สหรัฐ เป็นรางวัลที่ตนเองตั้งขึ้น.
นี่คือตัวเลขที่ควรทำให้ผู้ก่อตั้ง นักเทรด และ LP ทุกคนต้องตั้งตัวตรง: เมื่อวันที่ 9 กันยายน ผู้โจมตีได้บอกกับโลกว่า Blockstream ได้จัดสรรเงินเพียง 1.5 ล้านดอลลาร์เพื่อปกป้องสินทรัพย์มูลค่า 5 พันล้านดอลลาร์ "การละเลยหน้าที่ของคุณนั้นชัดเจน" พวกเขาเขียน พร้อมขู่ว่าจะยึดส่วนที่เหลือไว้เว้นแต่ Blockstream จะจ่ายค่าตอบแทน 10%
อัตราส่วนดังกล่าวคือเรื่องราวทั้งหมดของความปลอดภัยของคริปโตในปี 2026 ไม่ใช่ความล้มเหลวทางเทคนิค แต่เป็นความล้มเหลวของแรงจูงใจ หากคุณต้องการเข้าใจว่าทำไมคริปโตถึงถูกแฮกอยู่เรื่อย ๆ หยุดอ่านบทวิเคราะห์หลังเหตุการณ์ของสัญญาอัจฉริยะ และเริ่มอ่านตารางงบประมาณแทน
## ทำไมพื้นผิวการโจมตีจึงย้ายจากโค้ดไปสู่มนุษย์?
ตลอดทศวรรษที่ผ่านมา อุตสาหกรรมนี้มองว่าความปลอดภัยเป็นปัญหาที่ต้องแก้ไขผ่านการตรวจสอบโค้ด: ผู้ตรวจสอบมากขึ้น การตรวจสอบเชิงรูปแบบมากขึ้น และรางวัลล่าบั๊กสำหรับ reentrancy และ overflow มากขึ้น แต่ผู้โจมตีเพียงแต่ย้ายขึ้นไปบนสแต็กที่สูงขึ้น ในปี 2026 การโจมตีผ่านคีย์ที่ถูกขโมยได้แซงหน้าการเจาะช่องโหว่ของสัญญาอัจฉริยะ กลายเป็นสาเหตุหลักของการสูญเสียใน DeFi เมื่อวัดจากมูลค่าเงินดอลลาร์ — เพราะนั่นคือที่ที่มูลค่าที่ไม่มีการป้องกันตั้งอยู่ ณ ตอนนี้
ลองดูการโจรกรรมครั้งเดียวที่เลวร้ายที่สุดของปี ในเดือนเมษายน [Drift Protocol](https://drift.trade) แพลตฟอร์มซื้อขาย perpetuals ขนาดใหญ่ที่สุดบน Solana สูญเสียไปประมาณ 285 ล้านดอลลาร์สหรัฐ ไม่ใช่บั๊ก แต่เป็นปฏิบัติการข่าวกรองของเกาหลีเหนือที่ดำเนินมานานหกเดือน (ติดตามภายใต้รหัส UNC4736 หรือ AppleJeus) ผู้ปฏิบัติการปลอมตัวเป็นบริษัทเทรดเชิงปริมาณ พบปะกับผู้มีส่วนช่วยพัฒนาแบบตัวต่อตัวที่การประชุมในหลายประเทศ และฝากเงินของตัวเองมากกว่า 1 ล้านดอลลาร์สหรัฐเพื่อสร้างความน่าเชื่อถือ จากนั้นพวกเขาได้เจาะระบบผู้มีส่วนช่วยพัฒนาสองคน — คนหนึ่งผ่านคลังโค้ดที่เป็นอันตราย อีกคนหนึ่งผ่านแอปกระเป๋าเงิน TestFlight ปลอมที่อาศัยช่องโหว่การรันโค้ดแบบเงียบใน VSCode และ Cursor สัญญาของ Drift เคยได้รับการตรวจสอบโดย Trail of Bits ในปี 2022 ผลการตรวจสอบสะอาด แต่ถูกดูดเงินเกลี้ยงในสิบสองนาทีผ่าน multisig แบบ 2-of-5 ที่ไม่มี timelock เลย
รูปแบบเดียวกัน วันต่างกัน: KelpDAO สูญเสียประมาณ 292 ล้านดอลลาร์สหรัฐ เมื่อผู้โจมตีป้อนข้อมูลเท็จไปยังผู้ตรวจสอบที่เชื่อถือได้เพียงคนเดียว Tectonic สูญเสียประมาณ 75 ล้านดอลลาร์สหรัฐ จากหลักประกันที่บางและ oracle แบบ pump-and-dump Coldcard สูญเสีย 115–130 ล้านดอลลาร์สหรัฐ จากบั๊กตัวสร้างตัวเลขสุ่มในเฟิร์มแวร์ สิ่งเหล่านี้ไม่ใช่ zero-days ที่ซับซ้อน แต่เป็นจุดความเชื่อใจเดียวที่ถูกตัดขาดจากการป้องกันแบบหลายชั้น
ความถี่คือสัญญาณ. $1.4 พันล้านผ่าน 250 การโจมตีในปี 2026, เทียบกับ $2.7 พันล้านผ่าน 146 ครั้งในปี 2025. มีเงินน้อยลง แต่เหตุการณ์มากขึ้นอย่างมาก — การปล้นเฉลี่ยมีขนาดเล็กลง, เร็วขึ้น, และอัตโนมัติเพิ่มขึ้น. สะพานและโครงสร้างพื้นฐานข้ามเชนตอนนี้มีส่วนใน 26 การโจมตี (มากกว่า 10% ของทั้งหมด), เทียบกับเพียง 3 ครั้งในปี 2025. นี่คือการทำให้การขโมยเป็นมืออาชีพ: ส่วนหางยาวของผู้โจมตีกึ่งอัตโนมัติที่ทำการเพาะปลูกที่ขอบของระบบที่ขาดแคลนทุน.
## ใครชนะเมื่อ \"white hat\" เก็บ $47 ล้าน?
Ledger CTO Charles Guillemet เรียกเหตุการณ์ Liquid ว่า \"more like extortion than white-hat hacking.\" เขาถูกต้องเกี่ยวกับวิธีการ — การระบายน้ำก่อน, ต่อรองภายหลังเป็นการบังคับ, ไม่ใช่การเปิดเผยอย่างรับผิดชอบ. แต่ส่วนที่ทำให้อึดอัดคือจำนวน. ช่องโหว่ที่สามารถระดม $320 ล้านใน 23 นาที มีมูลค่าหลายล้านตามมาตรฐานบานตีที่จริงจังใด ๆ. เหตุผลเดียวที่ทำให้เรื่องนี้ดูเป็นเรื่องอื้อฉาวคือ Blockstream ไม่ได้กำหนดราคาความเสี่ยงเอง. ผู้โจมตีทำการกำหนดราคาให้พวกเขา — และอย่างแปลกประหลาด, ตลาดก็ยอมรับอย่างเงียบ ๆ.
ผู้ชนะง่ายต่อการระบุ. นักวิจัยด้านความปลอดภัยที่ใช้เวลาหลายปีขอรับบานตีจริง ๆ เพิ่งได้รับการชักชวนรับสมัครที่แข็งแกร่งที่สุดที่จินตนาการได้: หลักฐานชีวิตที่แสดงให้เห็นว่าผลตอบแทนจากการค้นหาเป้าหมายใหญ่มีขนาดมหาศาล. ผู้ตรวจสอบ, บริษัทประกัน, และบริษัทตรวจสอบระบบชนะ — ความต้องการบริการของพวกเขากำลังจะพุ่งสูงขึ้น. ผู้โจมตีชนะ, แน่นอน.
ผู้แพ้: ผู้ถือ L-BTC ที่เงินของพวกเขาถูกแช่แข็งขณะเครือข่ายหยุดทำงาน, เชื่อมั่นใน sidechain ที่ผู้ดำเนินการใช้เงิน 0.03% ของมูลค่าที่เสี่ยงเพื่อปกป้องมัน. และชื่อเสียงของ Blockstream ได้รับการตัดขาดอย่างลึกที่สุด — นี่ไม่ใช่สตาร์ทอัพที่ขัดเกลา, มันคือบริษัทที่ใส่ใจ Bitcoin มากที่สุดในวงการ, และแม้กระทั่งบริษัทนี้ก็มีการจัดสรรงบความปลอดภัยน้อยกว่ามาตรฐานหลายเท่า.
## สิ่งนี้เคยเกิดขึ้นมาก่อนหรือไม่ — หรือเป็นเรื่องใหม่?
มีประวัติศาสตร์ยาวนานของแฮกเกอร์ที่คืนเงินที่ถูกขโมย: Poly Network ในปี 2021 ($610 ล้าน, คืนทั้งหมด), Euler ในปี 2023 ($197 ล้าน, คืนเกือบทั้งหมด) แต่กรณีเหล่านั้นเป็นขโมยที่ถูกจับและเลือกที่จะชดใช้ สิ่งที่ทำให้ Liquid ต่างออกไปคือกรอบความคิด: ผู้โจมตีประกาศตัวว่าเป็นไวท์แฮทก่อนที่การขโมยจะถูกค้นพบด้วยซ้ำ จากนั้นใช้เงินที่คืนมาเป็นอำนาจต่อรองในการบีบให้ยอมจำนนต่อสาธารณะ
นั่นคือหมวดหมู่ใหม่ — เรียกมันว่าแรนซัมแวร์แบบมีแบบฟอร์มเปิดเผยข้อมูล และมันใช้ได้ผลก็เพราะปัญหาที่ลึกซึ้งและเก่าแก่กว่า: งบประมาณด้านความปลอดภัยของคริปโตถูกจัดสรรอย่างไม่ถูกต้องอย่างน่าตกใจเมื่อเทียบกับมูลค่าที่เสี่ยงภัย เหตุการณ์ Liquid เป็นเพียงครั้งแรกที่ผู้โจมตีใช้งบประมาณด้านความปลอดภัยของโปรเจกต์เป็นข้ออ้างสำหรับอาชญากรรมต่อสาธารณะ นั่นคือเครื่องหมายของการเติบโตในทางที่ผิด — ผู้โจมตีเข้าใจเศรษฐศาสตร์ของคริปโตดีกว่าผู้ก่อตั้งหลายคนเสียอีก
## สิ่งนี้จะมุ่งหน้าไปทางไหนในอีกสามปีข้างหน้า?
สามคำทำนาย ซึ่งไม่มีข้อใดเกี่ยวกับราคา ข้อแรก การใช้จ่ายด้านความปลอดภัยจะกลายเป็นมืออาชีพหรือโปรโตคอลจะถูกเก็บเกี่ยว อัตราส่วน $1.5 ล้านต่อ $5 พันล้านนั้นไม่สามารถปกป้องได้และตอนนี้เป็นสาธารณะแล้ว; คาดว่าโปรเจกต์ที่จริงจังจะมุ่งเน้นไปที่การจัดสรรเงินสำหรับความปลอดภัยในระดับจุดฐานหลักหน่วยของ TVL อย่างน้อย และคาดว่าส่วนที่เหลือจะถูกปล้นจนหมด
ข้อสอง "ไวท์แฮทที่มีปืน" จะกลายเป็นคุณลักษณะที่ได้รับการยอมรับ — แม้จะน่าเกลียด — ของภูมิทัศน์นี้ ไม่ว่าผู้กำกับดูแลจะเรียกมันว่ากรรโชกหรือศาลจะเรียกมันว่าขโมย แรงจูงใจก็ถูกล็อกไว้แล้ว: คนแปลกหน้าพบบั๊กวิกฤตและได้รับเงิน 30 เท่าของงบประมาณด้านความปลอดภัยทั้งหมดของผู้เสียหาย สิ่งนี้จะเกิดขึ้นอีก เพราะตลาดยังคงให้ทุนแก่รางวัลนี้อยู่
ข้อสาม การประกันภัยและการรับรองจะกลายเป็นป้อมปราการ โปรโตคอลที่รอดพ้นจากการคัดเลือกในปี 2026–2027 จะไม่ใช่โปรโตคอลที่มีสัญญาที่ฉลาดที่สุด; แต่จะเป็นโปรโตคอลที่มีทีมความปลอดภัยจริง, รางวัลจริง, ไทม์ล็อก, และความคุ้มครอง DeFi กำลังจะกลายเป็นเรื่องน่าเบื่อ — และน่าเบื่อนั่นเองคือสิ่งที่สถาบันการเงินกำลังรอคอย
## สิ่งนี้หมายถึงอะไรสำหรับนักเทรด?
จัดการความเสี่ยงด้านความปลอดภัยเป็นอินพุตระดับแรกที่กำหนดราคาได้ — วิธีเดียวกับที่คุณจัดการความเสี่ยงด้านความคล่องตัวหรือความเสี่ยงทางกฎระเบียบ ไม่ใช่เป็นเพียงเครื่องหมายดอกจัน "ส่วนลดแฮ็ก" เป็นจริงและสะสมกัน: TVL ของ Tectonic ล้มเหลวจาก $121.7 million เหลือประมาณ $3 million หลังจากถูกโจมตี เมื่อโปรโตคอลถูกแฮ็ก ความคล่องตัวจะไม่กลับมา ความไม่สมดุลนี้โหดร้าย — คุณไม่ได้รับชดเชยสำหรับความเสี่ยงหางของการจอดทุนในบริดจ์ตัวตรวจสอบเดียวหรือตลาดให้กู้ยืมที่ไม่ได้รับการตรวจสอบ
ความเข้มข้นคือความสัมพันธ์ที่ซ่อนอยู่ L-BTC, ไซด์เชนแบบรวมศูนย์, และบริดจ์ตัวตรวจสอบเดียวดูเหมือน "Bitcoin" หรือ "ETH" exposure แต่พวกมันมีความเสี่ยงซอฟต์แวร์และคู่กรองที่สินทรัพย์พื้นฐานไม่มี โซ่พื้นฐานไม่ถูกแฮ็ก แต่ตัวห่อ (wrapper) ถูกแฮ็ก หากสมมติฐานของคุณคือ "I want Bitcoin exposure," การถือเวอร์ชัน wrapped หรือ sidechain จะเพิ่มความเสี่ยงอย่างเงียบๆ ที่คุณไม่ได้รับค่าตอบแทนให้รับ
และการสังเกตแบบ picks-and-shovels: ธีมที่ซ้ำซ้อนและสะสมผ่านทุกวัฏจักรการแฮ็กไม่ใช่โทเค็น — มันคือ security stack ผู้ตรวจสอบ บริษัทประกัน บริษัทตรวจสอบ และโปรโตคอลที่จัดสรรงบความปลอดภัยอย่างเหมาะสมคือที่ที่มูลค่าที่ยั่งยืนสะสม ไม่ใช่คำแนะนำ แค่บันทึกว่าทรัพยากรที่แท้จริงแล้วขาดแคลนของอุตสาหกรรมอยู่ที่ไหน: ความไว้วางใจ
## ใบแจ้งหนี้จะมาถึงทุกครั้ง
Blockstream น่าจะชดเชยผู้ถือ L-BTC ให้สมบูรณ์ — Adam Back กล่าวว่า peg จะได้รับการคุ้มครอง 1:1 เงินทุนในที่สุดจะคืนส่วนใหญ่ แต่บทเรียนไม่ได้ถูกลบออก: อุตสาหกรรมที่ระดมทุนหลายพันล้านสำหรับการตลาดและการเปิดตัวโทเค็น ใช้จ่าย $1.5 million เพื่อคุ้มครอง $5 billion — และคนแปลกหน้าที่มีแค่ text editor ต้องมาแสดงคณิตศาสตร์ให้ดู ที่จุดปืน ด้วยงบประมาณ 30x
ครั้งหน้าที่ใครถามว่าทำไมคริปโตถึงโดนแฮ็กซ้ำๆ อย่าให้ดูรายงานการตรวจสอบหลังเกิดเหตุ ให้ดูสเปรดชีตแทน
## คำถามที่พบบ่อย
ทำไมคริปโตถึงยังโดนแฮ็กในปี 2026?
สาเหตุหลักของความสูญเสียได้เปลี่ยนจากบั๊กในสมาร์ทคอนแทร็กต์ ไปเป็นคีย์ที่ถูกขโมย ผู้ตรวจสอบเพียงรายเดียว และวิศวกรรมสังคม โจมตีขยับขึ้นไปที่ชั้นมนุษย์และโครงสร้างพื้นฐาน เพราะนั่นคือที่ที่มูลค่าอยู่โดยไม่มีการปกป้อง
"White hat" ของ Liquid Network เป็น white hat จริงหรือไม่?
มีข้อโต้แย้ง โจมตีคืนเงิน 85% แต่เก็บไว้ประมาณ $47 ล้าน และขู่ว่าจะเก็บไว้หากไม่ได้รับบาวนิตี้ 10% — ซึ่ง Ledger CTO Charles Guillemet และผู้อื่นเรียกว่า "คล้ายการขู่เข็ญมากกว่าการแฮ็กแบบ white-hat"
Blockstream ใช้จ่ายไปเท่าไหร่สำหรับความปลอดภัย?
ผู้โจมตีเปิดเผยว่า Blockstream จัดสรรประมาณ $1.5 million เพื่อรักษาความปลอดภัยสินทรัพย์ประมาณ $5 billion บน Liquid — ประมาณ 0.03%.
การแฮ็ก Liquid ส่งผลกระทบต่อ Bitcoin เองหรือไม่?
ไม่. เลเยอร์พื้นฐานของ Bitcoin ไม่ได้รับผลกระทบ บั๊กอยู่ใน Elements ซอฟต์แวร์ที่ขับเคลื่อน sidechain Liquid และในโครงสร้างพื้นฐานแบบ federated รอบๆ peg ไม่มีคีย์ multisig ถูกคุกคาม
บทเรียนสำคัญที่สุดสำหรับผู้ใช้ DeFi คืออะไร?
ความปลอดภัยตอนนี้เป็นความเสี่ยงที่กำหนดราคาได้และเป็นความเสี่ยงระดับแรก (first-order risk) การรวมเงินทุนไว้ใน single-verifier bridges, federated sidechains หรือ unaudited protocols เพิ่ม tail risk ที่คุณไม่ได้รับค่าชดเชย — และโปรโตคอลที่ถูกแฮ็กมักนادرๆ ที่จะฟื้นฟู liquidity ของตน