ขโมยไม่ได้เป็นเจ้าของสิ่งที่ขโมยมา: บทเรียนราคาแพงจากคดี Aave ที่สาย DeFi ต้องระวัง

ถ้าคุณเคยใช้ lending protocol คุณคงคิดว่าตราบใดที่ถือ private keys ไว้ สินทรัพย์นั้นก็เป็นของคุณ แต่ตอนนี้มีคดีความระดับโลกที่เกี่ยวข้องกับ Aave และเหยื่อจากการก่อการร้ายของเกาหลีเหนือที่กำลังท้าทายความเชื่อนั้นอยู่ ประเด็นหลักคือเงินที่ถูกแฮ็กและกู้คืนมาได้ควรจะเป็นของเจ้าของเดิม หรือศาลสามารถสั่งยึดเพื่อชดเชยค่าเสียหายจากคดีอื่นได้ เรื่องนี้ทำให้ผมอดคิดไม่ได้ว่า ศาลสามารถยึดคริปโตจาก DeFi ได้จริงหรือ แม้ว่าเงินนั้นจะถูกล็อกอยู่ใน smart contract ก็ตาม

เกิดอะไรขึ้น

เรื่องนี้เริ่มจากเงินที่ถูกขโมยไปในการโจมตี Kelp DAO ซึ่งสินทรัพย์บางส่วนถูกนำมาฝากไว้ใน Aave ซึ่งเป็น lending protocol แบบไร้ตัวกลาง ตอนนี้ทนายของเหยื่อการก่อการร้ายโดยเกาหลีเหนือพยายามจะยึดเงินก้อนนั้น โดยอ้างว่าสินทรัพย์เหล่านี้คือ "ผลประโยชน์จากอาชญากรรม" และควรถูกนำมาจ่ายชดเชยตามคำสั่งศาลที่ตัดสินลงโทษรัฐบาลเกาหลีเหนือ

ในโลกการเงินแบบเดิม ถ้าธนาคารเจอเงินที่ถูกขโมยมา เขาจะสั่งอายัดทันที แต่ใน DeFi "ธนาคาร" คือโค้ดคอมพิวเตอร์ ตอนนี้ Aave เลยตกอยู่กลางศึกระหว่างเจ้าของเงินที่ถูกแฮ็กกับศาลที่ต้องการโอนสินทรัพย์เหล่านั้นไปให้เหยื่อการก่อการร้าย

ทำไมเรื่องนี้ถึงเป็นบรรทัดฐานที่อันตราย

ผมตามตลาดนี้มาตั้งแต่ปี 2019 และเห็นคดี "ครั้งแรกของโลก" มาเยอะ แต่คดีนี้ให้ความรู้สึกที่ต่างออกไป ถ้าศาลตัดสินว่าเงินในโปรโตคอล DeFi สามารถถูกยึดเพื่อชำระหนี้หรือจ่ายค่าเสียหายที่ไม่เกี่ยวข้องกับธุรกรรมนั้นๆ ได้ แนวคิดเรื่องการเป็นเจ้าของที่เปลี่ยนแปลงไม่ได้ (immutable ownership) จะพังทลายลงทันที

เรากำลังพูดถึงการเปลี่ยนจาก "code is law" ไปเป็น "ศาลคือกฎหมาย" ถ้าผู้พิพากษาสามารถตัดสินว่าสินทรัพย์ใน smart contract เป็นของบุคคลที่สามเพียงเพราะความแค้นในอดีต แปลว่าไม่มีใครควบคุมเงินของตัวเองได้จริงๆ ผมกังวลมากเพราะมันเหมือนเป็นการเปิดประตูหลังให้รัฐเข้ามาใช้โปรโตคอล DeFi เป็นบัญชี escrow ขนาดใหญ่ที่พวกเขาจะเข้ามาปล้นเมื่อไหร่ก็ได้

ในระยะยาว ศาลจะยึดคริปโตจาก DeFi ได้ไหม

คำตอบขึ้นอยู่กับว่าศาลมองเรื่อง "การครอบครอง" (custody) ของสินทรัพย์อย่างไร Aave ไม่มี CEO ที่จะมากดปุ่มส่งเงินให้หน่วยงานรัฐได้ เพราะทุกอย่างคุมด้วย smart contract แต่ถ้าศาลบังคับให้เหล่านักพัฒนาหรือ DAO ต้องใส่ฟังก์ชัน "blacklist" หรือ "freeze" เข้าไป ความเป็น decentralization ของโปรโตคอลก็จะกลายเป็นแค่เรื่องเพ้อฝัน

ผมจำเหตุการณ์ของ Arbitrum ที่มีการดึง ETH 30,000 เหรียญคืนจากแฮ็กเกอร์ได้ ตอนนั้นคนส่วนใหญ่ดีใจที่ "คนเลว" พ่ายแพ้ แต่ในมุมนักข่าว ผมเห็นสัญญาณอันตราย ถ้าโปรโตคอลสามารถย้ายเงินโดยที่เจ้าของไม่อนุญาตได้ด้วย "เหตุผลที่ดี" พวกเขาก็ทำได้ด้วย "เหตุผลที่เลว" เช่นกัน คดี Aave นี้คือขั้นกว่าของความเสี่ยงนั้น มันไม่ใช่แค่การหยุดหัวขโมย แต่คือการที่รัฐเป็นคนตัดสินว่าใครคือเจ้าของที่ "ถูกต้อง" โดยไม่สนว่าบล็อกเชนจะบันทึกไว้ว่าอย่างไร

มุมมองของผมต่อความเสี่ยงนี้

บอกตามตรง ผมไม่เชื่อว่าความเป็น "Decentralized" ของ DeFi จะทนแรงกดดันทางกฎหมายแบบนี้ได้ เมื่อตัวเลขเงินมีมูลค่าสูงพอ หน่วยงานกำกับดูแลและศาลจะหาทางแทรกแซงได้เสมอ ไม่ว่าจะผ่านตัวนักพัฒนาหรือการโจมตีที่หน้า interface (front-end) ความเชื่อที่ว่าคริปโต "ยึดไม่ได้" กำลังถูกกะเทาะออกทีละนิด

สำหรับผม นี่คือเหตุผลที่ผมหมกมุ่นเรื่อง self-custody มาตลอด แม้ศาลจะไม่สามารถเอื้อมมือมาดึง key ออกจาก hardware wallet ของคุณได้ แต่พวกเขาสามารถทำให้สินทรัพย์ที่อยู่ในโปรโตคอลกลายเป็นของไร้ค่า หรือเปลี่ยนทิศทางเงินได้ถ้าโปรโตคอลนั้นมี admin key

ถ้าคุณยังเก็บเงินส่วนใหญ่ไว้ใน exchange หรือในโปรโตคอล คุณกำลังฝากชีวิตทางการเงินไว้กับบุคคลที่สาม ผมเลือกใช้ Ledger Nano X เพราะผมต้องการให้สินทรัพย์อยู่ offline และห่างจากคำสั่งศาลหรือการแฮ็ก exchange มันคือการลงทุนประมาณ 149 ดอลลาร์ เพื่อให้มั่นใจว่าคนเดียวที่ย้ายเงินผมได้คือตัวผมเอง ไม่ใช่ผู้พิพากษาในห้องพิจารณาคดี

สิ่งที่ผมจะจับตาดูต่อจากนี้

ผมจะตามอ่านใน governance forums ของ Aave อย่างใกล้ชิด ถ้าชุมชนเริ่มโหวตให้เพิ่มฟีเจอร์ "compliance" หรือฟังก์ชัน "emergency seizure" เพื่อเลี่ยงปัญหาทางกฎหมาย เราจะรู้ทันทีว่ายุคของ Pure DeFi ได้จบลงแล้ว นอกจากนี้ผมยังดู Fear & Greed Index ซึ่งตอนนี้อยู่ที่ 47 ตลาดอยู่ในสภาวะเป็นกลาง แต่ข่าวแบบนี้สามารถเปลี่ยนความรู้สึกให้กลายเป็น bearish ได้ทันที ถ้าผู้ใช้เริ่มตระหนักว่าเงินฝากใน DeFi ที่คิดว่า "ปลอดภัย" จริงๆ แล้วอาจถูกศาลสั่งยึดได้ทุกเมื่อ