กฎหมาย CLARITY ในอนาคตจะสกัดเงินที่ถูกขโมยได้หรือไม่?

TL;DR
· ส.ว. พรรครีพับลิกัน Lummis กล่าวว่า โครงการนำร่องแบ่งปันข่าวกรองภายใต้กฎหมาย CLARITY น่าจะสกัดเงิน 6.3 พันล้านดอลลาร์ที่ถูกขโมยเมื่อวันที่ 29 ต.ค. ได้ แต่กฎหมายดังกล่าวไม่ผ่านวุฒิสภาเมื่อเดือน ก.ย.
· สิ่งที่อายัดเงินได้จริงประมาณ 3 พันล้านดอลลาร์คือบัญชีดำของผู้ออกเหรียญเสถียร (Stablecoin) อย่าง Tether และ Circle ส่วน Bitcoin และ Ethereum ไม่มีสวิตช์แบบนั้น
· สินทรัพย์ที่เกี่ยวข้อง: BNB, BTC, ETH, USDT/USDC, หุ้นสหรัฐฯ Coinbase (COIN), Robinhood (HOOD)

เมื่อวันที่ 1 พ.ย. ส.ว. พรรครีพับลิกันจากรัฐไวโอมิง Cynthia Lummis โพสต์บน X ว่า หลังคริปโตมูลค่าประมาณ 6.3 พันล้านดอลลาร์ถูกขโมยเมื่อวันที่ 29 ต.ค. เงินถูกโอนข้ามเชนภายในไม่กี่นาที โครงการนำร่องแบ่งปันข่าวกรองระหว่างธุรกิจคริปโตกับหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลางที่ออกแบบไว้ในกฎหมาย CLARITY น่าจะทำให้เงินที่ถูกขโมยหยุดเคลื่อนไหวได้

คำกล่าวนี้ถูกโต้แย้งโดย Amanda Fischer ประธานเจ้าหน้าที่ฝ่ายปฏิบัติการของ Better Markets เธอเคยเป็นหัวหน้าคณะทำงานของ ก.ล.ต. สหรัฐฯ ข้อสรุปหลักของเธอคือ CLARITY ช่วยแฮกเกอร์ครั้งนี้ไม่ได้ แต่กลับจะทำให้ช่องว่างการกำกับดูแลการเงินแบบกระจายศูนย์ (DeFi) และเครื่องผสมเหรียญกลายเป็นเรื่องถาวร และแพลตฟอร์มซื้อขายแบบรับฝากทรัพย์สินเองก็เป็นกับดักน้ำผึ้ง

ตัวกฎหมายไม่ได้กลายเป็นกฎหมาย เมื่อวันที่ 15 ก.ย. วุฒิสภาลงมติ 49 ต่อ 50 ไม่ผ่านญัตติให้พิจารณาต่อ โดยมีรีพับลิกัน 4 คนลงคะแนนคัดค้าน และเดโมแครตไม่เห็นชอบแม้แต่คนเดียว ในทางรูปแบบยังไม่ตาย แต่ในทางปฏิบัติหยุดชะงักไปแล้วในรอบสภานิติบัญญัตินี้

ไทม์ไลน์แน่นมาก ถูกขโมยวันที่ 29 ต.ค. FBI ระบุตัวผู้กระทำวันที่ 31 ต.ค. ผู้ร่างกฎหมายโพสต์วันที่ 1 พ.ย. และเลือกตั้งกลางเทอมวันที่ 3 พ.ย. การโจรกรรมคริปโตครั้งใหญ่ที่ไม่ค่อยเกิดขึ้น ถูกยัดเข้าไปใน 48 ชั่วโมงสุดท้ายของหน้าต่างนิติบัญญัติ

จะตัดสินว่าคำกล่าวของ Lummis เป็นจริงหรือไม่ ต้องแยกสองเรื่องออกจากกันก่อน กระเป๋าเงินร้อน (Hot wallet) คือกองเงินที่แพลตฟอร์มซื้อขายเชื่อมต่อออนไลน์ไว้เพื่อเบิกถอนได้ตลอดเวลา สิ่งที่ถูกเจาะคือเส้นทางลายเซ็นของแพลตฟอร์ม ไม่ใช่โปรโตคอล Bitcoin

การอายัดโดยผู้ออกเหรียญก็เหมือนธนาคารขึ้นบัญชีดำบัญชี ผู้ออก USDT และ USDC ล็อกที่อยู่ได้ แต่ Bitcoin และ Ethereum ไม่มีสวิตช์แบบนั้น คำถามจึงกลายเป็นว่า การโจรกรรมครั้งนี้พิสูจน์ว่าขาดกฎหมาย หรือขาดปุ่มอายัดกันแน่

ภายใน 20 นาที เงิน 6.3 พันล้านดอลลาร์ไหลออกจากประมาณ 10 เชน

เมื่อวันที่ 29 ต.ค. เวลา 20:05 UTC ผู้โจมตีถอนสินทรัพย์ออกจากกระเป๋าเงินร้อนของ Binance เป็นชุด ๆ ครอบคลุมประมาณ 10 เชน การย้ายหลักเสร็จภายใน 20 นาที ในจำนวนนี้เป็น ETH ประมาณ 3.79 พันล้านดอลลาร์ และ BTC ประมาณ 1.47 พันล้านดอลลาร์ องค์กรวิเคราะห์ออนเชน Elliptic และ TRM ประเมินขนาดไว้ที่ 6.3 ถึง 6.36 พันล้านดอลลาร์

วันที่ 31 ต.ค. FBI พร้อมด้วย Secret Service และหน่วยสืบสวนคดีอาญาของสรรพากรสหรัฐฯ ออกแถลงการณ์ร่วม ระบุว่าการโจรกรรมเป็นฝีมือเกาหลีเหนือ ปฏิบัติการชื่อ TraderTraitor อยู่ในเครือข่าย Lazarus แถลงการณ์ระบุว่าผู้โจมตีกำลังแปลงเงินที่ขโมยส่วนใหญ่เป็น ETH เพื่อเตรียมนำออกนอกประเทศผ่าน DeFi และการแลกเปลี่ยนทันที พร้อมเผยแพร่รายการที่อยู่และขอให้ภาคเอกชนสกัดกั้นเชิงรุก

ถ้อยคำในแถลงการณ์นี้น่าสังเกต มันขอให้ "สกัดกั้น" ไม่ใช่ "อายัด" สำหรับเหรียญดั้งเดิมที่ไม่มีผู้ออก หน่วยงานบังคับใช้กฎหมายให้ได้แค่รายชื่อเท่านั้น

กฎหมายถูกโยงเข้ากับคดีโจรกรรมอีกครั้งก่อนวันเลือกตั้ง

Lummis โพสต์ข้อความตรงไปตรงมากว่านั้นเมื่อวันที่ 30 ต.ค. ว่าหน่วยงานบังคับใช้กฎหมายโทรศัพท์ครั้งเดียวก็อายัดได้ตามกฎหมาย ไม่ต้องรอศาล ข้อความที่แพร่หลายกว่าคืออันนี้

คำโต้แย้งของ Fischer พุ่งเป้าไปที่ช่องว่างนี้พอดี เธอเชื่อว่า CLARITY ช่วยแฮกเกอร์ครั้งนี้ไม่ได้ แต่กลับจะทำให้ช่องว่างการกำกับดูแล DeFi และเครื่องผสมเหรียญกลายเป็นเรื่องถาวร และแพลตฟอร์มซื้อขายแบบรับฝากทรัพย์สินเองก็เป็นกับดักน้ำผึ้ง ตามการคำนวณของเธอ สินทรัพย์ประมาณครึ่งหนึ่งถูกอายัด และอย่างน้อย 2.4 พันล้านดอลลาร์ไหลออกไปแล้ว

ปฏิกิริยาของตลาดให้ภาพเปรียบเทียบอีกแบบ วันที่ 30 ต.ค. Coinbase และ MicroStrategy ร่วงประมาณ 12% Robinhood ร่วงประมาณ 9% BTC แตะ 76,000 ดอลลาร์ช่วงหนึ่งก่อนกลับมาอยู่แถว 78,000 ดอลลาร์ ฝ่ายขายของวอลล์สตรีทก็รีบบอกให้ซื้อตอนย่อทันที ราคาหุ้นสะท้อนเหตุการณ์ความปลอดภัยของแพลตฟอร์มซื้อขายและส่วนชดเชยความเสี่ยง ไม่ได้ถูกมองว่าระบบ Bitcoin หรือดอลลาร์ล้มเหลว

3 พันล้านดอลลาร์ถูกอายัดไว้ในมือผู้ออกเหรียญ

การอายัดเกิดขึ้นจริง และเกิดขึ้นนอกตัวกฎหมาย Tether อายัดกว่า 1.5 พันล้านดอลลาร์ Circle ประมาณ 800 ล้านดอลลาร์ Ripple ประมาณ 200 ล้านดอลลาร์ รวมกับผู้ออกเหรียญรายอื่น ๆ แล้วประมาณ 3 พันล้านดอลลาร์

สิ่งที่ถูกล็อกส่วนใหญ่เป็นเงินในรูปเหรียญเสถียร ส่วนที่เหลือเป็น BTC และ ETH เป็นหลัก ซึ่งไม่มีผู้ออก จึงไม่มีปุ่มให้ขึ้นบัญชีดำ

สะพานข้ามเชนให้หน้าต่างเวลาสั้นกว่าการเปิดคดีเสียอีก ผู้โจมตีข้ามเชนและแลกเปลี่ยนเสร็จก่อนที่หน่วยงานบังคับใช้กฎหมายจะออกคำขอความร่วมมือ พอรายชื่อถูกเผยแพร่ สิ่งที่ล็อกได้ก็เหลือแค่ส่วนที่ยังอยู่ในเหรียญเสถียร รัศมีการอายัดเท่ากับขอบเขตการควบคุมของผู้ออกเหรียญ ไม่เท่ากับรัศมีของบันทึกข่าวกรอง

การครอบคลุมกับการกู้คืนเป็นคนละเรื่อง Binance ใช้เงินของบริษัทเองชดเชยสินทรัพย์ที่ได้รับผลกระทบประมาณ 90% ถึง 95% และทยอยเปิดถอนเงินอีกครั้งในวันที่ 1 พ.ย. วันแรกที่เปิดถอนมีเงินไหลออกสุทธิจำนวนมาก ลูกค้าได้เงินคืนเพราะงบดุลของแพลตฟอร์มซื้อขาย ไม่ใช่เพราะเงินที่ขโมยถูกกู้คืน

ข้อถกเถียงเรื่องตัวบทก็อยู่ตรงนี้ Patrick Wilson ที่ปรึกษากฎหมายทั่วไปของ Solana Policy Institute โต้แย้งว่า Fischer อ่านข้อกำหนดผิด ร่างกฎหมายมีเขตปลอดภัย (safe harbor) คุ้มครองผู้ออกเหรียญอย่างชัดเจนสำหรับการอายัดชั่วคราวโดยสมัครใจบนพื้นฐานความเชื่อที่สมเหตุสมผลว่ามีการกระทำผิด โดยไม่ต้องมีคำสั่งศาล

โครงการนำร่องลดเวลาตอบสนองได้ แต่เปลี่ยนรัศมีการอายัดไม่ได้

ร่างทางเลือกของวุฒิสภาเมื่อเดือน ก.ย. แยกสองเรื่องออกจากกัน มาตรา 10203 เป็นโครงการนำร่องแบ่งปันข่าวกรองโดยสมัครใจภายใต้กระทรวงการคลัง ให้ธุรกิจที่มีคุณสมบัติติดต่อโดยตรงกับหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลาง มาตรา 10305 เป็นเขตปลอดภัยจากการฟ้องร้องทางแพ่งสำหรับการอายัดชั่วคราวโดยสุจริต คำขอบังคับใช้กฎหมายต้องเป็นลายลักษณ์อักษร ระบุกระเป๋าเงิน ที่อยู่ บัญชี หรือธุรกรรมที่เฉพาะเจาะจง และไม่บังคับให้ธุรกิจทำเกินกว่าหน้าที่อายัดตามกฎหมายปัจจุบัน

สองมาตรานี้รวมกันเป็น "แบ่งปันข่าวกรองแล้วอายัดได้" ไม่ได้ โครงการนำร่องเพิ่มความเร็วในการระบุตัวผู้กระทำและมาตรฐานของคำขอ ส่วนเขตปลอดภัยลดความลังเลของธุรกิจที่กลัวถูกฟ้อง ทั้งสองอย่างไม่เปลี่ยนข้อจำกัดทางกายภาพของการถอนเงินในชั่วโมงแรก และไม่มีอำนาจบังคับต่อสะพานข้ามเชนหรือโปรโตคอลแบบไม่รับฝากทรัพย์สิน

ยังมีอีกหลายจุดที่ยังไม่ชัดเจน โครงการนำร่องเป็นแบบสมัครใจหรือบังคับ ครอบคลุมบริษัทไหนบ้าง หน่วยงานในสหรัฐฯ ของ Binance อยู่ในรายชื่อหรือไม่ยังเป็นที่ถกเถียง และมีกำหนดเวลาตอบสนองหรือไม่ สามจุดนี้กำหนดว่าการประสานงานจะลดหน้าต่างเวลาข้ามเชนได้มากแค่ไหน

ตัวเลขก็ต้องอธิบายให้ชัด 6.3 พันล้านคือมูลค่าประเมิน ณ เวลาที่ถูกขโมย 3 พันล้านคือยอดอายัดที่ดำเนินการแล้ว 90% ถึง 95% คือสัดส่วนที่แพลตฟอร์มซื้อขายชดเชยสินทรัพย์ให้ลูกค้า สามตัวนี้เอามาลบกันตรง ๆ เพื่อหาว่าแฮกเกอร์ยังถืออยู่เท่าไรไม่ได้

ถ้ากฎหมายจะเข้าสู่การลงมติอีกครั้ง ต้องตอบสามคำถามก่อนว่าโครงการนำร่องบังคับหรือไม่ ครอบคลุมใคร และตอบสนองภายในกี่นาที ก่อนหน้านั้น การโจรกรรมครั้งต่อไปจะอายัดได้เท่าไร ยังขึ้นอยู่กับรัศมีบัญชีดำของผู้ออกเหรียญ ไม่ใช่ว่าบทบัญญัติข่าวกรองของสภาเขียนได้เร็วแค่ไหน