"Hester Peirce จาก SEC อยากยุติการรวบรวมข้อมูล KYC ของวงการคริปโตก่อนที่กฎระเบียบสเตเบิลคอยน์จะสร้างฐานข้อมูลเหล่านี้เพิ่มขึ้นอีก"

เกิดอะไรขึ้น

กรรมการ Hester Peirce แห่งคณะกรรมการกำกับหลักทรัพย์สหรัฐฯ (SEC) ออกมาเรียกร้องให้สถาบันการเงินลดการสะสมข้อมูลส่วนบุคคลของลูกค้า และหันไปใช้ "ข้อมูลรับรองดิจิทัลแบบใช้ซ้ำได้" (reusable digital credentials) แทนการที่ทุกสถาบันต้องเก็บข้อมูลส่วนตัวของลูกค้าซ้ำแล้วซ้ำเล่า

เธอระบุว่า สังคมกำลังอยู่ทางแยกสำคัญ: เส้นทางหนึ่งคือการเก็บข้อมูลมากขึ้นและเฝ้าระวังมากขึ้นจนระบบการเงินกลายเป็น "panopticon" ขณะที่อีกเส้นทางคือใช้เทคโนโลยีใหม่จับอาชญากรได้ แต่เก็บข้อมูลส่วนบุคคลน้อยลงกว่าที่เคย

แนวคิดของเธอคือข้อมูลรับรองแบบอิงคุณลักษณะ (attribute-based credentials) ที่สามารถยืนยันได้ว่าบุคคลมีอายุถึงเกณฑ์ ถือสัญชาติใด หรือไม่อยู่ในบัญชีคว่ำบาตร โดยไม่ต้องเปิดเผยชื่อ รายได้ หรือที่อยู่ เธอย้ำว่านี่เป็นความเห็นส่วนตัว ไม่ใช่ท่าทีของ SEC

ทำไมเรื่องนี้ถึงสำคัญ

เหตุการณ์ล่าสุดแสดงให้เห็นต้นทุนของการเก็บข้อมูลบังคับอย่างชัดเจน:

Coinbase — ปีที่แล้วผู้โจมตีให้สินบนผู้รับเหมาและพนักงานฝ่ายซัพพอร์ตลูกค้าในต่างประเทศเพื่อขู่รีดข้อมูลจากระบบภายใน ทำให้ลูกค้า 69,461 รายได้รับผลกระทบ ข้อมูลที่รั่วไหลรวมชื่อ ที่อยู่ เบอร์โทร อีเมล เลขประกันสังคมบางส่วน รูปบัตรประชาชนที่รัฐออกให้ ยอดคงเหลือ และประวัติธุรกรรม แม้รหัสผ่านและ private key ไม่ถูกขโมย แต่ Coinbase เตือนว่าข้อมูลเหล่านี้ใช้โจมตีแบบ social engineering ได้ CEO Brian Armstrong ใช้โอกาสนี้วิจารณ์ข้อกำหนดเก็บข้อมูลว่า "เราไม่อยากเก็บ และลูกค้าก็เกลียดมัน" พร้อมเรียกร้องให้สภาคองเกรสทบทวน Bank Secrecy Act

Revolut — เดือนนี้บริษัทเผยว่าผู้ไม่หวังดีใช้อีเมลโดเมนของหน่วยงานรัฐที่ถูกต้องตามกฎหมายส่งคำขอข้อมูลปลอม Revolut จึงส่งมอบข้อมูลลูกค้าไปตามคำขอนั้น รวมถึงสำเนาพาสปอร์ต ใบขับขี่ ภาพเซลฟี่ยืนยันตัวตน รายการบัญชี และประวัติธุรกรรม แต่ยืนยันว่าระบบและเงินทุนลูกค้าไม่ได้รับผลกระทบ

ปัญหาคือ เมื่อสถาบันสะสมข้อมูลยืนยันตัวตนไว้แล้ว การโจรกรรมไม่จำเป็นต้องแฮ็ก private key หรือบัญชีการเงินโดยตรง เพราะข้อมูลส่วนบุคคลเองก็กลายเป็นสินทรัพย์สำหรับแบล็กเมล์และการแอบอ้างตัวได้

จะกระทบผู้ใช้คริปโตอย่างไร

ประเด็นนี้กำลังทวีความสำคัญขึ้น เพราะวอชิงตันกำลังวางระบบกำกับดูแลใหม่สำหรับสเตเบิลคอยน์ผ่าน GENIUS Act ซึ่งกำหนดให้ผู้ออก payment stablecoin ที่ได้รับอนุญาตต้องมีโปรแกรมยืนยันตัวตนลูกค้า

ภายใต้ข้อเสนอการบังคับใช้ ผู้ออกต้องเก็บชื่อ วันเกิด ที่อยู่ และเลขประจำตัวก่อนเปิดบัญชี และเก็บข้อมูลนี้ไว้ 5 ปีหลังปิดบัญชี โดยมุ่งที่ลูกค้าที่มีความสัมพันธ์โดยตรงกับผู้ออก เช่น การรับออกหรือแลกคืน (issuance/redemption) ไม่ใช่ทุกคนที่ถือสเตเบิลคอยน์

อย่างไรก็ตาม กฎข้อเสนอยังเปิดช่องให้เทคโนโลยีเข้ามาได้บ้าง และ FinCEN ระบุว่าธนาคารและสหกรณ์เครดิตยูเนียนใช้ข้อมูลรับรองดิจิทัลที่รัฐออกให้ เช่น ใบขับขี่บนมือถือ (mobile driver's licenses) ในกระบวนการยืนยันตัวตนได้

FinCEN และหน่วยงานธนาคารได้เปิดรับความคิดเห็นว่ากฎฉบับสมบูรณ์ควรกล่าวถึงระบบตัวตนดิจิทัลหรือ verifiable credentials หรือไม่ แต่ยังไม่ใส่บทเฉพาะลงในร่างกฎหมาย

สรุปว่ามีอะไรต้องจับตา

ชะตากรรมของกฎระเบียบฉบับสุดท้ายจะเป็นตัวกำหนดว่าบริษัทสเตเบิลคอยน์ต้องสร้างฐานข้อมูลข้อมูลตัวตนลูกค้าอีกรุ่นหนึ่ง หรือจะลงทุนในระบบที่ยืนยันคุณลักษณะที่จำเป็นโดยเก็บข้อมูลดิบน้อยลง — เพราะ GENIUS Act กำหนดแล้วว่าผู้ออกต้องรู้จักลูกค้า แต่ยังไม่กำหนดว่าต้องเก็บสำเนาข้อมูลนั้นไว้มากแค่ไหน

สำหรับผู้ใช้ในไทยที่ซื้อขายผ่าน Bitkub หรือแพลตฟอร์มที่ผ่านการกำกับของ ก.ล.ต. ประเด็น "การเก็บ KYC ซ้ำซ้อนในหลายแพลตฟอร์ม" ก็เป็นความเสี่ยงรั่วไหลที่ต้องเฝ้าระวังเช่นกัน โดยเฉพาะเมื่อการใช้สเตเบิลคอยน์และการโอนข้ามพรมแดนในภูมิภาค รวมถึงเมียนมา ยังคงขยายตัว