คริปโตเสียหาย 3,630 ล้านดอลลาร์จากแฮก 88% อยู่ในโปรเจกต์ที่ผ่านออดิตแล้ว

แพลตฟอร์มคริปโตทั่วโลกสูญเสียเงินรวม 3,630 ล้านดอลลาร์จากเหตุการณ์ด้านความปลอดภัย 245 ครั้ง ในช่วงเดือนมกราคม 2025 ถึงกรกฎาคม 2026 และที่น่าสนใจคือความเสียหายส่วนใหญ่เกิดขึ้นกับโปรโตคอลที่ 'ผ่านการตรวจสอบความปลอดภัย' มาแล้ว ทำให้เกิดคำถามว่าการผ่านออดิตเพียงอย่างเดียวไม่เพียงพอที่จะป้องกันการโจมตีในโลกจริง

คอยน์เกกโก (CoinGecko) เปิดเผยตัวเลขนี้ในรายงานสถานะความปลอดภัยคริปโตประจำปี 2026 โดยระบุว่าการโจมตี 10 อันดับแรกคิดเป็นสัดส่วนมากกว่า 72.5% ของมูลค่าที่ถูกขโมยทั้งหมด

ประเด็นสำคัญของรายงานคือการเปลี่ยนจุดโจมตี ความเสียหายไม่ได้จำกัดอยู่แค่บั๊กใน 'สมาร์ทคอนแทรกต์' อีกต่อไป แต่ลามไปถึงโครงสร้างพื้นฐาน ห่วงโซ่อุปทานซอฟต์แวร์ ฟรอนต์เอนด์ ระบบธรรมาภิบาล และความผิดพลาดของมนุษย์ ในฝั่งเอ็กซ์เชนจ์แบบรวมศูนย์ การขโมย 'คีย์ส่วนตัว' กลายเป็นจุดล้มเหลวหลัก ขณะที่แอปพลิเคชันแบบกระจายศูนย์สูญเสียเงินราว 546 ล้านดอลลาร์จากการเอ็กซ์พลอยต์สมาร์ทคอนแทรกต์

ประวัติการผ่านออดิตก็ไม่ได้การันตีความปลอดภัยเช่นกัน คอยน์เกกโกระบุว่าในจำนวนเหตุการณ์ทั้งหมด 245 ครั้ง มีถึง 147 ครั้งที่เกิดกับโปรโตคอลซึ่งผ่านการตรวจสอบโดยหน่วยงานอิสระมาแล้ว และคิดเป็นสัดส่วนสูงถึง 88.44% ของความเสียหายทั้งหมด อย่างไรก็ตาม ตัวเลขนี้ไม่ได้แปลว่าการออดิตเป็นสาเหตุของความเสียหาย แต่สะท้อนว่าโครงสร้างพื้นฐานภายนอกที่อยู่นอกขอบเขตออดิต โค้ดที่อัปเดตหลังตรวจสอบโดยไม่ผ่านการรีวิว การโจมตีระบบธรรมาภิบาล และความล้มเหลวในการจัดการคีย์ส่วนตัว ต่างหากที่เป็นต้นตอความเสียหายส่วนใหญ่

การเอ็กซ์พลอยต์สมาร์ทคอนแทรกต์คือการโจมตีที่อาศัยช่องโหว่ในโปรแกรมที่ติดตั้งบนบล็อกเชนเพื่อดึงทรัพย์สินออกไป ปกติแล้วการออดิตจะตรวจสอบโค้ดและการออกแบบ ณ ช่วงเวลาหนึ่งเท่านั้น แต่ไม่สามารถรับประกันความปลอดภัยของโค้ดที่เปลี่ยนแปลงหลังใช้งานจริง สิทธิ์การเซ็นธุรกรรม เซิร์ฟเวอร์ปฏิบัติการ หรือการถูกเจาะฟรอนต์เอนด์ได้ ยิ่งพื้นที่การโจมตีขยายออกไปนอกเหนือจากโค้ด รายงานออดิตก็ยิ่งบอกความเสี่ยงจริงได้น้อยลง

ในทางกลับกัน ตลาด 'ประกันภัยคริปโต' กลับหดตัวลง คอยน์เกกโกระบุว่าวงเงินคุ้มครองที่ใช้งานอยู่จริงของโปรโตคอลประกันภัยออนเชนหลักลดลงจาก 163.2 ล้านดอลลาร์ เหลือ 130.2 ล้านดอลลาร์ หรือลดลง 20.2% ขณะที่ยอดจ่ายเคลมสะสมอยู่ที่ราว 33 ล้านดอลลาร์เท่านั้น

จากโปรโตคอลประกันภัยออนเชน 9 แห่งที่รายงานติดตาม มี 5 แห่งที่ปิดตัวหรือเปลี่ยนไปทำธุรกิจด้านอื่น ตัวเลขนี้อ้างอิงเฉพาะโปรโตคอลประกันภัยออนเชนที่คอยน์เกกโกติดตามเท่านั้น ไม่ได้สะท้อนภาพรวมของอุตสาหกรรมประกันภัยแบบดั้งเดิมหรือความคุ้มครองสินทรัพย์ดิจิทัลทั้งหมด

ขอบเขตความคุ้มครองก็ยังจำกัดอยู่มาก ผลิตภัณฑ์ประกันภัยหลายรายคุ้มครองเฉพาะกรณีที่พิสูจน์ได้ว่าเป็นการเอ็กซ์พลอยต์สมาร์ทคอนแทรกต์หรือความล้มเหลวของโครงสร้างพื้นฐาน แต่มักไม่ครอบคลุมความผิดพลาดของมนุษย์ การขโมยคีย์ส่วนตัว หรือความผันผวนทั่วไปของตลาด นี่คือสาเหตุที่ทำให้จำนวนการแฮกเพิ่มขึ้น แต่ความคุ้มครองด้านประกันกลับลดลงสวนทาง

ข้อมูลครึ่งปีแรกจากทีอาร์เอ็ม แล็บส์ (TRM Labs) ก็สะท้อนแนวโน้มเดียวกัน โดยระบุว่าในช่วงครึ่งแรกของปี 2026 เกิดเหตุการณ์แฮกและเอ็กซ์พลอยต์รวม 207 ครั้ง มูลค่าความเสียหาย 972 ล้านดอลลาร์ จำนวนเหตุการณ์ถือเป็นสถิติสูงสุดในรอบ 6 เดือนเท่าที่ทีอาร์เอ็ม แล็บส์เคยบันทึกไว้ แต่มูลค่าความเสียหายกลับต่ำกว่าช่วงครึ่งแรกของปี 2025 ที่อยู่ที่ 2,300 ล้านดอลลาร์

ทีอาร์เอ็ม แล็บส์ระบุว่าในบรรดาเหตุการณ์ครึ่งปีแรกของปี 2026 การเอ็กซ์พลอยต์สมาร์ทคอนแทรกต์เกิดขึ้นมากที่สุดถึง 125 ครั้ง ในทางกลับกัน ความล้มเหลวด้านโครงสร้างพื้นฐานและการควบคุมปฏิบัติการคิดเป็นสัดส่วนเพียงราว 15% ของจำนวนเหตุการณ์ แต่กลับสร้างความเสียหายสูงถึงราว 76% ของมูลค่าทั้งหมด กล่าวคือการโจมตีที่เกิดบ่อยมักมาจากช่องโหว่โค้ดขนาดเล็ก ขณะที่ความเสียหายก้อนใหญ่จริงๆ มาจากคีย์ส่วนตัวและโครงสร้างพื้นฐานปฏิบัติการ

ช่วงเวลาที่คอยน์เกกโกและทีอาร์เอ็ม แล็บส์ใช้เก็บข้อมูลไม่ตรงกัน ตัวเลขของคอยน์เกกโกเป็นข้อมูลสะสมตั้งแต่มกราคม 2025 ถึงกรกฎาคม 2026 ส่วนตัวเลขของทีอาร์เอ็ม แล็บส์เป็นข้อมูลเฉพาะครึ่งปีแรกของ 2026 เท่านั้น จึงไม่ควรนำมาเทียบกันตรงๆ แต่สิ่งที่ควรจับตาคือแนวโน้มร่วมกัน นั่นคือเหตุการณ์เกิดถี่ขึ้น ขณะที่โครงสร้างความเสียหายกำลังเคลื่อนจากข้อบกพร่องในโค้ดไปสู่ความปลอดภัยเชิงปฏิบัติการและโครงสร้างพื้นฐาน

วิธีรับมือของอุตสาหกรรมก็เริ่มเปลี่ยนไปเช่นกัน เน็กซัส มิวชวล (Nexus Mutual) ระบุในรายงานเดือนกรกฎาคม 2026 ว่าอุตสาหกรรมลงทุนด้านความปลอดภัยเชิงปฏิบัติการและโครงสร้างพื้นฐานป้องกันร่วมน้อยกว่าด้านความปลอดภัยสมาร์ทคอนแทรกต์อย่างชัดเจน ขณะที่ฮาวเดน (Howden) เปิดตัวระบบนิเวศบริหารความเสี่ยงเว็บ 3 เมื่อเดือนพฤษภาคม 2026 ซึ่งผนวกรวมทั้งประกันภัย การป้องกัน การกู้คืนระบบ งานพิสูจน์หลักฐานทางดิจิทัล และการติดตามสินทรัพย์ไว้ในบริการเดียว

สำหรับนักลงทุน ข้อมูลชุดนี้ชี้ให้เห็นว่าการดูเพียง 'สถานะการผ่านออดิต' ของเอ็กซ์เชนจ์หรือบริการดีไฟยังไม่เพียงพอ แม้จะมีรายงานออดิตอยู่จริง แต่การจัดการคีย์ส่วนตัว สิทธิ์การเซ็นธุรกรรม การดูแลฟรอนต์เอนด์ และขอบเขตการควบคุมบริการเชื่อมต่อภายนอก ยังเป็นเรื่องที่ต้องตรวจสอบแยกต่างหาก

ก่อนหน้านี้สื่อเคยรายงานตัวเลขความเสียหาย 3,630 ล้านดอลลาร์จากคอยน์เกกโกมาแล้วครั้งหนึ่ง เมื่อนำรายงานฉบับนี้มาพิจารณาร่วมกับข้อมูลของทีอาร์เอ็ม แล็บส์ จะเห็นว่าประเด็นหลักของเหตุการณ์ด้านความปลอดภัยคริปโตกำลังเคลื่อนออกจากข้อบกพร่องของโค้ดเพียงจุดเดียว ไปสู่การควบคุมระบบปฏิบัติการในภาพรวมทั้งหมด

รายงานของคอยน์เกกโกอัปเดตล่าสุดเมื่อวันที่ 27 สิงหาคม 2026 (เวลาท้องถิ่น) และในจำนวนโปรโตคอลประกันภัยออนเชน 9 แห่งที่ระบุไว้ในรายงาน มี 5 แห่งที่ปิดให้บริการหรือเปลี่ยนไปทำธุรกิจด้านอื่นแล้ว