ผู้ใช้เฟซบุ๊กในนาม EarthDeFIRE ข้อมูลวิเคราะห์ ผ่านเพจ Bitcoin Thai Community ตั้งข้อสังเกตใหม่ต่อเส้นทางการเงินที่เชื่อมโยงกับเหตุโจมตีแพลตฟอร์มซื้อขายสินทรัพย์ดิจิทัล Bitkub โดยระบุว่า กระเป๋าเงินดิจิทัล (Wallet) ที่ถูกเชื่อมโยงกับผู้โจมตี อาจไม่ได้เป็น “กระเป๋าเก็บเงินที่ถูกขโมย” โดยตรง แต่มีลักษณะคล้ายศูนย์กลางรวบรวมและอำพรางเส้นทางการเงิน (Laundering Hub) ก่อนส่งต่อเข้าสู่ Tornado Cash
การวิเคราะห์ดังกล่าวมีจุดเริ่มต้นจากโพสต์ของ Alex Svanevik ผู้ก่อตั้งและประธานเจ้าหน้าที่บริหารของ Nansen บริษัทวิเคราะห์ข้อมูล On-chain ระดับโลก ที่เผยแพร่เมื่อวันที่ 24 กรกฎาคม 2569 หลังกรณี ก.ล.ต. กล่าวโทษ Bitkub และอดีตกรรมการบริษัท โดยระบุ Wallet หนึ่งที่อาจมีความเชื่อมโยงกับเหตุโจมตี Bitkub
EarthDeFIRE ระบุว่า ได้นำ Wallet ดังกล่าว (0x7a7e…c384) มาวิเคราะห์ข้อมูลธุรกรรมย้อนหลังระหว่างปี 2564-2566 พบว่า Wallet นี้รับเหรียญ USDT รวมประมาณ 89.88 ล้านดอลลาร์สหรัฐ ก่อนนำ 63.14 ล้าน USDT ไปแลกเป็น ETH ผ่านโปรโตคอล 1inch ได้ประมาณ 22,738 ETH
จากนั้น ETH จำนวน 22,620 เหรียญ หรือกว่า 99.5% ถูกทยอยฝากเข้าสู่ Tornado Cash ผ่านธุรกรรม 228 ครั้ง คิดเป็นมูลค่ารวมประมาณ 62.33 ล้านดอลลาร์สหรัฐ หรือเกือบ 2,000 ล้านบาท ตามราคา ETH ในช่วงเวลาที่มีการฝากเงิน
ด้วยพฤติกรรมดังกล่าว แพลตฟอร์มวิเคราะห์ข้อมูลบล็อกเชน Arkham Intelligence จึงติดป้าย Wallet นี้ว่าเป็น “Tornado Cash Depositor”
EarthDeFIRE ระบุว่า ประเด็นสำคัญอยู่ที่ไทม์ไลน์ของธุรกรรม เพราะ Wallet ดังกล่าวเพิ่งเริ่มมีธุรกรรมครั้งแรกเมื่อวันที่ 18 กรกฎาคม 2564 ซึ่งเกิดขึ้นหลังเหตุโจมตี Bitkub ในเดือนพฤษภาคม 2564 ประมาณ 2 เดือน
นอกจากนี้ ยังพบว่า USDT จากกระเป๋า Hot Wallet ของ Bitkub ไม่ได้ถูกโอนเข้ามาครั้งเดียว แต่ทยอยเข้ามาตั้งแต่เดือนกรกฎาคม 2564 ถึงเดือนสิงหาคม 2565 รวมประมาณ 15.65 ล้าน USDT ผ่านธุรกรรมกว่า 626 รายการ
ข้อมูล On-chain ระบุว่า เงินดังกล่าวมาจาก Bitkub Hot Wallet หลายกระเป๋า ได้แก่ Bitkub Hot Wallet 2, Hot Wallet 5 และ Hot Wallet 7
EarthDeFIRE ชี้ว่า การพบเงินไหลออกจาก Hot Wallet ของ Exchange ไปยัง Wallet ดังกล่าว ยืนยันได้เพียงว่า มีการถอน USDT จากแพลตฟอร์ม Bitkub ไปยัง Address นี้จริง แต่ยังไม่สามารถพิสูจน์ได้ว่า เงินดังกล่าวเป็นสินทรัพย์ที่ถูกขโมยจากเหตุโจมตีเดือนพฤษภาคม 2564 โดยตรง
ผู้วิเคราะห์ยังตั้งข้อสังเกตว่า หาก Bitkub ทราบตั้งแต่ปี 2564 ว่า Wallet นี้เป็นของผู้โจมตี เหตุใดจึงยังมีธุรกรรมถอนเงินไปยัง Address เดิมอย่างต่อเนื่องอีกหลายร้อยครั้งจนถึงปี 2565 อย่างไรก็ตาม ยังไม่มีหลักฐานยืนยันว่า Bitkub ทราบข้อมูลดังกล่าวในช่วงเวลานั้น หรือมีการระบุความเชื่อมโยงของ Address นี้โดย Nansen หรือ Arkham ตั้งแต่ช่วงเกิดธุรกรรมแล้ว
จากข้อมูลที่มี EarthDeFIRE เสนอความเป็นไปได้ 3 กรณี ได้แก่
- Wallet นี้อาจเป็นปลายทางของผู้โจมตี โดยสินทรัพย์ที่ถูกขโมยถูกแปลงหรือหมุนผ่านหลายระบบก่อนถอนเป็น USDT
- Wallet นี้อาจเป็นศูนย์กลางรวบรวมเงินจากหลายแหล่ง โดย Bitkub เป็นเพียงหนึ่งในหลาย Exchange ที่ถูกใช้ถอนเงินก่อนส่งเข้าสู่ Tornado Cash
- Wallet นี้อาจเกี่ยวข้องกับผู้โจมตี Bitkub แต่มีการนำเงินจากเหตุการณ์อื่นมาปะปนด้วย เนื่องจากเงินส่วนใหญ่ใน Wallet ไม่ได้มาจากกระเป๋าที่ถูกระบุว่าเป็นของ Bitkub โดยตรง
EarthDeFIRE สรุปว่า หลักฐานบนบล็อกเชนในปัจจุบันสามารถยืนยันได้ว่า Wallet ดังกล่าวมีพฤติกรรมรวบรวมเงิน แปลง USDT เป็น ETH และทยอยฝากเข้า Tornado Cash เพื่ออำพรางเส้นทางการเงินอย่างเป็นระบบ รวมทั้งได้รับเงินจาก Hot Wallet ของ Bitkub จริง
แต่ยังไม่มีหลักฐานเพียงพอที่จะยืนยันว่า เงินทั้งหมด หรือแม้แต่ 15.6 ล้าน USDT ที่มาจาก Bitkub เป็นทรัพย์สินจากเหตุโจมตีเมื่อเดือนพฤษภาคม 2564 โดยตรง เนื่องจากข้อมูลสำคัญที่ยังขาดคือข้อมูลบัญชีภายในของ Exchange เช่น ผู้สั่งถอน การทำ KYC แหล่งที่มาของเงิน และช่วงเวลาที่ Bitkub ทราบถึงความเชื่อมโยงของ Wallet ดังกล่าว
ผู้วิเคราะห์จึงเสนอว่า ในชั้นนี้ควรเรียก Address ดังกล่าวว่า “Wallet ที่ Nansen เชื่อมโยงกับผู้โจมตี Bitkub และมีพฤติกรรมฝากเงินเข้า Tornado Cash” มากกว่าจะระบุว่าเป็น “Wallet ที่พิสูจน์แล้วว่ารับเงินเกือบ 2 พันล้านบาทจากการแฮก Bitkub โดยตรง” เพราะทั้งสองข้อความมีนัยทางหลักฐานที่แตกต่างกันอย่างมีนัยสำคัญ
ทั้งนี้ EarthDeFIRE ระบุชัดเจนว่า การวิเคราะห์ทั้งหมดอ้างอิงจากข้อมูล On-chain ได้แก่ Etherscan, Arkham Intelligence, CoinMarketCap รวมถึงโพสต์ของ Alex Svanevik และประกาศของสำนักงาน ก.ล.ต. ส่วนข้อสรุปเชิงวิเคราะห์เป็นความเห็นจากการตีความข้อมูลบนบล็อกเชน ไม่ใช่ข้อยุติทางกฎหมาย
เมื่อวันที่ 23 กรกฎาคม 2569 สำนักงาน ก.ล.ต. ได้กล่าวโทษบริษัท บิทคับ ออนไลน์ จำกัด และอดีตกรรมการบริษัทต่อกองบังคับการปราบปรามการกระทำความผิดเกี่ยวกับอาชญากรรมทางเศรษฐกิจ (บก.ปอศ.) ในข้อหาเกี่ยวกับการแจ้งข้อความอันเป็นเท็จและการลงข้อความอันเป็นเท็จในเอกสารของนิติบุคคล โดยคดีดังกล่าวยังอยู่ระหว่างกระบวนการสอบสวนและยังไม่มีคำพิพากษาถึงที่สุด
ขอบคุณข้อมูลและการวิเคราะห์จาก #EarthDeFIRE ข้อมูลวิเคราะห์ ผ่านเพจ #Bitcoin Thai Community
