ตอนสร้างกระเป๋าคริปโตครั้งแรก แอปจะโชว์คำภาษาอังกฤษ 12 คำ (บางกระเป๋า 24 คำ) แล้วบอกให้จดไว้ หลายคนถ่ายรูปเก็บไว้ในมือถือแล้วกดข้ามไป — นั่นคือจุดที่เงินเริ่มไม่ปลอดภัย
ชุดคำนี้เรียกว่า seed phrase หรือ recovery phrase มันไม่ใช่ “รหัสผ่านสำรอง” อย่างที่หลายคนเข้าใจ แต่มันคือ ตัวกระเป๋าเอง ใครก็ตามที่อ่านคำ 12 คำนี้ได้ สามารถสร้างกระเป๋าใบเดียวกันขึ้นมาบนเครื่องของตัวเอง แล้วโอนทุกอย่างออกไปได้ทันที โดยไม่ต้องรู้อีเมล เบอร์โทร หรือรหัสปลดล็อกแอปของคุณเลย
12 คำนั้นมาจากไหน ไม่ได้สุ่มมั่ว ๆ
เบื้องหลังคือมาตรฐานชื่อ BIP-39 ซึ่งกระเป๋าเกือบทุกยี่ห้อใช้ร่วมกัน กระเป๋าจะสุ่มตัวเลขขนาดใหญ่ขึ้นมาก้อนหนึ่ง แล้วแปลงก้อนนั้นเป็นคำจากบัญชีคำมาตรฐาน 2,048 คำ ที่ทุกกระเป๋าใช้ชุดเดียวกัน
จากคำเหล่านั้นกระเป๋าจะคำนวณกุญแจส่วนตัว (private key) ของทุกที่อยู่ในกระเป๋าออกมา — หมายความว่าคำ 12 คำนี้ “มีค่าเท่ากับ” กุญแจส่วนตัวทุกดอกรวมกัน
ผลพลอยได้ที่สำคัญคือคุณย้ายค่ายได้ ถ้าแอปที่ใช้อยู่ปิดตัว คุณเอา 12 คำเดิมไปใส่ในกระเป๋ายี่ห้ออื่นที่รองรับ BIP-39 ก็จะได้ที่อยู่และยอดเดิมกลับมาทั้งหมด กระเป๋าไม่ได้ “เก็บ” เหรียญของคุณไว้ เหรียญอยู่บนบล็อกเชนเสมอ กระเป๋าแค่ถือกุญแจ
คำสุดท้ายไม่ใช่คำสุ่ม
รายละเอียดที่คนไม่ค่อยรู้: คำสุดท้ายในชุดทำหน้าที่เป็น checksum คือใช้ตรวจว่าคำก่อนหน้าถูกต้องครบถ้วนไหม ถ้าคุณจดผิดไป 1 คำ กระเป๋าส่วนใหญ่จะฟ้องทันทีว่า “วลีไม่ถูกต้อง” แทนที่จะเปิดกระเป๋าเปล่าให้
นี่เป็นข่าวดี เพราะแปลว่าการจดผิดมักถูกจับได้ตั้งแต่ตอนกู้คืน ไม่ใช่ตอนที่คุณเพิ่งโอนเงินเข้าไปแล้ว แต่ก็แปลว่าคุณต้องจดให้ครบและเรียงลำดับให้ถูก ลำดับของคำมีความหมาย
วิธีที่คนไทยโดนขโมย seed phrase บ่อยที่สุด
- ถ่ายรูปเก็บในแกลเลอรี่มือถือ — รูปมักซิงก์ขึ้นคลาวด์อัตโนมัติ ถ้าบัญชีคลาวด์หลุด seed หลุดด้วย และมัลแวร์บนมือถือรุ่นใหม่สแกนหาข้อความในรูปได้แล้ว
- พิมพ์เก็บใน Notes / Line เก็บข้อความ / Google Docs — ทั้งหมดนี้คือการฝากเงินทั้งกระเป๋าไว้กับรหัสผ่านอีเมลของคุณ
- เว็บปลอมที่ขอให้ “เชื่อมกระเป๋า” แล้วให้กรอก 12 คำ — กระเป๋าจริงไม่เคยขอ seed phrase เพื่อเชื่อมต่อเว็บ มันขอแค่ให้กดอนุมัติในแอป ถ้าเว็บไหนมีช่องให้กรอก 12 คำ คือหลอกลวง 100%
- แอดมินปลอมทักมาช่วยแก้ปัญหา — เจ้าหน้าที่จริงของทุกเจ้าไม่ขอ seed phrase ไม่มีข้อยกเว้น ไม่มีเคสพิเศษ
- ซื้อฮาร์ดแวร์วอลเล็ตมือสองหรือจากร้านที่ไม่ใช่ตัวแทน — บางเครื่องมาพร้อม seed ที่คนขายรู้อยู่แล้ว รอวันที่คุณโอนเงินเข้า
แล้วควรเก็บยังไง
หลักคิดง่าย ๆ คือ seed phrase ควรอยู่ในรูปแบบที่ ไม่ต่อเน็ต และ ทนไฟทนน้ำได้พอสมควร เพราะภัยมี 2 ทางเสมอ คือถูกขโมย กับสูญหาย และการป้องกันสองอย่างนี้มักสวนทางกัน
- จดลงกระดาษด้วยลายมือ เก็บในที่ที่คุณเข้าถึงได้แต่คนอื่นไม่บังเอิญเจอ
- ถ้าเงินก้อนใหญ่ ใช้แผ่นโลหะสลักคำ (มีขายเป็นชุด) ทนไฟและน้ำท่วมได้จริง
- ทำสำเนา 2 ชุด เก็บคนละที่ เช่นบ้านกับตู้เซฟญาติสนิท — กันไฟไหม้บ้านแล้วหมดตัว
- อย่าเก็บพร้อมกับข้อความที่บอกว่านี่คือคริปโตหรือมีเท่าไร ถ้าโดนงัดบ้าน กระดาษที่มีแค่คำ 12 คำมีโอกาสถูกมองข้ามมากกว่า
- ห้ามแบ่งครึ่ง (6 คำที่บ้าน 6 คำที่ทำงาน) เด็ดขาด — วิธีนี้ไม่ได้เพิ่มความปลอดภัยอย่างที่คิด แต่เพิ่มโอกาสที่คุณจะเข้าไม่ถึงเงินตัวเองเป็นสองเท่า
ทำ seed phrase หายแล้วกู้คืนได้ไหม
ถ้ายังเปิดกระเป๋าเดิมในเครื่องเดิมได้อยู่ ให้รีบเข้าไปดูวลีกู้คืนในเมนูตั้งค่าแล้วจดใหม่ทันที (เมนูมักชื่อ “Show Recovery Phrase” หรือ “สำรองข้อมูลกระเป๋า”) แล้วพิจารณาย้ายเหรียญไปกระเป๋าใหม่ที่สร้าง seed ใหม่ เผื่อชุดเดิมเคยหลุดไปแล้วโดยไม่รู้ตัว
ถ้าเข้าเครื่องไม่ได้แล้วและไม่มีที่จด — จบครับ ไม่มีใครกู้ให้ได้ ไม่มีฝ่ายบริการลูกค้า ไม่มีการยืนยันตัวตนแล้วออกให้ใหม่ นี่คือด้านกลับของการถือเหรียญเอง และเป็นเหตุผลว่าทำไมบางคนถึงเลือกฝากบางส่วนไว้บนกระดานที่มีใบอนุญาตแทน
ถ้าใครอ้างว่ารับกู้ seed phrase ให้ได้โดยมีค่าบริการ นั่นคือมิจฉาชีพแบบที่พบบ่อยที่สุดแบบหนึ่ง อ่านรูปแบบกลโกงอื่น ๆ ได้ที่ รวมกลโกงคริปโตที่คนไทยเจอบ่อย
สรุปสั้น ๆ
- seed phrase = กระเป๋าทั้งใบ ไม่ใช่แค่รหัสผ่าน
- ห้ามอยู่ในอุปกรณ์ที่ต่อเน็ต ห้ามอยู่ในคลาวด์ ห้ามพิมพ์ให้ใครทั้งนั้น
- จดด้วยมือ เรียงลำดับให้ถูก ทำสำเนาไว้คนละที่
- ไม่มีใครกู้ให้ได้ถ้าหาย — สำรองก่อนโอนเงินเข้า ไม่ใช่หลังจากนั้น
- อยากเข้าใจว่ากุญแจสาธารณะกับกุญแจส่วนตัวต่างกันยังไง อ่านต่อที่ กุญแจสาธารณะ vs กุญแจส่วนตัว และถ้าจะเก็บระยะยาว ดูวิธีเลือกอุปกรณ์ที่ คู่มือฮาร์ดแวร์วอลเล็ต