โมเดลภัยคุกคามคริปโป ตอนนี้รวมถึงที่อยู่บ้านด้วย ไม่ใช่แค่กระเป๋าเงิน

ชายติดอาวุธสี่คนเข้าไปในบ้านหลังหนึ่งในตอนเหนือของฝรั่งเศสเมื่อวันที่ 20 กันยายน มัดพ่อแม่และลูกสองคนด้วยเทปกาว และกดดันให้พ่อ—ซึ่งเป็นพนักงานไอทีในภาคคริปโป—ให้มอบรหัสการเข้าถึงและโอนเงิน 40,000 ยูโร ผู้สืบสวนยังไม่ได้เปิดเผยว่าผู้ต้องสงสัยระบุตัวเขาได้อย่างไร และสิ่งที่ยังไม่รู้นี้เองคือจุดอ่อนด้านข้อมูลของอุตสาหกรรม

พ่อคนนี้ได้เงินเดือนเป็นพนักงานไอทีในอุตสาหกรรมคริปโป อัยการยังไม่ได้เปิดเผยว่าผู้โจมตีเจาะจงเป้าไปที่เขาได้อย่างไร

ฝรั่งเศสกลายเป็นเมืองหลวงแห่งอาชญากรรมคริปโปของโลกแล้วหรือยัง?

ชายสวมหน้ากากสี่คนบุกเข้าไปในบ้านครอบครัวหนึ่งในฝรั่งเศส มัดพ่อแม่และลูกสองคน และบังคับให้พ่อโอนเงิน 40,000 ยูโรในคริปโป

ตัวเลขเหล่านี้น่าตกใจ:

• อาชญากรรมและความพยายามที่เกี่ยวข้องกับคริปโป 77 ครั้งใน... pic.twitter.com/MnHBJ47QWA

— BeInCrypto (@beincrypto) 21 กันยายน 2026

อีกเหตุการณ์หนึ่งในเดือนเดียวกันนี้แสดงให้เห็นว่าข้อมูลดังกล่าวสามารถหลุดออกมาได้ง่ายเพียงใด เมื่อวันที่ 13 สิงหาคม Trezor ผู้ผลิตกระเป๋าเงินฮาร์ดแวร์แจ้งลูกค้า 13,689 รายว่าผู้ให้บริการจัดส่งรายหนึ่งของบริษัทประสบเหตุข้อมูลรั่วไหล ทำให้ข้อมูลถูกเปิดเผย [...] ตัวเลขต่อมาเกิน 80,000

[...] เมื่อรวมกันแล้ว สิ่งเหล่านี้แสดงให้เห็นถึงความเสี่ยงแบบเดียวกันจากสองทิศทาง: ฐานข้อมูลที่เชื่อมโยงที่อยู่บ้านกับหลักฐานการถือครองคริปโป และผลที่ตามมาเมื่อมีคนลงมือจากข้อมูลนั้น

BeInCrypto ปรึกษาผู้เชี่ยวชาญจาก Hacken และ Zama เพื่อสำรวจว่าผู้ให้บริการมีหน้าที่อะไรต่อลูกค้าเมื่อซัพพลายเออร์รั่วไหลข้อมูลประจำตัว ข้อมูลใดที่อุตสาหกรรมควรหยุดจัดเก็บ และลูกค้าจะตรวจจับได้อย่างไรว่าผู้ดูแลทรัพย์สินจะ [...]

สิ่งที่ "ไม่มีการประนีประนอมคีย์" ไม่ได้บอก

เมื่อ Trezor เปิดเผยเหตุการณ์รั่วไหลในเดือนสิงหาคม บริษัทเน้นย้ำในสิ่งที่ไม่ได้เกิดขึ้น ระบบของบริษัทไม่ถูกเจาะ และอุปกรณ์ยังคงปลอดภัย

[...]

อย่างไรก็ตาม Dmytro Yasmanovych หัวหน้าฝ่าย GRC และปฏิบัติการรักษาความปลอดภัยที่ Hacken ตั้งข้อสังเกตว่าการไม่มีคีย์ส่วนตัวที่ถูกขโมยไม่ได้หมายความว่าลูกค้าจะปลอดภัย

[...] "คนที่รู้ชื่อ ที่อยู่บ้าน และรู้ว่าคุณมีกระเป๋าเงินฮาร์ดแวร์ มีข้อมูลที่สามารถนำมาใช้เจาะจงเป้าโจมตีคุณได้ [...] คุณไม่สามารถทำแบบเดียวกันกับที่อยู่บ้านของคุณได้" [...] หากฐานข้อมูลเชื่อมโยงผู้ถือคริปโปเข้ากับบ้าน ผลที่ตามมาอาจถึงครอบครัวของพวกเขาได้ด้วย Yasmanovych กล่าวเพิ่มเติม

"ดังนั้นผู้ให้บริการสามารถป้องกันไม่ให้ใครเข้าถึงเงินของคุณได้ แต่ก็ยังปล่อยให้คุณถูกเปิดเผยในแบบที่เป็นเรื่องส่วนตัวมากกว่า คำถามคือมาตรการรักษาความปลอดภัยของบริษัทปกป้องลูกค้า ไม่ใช่แค่กระเป๋าเงิน"

ตัวเลขฝรั่งเศสเบื้องหลังคำเตือน

ฝรั่งเศสแสดงให้เห็นว่าสถานการณ์นั้นมีหน้าตาเป็นอย่างไร Laurent Nuñez รัฐมนตรีว่าการกระทรวงมหาดไทยกล่าวในปลายเดือนมิถุนายนว่าเจ้าหน้าที่บันทึกอาชญากรรุนแรงที่เกี่ยวข้องกับคริปโปมากกว่า 70 คดี

[...}

Chainalysis ซึ่งนับคดีที่เปิดเผยต่อสาธารณะ บันทึกได้ 30 คดีในฝรั่งเศสจนถึงกลางปี 2026 เทียบกับ 19 คดีตลอดทั้งปีก่อนหน้า

[...]

บริษัทระบุว่าการเพิ่มขึ้นน่าจะมาจากการรั่วไหลของข้อมูลเป็นหลัก โดยอ้างถึงคดีในปี 2024 ที่เจ้าหน้าที่ภาษีฝรั่งเศสถูกร้องเรียนว่าขโมยแฟ้มข้อมูลผู้ถือคริปโปที่มีทรัพย์สินสูง รวมถึงที่อยู่และหมายเลขโทรศัพท์ แล้วขายให้กับตัวกลางทางอาชญากรรม

การเปิดเผยข้อมูลของครอบครัวที่ Yasmanovych อธิบายนั้นปรากฏในข้อมูลเดียวกัน ในฝรั่งเศส มากกว่า 40% ของเหตุการณ์กำหนดเป้าหมายไปที่ญาติมากกว่าผู้ถือครอง โดยรวมแล้ว การบุกบ้านคิดเป็น 37% ของการโจมตีที่บันทึกไว้จนถึงกลางปี 2026 เพิ่มขึ้นจาก 26% ในปี 2023

Chainalysis ประมาณการว่าการโจมตีด้วยความรุนแรงต่อผู้ถือครองทั่วโลก ทำให้เกิดความเสียหายมากกว่า 30 ล้านดอลลาร์ในครึ่งปีแรก โดยนับเฉพาะการโจมตีที่ผู้ถือครองยอมมอบเงินให้

[...]

ข้อมูลเบื้องหลังเป้าหมาย

การโจมตีเหล่านี้ต้องมีเป้าหมาย และเป้าหมายอาจมาจากบันทึกที่มีคนเก็บไว้ ทำให้การจัดเก็บข้อมูลเป็นอีกหนึ่งข้อกังวลด้านความปลอดภัยสำหรับอุตสาหกรรมคริปโป

[...] แล้วข้อมูลลูกค้าชิ้นใดที่อุตสาหกรรมควรหยุดรวบรวม หรือลบให้เร็วกว่าที่ทำอยู่? [...] เขาอธิบายว่าบริษัทอาจต้องใช้ที่อยู่เพื่อจัดการจัดส่ง แต่ไม่ได้อธิบายว่าทำไมที่อยู่นั้นควรอยู่ในฐานข้อมูลลูกค้าเป็นเวลาหลายปี [...] "ฉันจะลบลิงก์ระหว่างคำสั่งซื้อกับที่อยู่จัดส่งจริงทันทีที่การจัดส่งเสร็จสิ้นและไม่มีเหตุผลทางธุรกิจต้องเก็บไว้อีก บริษัทสามารถเก็บสิ่งที่จำเป็นสำหรับภาษีและการรับประกันโดยไม่ต้องเก็บบันทึกฉบับเต็มว่าทุกคำสั่งซื้อถูกส่งไปที่ไหน" [...] "ในกรณีหนึ่ง บริษัทมีนโยบายเก็บข้อมูล 90 วันและมีเอกสารยืนยันจากพันธมิตรการปฏิบัติตามคำสั่งว่าข้อมูลเก่าถูกลบออกแล้ว แต่ข้อมูลหลายปียังคงอยู่ในระบบของพวกเขา [...] ถ้าไม่มีใครตรวจสอบว่านโยบายถูกปฏิบัติตาม นโยบายนั้นก็ให้ความคุ้มครองเพียงเล็กน้อย"

ความรับผิดชอบเดียวกันนี้ใช้กับสิ่งที่เกิดขึ้นหลังข้อมูลลูกค้าถูกเปิดเผย [...] ชื่อ ที่อยู่บ้าน และหลักฐานการถือครองคริปโปสร้างความเสี่ยงระดับสูง คนที่ที่อยู่ถูกเปิดเผยอาจต้องการความช่วยเหลือในการจัดการการจัดส่งในอนาคตโดยไม่ต้องเปิดเผยที่อยู่อีกครั้ง ควรมีบุคคลหรือทีมที่ติดต่อได้โดยตรง หากซัพพลายเออร์เก็บข้อมูลเกินระยะเวลาที่ตกลงกัน ลูกค้าควรได้รับแจ้งว่าจะป้องกันอย่างไรและจะตรวจสอบการลบข้อมูลในอนาคตอย่างไร

[...] ผู้คนต้องรู้ว่าเกิดอะไรขึ้น ทำอะไรได้ตอนนี้ และบริษัทได้แก้ไขกระบวนการที่ล้มเหลวจริงหรือไม่ "

การตอบสนองของ Trezor ต่อเหตุการณ์รั่วไหลของตัวเองสามารถวัดได้จากรายการนั้น บริษัทส่งอีเมลถึงลูกค้าที่ได้รับผลกระทบเป็นรายบุคคล ระบุว่าข้อมูลถูกเปิดเผยทั้งหมดหรือบางส่วน และเตือนเกี่ยวกับฟิชชิ่ง และในเดือนกันยายน เตือนถึงความเสี่ยงด้านความปลอดภัยทางกายภาพ

[...]

เรากำลังดำเนินการตัวเลือกการจัดส่งแบบไม่เปิดเผยตัวตน ซึ่งเราตั้งเป้าจะพร้อมใช้ในเดือนกันยายนสำหรับสหภาพยุโรป และภายในสิ้นปีสำหรับสหรัฐฯ

นี่เป็นวิธีที่ปลอดภัยกว่าในการสั่งซื้อกระเป๋าเงินฮาร์ดแวร์โดยไม่เชื่อมโยงการซื้อกับที่อยู่บ้านหรือตัวตนจริงของคุณ

-...

— Trezor (@Trezor) 13 สิงหาคม 2026

เทคโนโลยีความเป็นส่วนตัวปิดช่องว่างได้หรือไม่?

ปัญหานี้ไม่ได้จำกัดอยู่แค่ข้อมูลที่บริษัทเก็บนอกเครือข่าย [...] Rand Hindi กล่าวว่าเหตุการณ์ Trezor เน้นย้ำถึงปัญหาการเก็บข้อมูลนอกเครือข่าย

[...] Hindi อ้างอิง การประมาณการ ของ BCG ว่าสินทรัพย์ดิจิทัลในโลกจริงอาจถึงประมาณ 16% [...] สามหมวดย่อยอยู่ในขั้นที่แตกต่างกันมาก:

— คริปโป: ตลาด ~3 ล้านล้านดอลลาร์ แหล่งรายได้ปัจจุบัน
— สเตเบิลคอยน์: ~3 แสนล้านดอลลาร์ ชั้นเงินที่เติบโตเร็วที่สุด... pic.twitter.com/tDfNzm7G6C— Sygnum Bank (@sygnumofficial) 19 พฤษภาคม 2026 [...] ผู้บริหารชี้ไปที่การเข้ารหัสแบบโฮมมอร์ฟิกเต็มรูปแบบ (FHE) เป็นวิธีหนึ่งในการแก้ไขปัญหานี้โดยไม่กระทบการปฏิบัติตามข้อกำหนด [...] เมื่อหน่วยงานกำกับดูแลต้องการเข้าถึง กลุ่มผู้ถือคีย์ที่ได้รับอนุญาต (ทีมปฏิบัติตามข้อกำหนด) จะอนุมัติการถอดรหัสที่บังคับใช้ในชั้นโปรโตคอล ไม่ใช่ผ่านนโยบาย" [...]

Yasmanovych กล่าวว่า zero-knowledge proofs ช่วยให้การแลกเปลี่ยนแสดงได้ว่ามีสินทรัพย์เพียงพอที่จะครอบคลุมยอดเงินลูกค้า โดยไม่ต้องเปิดเผยยอดเงินของลูกค้าแต่ละราย

การแลกเปลี่ยนจึงสามารถแบ่งปันหลักฐานสถานะโดยรวมได้โดยไม่ต้องเปิดเผยข้อมูลบัญชีส่วนบุคคล [...] ผู้เชี่ยวชาญกล่าวเสริมว่านี่ไม่ได้หมายความว่าข้อมูลจะเข้าถึงไม่ได้

[...] จำนวนเงิน การเวลา และการเชื่อมต่อกระเป๋าเงินอาจยังมองเห็นได้ ในขณะที่เอกสารประจำตัวและที่อยู่บ้านยังคงอยู่ในฐานข้อมูลการแลกเปลี่ยน การจัดส่ง และการชำระเงิน" [...]

เมื่อข้อมูลรับรองเป็นของจริง และลูกค้าไม่เป็นอิสระ

ความแตกต่างระหว่างความเป็นส่วนตัวของการทำธุรกรรมและความปลอดภัยส่วนบุคคลสำคัญยิ่งขึ้นเมื่อลูกค้าถูกบังคับให้อนุมัติการโอนเงิน ผู้ให้บริการดูแลทรัพย์สินอาจมีโครงสร้างพื้นฐานที่ปลอดภัยและการควบคุมการเข้าถึงที่แข็งแกร่ง

แต่มาตรการป้องกันเหล่านั้นต้องเผชิญการทดสอบที่แตกต่างเมื่อลูกค้าถูกบีบบังคับให้มอบสินทรัพย์

[...] มีประโยชน์น้อยกว่าในการทำความเข้าใจสิ่งที่เกิดขึ้นเมื่อมีคนถูกบังคับให้มอบสินทรัพย์ [...] ตัวอย่างเช่น ลูกค้าที่มีข้อมูลรับรองที่ถูกต้องขอยอดโอนใหญ่ขณะที่มีคนบีบบังคับ [...] นโยบายอาจกำหนดให้ต้องมีการอนุมัติครั้งที่สอง แต่ไม่ได้บอกว่าการอนุมัตินั้นเป็นอิสระจริงหรือไม่ หรือพนักงานสามารถเลี่ยงได้หรือไม่ [...]

ระบบการดูแลทรัพย์สินสามารถทำงานได้ตามที่ออกแบบไว้และยังล้มเหลวกับผู้ใช้ได้ [...]

ความรับผิดชอบตอนนี้อยู่ที่ไหน

การโจมตีในฝรั่งเศสแสดงให้เห็นว่าความเสี่ยงรอบคริปโปขยายเกินกว่ากระเป๋าเงินที่ถูกประนีประนอมหรือคีย์ส่วนตัวที่ถูกขโมย ชื่อ ที่อยู่ หมายเลขโทรศัพท์ และหลักฐานการถือครองของลูกค้ากลายเป็นสิ่งที่มีค่าเมื่ออยู่ในฐานข้อมูลเดียวกัน

เทคโนโลยีความเป็นส่วนตัวสามารถจำกัดสิ่งที่เปิดเผยบนเครือข่ายได้ แต่ไม่ได้จัดการกับข้อมูลที่บริษัทและซัพพลายเออร์เก็บไว้ที่อื่น

[...] ครอบคลุมถึงวิธีการเก็บและโอนสินทรัพย์ ข้อมูลลูกค้าใดบ้างที่ถูกรวบรวม เก็บไว้นานแค่ไหน และเกิดอะไรขึ้นเมื่อมีคนถูกบังคับให้ใช้ข้อมูลรับรองของตัวเอง คีย์เป็นส่วนหนึ่งของห่วงโซ่นั้นที่อุตสาหกรรมรู้วิธีปกป้องอยู่แล้ว