คนส่วนใหญ่เข้าใจว่าการที่เหรียญคริปโตหายไปจาก hardware wallet มักเกิดจากความประมาทของเจ้าของ เช่น กรอก seed ลงเว็บฟิชชิ่ง ถ่ายรูป seed เก็บไว้ในมือถือ หรือทำเครื่องหาย แต่ความจริงแล้วความเสี่ยงมีอย่างน้อยสามระดับ และยิ่งระดับที่ลงลึก คุณยิ่งควบคุมมันได้น้อยลง

ระดับหนึ่ง — ความเสี่ยงจากผู้ใช้ (User Risk) การถูกฟิชชิ่ง การเก็บ seed ไม่รัดกุม การถูกบังคับข่มขู่ให้เปิดเผย ระดับนี้คุณควบคุมได้เกือบทั้งหมด และเป็นระดับที่ทุกคนพูดถึง

ระดับสอง — ความเสี่ยงจากห่วงโซ่อุปทาน (Supply Chain Risk) เครื่องถูกแกะและดัดแปลงก่อนถึงมือคุณ หรือซื้อจากตัวแทนจำหน่ายที่ไม่ใช่ทางการ ระดับนี้ควบคุมได้บางส่วน โดยซื้อตรงจากผู้ผลิต ตรวจซีลกันแกะ และสร้าง seed ด้วยตัวเองเสมอ ช่วยลดความเสี่ยงได้มาก แต่ไม่เป็นศูนย์

ระดับสาม — ความเสี่ยงจากตัวผลิตภัณฑ์ (Product Risk) ช่องโหว่ในเฟิร์มแวร์หรือในกระบวนการสร้าง Private Key ระดับนี้คุณทำอะไรไม่ได้เลย และมันอันตรายกว่าสองระดับแรกด้วยเหตุผลสองข้อ: มันไม่มีสัญญาณล่วงหน้า คุณไม่มีทางรู้ว่าโดนจนกว่าเงินจะหายไปแล้ว และมันไม่ได้กระทบคุณคนเดียว แต่กระทบทุกคนที่ใช้โค้ดชุดเดียวกันพร้อมกัน

ตัวอย่างที่ชัดที่สุดคือเหตุการณ์ Coldcard ปลายเดือนกรกฎาคมถึงต้นสิงหาคม 2569 เฟิร์มแวร์เวอร์ชัน 4.0.1 ซึ่งออกตั้งแต่เดือนมีนาคม 2564 หันไปใช้ตัวสุ่มแบบซอฟต์แวร์แทนแหล่ง entropy ของฮาร์ดแวร์ในขั้นตอนสร้าง seed ทำให้กุญแจที่ควรแข็งแรง 128 บิต เหลือเพียงประมาณ 40 บิตในบางรุ่น ผู้โจมตีจึงคำนวณ Private Key ย้อนกลับได้จากข้อมูลสาธารณะบนบล็อกเชน โดยไม่ต้องแตะเครื่องของใครเลยแม้แต่วินาทีเดียว ความเสียหายที่รายงาน ณ ต้นเดือนสิงหาคม 2569 อยู่ระหว่าง 70–116 ล้านดอลลาร์สหรัฐ จากกว่า 5,200 แอดเดรส และยังเป็นตัวเลขเบื้องต้น ที่น่ากังวลกว่านั้นคือช่องโหว่นี้อยู่ในโค้ดที่เปิดให้ตรวจสอบได้สาธารณะมานานห้าปี

ผู้เสียหายส่วนใหญ่เก็บรักษา Bitcoin ตามตำราทุกข้อ ไม่มีใครถูกหลอกให้เปิดเผยอะไรเลย แต่ก็ยังสูญเสียสินทรัพย์ไป

Pulse Legal จึงเขียนบทความนี้ขึ้นเพื่อเป็นคู่มือสำหรับเหตุการณ์โจรกรรมสินทรัพย์ดิจิทัลในอนาคต ไม่ว่าจะเกิดจากความเสี่ยงระดับใด เพราะในวันที่ Hardware Code และ Computer Code ปกป้องทรัพย์สินของคุณไม่ได้แล้ว อย่างน้อยอาจจะยังมี Legal Code ที่เป็นอีกช่องทางหนึ่งที่อาจช่วยทวงคืนสิ่งที่เสียไปได้

24 ชั่วโมงแรก: งานเทคนิค

1. อย่าโอนเข้าเหรียญเข้าไปเพิ่ม แฮกเกอร์มักตั้งบอตดักไว้ที่แอดเดรสที่ถูกเจาะ เหรียญที่ส่งเข้าไปใหม่จะหายในไม่กี่วินาที

2. ตรวจสอบว่ามีกระเป๋าอื่นที่สร้างจากเครื่องเดียวกันหรือ derive จาก seed ชุดเดียวกันหรือไม่ หลายคนคิดว่าเสียแค่ใบเดียว ทั้งที่ทั้งแอดเดรสมาจาก seed เดียวกัน

3. ย้ายตามลำดับ อัปเดต → สร้าง seed ใหม่ → ตรวจ backup และ fingerprint → ทดสอบด้วยยอดน้อย → ย้ายที่เหลือ → เก็บ backup เดิมไว้จนเสร็จ

4. ไม่เคยมี "บริการกู้เหรียญ" ธุรกรรมที่ยืนยันแล้วบนบล็อคเชนย้อนกลับไม่ได้ ใครรับปากว่าดึงกลับให้ได้ ไม่ได้พูดความจริง

72 ชั่วโมง: แนวปฏิบัติสากล

เก็บพยานหลักฐานเป็นอย่างแรก คดีสินทรัพย์ดิจิทัลแพ้กันที่ชั้นพยานหลักฐานมากกว่าชั้นข้อกฎหมาย เก็บให้ครบ: รุ่นเครื่อง หมายเลขเครื่อง และเวอร์ชันเฟิร์มแวร์ ณ วันสร้าง seed / ใบเสร็จและชื่อผู้ขายหรือผู้นำเข้า / xpub และแอดเดรสที่เสียหาย / transaction ID พร้อม timestamp และแอดเดรสปลายทาง / ภาพหน้าจอ block explorer / ประวัติการถอนจาก exchange เข้ากระเป๋านั้น แล้วรวมเป็นชุด คำนวณ hash และบันทึกวันเวลาไว้

ติดธง (Flag) แอดเดรสปลายทางให้เร็วที่สุด ขั้นตอนที่ถือเป็นงานเร่งด่วนอันดับต้น ๆ คือแจ้งแอดเดรสของผู้โจมตีหรือแฮกเกอร์ไปยังบริษัทวิเคราะห์บล็อกเชน (เช่น Chainabuse, Chainalysis, TRM Labs, Elliptic) และทีม compliance ของ exchange รายใหญ่โดยตรง เมื่อแอดเดรสถูกติดป้ายแล้ว ระบบคัดกรองทั่วโลกจะจับได้ทันทีที่เหรียญพยายามเข้ามา นี่คือกลไกที่ใช้ได้จริงในหลายคดี ก่อนคำสั่งศาลใด ๆ จะออกด้วยซ้ำ และไม่มีค่าใช้จ่าย

สองเส้นทางแพ่งที่ใช้กันในต่างประเทศ เส้นทางแรกคือไล่ตามเหรียญ ผ่านการสืบสวน on-chain แล้วขอ freezing order และ disclosure order ต่อ exchange ซึ่งในทางปฏิบัติต้องเดินผ่านศาลอังกฤษ สิงคโปร์ ฮ่องกง หรือ BVI — ค่าใช้จ่ายสูง คุ้มเฉพาะกรณีมูลค่าสูงหรือรวมกลุ่มได้ เส้นทางที่สองคือฟ้องผู้ผลิตด้วยฐานละเมิดและความรับผิดในผลิตภัณฑ์ ซึ่งมีอุปสรรคสองข้อ: เงื่อนไขการใช้งานมักมีข้อสัญญาอนุญาโตตุลาการและข้อจำกัดความรับผิด และต้องพิสูจน์ว่าผู้ผลิตควรคาดเห็นความเสียหายได้

กรณีการบังคับใช้ในประเทศไทย

ผู้เสียหายควรแจ้งความให้เร็ว ผ่าน www.thaipoliceonline.go.th หรือสายด่วน 1441 หากมูลค่าสูงควรเข้าพบพนักงานสอบสวนที่ บช.สอท. หรือ บก.ปอท. ด้วยตนเอง เหตุผลไม่ใช่เพราะตำรวจจะจับคนร้ายข้ามประเทศได้ทันที แต่เพราะกลไกอายัดทั้งหมดในไทยต้องอ้างเลขรับแจ้งความ

ข้อจำกัดของกฎหมายอาญาไทยที่ควรรู้ล่วงหน้า ฐานลักทรัพย์ตามประมวลกฎหมายอาญา มาตรา 334 และ 335 ใช้คำว่า "ทรัพย์" ซึ่งประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 137 นิยามว่าเป็นวัตถุมีรูปร่าง และคำพิพากษาศาลฎีกาที่ 5161/2547 วางหลักว่าการคัดลอกข้อมูลคอมพิวเตอร์ไม่เป็นลักทรัพย์ เหตุผลเดียวกันย่อมใช้กับ Private Key ได้ ส่วนฐานฉ้อโกงตามมาตรา 341 ต้องมีการหลอกลวง ซึ่งกรณีช่องโหว่ของผลิตภัณฑ์ Hardware wallet ไม่มีการหลอกลวง จึงเหลือพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 มาตรา 5, 7 และ 9 เป็นฐานหลัก ซึ่งการปรับใช้กับผู้โจมตีหรือแฮกเกอร์ที่เข้ามาเจาะระบบ แต่ทั้งนี้ก็ยังไม่มีบรรทัดฐานตามกฎหมายไทยที่ชัดเจน

จุดที่กฎหมายไทยอาจช่วยได้คือเรื่องกฎหมายคุ้มครองผู้บริโภค จำที่ให้เก็บใบเสร็จและชื่อผู้ขายไว้ได้ไหม เหตุผลอยู่ตรงนี้ พระราชบัญญัติความรับผิดต่อความเสียหายที่เกิดขึ้นจากสินค้าที่ไม่ปลอดภัย พ.ศ. 2551 วางหลัก ความรับผิดโดยเคร่งครัด ผู้เสียหายไม่ต้องพิสูจน์ความประมาท ซึ่งตัดอุปสรรคเรื่อง "ผู้ผลิตคาดเห็นได้หรือไม่" ที่เป็นปัญหาในต่างประเทศออกไป และกำหนดให้ ผู้ผลิต ผู้นำเข้า และผู้ขาย ร่วมกันรับผิด เช่น ถ้าคุณซื้อผ่านตัวแทนจำหน่ายในไทย คุณอาจมีจำเลยอยู่ในเอื้อมของศาลไทย แทนที่จะต้องข้ามไปฟ้องบริษัทต่างประเทศ ทั้งตามมาตรา 9 ข้อตกลงยกเว้นความรับผิดที่ทำไว้ล่วงหน้าใช้บังคับไม่ได้

ส่วนอายุความคือเรื่องที่ต้องระวังที่สุด สามปีนับแต่รู้ถึงความเสียหายและรู้ตัวผู้ต้องรับผิด แต่ไม่เกินสิบปีนับแต่วันขายสินค้า เครื่องที่ซื้อมาตั้งแต่ปี 2564 กำลังเดินเข้าใกล้ระยะเวลาสิบปีเรื่อย ๆ

ในทางกระบวนพิจารณา คดีนี้เข้าลักษณะคดีผู้บริโภคตามพระราชบัญญัติวิธีพิจารณาคดีผู้บริโภค พ.ศ. 2551 ซึ่งยกเว้นค่าฤชาธรรมเนียม ฟ้องที่ภูมิลำเนาผู้บริโภคได้ และผลักภาระการพิสูจน์บางส่วนไปยังผู้ประกอบธุรกิจ

ดังนั้นหลังจากเหตุการณ์ที่เกิดขึ้นกับ Coldcard ฝั่งผู้ประกอบธุรกิจที่ขายอุปกรณ์ Hardware wallet ในประเทศไทยอาจจะต้องมีความระมัดระวังมากขึ้นในการเลือก Hardware wallet ยี่ห้อใดๆ มาวางขายในร้านค้าตัวเอง เนื่องจากอาจทำให้เกิดความรับผิดตามกฎหมายคุ้มครองผู้บริโภคได้หากเกิดเหตุการณ์เช่นนี้อีก

สิ่งที่ควรทำตั้งแต่วันที่ยังไม่มีเหตุใดๆ

1. กระจายความเสี่ยงของผู้ผลิต Hardware wallet โดยอาจทำเป็น multisig 2-of-3 ที่ใช้คนละยี่ห้อกัน

2. ตั้ง passphrase ในเหตุการณ์ปี 2569 BIP-39 passphrase คือเส้นแบ่งระหว่างคนที่กลายเป็นผู้เสียหายและคนที่ปลอดภัย และที่สำคัญการตั้ง passphrase นั้นฟรี

3. จัดเก็บเอกสารต่าง ๆ ไว้ เนื่องจากเราไม่สามารถคาดการณ์ได้ว่าเหตุการณ์เหล่านี้สักวันจะเกิดขึ้นกับเราไหม แต่การเตรียมตัวโดยเก็บเอกสารหลักฐานต่าง ๆ ไว้ก็เป็นการป้องกันความเสี่ยงชนิดหนึ่ง และแทบไม่มีค่าใช้จ่าย ถือเป็นระเบียบในกาารทำ self-custody อีกขั้นหนึ่ง จดวันสร้าง seed และบันทึกเวอร์ชันเฟิร์มแวร์ไว้อาจเป็นประโยชน์กับคุณในอนาคต

หากคุณเป็นคนหนึ่งที่ได้รับผลกระทบหรือกำลังทบทวนโครงสร้างการถือครองสินทรัพย์ดิจิทัลของตนเองหรือขององค์กร Pulse Legal ยินดีให้คำปรึกษาครับ