ข้อมูลลูกค้า Trezor และ Ledger รั่ว: Hardware Wallet ยังปลอดภัยไหม?

ข่าวข้อมูลลูกค้าของ Trezor และ Ledger ทำให้ผู้ใช้ Hardware Wallet จำนวนไม่น้อยตั้งคำถามทันทีว่า เหรียญในกระเป๋ายังปลอดภัยอยู่หรือไม่ คำตอบสั้นๆ คือ ต้องแยกให้ออกก่อนว่า “ข้อมูลส่วนตัวของลูกค้ารั่ว” กับ “กุญแจที่ใช้ควบคุมสินทรัพย์ถูกขโมย” เป็นคนละเหตุการณ์กัน

ข้อมูลชื่อ ที่อยู่ เบอร์โทร และรายละเอียดคำสั่งซื้อไม่ได้เปิดกระเป๋าคริปโตได้ด้วยตัวมันเอง แต่ข้อมูลเหล่านี้ช่วยให้คนร้ายรู้ว่าใครน่าจะถือคริปโต ใช้อุปกรณ์ยี่ห้อใด และควรสร้างเรื่องแบบไหนจึงจะดูน่าเชื่อถือ ความเสียหายจึงมักเกิดในขั้นถัดไป เมื่อเหยื่อถูกหลอกให้บอก Seed Phrase ติดตั้งโปรแกรมปลอม หรือยืนยันธุรกรรมที่ไม่ได้ตั้งใจทำ

เกิดอะไรขึ้นกับ Trezor และ Ledger

กรณี Trezor: ข้อมูลจากผู้ให้บริการจัดส่ง

Trezor เปิดเผยในเดือนสิงหาคม 2026 ว่า ShipMonk ซึ่งเป็นผู้ให้บริการจัดส่งรายหนึ่งประสบเหตุข้อมูลรั่ว ช่วงแรกบริษัทได้รับข้อมูลว่ามีลูกค้าได้รับผลกระทบเกือบ 14,000 ราย ก่อนจะได้รับแจ้งเพิ่มเติมในต้นเดือนกันยายนว่า ยังมีข้อมูลจากช่วงที่เคยร่วมงานกันระหว่างเดือนพฤศจิกายน 2019 ถึงสิงหาคม 2021 หลงเหลืออยู่ในระบบและได้รับผลกระทบอีกประมาณ 67,000 ราย

เมื่อนับรวมกันจึงมีลูกค้าได้รับผลกระทบราว 81,000 ราย ข้อมูลอาจประกอบด้วยชื่อ อีเมล เบอร์โทร ที่อยู่จัดส่ง และเลขคำสั่งซื้อ โดย Trezor ระบุว่าเคยได้รับคำยืนยันเป็นลายลักษณ์อักษรว่าข้อมูลเก่าถูกลบแล้ว แต่ภายหลังพบว่ายังคงอยู่ในระบบของผู้ให้บริการ

สิ่งสำคัญคือเหตุนี้อยู่ในระบบข้อมูลการจัดส่ง ไม่ใช่ระบบสร้างและเก็บ Private Key ภายในอุปกรณ์ และไม่ได้มีรายงานว่า Seed Phrase ของลูกค้าถูกดึงออกจากเครื่องผ่านเหตุการณ์ดังกล่าว

กรณี Ledger: คดีเกี่ยวกับเหตุข้อมูลรั่วในอดีต

ฝั่ง Ledger กำลังเผชิญคดีแบบกลุ่มในสหรัฐฯ ซึ่งผู้ฟ้องกล่าวหาว่าบริษัทจัดการและเปิดเผยรายละเอียดเหตุข้อมูลรั่วในปี 2023 ไม่เพียงพอ พร้อมเชื่อมโยงข้อมูลส่วนตัวที่รั่วกับการโจมตีแบบ Social Engineering และความเสียหายจากการถูกหลอกให้ทำธุรกรรม

รายละเอียดในคำฟ้องยังเป็นข้อกล่าวหา ไม่ใช่ข้อเท็จจริงที่ศาลวินิจฉัยถึงที่สุด จึงควรระมัดระวังการสรุปว่าคดีมีผลอย่างไร อย่างไรก็ตาม เรื่องนี้ทำให้ประวัติการดูแลข้อมูลลูกค้าของ Ledger ถูกนำกลับมาพิจารณาอีกครั้ง รวมถึงเหตุปี 2020 ที่ข้อมูลติดต่อของลูกค้าหลายแสนรายถูกเผยแพร่ออกสู่สาธารณะ

ข้อมูลลูกค้ารั่ว ไม่เท่ากับ Hardware Wallet ถูกแฮก

Hardware Wallet มีหน้าที่เก็บ Private Key แยกจากคอมพิวเตอร์และโทรศัพท์ การรั่วจากระบบอีคอมเมิร์ซ ฝ่ายบริการลูกค้า หรือบริษัทจัดส่งจึงไม่ทำให้ระบบรักษากุญแจในตัวอุปกรณ์เสียหายไปพร้อมกันโดยอัตโนมัติ

แต่คำว่า “ตัวเครื่องยังปลอดภัย” ไม่ได้แปลว่าเจ้าของไม่ต้องทำอะไร เพราะข้อมูลส่วนตัวที่แม่นยำทำให้มิจฉาชีพสร้างสถานการณ์ที่เหมือนจริงมากขึ้น ผู้ติดต่ออาจรู้ชื่อเต็ม ที่อยู่ รุ่นที่ซื้อ หรือช่วงเวลาสั่งซื้อ ซึ่งเป็นรายละเอียดที่คนทั่วไปมักใช้ตัดสินว่าอีกฝ่ายน่าเชื่อถือ

ทำไมข้อมูลคำสั่งซื้อจึงอันตราย

ข้อมูลการซื้อ Hardware Wallet บอกมากกว่าประวัติการสั่งสินค้า เพราะอาจบอกเป็นนัยว่าบุคคลนั้นถือสินทรัพย์ดิจิทัลและให้ความสำคัญกับการเก็บรักษาด้วยตนเอง คนร้ายจึงสามารถคัดเลือกเป้าหมายและออกแบบการหลอกเฉพาะบุคคลได้

• อีเมลปลอม: อ้างว่าต้องยืนยันกระเป๋าหรืออัปเดตความปลอดภัยผ่านลิงก์เร่งด่วน
• สายโทรศัพท์แอบอ้าง: ผู้โทรรู้ชื่อและรายละเอียดการซื้อ แล้วขอให้ติดตั้งโปรแกรมหรือทำรายการทดสอบ
• จดหมายหรือพัสดุปลอม: ส่ง QR Code ไปยังที่อยู่จริง พร้อมอ้างว่าใช้สำหรับเปลี่ยนอุปกรณ์หรือรับเงินคืน
• การเข้าถึงบัญชีอื่น: ใช้อีเมลและเบอร์โทรไปลองเข้าสู่ระบบบริการที่เกี่ยวข้อง หรือพยายามยึดหมายเลขโทรศัพท์
• ความเสี่ยงทางกายภาพ: ที่อยู่จัดส่งอาจทำให้บุคคลภายนอกรู้ว่าบ้านหรือสำนักงานใดเคยสั่งอุปกรณ์เก็บคริปโต

ผู้ใช้ควรทำอะไรตอนนี้

1. ตรวจสอบประกาศโดยเปิดช่องทางทางการเอง

หากได้รับข้อความแจ้งเหตุ อย่ากดลิงก์จากอีเมล SMS หรือแชต ให้พิมพ์ที่อยู่เว็บไซต์ทางการเอง เปิดแอปที่ติดตั้งไว้แล้ว หรือสอบถาม SIAMBC ผ่านช่องทางติดต่อที่เผยแพร่บนเว็บไซต์โดยตรง

2. อย่าเชื่อเพียงเพราะอีกฝ่ายรู้ข้อมูลจริง

ชื่อ ที่อยู่ หมายเลขคำสั่งซื้อ และรุ่นสินค้าที่ถูกต้อง อาจเป็นข้อมูลที่ได้มาจากเหตุรั่วไหล ไม่ใช่หลักฐานว่าผู้ติดต่อเป็นเจ้าหน้าที่จริง

3. ป้องกันอีเมลและหมายเลขโทรศัพท์

ใช้รหัสผ่านที่ไม่ซ้ำ เปิดการยืนยันตัวตนสองขั้นตอนด้วยแอป Authenticator หรือ Security Key และตั้งรหัสป้องกันการย้ายซิมกับผู้ให้บริการโทรศัพท์หากมีบริการนี้

4. ตรวจสอบทุกธุรกรรมบนหน้าจอ Hardware Wallet

ก่อนกดยืนยัน ให้ดู Address จำนวนเหรียญ และ Network บนหน้าจออุปกรณ์ ไม่ยืนยันรายการเพียงเพราะเจ้าหน้าที่ทางโทรศัพท์บอกให้ทำ หรือเพราะหน้าเว็บไซต์แสดงข้อความว่าจำเป็นต้อง “ตรวจสอบความปลอดภัย”

5. เตรียมรับการหลอกที่อาจเกิดขึ้นในอนาคต

ข้อมูลที่รั่วไม่หมดอายุ คนร้ายอาจเก็บไว้ใช้หลังข่าวเงียบไปหลายเดือนหรือหลายปี จึงควรถือว่าข้อมูลการสั่งซื้อที่ได้รับผลกระทบอาจถูกนำกลับมาใช้ได้เสมอ

ถ้าเผลอเปิดเผย Seed Phrase ต้องทำอย่างไร

หากเคยพิมพ์ Seed Phrase ลงในเว็บไซต์ ส่งผ่านแชต บอกทางโทรศัพท์ หรือกรอกในแอปที่ไม่ใช่ขั้นตอนกู้กระเป๋าบนอุปกรณ์ที่เชื่อถือได้ ให้ถือว่ากระเป๋าเดิมไม่ปลอดภัยแล้ว แม้ยังไม่เห็นธุรกรรมผิดปกติก็ตาม

1. หยุดติดต่อกับผู้ที่ขอข้อมูลและอย่าทำตามขั้นตอนเพิ่มเติม
2. ใช้อุปกรณ์ที่เชื่อถือได้สร้างกระเป๋าใหม่ พร้อม Seed Phrase ชุดใหม่
3. โอนสินทรัพย์ไป Address ใหม่ โดยตรวจ Network และ Address บนหน้าจออุปกรณ์
4. ย้ายสินทรัพย์ที่มีมูลค่าสูงหรือโอนได้เร็วเป็นลำดับแรก พร้อมเผื่อค่าธรรมเนียม
5. เก็บหลักฐานข้อความ เว็บไซต์ หมายเลขโทรศัพท์ และ Transaction ID หากเกิดความเสียหาย

อย่าสร้างกระเป๋าใหม่จาก Seed Phrase เดิม เพราะกุญแจที่ได้ยังมาจากข้อมูลชุดเดิม ผู้ที่รู้ Seed Phrase เดิมก็ยังเข้าถึงกระเป๋าที่กู้จากชุดคำนั้นได้

ซื้อ Hardware Wallet อย่างไรให้ลดความเสี่ยง

การซื้อ Hardware Wallet ยังเป็นวิธีที่เหมาะสำหรับผู้ที่ต้องการเก็บ Private Key ด้วยตนเอง แต่ควรดูทั้งความน่าเชื่อถือของตัวอุปกรณ์และกระบวนการขาย

• ซื้อจากตัวแทนจำหน่ายที่ตรวจสอบได้ มีสถานที่และช่องทางบริการหลังการขายชัดเจน
• ตั้งค่าอุปกรณ์ด้วยตัวเอง และไม่ใช้ Seed Phrase ที่มีคนเตรียมมาให้
• ดาวน์โหลดแอปจากเว็บไซต์หรือ App Store ทางการเท่านั้น
• ไม่โพสต์ภาพกล่อง ฉลากจัดส่ง Serial Number หรือเลขคำสั่งซื้อในที่สาธารณะ
• แยกอีเมลสำหรับบริการด้านการเงินออกจากอีเมลที่ใช้สมัครบริการทั่วไป
• เก็บ Seed Phrase แบบออฟไลน์ และไม่ถ่ายภาพหรือบันทึกไว้ใน Cloud

สำหรับลูกค้า SIAMBC หากได้รับอีเมล สายโทรศัพท์ หรือข้อความที่อ้างถึงคำสั่งซื้อแล้วไม่แน่ใจ สามารถหยุดการสนทนาและติดต่อ SIAMBC กลับผ่านข้อมูลบนหน้าเว็บไซต์ได้โดยตรง อย่าส่ง Seed Phrase, Private Key, PIN หรือรหัสผ่านให้ผู้ติดต่อไม่ว่ากรณีใด

คำถามที่พบบ่อย

ต้องเปลี่ยน Hardware Wallet เครื่องใหม่หรือไม่

ไม่จำเป็นเพียงเพราะข้อมูลคำสั่งซื้อรั่ว หากตัวเครื่องทำงานปกติ Seed Phrase ไม่เคยเปิดเผย และไม่มีธุรกรรมที่ไม่ได้อนุมัติ การเปลี่ยนเครื่องไม่ได้ทำให้ข้อมูลส่วนตัวที่รั่วไปแล้วหายไป

ควรย้ายเหรียญออกจาก Trezor หรือ Ledger ทันทีไหม

โดยทั่วไปไม่จำเป็นเมื่อเหตุการณ์กระทบเฉพาะข้อมูลลูกค้า สิ่งที่ควรทำก่อนคือยืนยันว่า Seed Phrase ยังเป็นความลับ ตรวจสอบประวัติธุรกรรม และเพิ่มความระวังต่อการติดต่อทุกช่องทาง

ถ้าได้รับจดหมายส่งถึงบ้านควรเชื่อหรือไม่

ไม่ควรเชื่อเพียงเพราะจดหมายระบุชื่อและที่อยู่ถูกต้อง อย่าสแกน QR Code หรือโทรตามเบอร์ในเอกสาร ให้ตรวจสอบกับแบรนด์หรือ SIAMBC ผ่านช่องทางที่ค้นหาเอง

ฝ่าย Support สามารถช่วยกู้ Seed Phrase ได้หรือไม่

ไม่ได้ Seed Phrase ถูกออกแบบมาให้มีเพียงเจ้าของที่ถือข้อมูลดังกล่าว ฝ่าย Support ที่แท้จริงไม่สามารถดู กู้ หรือเปลี่ยน Seed Phrase ให้ผู้ใช้ได้

คดีของ Ledger แปลว่าบริษัทมีความผิดแล้วหรือไม่

ยังไม่ใช่ คำฟ้องประกอบด้วยข้อกล่าวหาของผู้ฟ้อง ซึ่งต้องผ่านกระบวนการพิจารณาและการต่อสู้คดี การรายงานอย่างรอบคอบจึงต้องแยกข้อกล่าวหาออกจากข้อเท็จจริงที่ศาลวินิจฉัยแล้ว

สรุป

เหตุข้อมูลลูกค้าของ Trezor และข้อพิพาทที่เกี่ยวข้องกับ Ledger ย้ำว่า ความปลอดภัยของ Hardware Wallet ไม่ได้มีเพียงชิปหรือเฟิร์มแวร์ แต่ยังครอบคลุมระบบสั่งซื้อ ผู้ให้บริการจัดส่ง การเก็บข้อมูล และการสื่อสารหลังการขาย

สำหรับผู้ใช้ ข้อสรุปที่สำคัญที่สุดคือ ข้อมูลลูกค้ารั่วไม่ได้ทำให้เหรียญถูกขโมยทันที แต่ทำให้การหลอกครั้งต่อไปน่าเชื่อถือขึ้น อย่ากรอก Seed Phrase ในเว็บไซต์ อย่าทำรายการตามคำสั่งทางโทรศัพท์ และอย่าใช้ข้อมูลส่วนตัวที่อีกฝ่ายรู้เป็นเครื่องพิสูจน์ตัวตน

ตราบใดที่ Seed Phrase และ Private Key ยังเป็นความลับ และผู้ใช้ตรวจสอบรายละเอียดบนหน้าจออุปกรณ์ก่อนยืนยันทุกครั้ง Hardware Wallet ยังคงทำหน้าที่สำคัญในการแยกกุญแจออกจากอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตได้ตามเดิม

ข้อมูลตรวจสอบ ณ วันที่ 21 กันยายน 2026 บทความโดย Bank เพื่อให้ความรู้ทั่วไป ไม่ใช่คำแนะนำด้านกฎหมายหรือการลงทุน