การจัดการกุญแจในระบบขนาดใหญ่: วิธีที่สถาบันต่างๆ เก็บรักษาสินทรัพย์ดิจิทัล

การเก็บรักษาแบบสถาบันช่วยแก้ปัญหาอะไรได้จริง?

ลองพิจารณาว่าองค์กรต้องการอะไรที่ความลับไม่สามารถให้ได้ การควบคุมแบบสองชั้น: ไม่มีบุคคลใด แม้จะอยู่ในตำแหน่งสูงเพียงใด ก็สามารถโอนสินทรัพย์ของลูกค้าได้ด้วยตนเอง การสืบทอด: สิทธิการเข้าถึงที่ยังคงอยู่แม้เมื่อบุคคลใดออกจากองค์กรหรือเสียชีวิต โดยไม่ต้องผ่านพิธีการส่งต่อที่เสี่ยงอันตราย ความสามารถในการตรวจสอบ: บันทึกที่ครบถ้วนและสามารถตรวจจับการแก้ไขได้ ว่าใครได้อนุมัติอะไร เมื่อใด และภายใต้นโยบายใด การแบ่งส่วน: โต๊ะซื้อขายที่สามารถจ่ายเงินให้คู่สัญญาได้ โดยไม่สามารถถอนเงินจากคลังได้ การกู้คืน: การสูญเสียอุปกรณ์ สถานที่ หรือบุคคลใดก็ตาม ยังทำให้สินทรัพย์สามารถเข้าถึงได้ ความรับผิดชอบต่อฝ่ายภายนอก: หน่วยงานกำกับดูแล ผู้ตรวจสอบบัญชี และลูกค้าสามารถตรวจสอบได้ว่าการควบคุมมีอยู่จริง โดยไม่ต้องได้รับกุญแจ

วลีเมล็ด (seed phrase) ที่เก็บไว้ในตู้เซฟไม่ผ่านข้อกำหนดใดเลย ผู้ที่เปิดตู้เซฟจะมีสิทธิ์เข้าถึงทุกอย่าง; บันทึกการตรวจสอบคือบานพับของตู้เซฟ; การสืบทอดคือข้อความในพินัยกรรม; การแบ่งส่วนไม่เกิดขึ้น การขยายระบบด้วยการเพิ่มตู้เซฟจะเพิ่มรูปแบบความล้มเหลวแทนที่จะแบ่งมันออก และประวัติศาสตร์ช่วงต้นของอุตสาหกรรมนี้ — ผู้ก่อตั้งแพลตฟอร์มแลกเปลี่ยนเป็นจุดล้มเหลวเดียว กุญแจเก็บไว้ในแล็ปท็อป — คือรายชื่อผู้เสียหายจากวิธีการนี้เอง กรณีตัวอย่างที่ชัดเจนที่สุดยังคงเป็น QuadrigaCX ซึ่งการเสียชีวิตของผู้ก่อตั้งได้เปิดเผยถึงการขาดการควบคุมทุกด้านในคราวเดียว; การตรวจสอบหลังเหตุการณ์ของหน่วยงานกำกับดูแลพบว่าแพลตฟอร์มดังกล่าวแทบไม่มีสินทรัพย์เหลืออยู่เลย ณ เวลานั้น โดยความสูญเสียของลูกค้าเกิดจากการฉ้อโกงและการซื้อขายโดยไม่ได้รับอนุญาตของผู้ก่อตั้งเองในช่วงที่เขายังมีชีวิตอยู่ ระบบการกำกับดูแลได้ล้มเหลวมานานก่อนการเสียชีวิตของเขา ซึ่งการเสียชีวิตนั้นเพียงแต่ทำให้ความล้มเหลวนั้นปรากฏให้เห็นเท่านั้น

ดังนั้น กรอบการทำงานของสถาบันจึงกลับด้านจากกรอบการทำงานแบบสมัครเล่น ผู้สมัครเล่นจะถามว่า: “ฉันจะซ่อนกุญแจไว้ที่ไหน?” ส่วนสถาบันจะถามว่า: “ชุดเงื่อนไขครบถ้วนที่มูลค่าสามารถเคลื่อนย้ายได้คืออะไร และเราจะทำอย่างไรให้การปฏิบัติตามเงื่อนไขเหล่านั้นเป็นความเป็นไปได้ทางกายภาพเพียงอย่างเดียว?” ทุกสิ่งในส่วนถัดไป ไม่ว่าจะเป็นฮาร์ดแวร์, MPC, ระดับชั้น, หรือระบบกำหนดนโยบาย ล้วนเป็นกลไกเพื่อบังคับใช้การกลับด้านนี้

องค์ประกอบทางเทคนิคหลักคืออะไร?

การแยกฮาร์ดแวร์เป็นชั้นพื้นฐานที่สุด กุญแจถูกสร้างขึ้นภายในโมดูลความปลอดภัยของฮาร์ดแวร์ (HSM) ซึ่งเป็นอุปกรณ์ที่ต้านทานการแทรกแซงและได้รับการรับรองตามมาตรฐานเช่น FIPS 140 หรือภายในพื้นที่ปลอดภัย (secure enclaves) และการลงนามเกิดขึ้นภายในขอบเขตนี้: กุญแจถูกออกแบบให้ไม่เคยปรากฏในหน่วยความจำทั่วไป บนดิสก์ หรือระหว่างการส่งผ่าน บนอุปกรณ์ที่ได้รับการรับรองหลายชนิด การแทรกแซงทางกายภาพจะกระตุ้นให้ข้อมูลถูกล้างเป็นศูนย์ (zeroization) กระบวนการสร้างกุญแจเป็นกิจกรรมอย่างเป็นทางการ มีพยานหลายคน เอนโทรปีที่บันทึกไว้ และสำเนาสำรองที่ปิดผนึกและกระจายอยู่ตามสถานที่ต่าง ๆ เพราะกุญแจที่ถูกบุกรุกตั้งแต่แรกจะยังคงถูกบุกรุกตลอดไป

การอนุญาตแบบกระจายเป็นผนังรับน้ำหนักหลัก การลงนามหลายฝ่ายบนเชน (on-chain multisignature) ต้องการลายเซ็นอิสระ m จาก n และวางนโยบายควอรัมไว้บนเชนเอง ซึ่งโปร่งใสและถูกบังคับใช้โดยเชน การเข้ารหัสแบบ threshold และ MPC (การประมวลผลแบบหลายฝ่าย) ซึ่งได้อธิบายจากหลักการพื้นฐานในส่วนอื่นของสถาบันนี้ สามารถบรรลุคุณสมบัติ quorum เดียวกันได้ แต่มีความแตกต่างในการดำเนินงานที่สำคัญ: การลงนามจะสร้างลายเซ็นธรรมดาหนึ่งลายผ่านการคำนวณร่วม โดยไม่ต้องสร้างกุญแจทั้งชุดขึ้นมาใหม่ และเมื่อพิธีการตั้งค่าใช้การสร้างกุญแจแบบกระจายแทนที่จะใช้ผู้จัดจำหน่ายที่เชื่อถือได้ ส่วนแบ่งของกุญแจจะไม่ถูกรวมกันเป็นกุญแจที่สมบูรณ์ในจุดใดก็ตาม; ส่วนแบ่งของกุญแจสามารถอัปเดตได้อย่างเชิงรุกโดยไม่ต้องแตะต้องเงินในบัญชี ประเภทการตั้งค่าเริ่มต้น — ไม่ว่าจะเป็นผู้จัดจำหน่ายที่เชื่อถือได้หรือการสร้างกุญแจแบบกระจาย — เป็นส่วนหนึ่งของกระบวนการตรวจสอบความรอบคอบ เนื่องจากมันกำหนดว่ากุญแจที่สมบูรณ์เคยมีอยู่จริงหรือไม่ ซึ่งเป็นเหตุผลที่สถาบันต่าง ๆ ตรวจสอบพิธีการตั้งค่าเริ่มต้นแทนที่จะสมมติว่ามันถูกต้อง สถาบันต่างๆ เริ่มนิยมใช้ MPC มากขึ้นเพื่อสนับสนุนเครือข่ายอย่างกว้างขวางเมื่อระบบการลงนามเข้ากันได้ และเพื่อรักษาความเป็นส่วนตัวของนโยบาย โดยใช้ multisig เมื่อความโปร่งใสบนเครือข่ายเป็นจุดสำคัญ และในทั้งสองกรณีนี้ จะกระจายส่วนแบ่งไปทั่วภูมิภาค องค์กร และผู้จำหน่ายอุปกรณ์ เพื่อให้ไม่มีสถานที่ใด ผู้จ้างงานใด หรือห่วงโซ่อุปทานใดที่สามารถควบคุมควอรัมได้

การจัดเก็บแบบหลายชั้น (Tiered storage) ปรับระดับความเสี่ยงให้สอดคล้องกับความต้องการ ชั้นเก็บแบบเย็น (Cold tiers) เก็บสินทรัพย์ส่วนใหญ่ โดยเก็บกุญแจในอุปกรณ์ฮาร์ดแวร์ที่แยกจากเครือข่าย (air-gapped), ใช้การอนุมัติด้วยควอรัม (quorum approvals), และขั้นตอนการปล่อยข้อมูลที่จงใจทำให้ช้าลง บางครั้งอาจมีพิธีการทางกายภาพ ชั้นเก็บแบบอุ่น (Warm tiers) เก็บสินทรัพย์ที่ใช้งานอยู่ (operational float) โดยอยู่ภายใต้การตรวจสอบนโยบายอัตโนมัติและมีความล่าช้าที่สั้นกว่า ชั้น Hot เก็บสินทรัพย์ขั้นต่ำสำหรับธุรกรรมประจำวัน ซึ่งเป็นชั้นเดียวที่การโจมตีออนไลน์สามารถเข้าถึงได้อย่างรวดเร็ว และถูกกำหนดขนาดให้สูญเสียทั้งหมดเป็นค่าใช้จ่ายที่ยอมรับได้และได้รับการประกันในการดำเนินธุรกิจ แทนที่จะเป็นเหตุการณ์ที่คุกคามการดำรงอยู่ การจัดสัดส่วนนี้เป็นกระบวนการตัดสินใจความเสี่ยงแบบเรียลไทม์: ความร้อนที่มากเกินไปเป็นการเชิญชวนให้โจมตี ส่วนความเย็นที่มากเกินไปจะก่อให้เกิดความล้มเหลวในการดำเนินงานในช่วงคลื่นการไถ่ถอน

รอบสามชั้นนี้คือองค์ประกอบพื้นฐานที่ไม่น่าดึงดูด: การเฝ้าติดตามทุกที่อยู่แบบเรียลไทม์ การแจ้งเตือนเมื่อมีการเคลื่อนไหวที่ไม่คาดคิด การแยกสินทรัพย์ของลูกค้าออกจากสินทรัพย์ของบริษัทในระดับบัญชีหลัก และการฝึกซ้อมการกู้คืนหลังภัยพิบัติ เพราะการสำรองข้อมูลที่ไม่เคยถูกกู้คืนนั้นเป็นเพียงสมมติฐาน ไม่ใช่การสำรองข้อมูลที่แท้จริง

เครื่องยนต์นโยบายเปลี่ยนการกำกับดูแลให้เป็นการบังคับใช้อย่างไร?

ระบบการเก็บรักษาที่พัฒนาอย่างสมบูรณ์จะนำทุกธุรกรรมที่เสนอมาผ่านการประเมิน ใครเป็นผู้เริ่มต้นธุรกรรมนี้ ในบทบาทใด จากบริบทที่ผ่านการยืนยันตัวตนแล้ว? จุดหมายปลายทางอยู่ในรายชื่ออนุญาตหรือไม่ และถูกเพิ่มเข้ามาเมื่อใด เนื่องจากที่อยู่ที่เพิ่งถูกเพิ่มมักเป็นที่อยู่ของผู้โจมตี? จำนวนเงินเกินขีดจำกัดที่ทำให้จำนวนผู้อนุมัติเพิ่มขึ้นจากสองเจ้าหน้าที่เป็นสามเจ้าหน้าที่ พร้อมกับการลงนามยืนยันจากฝ่ายปฏิบัติตามกฎระเบียบหรือไม่? บัญชีนี้โอนมูลค่าในวันนี้หรือสัปดาห์นี้เกินขีดจำกัดความเร็วที่กำหนดไว้หรือไม่? มีช่วงเวลาหน่วงเวลาที่บังคับใช้หรือไม่ ซึ่งในช่วงเวลานั้นการแจ้งเตือนจะถูกส่งถึงบุคคลที่มีหน้าที่เพียงเพื่อคัดค้าน?

มีสองคุณสมบัติที่แยกการนำไปใช้จริงที่จริงจังออกจากสิ่งที่เป็นเพียงการแสดงละครเท่านั้น ประการแรก เครื่องยนต์นโยบายต้องอยู่ภายในขอบเขตที่เชื่อถือได้ ซึ่งถูกบังคับใช้โดยฮาร์ดแวร์หรือควอรัม MPC เดียวกันที่ใช้ลงนาม เพื่อให้การบุกรุกลaptop ของผู้ปฏิบัติงานไม่ทำให้ใครสามารถข้ามผ่านมันได้ นโยบายที่ตรวจสอบในแดชบอร์ดเว็บและลงนามโดย HSM ที่ลงนามทุกสิ่งที่ส่งมา เป็นเพียงแดชบอร์ด ไม่ใช่ระบบควบคุมเลย ประการที่สอง การเปลี่ยนแปลงนโยบายเองต้องเป็นธุรกรรมที่ได้รับการควบคุม: การเพิ่มรายการในรายการอนุญาต (allowlist), การเพิ่มขีดจำกัด หรือการเปลี่ยนผู้อนุมัติ ต้องผ่านกระบวนการควอรัมและระยะเวลารอคอยเหมือนการชำระเงิน เพราะธุรกรรมที่ผู้โจมตีชื่นชอบที่สุดคือธุรกรรมที่แก้ไขกฎเกณฑ์

การแยกบทบาททำให้การออกแบบสมบูรณ์ ผู้เริ่มต้นไม่สามารถอนุมัติได้ ผู้อนุมัติไม่สามารถปรับใช้โค้ดได้ เจ้าหน้าที่ความปลอดภัยที่กำหนดนโยบายไม่สามารถดำเนินการชำระเงินได้ ผู้ตรวจสอบอ่านทุกอย่างแต่ไม่แตะต้องอะไรเลย เมื่อรวมกับระบบหุ้นส่วนแบบกระจาย ผลลัพธ์ในทางปฏิบัติคือ การขโมยจากผู้ดูแลทรัพย์สินที่บริหารจัดการอย่างดี ต้องอาศัยการละเมิดระบบพร้อมกันและประสานงานกันของหลายบุคคลในหลายบทบาทและหลายสถานที่ภายในกรอบนโยบายเดียว ซึ่งค่าใช้จ่ายและความวุ่นวายของการดำเนินการดังกล่าวเกินกว่าผลตอบแทนที่คาดคิดได้ส่วนใหญ่ ประโยคนั้นคือผลิตภัณฑ์ทั้งหมด

การโจรกรรม Bybit เป็นตัวอย่างตรงข้ามที่คงอยู่ ซึ่งช่วยรักษาความซื่อสัตย์ของอุตสาหกรรม และส่วนต่อไปจะวิเคราะห์เรื่องนี้อย่างละเอียด

การโจรกรรม Bybit ได้เปลี่ยนแปลงแนวคิดเกี่ยวกับการดูแลรักษาสินทรัพย์อย่างไร?

ข้อเท็จจริงในเดือนกุมภาพันธ์ 2025 ซึ่ง FBI ระบุว่าผู้ก่อเหตุคือกลุ่มจากเกาหลีเหนือ มีเนื้อหาที่กระชับ Bybit ดำเนินการระบบกระเป๋าเงินเย็นแบบหลายลายเซ็นผ่านอินเทอร์เฟซการลงนามที่ได้รับความนิยมอย่างแพร่หลาย ผู้โจมตีได้แทรกซึมกระบวนการทำงานตั้งแต่ต้นทาง ที่ชั้นอินเทอร์เฟซ ทำให้ผู้อนุมัติเห็นการโอนเงินตามปกติ ในขณะที่ข้อมูลที่พวกเขาลงนามได้เปลี่ยนแปลงตรรกะการควบคุมของกระเป๋าเงิน ผู้อนุมัติแต่ละคนตรวจสอบสิ่งที่ปรากฏบนหน้าจอและลงนาม ลายเซ็นเป็นของจริง จำนวนผู้อนุมัติครบตามข้อกำหนด นโยบายถูกปฏิบัติตามตามที่แสดง และเงินประมาณ 1.5 พันล้านดอลลาร์ถูกโอนออกทางประตูหน้า โดยไม่มีการดึงกุญแจออกในขั้นตอนใดเลย; เสาหลักของกลุ่มนี้วางกรณีนี้ไว้ในภาพรวมของการสูญเสียในปี 2025 ที่การละเมิดระบบปฏิบัติการมีขนาดใหญ่กว่าการโจมตีสัญญา

บทเรียนนี้สามารถนำไปประยุกต์ใช้ได้ไกลเกินกว่าสถานที่เดียว ระบบการอนุมัติใดๆ ก็ตามจะสืบทอดความสมบูรณ์ของสิ่งที่ทำให้สิ่งนั้นได้รับการอนุมัติ หากเจ้าหน้าที่สิบคนในห้าประเทศต่างอ่านหน้าจอที่แสดงข้อมูลเท็จเดียวกัน จำนวนผู้อนุมัติจะวัดการกระจายของข้อมูลเท็จนั้น ไม่ใช่ความจริง ทุกชั้นของสถาปัตยกรรมที่อยู่ด้านบน เช่น HSMs, MPC, และเครื่องยนต์นโยบาย ล้วนอยู่ด้านล่างของคำถาม: สิ่งใดที่ถูกเซ็นชื่อ และใครได้ตรวจสอบมันเทียบกับอะไร?

ดังนั้น แนวปฏิบัติหลังเหตุการณ์ Bybit ได้เสริมความมั่นคงให้กับเส้นทางแสดงผล การตรวจสอบอย่างอิสระ: ผู้อนุมัติยืนยันธุรกรรมที่ถูกถอดรหัส จุดหมายปลายทาง จำนวนเงิน และที่สำคัญที่สุดคือความเปลี่ยนแปลงใดๆ ในตรรกะสัญญาหรือการมอบหมาย บนอุปกรณ์และช่องทางที่สอง ซึ่งไม่มีโครงสร้างพื้นฐานที่ใช้ร่วมกับระบบที่เสนอ การลงนามแบบชัดเจนแทนการลงนามแบบบอด: ฮาร์ดแวร์ที่ถอดรหัสและแสดงข้อมูลจริง แทนที่จะเป็นแฮชที่ไม่โปร่งใส พร้อมด้วยนโยบายที่ปฏิเสธสิ่งที่ไม่สามารถถอดรหัสได้ นโยบายระดับข้อมูลจริง: เครื่องมือที่วิเคราะห์การโต้ตอบสัญญาจริง เพื่อให้ "การโอนเงินตามปกติ" และ "การเขียนใหม่ระบบสมองของกระเป๋าเงิน" ไม่สามารถใช้รูปแบบเดียวกันได้ การปรับให้สอดคล้องนอกแบนด์: ฟังก์ชันการตรวจสอบที่แยกออกจากฝ่ายปฏิบัติการในเชิงองค์กร ซึ่งสร้างใหม่ว่าธุรกรรมที่รอการยืนยันนั้นทำงานอย่างไรจากข้อมูลดิบของเชน ก่อนที่จะปล่อยให้ดำเนินการ และความจริงใจในการจัดซื้อ: อินเทอร์เฟซการลงนาม ส่วนขยายเบราว์เซอร์ แดชบอร์ดภายใน และทุกหน้าต่างแสดงผล ตอนนี้ถูกมองว่าเป็นส่วนหนึ่งของห้องนิรภัย

รูปแบบที่สรุปสั้นนี้เหมาะสำหรับรายการตรวจสอบ: ปกป้องกุญแจ, แจกจ่ายควอรัม, และสมมติว่าหน้าจอแสดงข้อมูลเท็จจนกว่าจะได้รับการพิสูจน์อย่างอิสระว่าไม่เป็นเช่นนั้น

ใครมีสิทธิ์ดูแลสินทรัพย์ และกฎระเบียบกำหนดไว้อย่างไร?

ในสหรัฐอเมริกา ภาพรวมเป็นระบบที่ปะติดปะต่อกันมากกว่าที่จะเป็นกรอบงานที่ชัดเจน การเก็บรักษาสินทรัพย์อย่างจริงจังส่วนใหญ่ดำเนินการผ่านองค์กรที่ได้รับการกำกับดูแล ได้แก่ บริษัททรัสต์วัตถุประสงค์จำกัดที่ได้รับใบอนุญาตจาก NYDFS ซึ่งดำเนินการตามกฎระเบียบเกี่ยวกับสกุลเงินเสมือนของรัฐนิวยอร์กและแนวทางปฏิบัติเกี่ยวกับการเก็บรักษาสินทรัพย์ที่ปรับปรุงใหม่ปี 2025 ของกรมดังกล่าว ธนาคารทรัสต์ระดับชาติ และใบอนุญาตทรัสต์ระดับรัฐ สำหรับที่ปรึกษาการลงทุนที่จดทะเบียนโดยเฉพาะ กฎการเก็บรักษาตามพระราชบัญญัติที่ปรึกษาการลงทุน (Advisers Act) กำหนดให้ต้องใช้ผู้เก็บรักษาที่มีคุณสมบัติเหมาะสมสำหรับเงินและหลักทรัพย์ของลูกค้าที่อยู่ในขอบเขตของกฎหมายดังกล่าว; การที่สินทรัพย์ดิจิทัลจะเข้าข่ายกฎนี้อย่างไรยังคงเป็นประเด็นที่ถกเถียงกันอยู่ และข้อเสนอ Safeguarding ปี 2023 ของ SEC ซึ่งเดิมมีวัตถุประสงค์จะครอบคลุมสินทรัพย์ของลูกค้าทั้งหมด ได้ถูกถอนอย่างเป็นทางการในเดือนมิถุนายน 2025 ดังนั้นจึงไม่ถือเป็นข้อบังคับที่ยังอยู่ระหว่างการพิจารณาอีกต่อไป อย่างไรก็ตาม หัวข้อหลักที่หน่วยงานกำกับดูแลยังคงเน้นย้ำนั้นยังคงสอดคล้องกันในส่วนที่นำไปใช้ ได้แก่ การแยกสินทรัพย์ของลูกค้าออกจากสินทรัพย์ขององค์กร การห้ามนำสินทรัพย์ไปจำนองซ้ำโดยไม่ได้รับความยินยอม และโครงสร้างที่มุ่งป้องกันไม่ให้เหรียญของลูกค้าตกอยู่ในทรัพย์สินของผู้รับฝากที่ล้มละลาย ซึ่งเป็นบทเรียนที่ได้จากกรณีการล้มละลายของตลาดแลกเปลี่ยนในปี 2022

ในสหภาพยุโรป MiCA ได้นำการเก็บรักษาสินทรัพย์เข้าระบบใบอนุญาตเดียวที่สามารถใช้ได้ทั่วทั้งสหภาพ: ผู้ให้บริการสินทรัพย์คริปโตที่เสนอการเก็บรักษาต้องได้รับอนุญาต ต้องแยกสินทรัพย์ของลูกค้า ต้องรักษานโยบายการเก็บรักษาที่ระบุการจัดการกุญแจและความรับผิดชอบ และต้องรับผิดชอบต่อความสูญเสียของสินทรัพย์ที่เก็บรักษาตามเงื่อนไขของกฎระเบียบ ศูนย์กลางอื่น ๆ เช่น สวิตเซอร์แลนด์ สิงคโปร์ และสหรัฐอาหรับเอมิเรตส์ (UAE) ดำเนินการภายใต้ระบบคู่ขนานที่มีหัวข้อคล้ายกันแต่มีนิยามเฉพาะของตนเอง; ไม่มีสิ่งใดในนี้ที่โอนย้ายข้ามพรมแดนได้โดยอัตโนมัติ และการตรวจสอบความระมัดระวังในการดูแลสินทรัพย์เป็นงานที่ต้องดำเนินการตามเขตอำนาจศาลแต่ละแห่ง

ชั้นการตรวจสอบรอบกฎระเบียบมีความสำคัญไม่แพ้ตัวกฎระเบียบเอง รายงาน SOC 1 และ SOC 2 ให้ลูกค้าได้รับความคิดเห็นจากผู้ตรวจสอบอิสระเกี่ยวกับสภาพแวดล้อมการควบคุม; การรับรองหลักฐานสำรอง (proof-of-reserves) ซึ่งมีความน่าเชื่อถือสูงสุดเมื่อใช้ร่วมกับหลักฐานหนี้สิน (proof of liabilities) มุ่งเน้นไปที่ความสามารถในการชำระหนี้มากกว่าความปลอดภัย; การประกันภัย นโยบายการประกันสำหรับคลังเก็บแบบเย็น (cold storage) และนโยบายการประกันสำหรับกระเป๋าเงินแบบร้อน (hot wallets) กำหนดราคาความเสี่ยงที่เหลืออยู่ และข้อยกเว้นในนโยบายเหล่านั้นคือแผนที่ที่แสดงอย่างตรงไปตรงมาว่าผู้ประกันภัยคิดว่ายังมีสิ่งใดที่อาจเกิดขึ้นได้ ไฟล์การตรวจสอบความรอบคอบที่ไม่มีรายงาน SOC, ใบรับรองประกันภัย และใบอนุญาตจากหน่วยงานกำกับดูแล ก็เพียงเป็นโบรชัวร์เท่านั้น

มีขอบเขตหนึ่งที่รักษาความซื่อสัตย์ในการวิเคราะห์: กฎระเบียบกำกับดูแลพฤติกรรมและโครงสร้าง แต่ไม่สามารถป้องกันไม่ให้กลุ่มผู้มีอำนาจลงนามในคำเท็จได้เอง การปฏิบัติตามกฎระเบียบและความปลอดภัยเป็นสาขาวิชาที่ต่างกัน แต่มาบรรจบกันในด้านการกำกับดูแล และผู้ดูแลทรัพย์สินที่แข็งแกร่งที่สุดคือผู้ที่ถือว่าการตรวจสอบเป็นมาตรฐานขั้นต่ำ ไม่ใช่มาตรฐานสูงสุด

บุคคลทั่วไปสามารถเรียนรู้อะไรจากคู่มือของสถาบันได้บ้าง?

แปลทีละชั้น การแบ่งชั้น: กระเป๋าเงินร้อน (hot wallet) ที่เก็บเงินใช้จ่าย ซึ่งการสูญเสียทั้งหมดจะทำให้รำคาญมากกว่าที่จะก่อให้เกิดความเสียหาย; การจัดเก็บแบบเย็น (cold storage) ที่กระจายตัว ซึ่งใช้ระบบมัลติซิก (multisig) หรือ MPC เป็นพื้นฐาน โดยเก็บส่วนใหญ่อยู่ภายใต้ควอรัมและช่วงเวลาหน่วง บทความเกี่ยวกับสเปกตรัมการดูแลรักษาในสถาบันนี้อธิบายตัวเลือกต่าง ๆ; หลักการของสถาบันคือการจัดสัดส่วน และความซื่อสัตย์อย่างไม่ปรานีเกี่ยวกับชั้นใดที่สมดุลเงินจำนวนหนึ่งควรอยู่

Quorums: กระเป๋าเงิน MPC สำหรับผู้ใช้ทั่วไปและบริการการดูแลร่วมกันในปัจจุบันมอบคุณสมบัติการลงนามระดับสถาบันให้กับบุคคลทั่วไป โดยไม่ต้องท่องวลีเมล็ดพันธุ์ สามารถแบ่งปันส่วนแบ่งระหว่างอุปกรณ์และผู้ดูแลได้ และอัปเดตได้โดยไม่ต้องย้ายเงิน บทความเกี่ยวกับความปลอดภัยทางกายภาพในกลุ่มนี้อธิบายถึง "ผลตอบแทนจากการบังคับใช้": การออกแบบที่บุคคลใดก็ตามในปัจจุบันไม่สามารถปลดล็อกส่วนส่วนใหญ่ได้ จะเปลี่ยนสิ่งที่กำลังบังคับสามารถดึงออกมาได้ การวางแผนการสืบทอดมรดกก็เกิดจากโครงสร้างเดียวกันนี้ โดยระบบควอรัมของผู้ดูแลมาแทนที่ "บันทึกในพินัยกรรม" ที่เปราะบาง ซึ่งคล้ายกับที่การสืบทอดแบบสถาบันมาแทนที่ความทรงจำของผู้ก่อตั้ง

นโยบาย: ตั้งรายชื่ออนุญาตสำหรับจุดหมายปลายทางที่คุณใช้บ่อยๆ เมื่อเครื่องมือของคุณสนับสนุน; กำหนดระยะเวลาล่าช้าสำหรับการโอนเงินจำนวนใหญ่; แยกบทบาทแม้ในบุคคลเดียว — อุปกรณ์ที่ใช้ท่องเว็บไม่เคยเป็นอุปกรณ์ที่อนุมัติ — ซึ่งนี่คือบทเรียนจาก Bybit ในเวอร์ชันของบุคคลทั่วไป ตรวจสอบข้อมูลที่ส่งบนหน้าจออิสระ; เลือกการลงนามแบบชัดเจนแทนการลงนามแบบไม่เห็นข้อมูลเสมอ — นี่คือวินัยที่บทความเกี่ยวกับผู้ขโมยเงินในวอลเล็ตของสถาบันนี้อ้างอิงจากบันทึกการโจมตี

การกู้คืน: สถาบันต่างๆ ฝึกซ้อม; บุคคลทั่วไปก็ควรทำเช่นกัน กู้คืนจากข้อมูลสำรองด้วยจำนวนเงินเล็กน้อยก่อนที่จะไว้วางใจให้มันจัดการกับทรัพย์สินมูลค่าสูง; ทดสอบว่าผู้สืบทอดหรือผู้ดูแลสามารถปฏิบัติหน้าที่ของตนได้จริง; สมมติว่าเกิดเหตุการณ์ใดๆ เช่น เว็บไซต์เดียวล่ม น้ำท่วม ไฟไหม้ หรือการโจรกรรม และตรวจสอบว่าออกแบบระบบสามารถทนต่อเหตุการณ์เหล่านั้นได้

และนำหลักการ "การกลับด้าน" มาใช้ด้วย คำถามของสถาบันว่า "ชุดเงื่อนไขทั้งหมดที่สินทรัพย์ของฉันสามารถเคลื่อนย้ายได้คืออะไร และสิ่งที่ฉันเป็นเจ้าของมีสิ่งใดที่หลีกเลี่ยงเงื่อนไขเหล่านั้นหรือไม่" เป็นคำถามที่อิสระจากเขตอำนาจและราคา ความล้มเหลวในการดูแลสินทรัพย์ส่วนบุคคลส่วนใหญ่ในบันทึกการสูญเสีย เช่น การถ่ายภาพวลีเมล็ด (seed phrases), การใช้เครื่องเดียว, เจ้าของที่ถูกบังคับ, และการอนุมัติแบบไม่ตรวจสอบ ล้วนเกิดจากความล้มเหลวในการถามคำถามนี้ การถามคำถามนี้คือคู่มือปฏิบัติ

คำถามที่มักถูกถาม

ความแตกต่างระหว่างผู้ดูแลทรัพย์สิน (custodian) และผู้ให้บริการกระเป๋าเงิน (wallet provider) คืออะไร?

ผู้ดูแลทรัพย์สิน (Custodian) ควบคุมสินทรัพย์ของลูกค้าในลักษณะการครอบครองภายใต้กรอบกฎหมาย พร้อมด้วยการแยกสินทรัพย์ การตรวจสอบ และความรับผิดชอบ; ลูกค้ามีสิทธิเรียกร้องต่อผู้ดูแลทรัพย์สิน ผู้ให้บริการกระเป๋าเงิน (Wallet Provider) จัดหาซอฟต์แวร์หรือโครงสร้างพื้นฐาน รวมถึงเครื่องมือ MPC และชื่อเรียกนี้เองไม่ได้กำหนดอะไรทั้งสิ้น: ตัวอย่างเช่น ภายใต้ MiCA การควบคุมสินทรัพย์คริปโตหรือวิธีการเข้าถึงสินทรัพย์ดังกล่าวในนามลูกค้า อาจถือเป็นการดูแลทรัพย์สิน (custody) ไม่ว่าจะมีแบรนด์ใดก็ตาม ขอบเขตนี้แท้จริงแล้วไม่ชัดเจนในข้อตกลงการลงนามร่วมและการถือหุ้น ดังนั้นคำถามเกี่ยวกับความระมัดระวังจึงต้องชัดเจน: ใคร (คนเดียวหรือร่วมกัน) สามารถเคลื่อนย้ายหรือบล็อกสินทรัพย์ได้, จะเกิดอะไรขึ้นหากผู้ให้บริการล้มเหลว, และแต่ละเขตอำนาจที่เกี่ยวข้องจัดประเภทข้อตกลงนั้นอย่างไร?

การดูแลรักษาด้วย MPC ดีกว่า multisig สำหรับสถาบันหรือไม่?

ทั้งสองระบบให้คุณสมบัติหลักเดียวกัน คือ การอนุมัติด้วยจำนวนผู้ลงนามขั้นต่ำ (quorum authorization) แต่มีข้อแลกเปลี่ยนที่แตกต่างกัน MPC ให้ลายเซ็นมาตรฐานเดียวสำหรับทุกเชนที่รองรับ นโยบายความเป็นส่วนตัว และการอัปเดตส่วนแบ่งโดยไม่ต้องเคลื่อนย้ายบนเชน ส่วน multisig ให้นโยบายที่โปร่งใสและถูกบังคับใช้โดยเชน แต่ต้องแลกกับกลไกเฉพาะเชนและรอยเท้าการกำกับดูแลสาธารณะ สถาบันการเงินหลายแห่งใช้ทั้งสองระบบพร้อมกัน โดยใช้ MPC ในการดำเนินงานร่วมกับสัญญา multisig หรือสัญญาที่ล็อกตามเวลา (timelocked contracts) สำหรับการเก็บสำรองแบบเย็น (cold reserves) ที่ลึกที่สุด โหมดความล้มเหลวที่ทั้งสองระบบมีร่วมกันคือ: การละเมิดเกณฑ์หลายจุด หรือเส้นทางลงนามที่หลอกลวง ซึ่งสามารถทำให้ระบบทั้งสองล้มเหลวได้

ผู้โจมตี Bybit ได้ทำลายระบบมัลติซิกหรือไม่?

ไม่มีลายเซ็นหรือกุญแจใดถูกเจาะระบบ กระบวนการลงนามถูกละเมิด ทำให้ผู้อนุมัติให้สิทธิ์กับข้อมูลที่แตกต่างจากสิ่งที่แสดงบนหน้าจอของพวกเขา; จากนั้นควอรัมจึงสร้างลายเซ็นที่แท้จริงบนธุรกรรมที่เป็นอันตราย ความแตกต่างนี้คือบทเรียนทั้งหมดของกรณีนี้: ความสมบูรณ์ของการอนุมัติขึ้นอยู่กับสิ่งที่ผู้อนุมัติสามารถตรวจสอบได้ ซึ่งเป็นเหตุผลที่การลงนามที่ชัดเจนและการตรวจสอบข้อมูลอย่างอิสระกลายเป็นมาตรฐานปฏิบัติหลังปี 2025

การพิสูจน์สำรองสินทรัพย์ (proof of reserves) หมายความว่าผู้ดูแลสินทรัพย์นั้นปลอดภัยหรือไม่?

เอกสารนี้ตอบคำถามหนึ่งว่า สินทรัพย์บนเชนมีอยู่จริง ณ เวลาที่ทำการรับรองหรือไม่ และจะมีประสิทธิภาพสูงสุดเมื่อใช้ร่วมกับหลักฐานแสดงหนี้สินที่พิสูจน์ได้ว่าสามารถครอบคลุมข้อเรียกร้องของลูกค้าได้ เอกสารนี้ไม่กล่าวถึงเรื่องสำคัญเกี่ยวกับการกำกับดูแล ความสมบูรณ์ของการลงนาม การควบคุมภายใน หรือสิ่งที่จะเกิดขึ้นในวันพรุ่งนี้ ควรอ่านเอกสารนี้ในฐานะส่วนหนึ่งของแฟ้มการตรวจสอบความรอบคอบ (due diligence) ร่วมกับรายงาน SOC สถานะการกำกับดูแล การประกันภัย และสถาปัตยกรรมระบบ และไม่ควรถือเป็นใบรับรองความปลอดภัย

เมื่อใดบุคคลควรเริ่มใช้ระบบการเก็บรักษาแบบสถาบัน?

จุดเริ่มต้นที่สมเหตุสมผลคือเมื่อการสูญเสียอาจเปลี่ยนแปลงชีวิตของคุณอย่างมีนัยสำคัญ เพราะทุกองค์ประกอบ — เช่น ส่วนแบ่งที่กระจายตัว ความล่าช้า รายการอนุญาต การกู้คืนโดยผู้ดูแล — ปัจจุบันมีอยู่ในรูปแบบสำหรับผู้บริโภคด้วยค่าใช้จ่ายระดับผู้บริโภค ลำดับขั้นตอนในบทความเกี่ยวกับการเก็บรักษาของสถาบันนี้ยังคงใช้ได้: ทำความเข้าใจช่วงสเปกตรัม กระจายอำนาจก่อนที่จะสะสมเพิ่มเติม และฝึกซ้อมการกู้คืนก่อนที่จะจำเป็นต้องใช้ ระบบการปฏิบัติตามกฎระเบียบเป็นแบบสถาบัน ส่วนสถาปัตยกรรมเป็นเพียงวิศวกรรมที่ดี และสามารถปรับขนาดลงได้

แหล่งข้อมูลและข้อมูลเพิ่มเติม

แหล่งอ้างอิงหลักสำหรับบทความนี้ อัปเดต ณ เดือนกรกฎาคม 2026 ตัวเลขที่เปลี่ยนแปลงได้จะได้รับการตรวจสอบใหม่ในทุกการทบทวนรายไตรมาส

• NIST, โครงการ Threshold Cryptography. https://csrc.nist.gov/projects/threshold-cryptography
• RFC 9591 (ลายเซ็นเกณฑ์ FROST): การลงนามด้วยเกณฑ์ไม่จำเป็นต้องสร้างกุญแจใหม่ และขั้นตอนการตั้งค่าอาจใช้ผู้จัดจำหน่ายที่เชื่อถือได้หรือการสร้างกุญแจแบบกระจาย https://www.rfc-editor.org/rfc/rfc9591.html
• NIST, FIPS 140-3, ข้อกำหนดด้านความปลอดภัยสำหรับโมดูลการเข้ารหัส https://csrc.nist.gov/pubs/fips/140-3/final
• NYDFS, กฎระเบียบเกี่ยวกับสกุลเงินเสมือน (23 NYCRR Part 200) และแนวทางปฏิบัติที่ปรับปรุงแล้วปี 2025 เกี่ยวกับโครงสร้างการดูแลรักษา https://www.dfs.ny.gov/industry-guidance/industry-letters/il20250930-updated-guidance-custodial-structures
• EUR-Lex, ข้อบังคับ (EU) 2023/1114 เกี่ยวกับตลาดสินทรัพย์ดิจิทัล (MiCA), ข้อกำหนดด้านการเก็บรักษา https://eur-lex.europa.eu/eli/reg/2023/1114/oj
• SEC, การถอนข้อเสนอเรื่อง “Safeguarding Advisory Client Assets” (มีผลบังคับใช้ในเดือนมิถุนายน 2025) https://www.sec.gov/rules-regulations/2025/06/safeguarding-advisory-client-assets
• SEC, กฎการเก็บรักษาตามพระราชบัญญัติที่ปรึกษาการลงทุน (IA-2176): ขอบเขตสำหรับผู้ให้คำปรึกษาการลงทุนที่จดทะเบียน https://www.sec.gov/files/rules/final/ia-2176.htm
• FBI IC3 ประกาศบริการสาธารณะที่ระบุว่าเหตุการโจรกรรม Bybit เป็นฝีมือของเกาหลีเหนือ https://www.ic3.gov/PSA/2025/PSA250226
• Chainalysis, รายงานอาชญากรรมคริปโตปี 2026: การวิเคราะห์เงินที่ถูกขโมยและการละเมิดระบบปฏิบัติการ https://www.chainalysis.com/blog/crypto-hacking-stolen-funds-2026/
• TRM Labs, การวิเคราะห์การแฮ็กในช่วงครึ่งแรกของปี 2026: การโจมตีโครงสร้างพื้นฐานเป็นแหล่งความสูญเสียหลัก https://www.trmlabs.com/resources/blog/h1-2026-crypto-hacks-reach-record-high-as-losses-fall-below-usd-1-billion
• AICPA, กรอบการรายงาน SOC 1 และ SOC 2 https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2
• Investopedia, คำนิยามและบริบทของผู้ดูแลทรัพย์สินที่มีคุณสมบัติ https://www.investopedia.com/terms/q/qualifiedcustodian.asp
• Investopedia, หลักฐานแสดงทุนสำรอง https://www.investopedia.com/proof-of-reserves-6829824
• คณะกรรมการหลักทรัพย์ออนแทรีโอ (Ontario Securities Commission), รายงานการตรวจสอบ QuadrigaCX (กรณีศึกษาเกี่ยวกับความล้มเหลวในการกำกับดูแล). https://www.osc.ca/quadrigacxreport