ตลาดคริปโตสูญ 9.4 ร้อยล้านดอลลาร์จากแฮ็ก H1/2026 ชี้รีวิวความปลอดภัยโค้ดล้วนป้องกันไม่ได้

ตลาดคริปโต ‘สูญ 9.4 ร้อยล้านดอลลาร์’ ในครึ่งแรกปี 2026 จากเหตุถูกแฮ็ก ขณะที่ ‘การตรวจสอบด้านความปลอดภัย’ กลับแทบไม่ช่วยอะไร แถมส่วนใหญ่ยังตรวจไม่โดนจุดเสี่ยงจริงของระบบด้วย

ในรายงานล่าสุดของบริษัทวิจัยด้านความปลอดภัย ack3 ระบุว่า ระหว่างเดือนมกราคมถึงมิถุนายน มีการโจมตีเกิดขึ้นทั้งหมด 135 ครั้ง มูลค่าความเสียหายรวมประมาณ 9.3986 ร้อยล้านดอลลาร์ (ราว 1.359 หมื่นล้านบาท) เฉลี่ยแล้วขนาดความเสียหายต่อเคสอยู่ที่ราว 6.96 ล้านดอลลาร์

ที่น่าตกใจคือ แม้หลายโปรเจกต์จะผ่านการ ‘ตรวจสอบโค้ดสมาร์ตคอนแทรกต์’ มาแล้ว แต่กว่า 94.4% ของความเสียหาย กลับเกิดขึ้นนอกขอบเขตที่ถูกตรวจสอบ กล่าวคือ โค้ดถูกเช็ก แต่ตัวโครงสร้างอินฟราสตรักเจอร์ การจัดการคีย์ และระบบตรวจสอบข้อความต่าง ๆ กลับไม่ถูกรวมอยู่ในขอบเขตการตรวจ ‘ความคิดเห็น’ จุดนี้สะท้อนว่าการตรวจแบบเช็กเฉพาะโค้ด ไม่เพียงพอต่อภัยคุกคามยุคใหม่อีกต่อไป

ในภาพรวมครึ่งแรกปี 2026 ยังพบว่าเกือบ 61% ของความเสียหายทั้งหมด มาจากเพียงสองเหตุการณ์ใหญ่เท่านั้น เคสแรกคือโปรเจกต์ rsETH ของ Kelp DAO ที่ถูกแฮ็กประมาณ 2.92 ร้อยล้านดอลลาร์ (ราว 4.22 หมื่นล้านบาท) ในเดือนเมษายน เมื่อผู้โจมตีสามารถยึดระบบตรวจสอบข้อความของ LayerZero ได้สำเร็จ จุดอ่อนหลักคือโครงสร้างที่พึ่งพา ‘ตัวตรวจสอบเพียงรายเดียว’ ทำให้เมื่อจุดนี้ถูกเจาะ ระบบทั้งชุดพังลงตาม

เคสใหญ่อีกกรณีคือแพลตฟอร์มอนุพันธ์บนโซลานา ‘Drift’ ที่สูญเงินไปราว 2.85 ร้อยล้านดอลลาร์ (ประมาณ 4.12 หมื่นล้านบาท) จากการโจมตีที่มีรายงานว่าเกี่ยวข้องกับกลุ่มเกาหลีเหนือ โดยกลุ่มนี้ใช้เวลาหลายเดือนค่อย ๆ แทรกซึมและยึดสิทธิ์การเข้าถึงภายใน ก่อนจะลงมือถอนสินทรัพย์ในภายหลัง ‘คำ’ การบริหารจัดการคีย์และโครงสร้างความไว้วางใจ (trust model) ที่ล้มเหลว จึงเป็นต้นเหตุสำคัญมากกว่าบั๊กในโค้ดเสียอีก

รูปแบบการโจมตีที่เน้นเล่นงาน ‘นักพัฒนาและอินฟราสตรักเจอร์’ ไม่ได้เกิดเฉพาะในสองเคสใหญ่ แต่แพร่ไปยังโปรเจกต์อื่นจำนวนมาก ทั้ง Step Finance (เสียหาย 40 ล้านดอลลาร์), Humanity Protocol (ประมาณ 32 ล้านดอลลาร์) และ Resolve Stablecoin (ราว 24.5 ล้านดอลลาร์) ล้วนโดนในลักษณะคล้ายกัน คือการขโมยคีย์ส่วนตัว (private key) และเล่นงานระบบเซ็นลายเซ็นที่อยู่เบื้องหลังธุรกรรม

บริดจ์ครอสเชนก็ยังคงเป็นเป้ายอดนิยม โดยโปรเจกต์อย่าง Verus (เสียหาย 11.5 ล้านดอลลาร์), Syscoin (8 ล้านดอลลาร์) และ Taiko (1.7 ล้านดอลลาร์) ถูกโจมตีต่อเนื่อง สะท้อนว่าจุดเชื่อมระหว่างเชนยังเป็นหนึ่งในจุดเสี่ยงสูงของตลาดคริปโต

โปรเจกต์รายใหญ่เองก็ไม่รอด เช่น Polymarket ที่เดือนพฤษภาคมถูกแฮ็กจาก ‘กระเป๋าเงินภายใน’ มูลค่าประมาณ 7 แสนดอลลาร์ ก่อนที่ในเดือนมิถุนายนจะโดนซ้ำด้วย ‘การโจมตีซัพพลายเชนฝั่งหน้าเว็บ’ (frontend supply chain attack) เสียหายอีกราว 3.1 ล้านดอลลาร์ เว็บไซต์ที่ผู้ใช้เข้าไปใช้งานทุกวัน กลายเป็นเครื่องมือของคนร้ายโดยตรง

ฝั่งโปรโตคอล DeFi ก็มีกรณีของ CoWSwap ที่โดนยึดโดเมน ทำให้ผู้ใช้ถูกเปลี่ยนเส้นทางไปยังหน้าเว็บปลอม ส่วนบ็อต MEV ชื่อดังอย่าง ‘jaredfromsubway.eth’ ยังตกเป็นเหยื่อการโจมตีแบบฮันนีพอต สูญเงินไปอีกราว 7.5 ล้านดอลลาร์ แสดงให้เห็นว่าแม้แต่ผู้เล่นระดับโปรก็ยังถูกล่อหลอกได้

อีกปัจจัยที่ทำให้การตรวจสอบด้านความปลอดภัยไม่ช่วยป้องกันการแฮ็กคือ ‘ช่วงเวลาที่ตรวจ’ ack3 วิเคราะห์รายงานการตรวจสอบที่เกี่ยวข้องใกล้ชิด 20 ฉบับจากโปรเจกต์ที่ถูกโจมตี พบว่า 17 ฉบับ หรือมากกว่าครึ่ง เป็นรายงานที่จัดทำไว้ล่วงหน้าไม่น้อยกว่า 6 เดือนทั้งสิ้น เรียกได้ว่าเป็น ‘รายงานเก่า’ ที่ไม่ได้สะท้อนสถานะปัจจุบันของระบบแล้ว ‘ความคิดเห็น’ โปรเจกต์ที่ผ่านการตรวจแต่ไม่ได้อัปเดตระบบความปลอดภัยตามการเปลี่ยนแปลงของโค้ดและอินฟราจึงยังเสี่ยงสูงอยู่ดี

โยเซฟ กัทเทอร์ไมเออร์ ซีอีโอของ ack3 ระบุว่า โปรเจกต์ที่ผ่านการตรวจสอบยังคงสูญเงินรวมกันถึง 681 ล้านดอลลาร์จากการโจมตีนอกขอบเขตการตรวจ พร้อมเตือนว่า การพัฒนาเครื่องมือ ‘AI’ กำลังทำให้การโจมตีที่ผสานช่องโหว่หลายจุดเข้าด้วยกันทำได้ง่ายขึ้น จึงถึงเวลาที่ ‘ความปลอดภัยต้องมองในมุมระดับระบบทั้งหมด’ ไม่ใช่แค่ตรวจสมาร์ตคอนแทรกต์เป็นรายไฟล์

รายงานครึ่งแรกของปี 2026 จึงตอกย้ำภาพเดิมอย่างชัดเจน แฮ็กเกอร์ไม่ได้มองหาเพียง ‘ช่องโหว่ในโค้ด’ แต่หันไปเจาะ ‘คน โครงสร้างการทำงาน และการจัดการคีย์’ แทน ขณะที่การตรวจสอบส่วนใหญ่ยังวนอยู่กับการไล่หาบั๊กในสมาร์ตคอนแทรกต์ ทำให้จุดเสี่ยงตัวจริงยังคงอยู่นอกกรอบ

ในบริบทนี้ คำว่า ‘ตรวจสอบเสร็จสิ้น’ ไม่ได้หมายถึง ‘ปลอดภัย’ อีกต่อไป สิ่งที่ต้องถามคือ อะไรถูกตรวจ เมื่อไหร่ถูกตรวจ และ ‘ใคร’ เป็นผู้ควบคุมคีย์และอินฟราสตรักเจอร์ในปัจจุบัน สำหรับตลาดคริปโต มาตรฐานด้าน ‘ความปลอดภัย’ กำลังถูกเขียนขึ้นใหม่แบบทั้งระบบ และโครงการที่ยังมองว่าการมีรายงานตรวจแค่ฉบับเดียวเพียงพอแล้ว อาจกลายเป็นเหยื่อรายต่อไปในสถิติปีถัดไปได้ทุกเมื่อ