หนึ่งปีหลัง FTX: “not your keys” มีความหมายอย่างไรในทางปฏิบัติ

สัปดาห์นี้เมื่อหนึ่งปีก่อน FTX แปรสภาพจากหนึ่งในกระดานเทรดคริปโตที่ใหญ่ที่สุดในโลกไปสู่ศาลล้มละลายภายในเวลาราวสิบวัน การถอนเงินถูกอายัดในต้นเดือนพฤศจิกายน 2022 การยื่นล้มละลายตามมาตรา Chapter 11 เกิดขึ้นในวันที่ 11 พฤศจิกายน และไม่นานหลังจากนั้น ตัวเลขประเมินที่มีการรายงานกันอย่างกว้างขวางก็ระบุว่าเงินของลูกค้าขาดหายไปราว 8 พันล้านดอลลาร์ เมื่อสัปดาห์ที่แล้ว ในวันที่ 2 พฤศจิกายน Sam Bankman-Fried ถูกตัดสินว่ามีความผิดฐานฉ้อโกง คำตัดสินยุติคำถามเรื่องความรับผิด แต่ไม่ได้ช่วยอะไรลูกค้าเลย พวกเขายังคงเป็นเจ้าหนี้ในคดีล้มละลาย ไม่ใช่เจ้าของเหรียญของตนเอง

“Not your keys, not your coins” มักถูกมองข้ามว่าเป็นเพียงสโลแกน แต่จริง ๆ แล้วมันคือคำอธิบายที่แม่นยำว่าความเป็นเจ้าของคริปโตทำงานอย่างไร นั่นคือ ใครก็ตามที่ควบคุม private key ของกระเป๋าย่อมควบคุมเงินในกระเป๋านั้น และยอดคงเหลือบนกระดานเทรดเป็นเพียงสิทธิเรียกร้องต่อบริษัท ไม่ใช่เหรียญบนบล็อกเชน หนึ่งปีหลังจาก FTX ทำให้ความแตกต่างนี้เป็นรูปธรรมอย่างโหดร้าย จึงคุ้มค่าที่จะอธิบายให้ชัดว่าวลีนี้มีความหมายอย่างไรในทางปฏิบัติ — และซื่อสัตย์กับสิ่งที่ self-custody เรียกร้องจากคุณเป็นการแลกเปลี่ยน

หนึ่งปีแห่งการล้มละลายสอนอะไรเราจริง ๆ

FTX ไม่ใช่เหตุการณ์ที่เกิดขึ้นโดดเดี่ยว Celsius และ Voyager ยื่นล้มละลายในกลางปี 2022 ส่วน BlockFi ตามมาภายในไม่กี่สัปดาห์หลัง FTX การล่มสลายทุกครั้งดำเนินตามลำดับเดียวกัน คือ ข่าวลือ คำขอถอนเงินที่หลั่งไหลเข้ามา การอายัด และการยื่นล้มละลายในที่สุด เมื่อลูกค้าเข้าใจว่ามีปัญหา ประตูก็ปิดตายไปแล้ว

บทเรียนที่ไม่น่าอภิรมย์นี้เป็นเรื่องเชิงโครงสร้าง ไม่ใช่เรื่องศีลธรรม เมื่อคุณฝากเหรียญไว้กับแพลตฟอร์มแบบ custodial เหรียญจะย้ายไปยังที่อยู่ที่แพลตฟอร์มควบคุม และในทางปฏิบัติเงินฝากของคุณกลายเป็นส่วนหนึ่งของสินทรัพย์หมุนเวียนของบริษัท หากบริษัทนำสินทรัพย์เหล่านั้นไปปล่อยกู้ นำไป stake หรือเพียงแค่ทำมันสูญหาย ทางออกของคุณคือกระบวนการทางกฎหมาย ไม่ใช่กระบวนการทางการเข้ารหัส ในการล้มละลาย ลูกค้าของกระดานเทรดโดยทั่วไปจะถูกจัดเป็นเจ้าหนี้ไม่มีประกัน — อยู่เกือบท้ายแถว และมักต้องรอนานหลายปี Mt. Gox ล่มสลายในปี 2014 และเจ้าหนี้ของมันยังคงรอการจ่ายคืนอยู่จนเกือบหนึ่งทศวรรษให้หลัง ณ ขณะที่เขียนบทความนี้ ลูกค้าของ FTX รอมาแล้วหนึ่งปี โดยไม่มีกำหนดวันที่แน่นอนสำหรับการกู้คืน และไม่มีความแน่นอนว่าจะได้เงินคืนมาเท่าไร

ทั้งหมดนี้ไม่จำเป็นต้องสมมติว่าผู้ให้บริการกระดานเทรดทุกรายไม่ซื่อสัตย์ ส่วนใหญ่ไม่ได้เป็นเช่นนั้น เพียงแค่ต้องสังเกตว่ารูปแบบความล้มเหลวนี้มีอยู่จริง มันเกิดขึ้นซ้ำแล้วซ้ำเล่า และมองไม่เห็นจากภายนอกจนกว่าจะสายเกินกว่าจะลงมือทำอะไรได้

ความหมายที่แม่นยำของ “not your keys, not your coins”

บนบล็อกเชน ความเป็นเจ้าของไม่ใช่ชื่อในทะเบียน แต่คือความสามารถในการลงนามธุรกรรม ยอดคงเหลือบนกระดานเทรดคือใบรับสภาพหนี้ (IOU) นั่นคือรายการในฐานข้อมูลที่บันทึกว่าบริษัทเป็นหนี้เหรียญที่ถือไว้ — หรือควรจะถือไว้ — แทนคุณ ตัวบล็อกเชนเองไม่มีบันทึกว่าคุณมีตัวตนอยู่ เมื่อคุณกด “ถอนเงิน” คุณไม่ได้กำลังย้ายเหรียญของคุณ แต่กำลังขอให้บริษัทส่งเหรียญบางส่วนของบริษัทมาให้คุณ ซึ่งบริษัทก็ปฏิเสธได้

Self-custody พลิกกลับสิ่งนี้ Self-custody หมายถึงการถือ private key ของสินทรัพย์ไว้ด้วยตัวคุณเอง เพื่อไม่ให้ความล้มเหลวของกระดานเทรด การอายัดการถอนเงิน หรือการฉ้อโกงใด ๆ มาแตะต้องมันได้ การแลกเปลี่ยนนี้ตรงไปตรงมา คือ กับผู้ดูแลคุณแบกรับความเสี่ยงคู่สัญญา และกับกุญแจของตัวเองคุณแบกรับความเสี่ยงด้านการดำเนินงาน — ความเสี่ยงที่จะทำกุญแจหาย เปิดเผยมัน หรือจัดการมันผิดพลาด “Not your keys, not your coins” ไม่ได้อ้างว่า self-custody เป็นเรื่องง่ายดายไร้ความพยายาม แต่อ้างว่าความเสี่ยงสองแบบนี้ต่างชนิดกัน และคุณควรเลือกอย่างตั้งใจ แทนที่จะตกไปอยู่กับแบบ custodial โดยปริยายเพียงเพราะแอปเทรดบังเอิญเป็นสิ่งแรกที่คุณติดตั้ง

เหตุผลอย่างซื่อตรงที่สนับสนุนผู้ดูแล

ข้อโต้แย้งนี้ในเวอร์ชันที่จริงจังต้องยอมรับในสิ่งที่ผู้ดูแลทำได้ดี หากคุณเทรดอย่างสม่ำเสมอ คุณจำเป็นต้องมี order book และคุณจะเก็บยอดคงเหลือไว้บนกระดานเทรด ช่องทางแลกเงิน fiat เข้าและออกแทบจะต้องดำเนินการผ่านบริษัทที่อยู่ภายใต้การกำกับดูแลโดยนิยาม สถาบันต่าง ๆ มักมีภาระหน้าที่ด้านการปฏิบัติตามกฎเกณฑ์ที่กำหนดให้ต้องใช้ผู้ดูแลที่มีคุณสมบัติ และผู้ถือครองบางคน — ด้วยอายุ สถานการณ์ หรือความชอบส่วนตัว — ก็ไม่ควรต้องรับผิดชอบ seed phrase อย่างแท้จริง

กฎเชิงปฏิบัติที่คนส่วนใหญ่ลงเอยด้วยคือการแบ่งแบบ “เงินหมุนกับห้องนิรภัย” นั่นคือ เก็บไว้บนกระดานเทรดเฉพาะส่วนที่คุณกำลังเทรดอยู่จริง เหมือนร้านค้าที่เก็บเงินทอนจำนวนเล็กน้อยไว้ในลิ้นชัก และถือครองสถานะระยะยาวไว้ในที่ที่ความล้มเหลวของบริษัทเอื้อมไม่ถึง ลูกค้าของ FTX ไม่ได้ผิดที่ใช้กระดานเทรด หลายคนเพียงแค่ใช้สถานที่ซื้อขายเป็นบัญชีออมทรัพย์โดยไม่เคยตัดสินใจเช่นนั้นอย่างมีสติเลย

self-custody เรียกร้องอะไรจากคุณจริง ๆ

การถือกุญแจของตัวเองหมายถึงการยอมรับว่าตอนนี้คุณคือฝ่ายรักษาความปลอดภัยเสียเอง การสูญเสียในแบบ self-custody ส่วนใหญ่ไม่ได้เกี่ยวข้องกับผู้โจมตีที่ซับซ้อนแยบยลเลย แต่เป็นการสำรองข้อมูลที่ไม่เคยมีอยู่จริง seed phrase ที่ถูกถ่ายรูปและซิงก์ขึ้นบัญชีคลาวด์ กระดาษจดบันทึกที่หายไปตอนย้ายบ้าน หรือทรัพย์สินที่ไม่มีใครในครอบครัวหาเจอหลังเกิดอุบัติเหตุ seed phrase เพียงชุดเดียวคือจุดล้มเหลวเพียงจุดเดียว — คำร้อยเรียงชุดเดียวที่ผู้โจมตี ไฟไหม้ หรือแม้แต่ความหลงลืมธรรมดาสามารถพรากไปจากคุณได้ — และเราเคยเขียนไว้ก่อนหน้านี้ถึงเหตุผลที่จุดล้มเหลวเพียงจุดเดียวนี้คือจุดอ่อนที่แท้จริงของการตั้งค่า self-custody ส่วนใหญ่

มันยังหมายถึงการตัดสินใจอย่างมีสติว่าคุณจะไว้วางใจอะไร กระแสต่อต้านบริการ Recover ของ Ledger เมื่อต้นปีนี้แสดงให้เห็นว่าแม้แต่ผลิตภัณฑ์ self-custody โดยเฉพาะก็ยังสร้างความประหลาดใจให้ผู้ใช้ได้ว่าผู้ผลิตทำอะไรได้บ้างในทางเทคนิค บทเรียนที่เราได้จากเหตุการณ์นั้นคือการเลือกการออกแบบที่คุณตรวจสอบได้ มากกว่าชื่อเสียงที่คุณต้องเชื่อใจ กุญแจควรเป็นไปตามมาตรฐานเปิด การกู้คืนไม่ควรขึ้นอยู่กับการที่บริษัทใดบริษัทหนึ่งยังคงดำเนินกิจการอยู่ และตรรกะสำคัญควรตรวจสอบได้

MultiSig: self-custody ที่ไม่มีจุดล้มเหลวเพียงจุดเดียว

คำตอบที่หนักแน่นที่สุดต่อความเสี่ยงด้านการดำเนินงานของ self-custody คือการกำจัดจุดล้มเหลวเพียงจุดเดียวออกไปให้หมด กระเป๋าแบบมัลติซิกกำหนดให้ต้องมีลายเซ็นจากกุญแจอิสระหลายดอก — เช่น สองในสาม — ก่อนที่เงินจะเคลื่อนย้ายได้ กุญแจหายไปหนึ่งดอกเป็นเพียงความไม่สะดวก ไม่ใช่หายนะ เพราะกุญแจที่เหลือยังใช้จ่ายได้ กุญแจถูกขโมยไปหนึ่งดอกเป็นการโจมตีที่ล้มเหลว ไม่ใช่การโจรกรรม เพราะโจรไม่สามารถไปถึง threshold ได้ด้วยกุญแจดอกเดียว

นี่คือโมเดลที่ MultiSig ของ Ownbit ใช้งานมาตั้งแต่ปี 2017 ผู้ร่วมทุกคนในมัลติซิกของ Ownbit ถือ seed phrase มาตรฐาน BIP39 สัญญามัลติซิกเป็นโอเพนซอร์ส และเซิร์ฟเวอร์ของ Ownbit ทำหน้าที่ประสานการลงนามโดยไม่เคยถือกุญแจเลย — การกู้คืนยังคงทำได้โดยไม่ต้องพึ่ง Ownbit เลย ด้วยคู่มือการกู้คืนด้วยตนเองที่เผยแพร่ไว้ สำหรับชั้น cold storage นั้น โทรศัพท์สำรองสามารถทำหน้าที่เป็น air-gapped signer ได้ โดยมันอยู่แบบออฟไลน์อย่างถาวร รับธุรกรรมที่ยังไม่ได้ลงนามในรูปแบบ QR code และส่งลายเซ็นกลับด้วยวิธีเดียวกัน ดังนั้นจึงไม่มีกุญแจดอกใดแตะต้องอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตเลย

สัปดาห์แรกของ self-custody อย่างเป็นรูปธรรม

หากวาระครบรอบนี้เป็นแรงกระตุ้นให้คุณลงมือทำ สัปดาห์แรกที่ทำอย่างตั้งใจจะมีหน้าตาแบบนี้:

1. เริ่มด้วยการทดสอบ สร้างกระเป๋าขึ้นมา จด seed phrase ลงบนกระดาษ — อย่าเก็บไว้ในภาพหน้าจอหรือโน้ตบนคลาวด์เด็ดขาด — แล้วถอนเงินจำนวนเล็กน้อยจากกระดานเทรดของคุณมายังกระเป๋านั้น ตรวจสอบให้แน่ใจว่าเงินมาถึง
2. ซ้อมการกู้คืน ลบกระเป๋าทดสอบทิ้งแล้วกู้คืนมันจากข้อมูลสำรองบนกระดาษ ก่อนที่เงินจริงจะขึ้นอยู่กับมัน ข้อมูลสำรองที่คุณไม่เคยทดสอบคือความหวัง ไม่ใช่ข้อมูลสำรอง
3. อัปเกรดเป็นมัลติซิกสำหรับจำนวนเงินที่มีนัยสำคัญ ตั้งค่ากระเป๋าแบบ 2-of-3 โดยวางกุญแจไว้บนอุปกรณ์ต่างเครื่องในสถานที่ต่างกัน เพื่อไม่ให้อุปกรณ์ สถานที่ หรือบุคคลใดเพียงหน่วยเดียวสามารถทำให้คุณล่มได้
4. ทิ้งไว้เฉพาะเงินหมุนสำหรับเทรดเท่านั้น อะไรก็ตามที่ยังคงอยู่บนกระดานเทรดควรเป็นจำนวนที่แม้สูญไปทั้งหมดคุณก็ยังยักไหล่ผ่านไปได้
5. เขียนบันทึกไว้ให้คนอื่น จดบันทึกว่ามีอะไรอยู่บ้างและจะกู้คืนอย่างไร เพื่อไม่ให้ทรัพย์สินของคุณตายไปพร้อมกับความทรงจำของคุณ

ไม่มีขั้นตอนใดในนี้ที่ยากในเชิงเทคนิค สิ่งที่มันต้องการคือการตัดสินใจที่ลูกค้าของ FTX ไม่เคยมีโอกาสได้ตัดสินใจทันเวลา นั่นคือ การเลือกในขณะที่ทุกอย่างยังสงบ ว่าใครกันแน่ที่ควบคุมเหรียญของคุณ

คำถามที่พบบ่อย