จริงๆ จั่วหัวข้อมาขนาดนี้ ก็น่าจะเข้าใจได้ไม่ยากแล้ว สำหรับเนื้อหานี้ ว่ามันจะทำให้เราขาดทุนได้อย่างไร ดังนั้นเนื้อหานี้ ผมก็จะพูดให้มองเห็นภาพใหญ่ๆมากกว่าๆ รวมถึงสิ่งที่เราจะได้ เมื่อเทียบกับสิ่งที่เราจะเสีย

ได้น้อย แต่เสียทีละ 100

ปกติเวลาเราเอาเงินเข้าไปลงทุน สมมุติว่า $1,000 นั่นคือ 100% โดยกำหนดให้ APR งามๆเลย ก็คือ 365% หรือ ได้ return วันละ 1% ก็คือวันละ $10 นั่นเอง และเราก็ใจดีให้ยืน APR แบบนี้ไปยาวๆด้วยนะ เท่านั้นไม่พอ ไม่มี deposit fee อีก โอ้ว อะไรจะสวรรค์บันดาลขนาดนั้น

เวลาผ่านไป 30 วัน เราได้มาแล้ว $10*30 = $300 หรือ 30% ของทุน

ต่อมาวันที่ 31 เกิดเหตุการณ์ Exploit ก็แล้วกัน ทำให้ hacker สามารถโอน token ที่ lock เอาไว้ในระบบ ไปเป็นของ Hacker เองได้ทั้งหมดเลย

สิ่งที่ตามมาก็คือ เราเห็นว่าเราได้ deposit ไว้ในระบบ $1000 แต่ว่าตอนกดถอน เราไม่สามารถถอนออกมาได้ เนื่องจาก ไม่มีเงินเหลือให้เราถอนแล้วนั่นเอง

สรุปเหตุการณ์ ลงทุน $1000 ได้กำไรออกมา $300 และเสียทุน $1000 ไป ขาดทุน $700

ไม่เป็นไร เอาใหม่ ตอนนี้เหลือทุน $300 ละ (จากกำไรที่ได้มาก่อนหน้า) แล้วก็เอาไปลงทุนที่เพิ่มความเสี่ยงเข้าไปอีก คราวนี้ ซื้อ Governance Token เลย เพราะ platform นี้รองรับแต่ governance token อย่างเดียว ไม่มี stable coin หรือ token อื่นให้ฟาร์มได้ ดังนั้น ก็น่าจะยืนราคา หรือว่า ทรงๆราคาได้ ด้วย APR 1460% หรือ ได้กำไร 4% ต่อวัน ลงไปได้วันเดียว project ปิด ด้วยการที่ dev เทขาย Governance token ทั้งหมดที่มีในมือทิ้ง และ ทิ้ง project ไปเลย เมื่อราคาตก APR ก็ตกตามลงมา อาจจะเหลือแต่ 100% APR ก็เป็นได้ และแถมด้วยการปิดหน้าเว็บทิ้งอีก สรุป ราคา Governance Token ก็ตกไป 80% จากราคาตอนซื้อ ทำให้ตอนนี้เหลือเงินทุนเพิยง $60 เท่านั้น (ถ้ายังเอาทุนออกมาได้)

มาถึงจุดนี้แล้ว การจะทำให้ $60 เพิ่มกลับเป็น $1000 เท่าเดิมนั้น เราต้องทำกำไร ให้ได้ 1566% จากทุน ซึ่งการลงทุนเพื่อให้ได้กำไรเท่านี้ ในรูปแบบปกติ แทบเป็นไปไม่ได้เลย

สิ่งเหล่านี้คือความเสี่ยง ที่เราประเมินและป้องกันได้บางส่วน แยกเป็นเรื่องๆ ดังนี้

Exit scam

คือการที่ เจ้าของ Project ปั้นโครงการขึ้นมา แล้วก็เทขายทิ้ง เลิกทำ Project ไปเลย พร้อมกับเทขาย Governanct Token ทิ้งด้วย ทั้งๆที่ตอนปั้นโครงการขึ้นมานั้นสวยหรูดูดีมากก็ตาม โดยไม่สนใจคนลงทุน ทำให้ขาดทุนกันหนักมาก ใครขายก่อนก็โชคดีไป ใครขายไม่ทันก็ขาดทุนยับเลย เรื่องนี้ เราพอจะป้องกันได้ด้วยการตรวจสอบ คนที่ถือเหรียญ ว่ามีใครบ้าง ในสัดส่วนเท่าไร

เนื้อหาด้านล่างคือการยกตัวอย่างวิธีการดู Token Holder ของเหรียญ Cake และอธิบายว่า คนไหนคือคน หรือ smart contract 

เจ้าของ project ที่ exit scam ก็อาจจะมีหลายเหตุผล บ้างก็ทำตัวเหมือนโจร บ้างก็ทำเพราะทำไปแล้วดูไม่รอด เลยเปลี่ยนจากคนดีเป็นโจรไปแทน

Rug pull

อันนี้น่าจะได้เจอกันบ่อยแล้ว ก็คือการดึงพรม ให้ลื่นล้มกันทั้งหมดเลย ชีวิตจริง ก็คือ การที่เจ้าของ platform ดึงพรม ให้ทุกคนที่ stake อยู่ ล้มกันทั้งหมดเลย โดยสิ่งที่เค้าทำ ก็จะเป็นลักษณะเอาเงินของคนที่มาฝากออกไปทั้งหมด หรือ มากที่สุดเท่าที่เป็นไปได้ ผ่านทางโค้ดที่ได้เขียนเอาไว้ หรือ แผนที่วางเอาไว้และซ่อนเอาไว้ในโค้ดก่อนแล้ว (hard rug) หรือว่า เป็นอีกแนวทางที่ใช้กระบวนการทาง economic เพื่อทำให้เจ้าของ platform ได้กำไรมากที่สุด แต่สิ่งนั้นกลับทำลาย project ที่ได้สร้างขึ้นมา (แต่ก็ไม่ได้สนใจแล้ว สนแต่ตัวเงิน)

ซึ่งผลกระทบในเรื่องนี้ ก็ทำให้เสียเงินไปบางส่วนหรือเสียเงินไปทั้งหมดเลย

เจ้าของ project ที่ตั้งใจ Rug pull ก็คือ ตั้งใจมาเป็นโจรเลยนี่แหล่ะ

แต่ platform โดยทั่วไป จะไม่เปิดตัวคนทำ (เปิดตัวแบบปลอมก็มีอีกเยอะ) ก็จะมีความเสี่ยงที่จะ rug pull ได้เยอะกว่ามากๆ

สำหรับท่าที่ rug pull นี่ก็มีเยอะเลย และ ก็มีท่าใหม่ๆเพิ่มมาเรื่อยๆด้วยเช่นกัน ซึ่งโดยปกติมันจะต้องทำผ่านโค้ด smart contract เป็นหลักเลย ดังนั้น ถ้าเราอ่านโค้ดไม่ออก ก็ควรจะต้องรอ audit ให้เช็คให้เราก่อนเบื้องต้น เพื่อเอามาเป็นข้อมูลประกอบกัน

Exploit

อันนี้เป็นเรื่องที่น่ากลัว แต่ก็เป็นสิ่งที่ช่วยพัฒนาวงการให้เติบโตขึ้นไปในเวลาเดียวกัน อธิบายง่ายๆ การ exploit ก็คือ การใช้ช่องว่าง บางเรื่อง หรือ หลายๆเรื่องประกอบกัน เป้าหมายคือเพื่อการขโมยเงินออกไปให้ได้มากที่สุด ตามที่ช่องว่างนั้นเอื้อให้ทำได้ ซึ่งความน่ากลัวก็คือ หลายช่องว่าง เป็นช่องว่างที่แม้แต่ Auditor ก็มองไม่เห็น อย่างเคสของ Bunnypancake ที่ผ่าน audit มาหลายสำนักแล้ว แต่ก็โดนโจมตีได้ และแน่นอน ว่าเมื่อถูกโจมตี ก็จะเป็นบทเรียนของ platform ให้ทำการแก้ไข และป้องกันไม่ให้เกิดขึ้นอีก ซึ่งนี่แหล่ะก็คือสิ่งที่จะทำให้ตลาดนี้พัฒนาไปด้วยพร้อมๆกัน แต่แน่นอน ใครที่ลงทุนอยู่ก็สูญเสียไปมากด้วยเช่นกัน 

สิ่งที่ป้องกันในเรื่องนี้ได้ ตอบได้เลยว่า ยังไม่มี แต่ถ้าพอจะลดความเสี่ยงได้ก็คือต้องผ่าน audit ก่อน แต่ก็ไม่ได้เป็นเครื่องยืนยันอีกอยู่ดี เพราะอย่างที่บอก บางเจ้า audit แล้วหลายราย ก็ยังโดนได้เช่นกัน

สิ่งที่จะช่วยลดความเสี่ยงในเรื่องนี้ลงได้ ก็คือ platform นั้น ใช้โค้ดจาก platform อื่น ที่ผ่านจาก audit มานานแล้ว และรันจริงมานานแล้ว โดยมีการตั้งค่า หรือ config ที่เหมือนกัน หรือใกล้เคียงกันมากที่สุด เพราะเราจะตั้งบนพื้นฐานความเชื่อว่า ถ้าโค้ดจากต้นฉบับมีรูรั่ว ต้นฉบับ ก็น่าจะโดนแทงไปนานแล้วนั่นเอง แต่ถ้ารอดมาได้ถึงวันนี้ แสดงว่าไม่มีรูรั่ว (นั่นเป็นแค่สมมุติฐานที่ตั้ง มันจะเป็นจริงไปเรื่อยๆ จนกระทั่งมี hacker มา prove ได้ว่าไม่จริง ก็คือตอนที่โดนแทงไปแล้วนั่นแหล่ะ)

แต่ก็อีกนั่นแหล่ะ ไม่จริงเสมอไป เนื่องจากเคยมีกรณี ที่ platform clone กันมาในหลายๆ web เพราะคิดว่าปลอดภัย แต่สุดท้าย ตอนที่โดน ก็โดนไปพร้อมกันหมดทุกเว็บที่ใช้โค้ดเดียวกันเลยพร้อมกัน

บางครั้ง เราเห็นว่า ทั่วๆไปได้ return 10% APR (สมมุติ) แต่ว่าเรายอมเสี่ยง เพิ่มขึ้น เช่น เข้า platform ที่ยังไม่ audit แต่ให้ APR 365% จะเห็นได้ว่า แตกต่างกันเยอะมาก ถ้าเรามีทุน $1000 เราจะได้ วันละ $10 เทียบกับ $0.27 แต่เราก็ต้องไม่ลืมในย่อหน้าแรกๆ ที่เล่าไปเลย เค้าเอาจากเราไปทีละ 100% ดังนั้นอย่าคิดแต่สิ่งที่หวานหอม เพราะยังไง APR 365% มันไม่ได้ยืนไปยาวๆแน่นอน และวันละ $10 ก็มีโอกาสยากมากๆที่จะสะสมกำไรให้ได้ $1000 หรือ 100% ของทุน (ตั้งแต่ลงทุนมา ผมเองยังไม่เคยทำได้เลยครับ)