ดัชนีสแกมคริปโตใช้ AI พุ่งแตะ 54/100 เป้าหมายเปลี่ยนจาก ‘แฮ็ก’ เป็น ‘อนุมัติ’ กระเป๋าเงิน

สแกมคริปโตที่ใช้ AI กำลังเปลี่ยนเป้าหมายจากการเจาะโค้ดกระเป๋าเงินโดยตรง ไปเป็นการหลอกให้ผู้ใช้ ‘อนุมัติ’ และเซ็นยืนยันธุรกรรมด้วยตัวเอง จุดที่ถูกโจมตีจึงขยายจากตัวบล็อกเชนไปสู่ขั้นตอนยืนยันตัวตน การอนุมัติสิทธิ์กระเป๋าเงิน คำขอกู้คืนบัญชี และคำสั่งชำระเงิน

TRM แล็บส์ (TRM Labs) เปิดเผยเมื่อวันที่ 17 (เวลาท้องถิ่น) ผ่านรายงาน ‘ดัชนีการนำ AI มาใช้ในอาชญากรรมปี 2026’ ว่าระดับการนำ AI มาใช้ในอาชญากรรมคริปโตโดยรวมอยู่ที่ 54 คะแนนจากเต็ม 100 เพิ่มขึ้นจาก 28 คะแนนในปี 2024

ในรายงานฉบับนี้ ‘สแกม’ เป็นประเภทอาชญากรรมเดียวที่ถูกจัดอยู่ในขั้น ‘เติบโตเต็มที่’ ขณะที่การแฮ็กระบบและแรนซัมแวร์ยังอยู่ในขั้น ‘เริ่มแพร่กระจาย’ เท่านั้น สะท้อนว่า AI ไม่ได้แทรกซึมเข้าสู่อาชญากรรมทุกประเภทด้วยความเร็วเท่ากัน แต่ไปฝังตัวก่อนในสแกมที่อาศัยการหลอกให้คนลงมือทำเอง

การเปลี่ยนแปลงสำคัญคือคำว่า ‘การอนุมัติ’ มาแทนที่ ‘การแฮ็ก’ เมื่อผู้ใช้ถูกหลอกผ่านหน้าซัพพอร์ตปลอม วิดีโอดีปเฟก เสียงโคลนนิ่ง หรือแชทบอท AI จนยอมอนุมัติสิทธิ์เข้าถึงกระเป๋าเงิน ธุรกรรมนั้นจะถูกประมวลผลเหมือนการเซ็นยืนยันปกติทุกประการ แม้สมาร์ทคอนแทรกต์จะทำงานถูกต้อง และฮาร์ดแวร์วอลเล็ตจะเซ็นด้วยคีย์ที่แท้จริง แต่ถ้าคนที่กดอนุมัติถูกหลอก เงินก็ยังเคลื่อนย้ายออกไปได้อยู่ดี

TRM แล็บส์ระบุว่า สัดส่วนของ AI ที่ถูกใช้จริงในการโจมตีตามรายงานสแกมเพิ่มขึ้นราว 13 เท่านับตั้งแต่ปี 2022 และความเสียหายจากสแกมดีปเฟกที่มีรายงานเข้ามาตั้งแต่ต้นปี 2026 จนถึงตอนนี้ สูงกว่าความเสียหายตลอดทั้งปี 2025 ถึง 263% อย่างไรก็ตาม ตัวเลขนี้อ้างอิงจากกรณีที่มีการรายงานเข้ามาเท่านั้น ไม่ได้หมายถึงความเสียหายรวมทั้งหมดจากสแกมที่ใช้ AI

ด้านเชนอะนาลิซิส (Chainalysis) ประเมินไว้ในบทว่าด้วยสแกมของรายงานอาชญากรรมคริปโตปี 2026 ว่าความเสียหายจากสแกมคริปโตในปี 2025 อยู่ที่มากกว่า 1.7 หมื่นล้านดอลลาร์ พร้อมระบุว่าสแกมแอบอ้างตัวตนเพิ่มขึ้นถึง 1,400% เมื่อเทียบกับปีก่อนหน้า และกลุ่มสแกมที่มีร่องรอยเชื่อมโยงกับ AI ทำกำไรเฉลี่ยสูงกว่ากลุ่มสแกมแบบดั้งเดิมถึง 4.5 เท่า

ตัวเลขเหล่านี้มีฐานการนับที่ต่างกัน ตัวเลข 13 เท่า และ 263% ของ TRM แล็บส์ มาจากกรณีสแกมที่มีการรายงานและกระแสความเสียหายจากดีปเฟกเท่านั้น ส่วนตัวเลข 1,400% และ 4.5 เท่าของเชนอะนาลิซิส มาจากการเติบโตของสแกมที่ระบุได้บนเชนและการเปรียบเทียบผลกำไร จึงนำมารวมกันเป็นยอดความเสียหายจากสแกม AI ก้อนเดียวไม่ได้

ข้อมูลจากสำนักงานสอบสวนกลางสหรัฐ (FBI) ก็ชี้ไปทิศทางเดียวกัน โดย FBI เปิดเผยในการแถลงที่เกี่ยวข้องกับรายงานอาชญากรรมทางอินเทอร์เน็ตปี 2025 ว่ามีเรื่องร้องเรียนที่เกี่ยวข้องกับ AI จำนวน 22,364 เรื่อง มูลค่าความเสียหายราว 893 ล้านดอลลาร์ ขณะที่เรื่องร้องเรียนที่เกี่ยวข้องกับคริปโตมีถึง 181,565 เรื่อง ความเสียหายรวมกว่า 1.1 หมื่นล้านดอลลาร์

เครือข่ายปราบปรามอาชญากรรมทางการเงินสหรัฐ (FinCEN) ระบุไว้ในประกาศเตือนเมื่อวันที่ 13 พฤศจิกายน 2024 ว่าดีปเฟกและเอกสารยืนยันตัวตนปลอมที่สร้างด้วย AI เจนเนอเรทีฟ กำลังถูกนำไปใช้เลี่ยงขั้นตอนยืนยันตัวตนและการตรวจสอบสิทธิ์ ซึ่งไม่ใช่ปัญหาเฉพาะกระเป๋าเงินคริปโตเท่านั้น แต่เชื่อมโยงไปถึงระบบยืนยันตัวตนของสถาบันการเงินโดยรวมด้วย

คอยน์เบส($COIN) อธิบายไว้ในบล็อกเมื่อวันที่ 9 เมษายนว่า ‘ฟิชชิ่งขออนุมัติสิทธิ์’ คือสแกมที่หลอกให้ผู้ใช้มอบสิทธิ์เข้าถึงกระเป๋าเงินของตัวเองให้คนร้าย บริษัทระบุว่าได้ร่วมมือกับหน่วยงานสืบสวนระหว่างประเทศ จนสามารถระบุตัวผู้เสียหายได้ 20,000 ราย และอายัดเงินที่ถูกขโมยไปได้มากกว่า 12 ล้านดอลลาร์

คำขออนุมัติสิทธิ์กระเป๋าเงินเป็นขั้นตอนที่ให้แอปพลิเคชันแบบกระจายศูนย์หรือสมาร์ทคอนแทรกต์เข้าถึงและจัดการโทเคนของผู้ใช้ได้ ซึ่งเป็นฟังก์ชันที่บริการปกติก็ต้องใช้ แต่ผู้โจมตีก็อาศัยช่องทางเดียวกันนี้ หลอกล่อผ่านเว็บไซต์ปลอมหรือการแจ้งเตือนปลอม ให้ผู้ใช้เชื่อมต่อกระเป๋าเงินและเซ็นอนุมัติโดยไม่รู้ตัว

ในกรณีเช่นนี้ ปัญหาหลักไม่ได้อยู่ที่ข้อบกพร่องทางเทคนิคของตัวกระเป๋าเงินเอง แต่อยู่ที่โครงสร้างที่ล่อให้ผู้ใช้อนุมัติสิทธิ์ด้วยมือของตัวเอง นี่คือเหตุผลว่าทำไมแม้แต่หน้าจอที่ดูเหมือนการตรวจสอบความปลอดภัยหรือการขอความช่วยเหลือ ก็ยังต้องตรวจสอบคำขอเซ็นยืนยันและขอบเขตสิทธิ์ที่กำลังจะอนุมัติแยกต่างหากทุกครั้ง

การถกเถียงก่อนหน้านี้ของสำนักข่าวเราที่ชี้ว่ามาตรฐานการเก็บรักษาสินทรัพย์ด้วยตัวเองกำลังขยายจาก ‘การดูแลคีย์ส่วนตัว’ ไปสู่ ‘การจัดการข้อมูลกู้คืนบัญชี’ ก็อยู่ในบริบทเดียวกันนี้ การถือครองคีย์ส่วนตัวเพียงอย่างเดียวไม่เพียงพออีกต่อไป ขั้นตอนกู้คืนบัญชี สิทธิ์การอนุมัติ การลงทะเบียนที่อยู่ถอนเงินใหม่ และช่องทางยืนยันหลายชั้น ล้วนกลายเป็นสิ่งที่ต้องบริหารจัดการทั้งหมด

บทเรียนนี้ใช้ได้กับผู้ใช้ในไทยเช่นกัน สำหรับคนที่ใช้ทั้งบัญชีเทรดในเอ็กซ์เชนจ์และกระเป๋าเงินส่วนตัวควบคู่กัน การเซ็นยืนยันในกระเป๋าเงิน การกรอกวลีกู้คืนบัญชี การเปลี่ยนที่อยู่ถอนเงิน และคำขอรับความช่วยเหลือทางไกล ล้วนเป็นจุดเสี่ยงได้ทั้งหมด โดยทั่วไปแล้ว ขั้นตอนเหล่านี้ควรตรวจสอบซ้ำผ่านอุปกรณ์หรือช่องทางอื่นที่แยกจากกัน จึงจะช่วยลดโอกาสสูญเสียได้

สแกมที่ใช้ AI ไม่ได้สร้างรูปแบบอาชญากรรมใหม่ทั้งหมดขึ้นมา แต่ทำให้อาชญากรรมเดิมเร็วขึ้นและแนบเนียนน่าเชื่อขึ้นเท่านั้น จุดโฟกัสของความปลอดภัยกระเป๋าเงินก็กำลังเคลื่อนจากช่องโหว่ในโค้ด ไปสู่ช่วงเวลาที่การตัดสินใจของผู้ใช้ถูกบิดเบือนแทน