ผู้เขียน: Chloe, ChainCatcher
เหตุการณ์ที่ดึงดูดความสนใจของตลาดและมีการเดิมพันสะสมหลายล้านดอลลาร์สหรัฐบน Polymarket ว่า “ZachXBT จะเปิดโปงบริษัท Crypto ใดที่กระทำธุรกรรมภายใน?” ได้สิ้นสุดลงแล้ว เมื่อวันที่ 26 กุมภาพันธ์ นักสืบบนบล็อกเชน ZachXBT ได้เผยแพร่รายงานการสอบสวนอย่างเป็นทางการ โดยชี้เป้าไปที่แพลตฟอร์มการแลกเปลี่ยน DeFi ชื่อ Axiom Exchange
รายงานระบุว่าพนักงานระดับสูงของแพลตฟอร์มถูกกล่าวหาว่าใช้อำนาจการจัดการภายในอย่างไม่เหมาะสม โดยเข้าถึงข้อมูลกระเป๋าเงินส่วนตัวของผู้ใช้เป็นเวลานานอย่างผิดกฎหมาย และแปลงข้อมูลที่ละเอียดอ่อนเหล่านี้เป็นเครื่องมือสำหรับการซื้อขายภายใน บทความนี้จะวิเคราะห์หลักฐานที่ ZachXBT เปิดเผยอย่างลึกซึ้ง เมื่อ “ความโปร่งใสบนโซ่” ถูก “การจัดการแบบกล่องดำนอกโซ่” ยึดครอง
ZachXBT เปิดโปงกรณีการซื้อขายภายในของ Axiom Exchange
Axiom Exchange ถูกสร้างขึ้นโดยผู้ก่อตั้ง Mist และ Cal และได้รับเลือกเข้าร่วม Y Combinator Winter Batch (W25) ในต้นปี 2025 แพลตฟอร์มนี้สามารถสร้างรายได้สะสมเกิน 390 ล้านดอลลาร์สหรัฐในเวลาเพียงหนึ่งปี อย่างไรก็ตาม หลังจากตัวเลขทางการเงินที่น่าทึ่งนี้ มีพนักงานพัฒนาธุรกิจผู้มีประสบการณ์ชื่อ Broox Bauer ที่กำลังเปลี่ยนเครื่องมือพื้นหลังของ Axiom ให้เป็นสนามล่าส่วนตัว
ตามการสอบสวนของ ZachXBT Broox Bauer ไม่ได้ทำงานคนเดียว เขาได้สร้างกระบวนการที่มีระบบในการแปลงข้อมูลเป็นรายได้ โดยแกนหลักของกระบวนการคือแดชบอร์ดการควบคุมภายในของ Axiom ซึ่ง Broox สามารถค้นหาข้อมูลส่วนตัวของผู้ใช้ใดๆ ได้ตามต้องการผ่านรหัสโปรโมชั่น ที่อยู่กระเป๋าเงิน หรือ UID Broox ระบุในบันทึกเสียงว่าเขาสามารถ “ค้นหาข้อมูลใดๆ ก็ตามเกี่ยวกับบุคคลนั้น” และการดำเนินการของเขายังมีความระมัดระวังสูงต่อการถูกตรวจจับ:
เริ่มต้นด้วยการค้นหาเพียง 10 ถึง 20 กระเป๋าเงิน เพื่อหลีกเลี่ยงการกระตุ้นการแจ้งเตือนผิดปกติของระบบ
เป้าหมายที่ถูกล็อกไม่ได้ถูกเลือกแบบสุ่ม เช่น KOL ชื่อ Marcell ที่มีประวัติการซื้อ迷因币จำนวนมากผ่านกระเป๋าเงินส่วนตัว และกำลังโปรโมตให้ผู้ติดตามทำการถอนสภาพคล่อง จึงถูกจับตามองอย่างใกล้ชิด กระเป๋าเงินส่วนตัวของผู้ซื้อขายประเภทนี้มักไม่เปิดเผยต่อสาธารณะ และมีการใช้ซ้ำที่อยู่น้อย ทำให้ข้อมูลเหล่านี้มีมูลค่าในการทำกำไรจากความไม่สมดุลสูงมาก
จัดตั้งองค์กรและกฎเกณฑ์ เช่น พนักงาน Axiom อีกคนหนึ่งชื่อ Ryan (Ryucio) ช่วยค้นหาข้อมูลผู้ใช้ ว่าจ้าง Gowno เป็นผู้ดูแลฟอรั่ม และรวบรวมกระเป๋าเงินส่วนตัวเหล่านี้ลงใน Google Sheets เพื่อติดตาม
การละเมิดเหล่านี้ดำเนินมาเกินกว่าสิบเดือน (เริ่มต้นเมื่อเดือนเมษายน 2025) และหลักฐานรวมถึงหน้าจอการจัดการระบบของเหยื่อ เช่น “Jerry” และ “Monix” ข้อมูลเหล่านี้ยังก่อให้เกิดคำถามว่า ทำไมพนักงานพัฒนาธุรกิจจึงมีสิทธิ์เข้าถึงข้ามหน้าที่? การตรวจสอบและเตือนภัย รวมถึงการแยกสิทธิ์ที่ควรจะมี กลับไม่ได้ทำงานอย่างที่ควร
Axiom ตอบอย่างเป็นทางการ แต่ยังคงไม่สามารถปกปิดความล้มเหลวเชิงโครงสร้างที่อยู่เบื้องหลังได้
หลังจากที่รายงานของ ZachXBT ถูกเผยแพร่ ทีมงาน Axiom ได้ดำเนินการตามขั้นตอนการจัดการวิกฤตด้านสาธารณสัมพันธ์มาตรฐาน: ออกแถลงการณ์แสดงความ “ตกใจและผิดหวัง” ถอดสิทธิ์ และเริ่มการสอบสวน อย่างไรก็ตาม สิ่งนี้ยังไม่สามารถปกปิดความล้มเหลวเชิงโครงสร้างที่อยู่เบื้องหลัง เหตุการณ์ดังกล่าวเปิดเผยถึงความไม่สามารถควบคุมสิทธิ์ของแพลตฟอร์ม ไม่ใช่เพียงพฤติกรรมส่วนตัวของพนักงานเพียงคนเดียว
บันทึกการตรวจสอบที่ขาดหาย
ในระบบการเงินแบบดั้งเดิมหรือบริษัทเทคโนโลยี Web2 ที่มีความเป็นผู้นำ การเข้าถึงข้อมูลที่ละเอียดอ่อนของผู้ใช้ใดๆ จะต้องมีการบันทึกประวัติการใช้งาน หากพนักงานพัฒนาธุรกิจสามารถสอบถามที่อยู่กระเป๋าเงินนับร้อยแห่งที่ไม่เกี่ยวข้องกับธุรกิจของตน ระบบควรแจ้งเตือนทันที Axiom ที่มีช่องว่างด้านการกำกับดูแลเป็นเวลาสิบเดือน บ่งชี้ว่าระบบภายในของพวกเขาอาจไม่มี “กลไกตรวจจับพฤติกรรมผิดปกติ” เลย หรือแม้แต่การบันทึก “บันทึกการดำเนินการ” ก็อาจไม่มีอยู่จริง
2. ขอบเขตของผู้ได้รับผลกระทบยังไม่ชัดเจน
คำแถลงของ Axiom ไม่ได้ระบุขนาดของผู้ใช้ที่ได้รับผลกระทบ ซึ่งก่อให้เกิดความกังวลลึกซึ้งยิ่งขึ้น: หาก Broox Bauer สามารถเข้าถึงข้อมูลได้ แล้วพนักงานคนอื่นๆ ล่ะ? รายงานระบุว่าผู้ดูแลระบบ Gowno และพนักงานพัฒนาธุรกิจอีกคนชื่อ Ryan เป็นผู้ร่วมกระทำผิด ซึ่งบ่งชี้ว่าการละเมิดสิทธิ์นี้อาจเกิดขึ้นได้ง่าย เมื่อโครงสร้างการกำกับดูแลขององค์กรอิงอยู่บน “ความเชื่อถือ” แทนที่จะเป็น “ระบบ” ต้นทุนขอบเขตของการทุจริตภายในจึงต่ำมาก
สิทธิ์ดูเหมือนไม่มีผล? หลุมดำด้านการจัดการข้อมูลของสตาร์ทอัพ Web3
พิจารณาอย่างลึกซึ้งถึงแก่นของเรื่องอื้อฉาวนี้ ข้อมูลที่ ZachXBT รายงานว่าสามารถเข้าถึงได้จากด้านหลังนั้นน่าตกใจ: รายการกระเป๋าเงินของผู้ใช้ทั้งหมด กระเป๋าเงินที่ผู้ใช้กำลังติดตาม ประวัติการทำธุรกรรมทั้งหมด ชื่อที่ผู้ใช้ตั้งเองสำหรับกระเป๋าเงิน และบัญชีที่เกี่ยวข้อง รายการนี้ครอบคลุมไม่เพียงแค่ข้อมูลการทำธุรกรรม แต่ยังสามารถสร้างภาพรวมของรูปแบบพฤติกรรมบนบล็อกเชนของผู้ใช้ได้อย่างสมบูรณ์
ในสถาบันการเงินแบบดั้งเดิม การเข้าถึงข้อมูลประเภทนี้ถูกจำกัดโดยหลักการ “ข้อมูลขั้นต่ำที่จำเป็น” อย่างเข้มงวด พนักงานทุกคนจะไม่สามารถเข้าถึงข้อมูลที่เป็นความลับของลูกค้าได้ หากไม่มีความจำเป็นทางธุรกิจที่ชัดเจน; การเข้าถึงทุกครั้งต้องมีบันทึกการดำเนินการที่สามารถตรวจสอบได้ และจะได้รับการสุ่มตรวจสอบเป็นระยะโดยแผนกปฏิบัติตามกฎระเบียบ กลไกนี้ถูกออกแบบมาด้วยตรรกะที่เรียบง่าย: มันไม่ได้อิงกับระดับศีลธรรมส่วนบุคคลของพนักงาน แต่ใช้ข้อจำกัดทั้งทางเทคโนโลยีและระบบเพื่อลดพื้นที่ความเสียหายก่อนที่ปัญหาจะเกิดขึ้น
ระบบหลังบ้านของ Axiom ชัดเจนว่ายังไม่ถึงมาตรฐานนี้ ยิ่งไปกว่านั้น ปัญหาเช่นนี้ไม่ใช่เรื่องแปลกในสตาร์ทอัพ Web3 ทีมที่เติบโตอย่างรวดเร็วมักจัดสรรทรัพยากรด้านวิศวกรรมไปกับการพัฒนาผลิตภัณฑ์อย่างต่อเนื่อง ขณะที่การสร้างโครงสร้างพื้นฐานด้านการปฏิบัติตามกฎระเบียบและการจัดการข้อมูลถูกเลื่อนออกไป หรือแม้แต่ถูกมองว่าเป็นเรื่องที่สามารถ “ขึ้นเหรียญก่อนแล้วค่อยจัดการ” อย่างไรก็ตาม เมื่อแพลตฟอร์มเติบโตไปถึงขนาดของ Axiom ความละเอียดอ่อนของข้อมูลที่เครื่องมือหลังบ้านสามารถเข้าถึงได้นั้นได้เกินขั้นตอนเริ่มต้นไปมากแล้ว แต่กลไกการป้องกันยังคงอยู่ในระดับเดียวกับช่วงสตาร์ทอัพ
กรณีนี้ยังเปิดเผยถึงความขัดแย้งที่แปลกประหลาดเฉพาะของ Web3: ความโปร่งใสบนบล็อกเชน ไม่ได้หมายถึงความโปร่งใสนอกบล็อกเชน บล็อกเชนให้ความโปร่งใสแบบ “แบบแอบอ้างตัวตน” ที่ทุกคนสามารถเห็นการไหลเวียนของที่อยู่ แต่ยากที่จะเข้าใจตัวตนที่แท้จริงเบื้องหลัง อย่างไรก็ตาม ความเสี่ยงที่แท้จริงเกิดขึ้นในขณะที่ผู้ใช้สมัครสมาชิก ผูกพันกระเป๋าเงิน และตั้งชื่อหมายเหตุ: พวกเขาส่งมอบความสัมพันธ์ที่สำคัญที่สุด — “เจ้าของที่อยู่นี้คือฉัน” — ให้กับฐานข้อมูลแบบศูนย์กลางของแพลตฟอร์ม
หลังจากนั้น ความเป็นอนันตนามค่อยๆ เปลี่ยนเป็นภาพหลอน เมื่อตัวตนนี้ถูกเชื่อมโยงกับข้อมูลเพิ่มเติม ถูกติดป้ายกำกับมากขึ้น หรือแม้แต่ถูกใช้ในทางที่ผิด ความโปร่งใสบนโซ่ก็ไม่ได้ปกป้องผู้ใช้อีกต่อไป แต่กลับกลายเป็นเครื่องมือที่แม่นยำที่สุดของผู้กระทำผิด
การกระจายศูนย์ในระดับโปรโตคอล ไม่เคยเท่ากับบริษัท
ความโกลาหลของ Axiom ไม่ได้เป็นเพียงการละเมิดจริยธรรมส่วนบุคคลของพนักงานไม่กี่คน แต่เหมือนกระจกสะท้อนความขัดแย้งสำคัญที่อุตสาหกรรม Web3 หลีกเลี่ยงมานานภายใต้เรื่องเล่าของ “การกระจายอำนาจ”: การกระจายอำนาจในระดับโปรโตคอล ไม่เคยเท่ากับการกระจายอำนาจในระดับการดำเนินงานของบริษัท
เมื่อแกนหลักของแพลตฟอร์มยังคงพึ่งพาระบบแบ็กเอนด์แบบศูนย์กลาง บริการลูกค้าแบบมนุษย์ และการตัดสินใจของพนักงาน ป้ายกำกับ “DeFi” หรือ “Web3” ก็เหมือนเป็นเพียงการตกแต่งด้านหน้า ผู้ใช้เชื่อในความไม่สามารถเปลี่ยนแปลงได้ของสัญญาอัจฉริยะ แต่ลืมไปว่าในขณะที่พวกเขากำลังป้อนข้อมูลส่วนบุคคลและผูกกระเป๋าเงิน พวกเขาได้ส่งข้อมูลที่สำคัญที่สุดไปยังองค์กรที่ศูนย์กลางอย่างสมบูรณ์
ความเชื่อมั่นไม่เคยฟรี ในที่ที่ระบบยังไม่สุกงอม ผู้ที่ต้องรับต้นทุนของความเชื่อมั่น จะเป็นฝ่ายที่มีข้อมูลไม่สมดุลที่สุดเสมอ