จุดจบของโอเพนซอร์ส: Nofx ได้รับดาว 9,000 ดวงใน 2 เดือน พร้อมกับเรื่องอื้อฉาวเกี่ยวกับการแฮ็ก ความขัดแย้งภายใน และเรื่องอื้อฉาวเกี่ยวกับโอเพนซอร์ส

ชื่อเรื่องเดิม: จุดจบของโอเพนซอร์ส: Nofx กับ 9,000 ดาวใน 2 เดือน กับเรื่องอื้อฉาวด้านการแฮ็ก ความขัดแย้งภายใน และเรื่องอื้อฉาวด้านโอเพนซอร์ส

ผู้เขียนต้นฉบับ: @wquguru

ภูมิหลังการเขียน

ก่อนที่ผมจะเริ่มเล่าเรื่องนี้ ผมจำเป็นต้องอธิบายบทบาทของผมในเหตุการณ์นี้ก่อน

ผมเป็นทั้งผู้สังเกตการณ์และนักวิเคราะห์ ในช่วงที่โครงการ Nofx กำลังได้รับความนิยม ผมได้พัฒนาโครงการ nof0 ขึ้นมา ซึ่งทั้งสองโครงการได้รับแรงบันดาลใจจาก nof1 ในระหว่างการพัฒนา ผมได้ติดต่อสื่อสารกับสมาชิกหลักของ Nofx คือ Tinkle และ Zack โดยเน้นไปที่การนำไปใช้ทางเทคนิคและการทำงานร่วมกันแบบโอเพนซอร์สเป็นหลัก

ขอชี้แจงว่าความสัมพันธ์ของผมกับทีม Nofx เป็นเพียงความร่วมมือทางเทคนิคเท่านั้น โดยไม่มีความร่วมมือเชิงพาณิชย์ใดๆ และผมก็ไม่มีการติดต่อโดยตรงกับทีม ChainOpera AI (COAI) ในการเขียนบทความนี้ ผมพยายามรักษาความเป็นกลางและเที่ยงธรรม โดยการวิเคราะห์และตัดสินทั้งหมดอ้างอิงจากข้อมูลที่เปิดเผยต่อสาธารณะ รวมถึงบันทึกใน GitHub โพสต์ในโซเชียลมีเดีย และรายงานด้านความปลอดภัย

ระยะเวลาของกิจกรรม:

• ปลายเดือนตุลาคม 2025: โครงการ Nofx เปิดตัวและได้รับดาวเกือบ 9,000 ดวงบน GitHub ภายในเวลาเพียงสองเดือน

• พฤศจิกายน 2025: พบช่องโหว่ด้านความปลอดภัย SlowMist ออกคำเตือนด้านความปลอดภัย (เรื่องอื้อฉาวเกี่ยวกับการแฮ็ก)

• ธันวาคม 2025: ข้อพิพาทเรื่องลิขสิทธิ์โอเพนซอร์สปะทุขึ้น (Open Source Gate) และความแตกแยกภายในทีมปรากฏชัด (Internal Strife Gate)

เหตุการณ์ทั้งหมดกินเวลาประมาณสองเดือน แต่ได้เปิดเผยความขัดแย้งหลายประการภายในขบวนการโอเพนซอร์ส Web3

จุดประสงค์ของการเขียนบทความนี้ ไม่ใช่เพื่อเข้าข้างฝ่ายใดฝ่ายหนึ่งหรือกล่าวโทษฝ่ายใดฝ่ายหนึ่ง แต่เพื่อแสดงความหวังว่า:

• นำเสนอข้อมูลครบถ้วนเกี่ยวกับกรณีตัวอย่างทั่วไปของการเคลื่อนไหวโอเพนซอร์ส Web3 • สำรวจความขัดแย้งอย่างลึกซึ้งระหว่างเจตนารมณ์ของโอเพนซอร์สและผลประโยชน์ทางการค้า • นำเสนอข้อคิดและข้อมูลอ้างอิงสำหรับการกำหนดมาตรฐานของอุตสาหกรรมในอนาคต

เอาล่ะ มาเริ่มจากจุดเริ่มต้นและคลี่คลายเรื่องราวที่ซับซ้อนนี้กันเลย

บทนำ: การเติบโตอย่างรวดเร็วของโครงการซื้อขายหลักทรัพย์ด้วยปัญญาประดิษฐ์

ในช่วงปลายเดือนตุลาคม ปี 2025 โครงการซื้อขายอัตโนมัติที่ขับเคลื่อนด้วย AI ชื่อ Nof1 ได้กลายเป็นกระแสไวรัลบน Twitter ภายในไม่กี่วัน เวอร์ชันโอเพนซอร์สหลายเวอร์ชันของมัน รวมถึง nof0 และ nofx ได้รับดาวหลายพันดวงบน GitHub โครงการ Nofx ซึ่งเริ่มพัฒนาในช่วงปลายเดือนตุลาคม ได้รับดาวสะสมมากกว่า 9,000 ดวงภายในเดือนธันวาคม กลายเป็นหนึ่งในโครงการโอเพนซอร์สที่ได้รับความสนใจมากที่สุดในด้านการซื้อขายด้วย AI

อย่างไรก็ตาม เพียงสองเดือนต่อมา โครงการสำคัญนี้ก็ประสบกับวิกฤตสามประการ:

escándalการแฮ็ก: บริษัทรักษาความปลอดภัยบล็อกเชน SlowMist เปิดเผยช่องโหว่ด้านความปลอดภัยร้ายแรงใน Nofx ส่งผลให้คีย์ API การแลกเปลี่ยน คีย์ส่วนตัว และที่อยู่กระเป๋าเงินของผู้ใช้ถูกเปิดเผยอย่างสมบูรณ์ในระบบใช้งานมากกว่า 1,000 ระบบ แพลตฟอร์มแลกเปลี่ยนรายใหญ่ เช่น Binance และ OKX ได้เข้าแทรกแซงทันทีเพื่อช่วยเหลือผู้ใช้ที่ได้รับผลกระทบในการกู้คืนข้อมูลประจำตัว

escándalความขัดแย้งภายใน: Tinkle สมาชิกหลักกล่าวหา Zack ผู้ร่วมก่อตั้งต่อสาธารณะว่าเรียกร้องส่วนแบ่งหุ้น 50% และเงิน 500,000 ดอลลาร์ ทั้งที่เข้าร่วมเพียง 14 วันและเขียนโค้ดเพียงไม่กี่บรรทัด Zack ผ่านทางทนายความของเขา ได้ยื่นเอกสารทางกฎหมายอย่างเป็นทางการกล่าวหา Tinkle ว่า "ยักยอกและฉ้อโกงทรัพย์สิน" และได้แสดงเอกสารการจดทะเบียนหุ้นส่วนที่แสดงให้เห็นการแบ่งกรรมสิทธิ์ 50/50 ระหว่างทั้งสองคน

ข้อพิพาทเรื่องโอเพนซอร์ส: Nofx กล่าวหา ChainOpera AI (COAI) ซึ่งระดมทุนได้ 17 ล้านดอลลาร์ ว่าละเมิดสัญญาอนุญาตโอเพนซอร์ส AGPL โดยการนำโค้ดของตนไปใช้ในผลิตภัณฑ์เชิงพาณิชย์โดยไม่เปิดเผยเป็นโอเพนซอร์ส COAI โต้กลับว่า Nofx ยังคงอยู่ภายใต้สัญญาอนุญาต MIT ในวันที่ 3 พฤศจิกายน และเพิ่งเปลี่ยนมาใช้ AGPL ในวันที่ 4 พฤศจิกายน และผลิตภัณฑ์ของตนพัฒนาด้วยภาษา Python ซึ่งแตกต่างจาก Nofx ที่พัฒนาด้วยภาษา Go อย่างสิ้นเชิง

โครงการโอเพนซอร์สยอดนิยมโครงการหนึ่งจะตกอยู่ในวิกฤตที่ซับซ้อนและหลากหลายแง่มุมเช่นนี้ได้อย่างไรภายในเวลาเพียงสองเดือน? ปัญหาเชิงระบบในชุมชนโอเพนซอร์ส ทีมสตาร์ทอัพ และระบบนิเวศการลงทุนที่เกิดขึ้นจากวิกฤตนี้คืออะไร? เรามาเจาะลึกความวุ่นวายนี้โดยพิจารณาจากห้าคำถามสำคัญกัน

คำถามที่ 1: มีการละเมิดสัญญาอนุญาตแบบโอเพนซอร์สจริงหรือไม่?

MIT และ AGPL: สองปรัชญาโอเพนซอร์สที่แตกต่างกันอย่างสิ้นเชิง

ก่อนที่จะกล่าวถึงข้อพิพาทเรื่องโปรโตคอลระหว่าง Nofx และ COAI เราจำเป็นต้องเข้าใจความแตกต่างพื้นฐานระหว่างโปรโตคอลโอเพนซอร์สทั้งสองนี้ก่อน:

ใบอนุญาต MIT เป็นหนึ่งในใบอนุญาตโอเพนซอร์สที่อนุญาตให้มีการใช้งานอย่างเสรีมากที่สุด โดยอนุญาตให้:

• สามารถใช้งาน แก้ไข และเผยแพร่โค้ดได้โดยเสรี • ไม่จำเป็นต้องเปิดเผยซอร์สโค้ดเพื่อวัตถุประสงค์ทางการค้า • ข้อกำหนดเพียงอย่างเดียว: ต้องคงไว้ซึ่งประกาศลิขสิทธิ์ของผู้เขียนต้นฉบับ

AGPL v3.0 (GNU Affero General Public License) เป็นหนึ่งในใบอนุญาตโอเพนซอร์สที่เข้มงวดที่สุด โดยมีข้อกำหนดดังนี้:

• โครงการใดๆ ที่ใช้โค้ดนี้จะต้องเป็นโอเพนซอร์สด้วย • โดยเฉพาะอย่างยิ่ง แม้ว่าบริการนั้นจะให้บริการทางออนไลน์ (เช่น SaaS) โค้ดต้นฉบับก็ต้องเปิดเผยต่อสาธารณะ • ข้อมูลโครงการต้นฉบับจะต้องระบุอย่างชัดเจน

การเปลี่ยนจาก MIT ไปเป็น AGPL แสดงถึงการเปลี่ยนแปลงอย่างสิ้นเชิงจาก "ผ่อนปรนอย่างมาก" ไปเป็น "เข้มงวดอย่างมาก" ซึ่งเป็นประเด็นสำคัญของข้อโต้แย้งในปัจจุบัน

การแก้ไขข้อตกลงและข้อพิพาทเรื่องเวลา

สัญญาอนุญาตใช้งานแบบโอเพนซอร์สของโครงการ Nofx ถูกเปลี่ยนจาก MIT เป็น AGPL แต่ช่วงเวลาของการเปลี่ยนแปลงกลับกลายเป็นประเด็นถกเถียง ช่วงเวลานี้มีความสำคัญอย่างยิ่ง เพราะมันกำหนดสัญญาอนุญาตใช้งานที่ทีม ChainOpera (COAI) ควรปฏิบัติตามเมื่อทำการคัดลอกโค้ด (fork) โดยตรง

การเปรียบเทียบหลักฐานจากทั้งสองฝ่าย:

• ทีม Nofx ได้แสดงประวัติการคอมมิตบน GitHub ซึ่งแสดงเวลาการแก้ไขไฟล์โปรโตคอล • อย่างไรก็ตาม ทีม COAI ชี้ให้เห็นว่า จากบันทึกและการสังเกตของพวกเขา เวลาการประกาศต่อสาธารณะเกี่ยวกับการเปลี่ยนแปลงโปรโตคอลนั้นน่าสงสัย

ข้อกล่าวหาเรื่องการลอกเลียนแบบผลงานของ ChainOpera

ชุมชน Nofx ค้นพบว่าโครงการ ChainOpera (COAI) ซึ่งระดมทุนได้ 17 ล้านดอลลาร์และเปิดตัวบน Binance Alpha นั้น มีโค้ดที่คล้ายคลึงกับ Nofx อย่างมาก

ข้อกล่าวหาของ Nofx:

• COAI ใช้โค้ดของ Nofx โดยไม่ระบุแหล่งที่มาหรือเปิดเผยซอร์สโค้ดต่อสาธารณะ ภายใต้สัญญาอนุญาต AGPL ที่มีผลบังคับใช้ในขณะนั้น COAI ควรปฏิบัติดังนี้:
ซอร์สโค้ดมีการระบุไว้อย่างชัดเจนและเปิดเผยต่อสาธารณะ นอกจากนี้ซอร์สโค้ดที่แก้ไขแล้วยังใช้ใบอนุญาต AGPL ด้วย

คำตอบของ COAI:

• แม้จะอ้างว่าได้คัดลอกโค้ดของตนเองมา แต่ Nofx ยังคงใช้ใบอนุญาต MIT อยู่ • ใบอนุญาต MIT อนุญาตให้ใช้งานเชิงพาณิชย์ได้โดยไม่ต้องเปิดเผยซอร์สโค้ดต่อสาธารณะ • ข้อโต้แย้งเกี่ยวกับช่วงเวลาของการเปลี่ยนแปลงใบอนุญาตได้ส่งผลต่อการประเมินลักษณะของเหตุการณ์ทั้งหมด

ข้อพิพาทเรื่องใบอนุญาตซอฟต์แวร์โอเพนซอร์ส: ใครถูกใครผิด?

ข้อพิพาทนี้ได้เปิดเผยให้เห็นปัญหาที่ฝังรากลึกภายในระบบนิเวศโอเพนซอร์ส Web3:

ความถูกต้องของข้อตกลงเปลี่ยนแปลงไป:

• ข้อถกเถียงเรื่องผลย้อนหลัง: การเปลี่ยนแปลงใบอนุญาตโอเพนซอร์สมีผลผูกพันกับโค้ดที่แยกสาขาไปแล้วหรือไม่?

• ระยะเวลา: เป็นเรื่องยากที่จะระบุเวลาที่แน่นอนของการแก้ไขข้อตกลงได้อย่างสมบูรณ์ เนื่องจากทั้งสองฝ่ายให้ข้อมูลที่ขัดแย้งกัน

• ความน่าเชื่อถือของหลักฐาน: บันทึกของ GitHub อาจถูกแก้ไข จึงจำเป็นต้องได้รับการตรวจสอบจากบุคคลที่สามที่มีความน่าเชื่อถือมากกว่า • การส่งต่อการเปลี่ยนแปลงโปรโตคอล: ข้อมูลเกี่ยวกับการเปลี่ยนแปลงจาก MIT เป็น AGPL ได้ถูกสื่อสารไปยังชุมชนมากน้อยเพียงใด?

ความขัดแย้งทางผลประโยชน์ทางธุรกิจ:

• COAI ได้รับเงินทุนจำนวนมากและเปิดตัวบน Binance ซึ่งแสดงให้เห็นถึงมูลค่าเชิงพาณิชย์ที่สำคัญ • Nofx ในฐานะโครงการโอเพนซอร์ส ยังขาดเส้นทางสู่การสร้างรายได้เชิงพาณิชย์ที่ชัดเจน

• ความขัดแย้งหลัก: ภาวะกลืนไม่เข้าคายไม่ออกในการสร้างสมดุลระหว่างเจตนารมณ์ของการแบ่งปันแบบโอเพนซอร์สกับการปกป้องผลประโยชน์ทางการค้า

ความคิดเห็นที่แตกต่างกันภายในชุมชน:

• ผู้สนับสนุน Nofx โต้แย้งว่า COAI ได้กำไรจากโค้ดโอเพนซอร์สโดยไม่คืนประโยชน์ใดๆ ให้แก่ชุมชน • ผู้สนับสนุน COAI โต้แย้งว่า สัญญาอนุญาต MIT อนุญาตให้ใช้ในเชิงพาณิชย์ได้โดยเนื้อแท้ และจังหวะเวลาในการเปลี่ยนแปลงสัญญาอนุญาตนั้นน่าสงสัย • ผู้สังเกตการณ์ที่เป็นกลางชี้ให้เห็นว่า ข้อพิพาทเรื่องจังหวะเวลาเป็นประเด็นสำคัญ และจำเป็นต้องมีหลักฐานที่น่าเชื่อถือมากกว่านี้เพื่อตัดสินผลลัพธ์

พื้นที่สีเทาระหว่างกฎหมายและเทคโนโลยี:

• ความถูกต้องตามกฎหมายของโปรโตคอลโอเพนซอร์สในโครงการบนบล็อกเชนยังคงไม่ชัดเจน การที่ข้อมูลใน GitHub สามารถแก้ไขได้ ทำให้ความน่าเชื่อถือของข้อมูลเหล่านั้นในฐานะหลักฐานลดลง อุตสาหกรรม Web3 ขาดกลไกการระงับข้อพิพาทแบบโอเพนซอร์สที่ครบวงจร

สรุป: ข้อกล่าวหาที่เป็นที่ถกเถียงกัน

จากหลักฐานที่มีอยู่ในปัจจุบัน มีข้อสงสัยหลายประการเกี่ยวกับข้อกล่าวหาของ Nofx เรื่องการละเมิดลิขสิทธิ์ต่อใบอนุญาตโอเพนซอร์สของ COAI:

1. จังหวะเวลาที่น่าสงสัย: หลักฐานจาก GitHub แสดงให้เห็นว่า AGPL เพิ่งถูกแก้ไขเมื่อวันที่ 4 พฤศจิกายนเท่านั้น

2. การใช้งานทางเทคนิคที่แตกต่างกัน: การตั้งชื่ออินเทอร์เฟซเหมือนกันไม่ได้หมายความว่าโค้ดจะเหมือนกัน

3. การตีความบันทึกข้อมูลมีความสมเหตุสมผล: ฟังก์ชันทางสถิติที่แทรกเข้ามาในช่วงขั้นตอน MIT จะยังคงบันทึกข้อมูลต่อไป

4. การละเมิดกฎระเบียบที่ต้องสงสัย: การไม่แจ้งให้ผู้ใช้ทราบเกี่ยวกับการเก็บรวบรวมสถิติอาจเป็นการละเมิดกฎหมายคุ้มครองความเป็นส่วนตัว

5. กระบวนการสื่อสารที่เร่งรีบ: การส่งอีเมลและการกล่าวหาต่อสาธารณะภายในนาทีเดียวกัน

เป็นที่น่าสังเกตว่า ข้อพิพาทเกี่ยวกับช่วงเวลาของการเปลี่ยนแปลงข้อตกลงมีผลกระทบอย่างมากต่อการกำหนดลักษณะของเหตุการณ์ทั้งหมด หากข้อกล่าวอ้างของ Nofx ถูกต้อง COAI ก็ละเมิดข้อตกลง AGPL อย่างแน่นอน แต่หากข้อกล่าวอ้างของ COAI ถูกต้อง การกระทำของพวกเขาก็เป็นไปตามข้อตกลง MIT อย่างสมบูรณ์ การกำหนดช่วงเวลานี้ยังคงต้องการการตรวจสอบจากบุคคลที่สามที่มีอำนาจมากกว่านี้

คำถามที่ 2: 14 วัน คิดเป็นสัดส่วน 50% ของหุ้นหรือไม่?

หากความขัดแย้งเรื่องโอเพนซอร์สเป็นข้อพิพาทของ Nofx กับโลกภายนอกแล้ว ความขัดแย้งภายในก็คือการแสดงออกต่อสาธารณะของความขัดแย้งภายในโครงการ ซึ่งเป็นการต่อสู้กันระหว่างทีมผู้ก่อตั้งเกี่ยวกับ "การมีส่วนร่วม" และ "คุณค่า"

ลำดับเหตุการณ์: จากการเข้าร่วมสู่การต่อสู้

28 ตุลาคม 2025: เริ่มการพัฒนา Nofx

29 ตุลาคม 2025: แซ็คเข้าร่วมโครงการ (โครงการเพิ่งเปิดเป็นโอเพนซอร์สเมื่อวันก่อนหน้า)

ต้นเดือนพฤศจิกายน 2025: แซ็คเสนอขายหุ้น 50% โดยให้เหตุผลว่าเขาสามารถชักชวนให้แอมเบอร์กรุ๊ปเข้ามามีส่วนร่วมในการทำการตลาดได้

ต้นเดือนพฤศจิกายน 2025: ทิงเคิลปฏิเสธที่จะให้หุ้น 50% โดยเชื่อว่าในฐานะซีอีโอและซีทีโอของทีม ผลงานของแซ็คยังไม่เพียงพอ

19 พฤศจิกายน 2025: ทนายความของแซ็ค (สำนักงานกฎหมายจุนเหอ สาขาฮ่องกง) ได้ยื่นข้อเสนออย่างเป็นทางการ "โดยไม่กระทบสิทธิ์ใดๆ ยกเว้นค่าใช้จ่าย" โดยเรียกร้องให้ซื้อหุ้น 50% ของแซ็คคืนในราคา 500,000 ดอลลาร์สหรัฐ

ธันวาคม 2025: ความขัดแย้งกลายเป็นเรื่องสาธารณะ โดยทั้งสองฝ่ายต่างกล่าวหาซึ่งกันและกันผ่านทางโซเชียลมีเดีย

ในแง่ของเวลา แซ็คใช้เวลาน้อยกว่าหนึ่งเดือนนับตั้งแต่เข้าร่วมบริษัทจนถึงการส่งจดหมายของทนายความ ซึ่งถือว่าสั้นมากจริงๆ

การเผชิญหน้า: หลักฐานสองชิ้นที่ขัดแย้งกันอย่างสิ้นเชิง

เรื่องเล่าของทิงเคิล:

แซ็คเข้าร่วมกิจกรรมเพียง 14 วันเท่านั้น

• มีส่วนร่วมในการเขียนโค้ดเพียงไม่กี่บรรทัด ("ตรวจสอบได้")
• เข้าร่วมโครงการหลังจากที่โครงการเปิดเป็นโอเพนซอร์สแล้ว และมีสมาชิกกลุ่ม Telegram หลายพันคน • เรียกร้องส่วนแบ่งหุ้นจำนวนมหาศาลโดยเสนอที่จะแนะนำ Amber Investment • ยึดบัญชี Twitter ของโครงการหลังจากถูกปฏิเสธ • เรียกร้องเงิน 500,000 ดอลลาร์ผ่านจดหมายจากทนายความ ซึ่งต้องสงสัยว่าเป็นการขู่กรรโชก • แซ็คเคยเป็นนักศึกษาฝึกงานของ Amber แต่ลาออกก่อนที่จะได้รับตำแหน่งงานประจำ • สุดท้ายแล้วไม่สามารถดึง Amber Investment เข้ามาได้

การโต้กลับของแซ็ค:

• เอกสารการจดทะเบียนบริษัท APEIRON LABS PTE. LTD. ได้ถูกนำเสนอไว้แล้ว • เอกสารแสดงให้เห็นว่าทิงเคิลและแซ็คถือหุ้นคนละ 50% นี่คือข้อมูลที่เปิดเผยต่อสาธารณะจากระบบการจดทะเบียนบริษัทของสิงคโปร์ และทุกคนสามารถตรวจสอบได้ • จดหมายของทนายความเป็น "ข้อเสนอการประนีประนอมโดยไม่ละเมิดสิทธิ์" ตามขั้นตอนทางกฎหมายเชิงพาณิชย์ • เอกสารดังกล่าวเป็นจดหมายเรียกร้องที่ระบุรายละเอียดเกี่ยวกับการ "ยักยอกทรัพย์สินและการโอนผลประโยชน์" ของทิงเคิล • ข้อเสนอ 500,000 ดอลลาร์ไม่ใช่การขู่กรรโชก แต่เป็นการซื้อคืนผลประโยชน์ที่ถูกต้องตามกฎหมายของแซ็คในราคาที่ต่ำกว่ามูลค่าที่แท้จริง ลองถามตัวเองดูว่า: ถ้าบริษัทมีมูลค่า ทำไมการซื้อคืนหุ้น 50% ในราคาประเมินมูลค่า 1 ล้านดอลลาร์ถึงสมเหตุสมผล? ถ้าบริษัทไม่มีมูลค่า ทำไมทิงเคิลถึงเรียกว่า "การขู่กรรโชก"?

ความท้าทายหลัก: จะวัดปริมาณการมีส่วนร่วมได้อย่างไร?

สาระสำคัญของข้อถกเถียงนี้คือ Dilemma ของผู้ประกอบการที่มีมาอย่างยาวนาน: การมีส่วนร่วมทางเทคนิคกับการแนะนำแหล่งข้อมูล สิ่งใดมีค่ามากกว่ากัน?

จากมุมมองของการมีส่วนร่วมในการเขียนโค้ด คำกล่าวของทิงเคิลอาจมีเหตุผลอยู่บ้าง บันทึกการคอมมิตบน GitHub เป็นข้อมูลสาธารณะ และหากแซ็คคอมมิตโค้ดเพียงเล็กน้อยจริง ๆ นี่ก็เป็นข้อเท็จจริงที่ตรวจสอบได้ง่ายในชุมชนเทคโนโลยี โครงการหนึ่งพัฒนามา 60 วัน โดยมีอีกคนร่วมพัฒนาเพียง 14 วัน ในแง่ของเวลาและปริมาณโค้ด ความแตกต่างในการมีส่วนร่วมนั้นมหาศาลอย่างแน่นอน

อย่างไรก็ตาม จากมุมมองด้านความเท่าเทียมกัน แซ็คได้นำเสนอเอกสารทางกฎหมาย ข้อมูลการจดทะเบียนของบริษัท APEIRON LABS PTE. LTD. แสดงให้เห็นว่าทั้งสองฝ่ายได้ลงนามในข้อตกลงการแบ่งส่วนทุน 50-50 ซึ่งหมายความว่า:

1. ทั้งสองฝ่ายได้บรรลุข้อตกลงทางกฎหมายอย่างเป็นทางการไว้ก่อนหน้านี้แล้ว

2. ข้อตกลงดังกล่าวรับรองสัดส่วนการถือหุ้น 50% ของแซ็ค

3. นี่ไม่ใช่คำสัญญาด้วยวาจา แต่เป็นข้อเท็จจริงที่มีผลผูกพันทางกฎหมายซึ่งได้จดทะเบียนกับทางรัฐบาลแล้ว

คำถามก็คือ ทำไมทิงเคิลถึงยอมตกลงรับส่วนแบ่งหุ้นแบบนี้?

แอมเบอร์มีมูลค่าสุทธิเท่าไหร่กันแน่?

ตัวแปรสำคัญคือ Amber Group หรือพูดให้แม่นยำกว่านั้นคือ amber.ac ซึ่งเป็นโครงการเร่งการเติบโตของระบบนิเวศของ Amber

จุดแข็งของแซ็คคือความสามารถในการแนะนำแอมเบอร์ให้รู้จักกับความพยายามในการทำการตลาดของ Nofx ตามที่ทิงเคิลกล่าว แซ็คเคยเป็นนักศึกษาฝึกงานที่แอมเบอร์ (แม้ว่าเขาจะลาออกไปก่อนที่จะได้รับข้อเสนอตำแหน่งงานเต็มเวลา) ในอุตสาหกรรมคริปโต การได้รับการรับรองและเงินทุนจากสถาบันชั้นนำถือเป็นทรัพย์สินที่มีค่าอย่างมาก

แต่ผลลัพธ์สุดท้ายคือ:

1. บริษัทแอมเบอร์ยังไม่ได้ลงทุนในบริษัท Nofx อย่างเป็นทางการ

2. แถลงการณ์อย่างเป็นทางการของแอมเบอร์: "ไม่มีการบ่มเพาะ การลงทุน หรือความร่วมมือทางธุรกิจอย่างเป็นทางการ" กับ Nofx

3. แอมเบอร์ยอมรับว่ามีการ "แลกเปลี่ยนอย่างเป็นมิตร" แต่ไม่ได้นำไปสู่ความร่วมมืออย่างเป็นทางการ

ซึ่งนำไปสู่คำอธิบายที่เป็นไปได้สองประการ:

คำอธิบาย ก (สนับสนุนทิงเคิล): แซ็คกล่าวเกินจริงเกี่ยวกับทรัพยากรและความสามารถของตน แลกเปลี่ยนคำสัญญาที่ว่างเปล่ากับส่วนแบ่งในบริษัท สุดท้ายก็ไม่สามารถทำตามสัญญาได้ และปฏิเสธที่จะมอบส่วนแบ่งนั้นให้ โดยใช้วิธีการข่มขู่ผ่านจดหมายจากทนายความ

คำอธิบาย B (สนับสนุน Zack): ข้อตกลงการถือหุ้นได้บรรลุข้อตกลงระหว่างทั้งสองฝ่ายแล้ว Zack พยายามอย่างเต็มที่ที่จะดึง Amber เข้ามา แต่การลงทุนล้มเหลวเนื่องจากปัญหาเกี่ยวกับ Tinkle (ซึ่งอาจรวมถึง "การยักยอกทรัพย์สินและการโอนผลประโยชน์") ในฐานะผู้ถือหุ้นที่ถูกต้องตามกฎหมาย Zack มีสิทธิ์ที่จะถอนตัวและรับค่าชดเชย

คำอธิบายใดใกล้เคียงกับความจริงมากกว่ากัน? จำเป็นต้องมีข้อมูลเชิงลึกเพิ่มเติมเพื่อหาคำตอบ

การดำเนินคดีทางกฎหมายหรือการรีดไถ?

ทิงเคิลได้แชร์จดหมายของทนายความของแซ็คลงในโซเชียลมีเดีย พร้อมเรียกมันว่า "การขู่กรรโชก" ข้อกล่าวหานี้ร้ายแรงมาก เพราะการขู่กรรโชกเป็นความผิดทางอาญา

แต่คำตอบของแซ็คแสดงให้เห็นถึงความเป็นมืออาชีพของกระบวนการทางกฎหมาย:

"การยุติข้อพิพาทโดยไม่กระทบสิทธิ์ใดๆ ยกเว้นค่าใช้จ่าย" เป็นกระบวนการทางกฎหมายมาตรฐานในกฎหมายแองโกล-อเมริกันที่ใช้ในการระงับข้อพิพาททางการค้า ลักษณะเด่นของกระบวนการนี้ได้แก่:

1. เอกสารนี้ได้รับการคุ้มครองโดยกฎหมาย จึงไม่สามารถนำมาใช้เป็นหลักฐานในการดำเนินคดีได้ (เว้นแต่จะมีค่าใช้จ่ายในการดำเนินคดีเข้ามาเกี่ยวข้อง)

2. จุดมุ่งหมายคือเพื่อส่งเสริมให้ทั้งสองฝ่ายแก้ไขข้อพิพาทโดยสันติวิธี

3. การเสนอข้อตกลงประนีประนอมไม่ถือเป็นการขู่กรรโชก

4. เนื้อหาเป็นจดหมายเรียกร้อง โดยระบุถึงการละเมิดสัญญาหรือการกระทำที่เป็นการละเมิดสิทธิของอีกฝ่าย

จดหมายจากทนายความของแซ็คเรียกร้องเงิน 500,000 ดอลลาร์ แต่จำนวนเงินนี้คำนวณจาก:

• ข้อเท็จจริงทางกฎหมายที่ว่า แซ็คถือหุ้น 50% ของบริษัท โดยอิงจากการประเมินมูลค่าบริษัทอย่างระมัดระวังที่ 1 ล้านดอลลาร์สหรัฐ ในฐานะราคาซื้อคืน ทิงเคิลต้องซื้อหุ้นของแซ็คคืน

จากมุมมองทางกฎหมาย นี่เป็นกลยุทธ์การเจรจาประนีประนอมที่ถูกต้องตามกฎหมายอย่างสมบูรณ์ หากทิงเคิลเชื่อจริงๆ ว่านี่คือ "การขู่กรรโชก" วิธีที่ถูกต้องคือแจ้งความกับตำรวจ ไม่ใช่ทวีตเกี่ยวกับเรื่องนี้

คำเตือนสุดท้ายของแซ็คก็ทรงพลังมากเช่นกัน: "ถ้าคุณคิดว่านี่เป็นการขู่กรรโชกจริงๆ ให้โทรแจ้งตำรวจทันที ถ้าคุณไม่มีความกล้าพอที่จะโทรแจ้งตำรวจ ก็หยุดการแสดงที่ไร้สาระนี้ซะ"

ข้อกล่าวหาที่ซ่อนเร้น: การยักยอกทรัพย์สินและการโอนผลประโยชน์

ประเด็นสำคัญประการหนึ่งในการเผชิญหน้าสาธารณะครั้งนี้คือ แซ็คกล่าวว่าจดหมายของทนายความนั้นเป็นจดหมายเรียกร้องโดยละเอียดที่ระบุถึง "การยักยอกทรัพย์สินของหุ้นส่วนและการสมรู้ร่วมคิดในการกระทำผิดกฎหมาย" ของทิงเคิล

ยังไม่มีการเปิดเผยข้อความฉบับเต็มของจดหมายฉบับนี้ แต่ข้อกล่าวหานั้นร้ายแรงมาก หากเป็นความจริง อาจเกี่ยวข้องกับ:

1. การยักยอกเงินของบริษัทเพื่อประโยชน์ส่วนตัว

2. การแลกเปลี่ยนผลประโยชน์กับบุคคลภายในสถาบันการลงทุน

3. การละเมิดหน้าที่ความไว้วางใจของหุ้นส่วน

บริษัท Tinkle ไม่ได้ตอบโต้ข้อกล่าวหาเหล่านี้โดยตรง เพียงแต่กล่าวว่าจะไม่แสดงความคิดเห็นเกี่ยวกับเรื่องนี้อีกต่อไป และจะมุ่งเน้นไปที่การพัฒนาผลิตภัณฑ์

ท่าทีหลีกเลี่ยงเช่นนี้ยิ่งทำให้ผู้คนสงสัยว่า ในจดหมายเรียกร้องนั้นเขียนอะไรไว้กันแน่?

สรุป: ปัญหาที่แก้ไม่ได้

ข้อพิพาทเรื่องส่วนแบ่งหุ้นระหว่างทีมผู้ก่อตั้งเป็นเรื่องปกติในโลกของสตาร์ทอัพ กรณีของ Nofx ได้รับความสนใจเพราะเป็นตัวอย่างที่แสดงให้เห็นถึงความขัดแย้งทั่วไปของข้อพิพาทประเภทนี้:

1. คำมั่นสัญญาด้วยวาจาเทียบกับข้อตกลงเป็นลายลักษณ์อักษร: จะกำหนดส่วนร่วมได้อย่างไรหากไม่มีข้อตกลงเรื่องส่วนแบ่งในบริษัทเป็นลายลักษณ์อักษร?

2. การมีส่วนร่วมทางเทคนิคเทียบกับการแนะนำแหล่งข้อมูล: จะวัดคุณค่าทั้งสองนี้ได้อย่างไร?

3. ความรับผิดชอบต่อความคาดหวังที่ไม่เป็นไปตามที่ตั้งไว้: ใครเป็นผู้รับผิดชอบต่อความล้มเหลวในการดึงดูดการลงทุน?

4. กระบวนการทางกฎหมายกับการตัดสินทางศีลธรรม: การเจรจาไกล่เกลี่ยเท่ากับการขู่กรรโชกหรือไม่?

จากหลักฐานที่มีอยู่:

• แซ็คมีเอกสารทางกฎหมายที่สนับสนุนการเป็นเจ้าของ 50% ของเขา • ทิงเคิลมีประวัติการมีส่วนร่วมในการเขียนโค้ดที่สนับสนุนตำแหน่งผู้ถือหุ้นรายใหญ่ของเขา • ทั้งคู่ต่างมีเรื่องราวของตนเอง แต่ทั้งคู่ก็มีหลักฐานครบถ้วน

คำตอบสุดท้ายอาจต้องได้รับจากศาล แต่คดีนี้เป็นอุทาหรณ์สำหรับทีมสตาร์ทอัพทุกทีม:

• การจัดสรรส่วนแบ่งความเป็นเจ้าของควรทำตั้งแต่เนิ่นๆ เป็นลายลักษณ์อักษร และกำหนดไว้อย่างชัดเจน • การประเมินปริมาณการมีส่วนร่วมควรมีมาตรฐานที่เป็นรูปธรรม (ปริมาณโค้ด ชั่วโมงทำงาน มูลค่าทรัพยากร)
• การตัดสินใจที่สำคัญควรได้รับการบันทึกไว้ • ในกรณีที่มีข้อพิพาท ให้ให้ความสำคัญกับการดำเนินการทางกฎหมายมากกว่าการใช้สื่อเป็นเครื่องมือ

คำถามที่ 3: เหตุใดโครงการโอเพนซอร์สจึงกลายเป็นช่องโหว่ด้านความปลอดภัยที่สำคัญ?

ก่อนที่จะเกิดข้อพิพาทเรื่องข้อตกลงระหว่าง Nofx และ COAI รวมถึงข้อพิพาทเรื่องส่วนแบ่งภายในองค์กร วิกฤตที่ร้ายแรงกว่านั้นกำลังก่อตัวขึ้นอย่างเงียบๆ นั่นคือช่องโหว่ด้านความปลอดภัย

ในเดือนพฤศจิกายนปี 2025 บริษัทรักษาความปลอดภัยบล็อกเชน SlowMist ได้เผยแพร่รายงานการวิเคราะห์ความปลอดภัยโดยละเอียด ซึ่งเปิดเผยถึงช่องโหว่ด้านความปลอดภัยร้ายแรงในโครงการ Nofx นี่ไม่ใช่ข้อผิดพลาดเล็กน้อย แต่เป็นช่องโหว่สำคัญที่อาจนำไปสู่การขโมยเงินของผู้ใช้ทั้งหมดได้

ลำดับเหตุการณ์ช่องโหว่: จากการตรวจสอบสิทธิ์เป็นศูนย์ไปจนถึงคีย์เริ่มต้น

31 ตุลาคม 2025 - คอมมิต 517d0c: ต้นตอของบาปแห่งการไม่ยืนยันตัวตน

ในการแก้ไขโค้ดครั้งนี้ โค้ดของ Nofx มีข้อผิดพลาดร้ายแรง:

• admin_mode ถูกตั้งค่าเป็น true โดยค่าเริ่มต้น
• มิดเดิลแวร์อนุญาตให้ส่งคำขอทั้งหมดได้โดยไม่ต้องมีการตรวจสอบสิทธิ์ • อินเทอร์เฟซ /api/exchanges เปิดให้ใช้งานได้อย่างเต็มที่

นี่หมายความว่าอย่างไร? ใครก็ตามที่ทราบที่อยู่ของเซิร์ฟเวอร์ที่ติดตั้ง Nofx สามารถเข้าถึงอินเทอร์เฟซ /api/exchanges ได้โดยตรงเพื่อรับข้อมูลดังต่อไปนี้:

• api_key: คีย์ API ของแพลตฟอร์มแลกเปลี่ยนของผู้ใช้ • secret_key: คีย์ของแพลตฟอร์มแลกเปลี่ยน • hyperliquid_wallet_addr: ที่อยู่กระเป๋าเงิน Hyperliquid • aster_private_key: คีย์ส่วนตัวของแพลตฟอร์ม Aster

ด้วยข้อมูลนี้ ผู้โจมตีสามารถ:

1. ควบคุมบัญชีแลกเปลี่ยนของผู้ใช้ได้อย่างสมบูรณ์

2. การมีส่วนร่วมในการซื้อขายแบบปั่นราคา

3. การถอนเงินโดยตรง

4. การปั่นราคาในตลาด

นี่คือสถานการณ์ที่ปราศจาก การป้องกันใดๆ ซึ่งเป็นข้อบกพร่องพื้นฐานในการออกแบบด้านความปลอดภัย

5 พฤศจิกายน 2025 - คอมมิต be768d9: ภาพลวงตาของ "การเสริมกำลัง"

อาจเป็นเพราะตระหนักถึงปัญหาด้านความปลอดภัย ทีม Nofx จึงได้เพิ่มกลไกการตรวจสอบสิทธิ์ JWT (JSON Web Token) เข้าไปในการแก้ไขครั้งนี้ โดยผิวเผินแล้ว ดูเหมือนจะเป็นมาตรการเสริมความปลอดภัยให้แข็งแกร่งขึ้น

แต่ปัญหาคือ:

1. ค่า jwt_secret เริ่มต้นยังคงเดิม

2. หากผู้ใช้ไม่ได้ตั้งค่าตัวแปรสภาพแวดล้อม ระบบจะกลับไปใช้ค่าเริ่มต้นที่กำหนดไว้ตายตัว

3. `/api/exchanges` ยังคงส่งคืนข้อมูลที่ละเอียดอ่อนทั้งหมดในรูปแบบ JSON ดั้งเดิม

หมายความว่า:

• ผู้โจมตีสามารถใช้คีย์เริ่มต้นเพื่อปลอมแปลงโทเค็น JWT ได้
• เมื่อได้รับโทเค็นที่ถูกต้องแล้ว กุญแจทั้งหมดจะยังคงถูกเปิดเผยอย่างสมบูรณ์ • เวอร์ชันที่ "เสริมความแข็งแกร่ง" แล้วนั้น ในทางปฏิบัติก็ยังคงมีความเสี่ยงอยู่ดี

มันก็เหมือนกับการใส่กุญแจล็อกประตู แต่กุญแจกลับไปอยู่ใต้พรมเช็ดเท้า และทุกคนก็รู้เรื่องนี้

13 พฤศจิกายน 2025 - สาขาการพัฒนา: ความเสี่ยงที่ยังคงมีอยู่

แม้กระทั่งในวันที่ 13 พฤศจิกายน สาขาการพัฒนา (dev branch) ก็ยังคงมีปัญหาอยู่หลายประการ:

• การใช้งาน authMiddleware ยังคงมีข้อบกพร่องอยู่ (api/server.go:1471–1511)
• /api/exchanges ยังคงส่งคืน ExchangeConfig ฉบับสมบูรณ์ (api/server.go:1009–1021) โดยตรง
• ไฟล์การกำหนดค่ายังคงกำหนดค่า admin_mode=true และ jwt_secret เป็นค่าเริ่มต้นอยู่
• สาขาหลัก (origin/main) ยังคงติดอยู่ที่เวอร์ชันที่ไม่มีการรับรองใดๆ ตั้งแต่วันที่ 31 ตุลาคม

นี่ไม่ใช่ความผิดพลาดโดยบังเอิญ แต่เป็นการขาดความตระหนักด้านความปลอดภัยอย่างเป็นระบบ

การค้นพบและการตอบสนอง: การทำงานหลักของ SlowMist

แหล่งที่มาของข้อมูล: นักวิจัยด้านความปลอดภัย @Endlessss20 ได้ให้ข้อมูลเบื้องต้นแก่ SlowMist ว่า Nofx มีช่องโหว่ด้านความปลอดภัย

การวิเคราะห์เชิงลึก: ทีมรักษาความปลอดภัยของ SlowMist ได้ทำการตรวจสอบโค้ด GitHub ของ Nofx อย่างละเอียด และพบปัญหาการตรวจสอบสิทธิ์หลักสองประการดังที่กล่าวไว้ข้างต้น

การสแกนเครือข่ายแบบเต็มรูปแบบ: สิ่งที่น่าตกใจยิ่งกว่านั้นคือ SlowMist ได้ทำการสแกนทั่วทั้งอินเทอร์เน็ตและค้นพบอินสแตน ซ์การใช้งาน Nofx ที่สามารถเข้าถึงได้จากสาธารณะมากกว่า 1,000 รายการ ซึ่งหลายรายการใช้การกำหนดค่าเริ่มต้นหรือการกำหนดค่าที่ไม่เสถียร โดยมีข้อมูลประจำตัวของผู้ใช้เปิดเผยอย่างสมบูรณ์

นี่ไม่ใช่ความเสี่ยงด้านความปลอดภัยในเชิงทฤษฎี แต่เป็นภัยคุกคามที่เกิดขึ้นจริงในขณะนี้

การประสานงานอย่างเร่งด่วน: เนื่องจากความเสี่ยงมีความเร่งด่วน SlowMist จึงติดต่อตลาดหลักทรัพย์หลักๆ ทันที:

• ให้ข้อมูลเชิงลึกแก่ทีมรักษาความปลอดภัยของ Binance และ OKX ทั้งสองแพลตฟอร์มการซื้อขายได้ทำการตรวจสอบความถูกต้องโดยอิสระ • ใช้คีย์ API ที่ได้รับเพื่อติดตามผู้ใช้ที่ได้รับผลกระทบ • แจ้งเตือนผู้ใช้และช่วยเหลือในการเปลี่ยนคีย์ • ป้องกันการโจมตีการซื้อขายแบบปั่นราคา (wash trading) ที่อาจเกิดขึ้น

ความคืบหน้าในการประมวลผล: ณ วันที่ 17 พฤศจิกายน 2025 คีย์ที่เปิดเผยของผู้ใช้แพลตฟอร์มแลกเปลี่ยนแบบรวมศูนย์ (CEX) ทั้งหมดได้รับการประมวลผลแล้ว อย่างไรก็ตาม ผู้ใช้ Aster และ Hyperliquid บางรายไม่สามารถเข้าถึงได้โดยตรงเนื่องจากลักษณะการกระจายอำนาจของกระเป๋าเงิน และจำเป็นต้องตรวจสอบด้วยตนเอง

ขอบเขตของผลกระทบ: มากกว่าแค่ปัญหาทางเทคนิค

ผลกระทบจากเหตุการณ์ด้านความปลอดภัยนี้ขยายวงกว้างออกไปไกลกว่าด้านเทคนิค:

ผู้ที่ได้รับผลกระทบโดยตรง:

• ผู้ใช้งาน Nofx มากกว่า 1,000 ราย สำหรับการซื้อขายอัตโนมัติ • ครอบคลุมหลายแพลตฟอร์ม รวมถึง Binance, OKX และ Hyperliquid • เปิดเผยไม่เพียงแค่คีย์ API แต่ยังรวมถึงคีย์ส่วนตัวและที่อยู่กระเป๋าเงินดิจิทัลด้วย

ความสูญเสียที่อาจเกิดขึ้น:

• หากผู้โจมตีลงมือก่อนที่ตลาดจะเข้ามาแทรกแซง เงินทุนของผู้ใช้อาจถูกขโมยไปทั้งหมด • ระบบการซื้อขายอัตโนมัติที่ขับเคลื่อนด้วย AI มีลักษณะเด่นคือความถี่สูงและจำนวนเงินมหาศาล ดังนั้นการสูญเสียจึงอาจรุนแรงมาก

ความไว้วางใจพังทลาย:

• ชุมชนสูญเสียความเชื่อมั่นในความปลอดภัยของโครงการ Nofx สิ่งนี้ทำให้เกิดคำถามเกี่ยวกับระบบนิเวศการซื้อขาย AI แบบโอเพนซอร์สทั้งหมด นักพัฒนาเริ่มระมัดระวังมากขึ้นเมื่อเลือกโครงการโอเพนซอร์ส

คำถามที่ลึกกว่านั้นคือ: ทำไมจึงเกิดความผิดพลาดพื้นฐานเช่นนี้ขึ้น?

ช่องโหว่ด้านความปลอดภัยใน Nofx ไม่ใช่ความท้าทายทางเทคนิคขั้นสูง แต่เป็นเรื่องสามัญสำนึกด้านความปลอดภัยขั้นพื้นฐาน:

1. กลไกการตรวจสอบสิทธิ์ควรเปิดใช้งานโดยค่าเริ่มต้น ไม่ใช่ปิดใช้งานโดยค่าเริ่มต้น

2. คีย์เริ่มต้นควรสร้างขึ้นแบบสุ่ม ไม่ใช่กำหนดตายตัว

3. ข้อมูลที่ละเอียดอ่อนควรได้รับการเข้ารหัสหรือปกปิดตัวตน แทนที่จะส่งคืนในรูปแบบข้อความธรรมดา

4. ไฟล์การกำหนดค่าควรแจ้งเตือนถึงความเสี่ยงด้านความปลอดภัยอย่างชัดเจน

นี่คือหลักการที่นักพัฒนาที่มีประสบการณ์ทุกคนควรรู้ แล้วทำไม Nofx ถึงทำผิดพลาดเช่นนี้?

สาเหตุที่เป็นไปได้:

1. การพัฒนาอย่างรวดเร็วต้องมาก่อน: ในยุคที่การซื้อขายด้วย AI กำลังเฟื่องฟู การริเริ่มก่อนเป็นสิ่งสำคัญกว่าการรักษาความปลอดภัย

2. ทีมงานขาดประสบการณ์: อาจขาดประสบการณ์ในการจัดการเงินทุนของผู้ใช้อย่างปลอดภัย

3. การกำหนดค่าสภาพแวดล้อมทดสอบที่พร้อมใช้งานจริง: การตรวจสอบสิทธิ์ถูกปิดใช้งานเพื่อวัตถุประสงค์ในการทดสอบ แต่การกำหนดค่านี้ได้ถูกนำไปใช้ในสภาพแวดล้อมการใช้งานจริงในภายหลัง

4. ขาดการตรวจสอบด้านความปลอดภัย: โครงการโอเพนซอร์สส่วนใหญ่มักขาดการตรวจสอบด้านความปลอดภัยจากผู้เชี่ยวชาญ

แต่เหตุผลพื้นฐานที่สุดอาจเป็น: โอเพนซอร์ส ≠ ความปลอดภัย

หลายคนเชื่อว่าโค้ดโอเพนซอร์สหมายความว่ามันอยู่ภายใต้การตรวจสอบอย่างต่อเนื่อง ทำให้มีความปลอดภัยมากขึ้น แต่ความเป็นจริงคือ:

• ผู้ใช้ส่วนใหญ่เป็นเพียงผู้ใช้ทั่วไป ไม่ใช่นักรีวิว • แม้ว่าพวกเขาจะพบปัญหา แต่พวกเขาอาจไม่มีความสามารถหรือความเต็มใจที่จะส่งวิธีแก้ไข • การตรวจสอบความปลอดภัยต้องใช้ความเชี่ยวชาญและเวลามาก • บริษัทเอกชนมีทีมรักษาความปลอดภัย ในขณะที่โครงการโอเพนซอร์สส่วนใหญ่มักไม่มี

ขอบเขตความรับผิดชอบ: ผู้เขียนซอฟต์แวร์โอเพนซอร์สควรรับผิดชอบมากน้อยแค่ไหน?

นี่ทำให้เกิดคำถามที่ถกเถียงกันขึ้นมา: เมื่อผู้ใช้ประสบความสูญเสียเนื่องจากช่องโหว่ในซอฟต์แวร์โอเพนซอร์ส ผู้เขียนซอฟต์แวร์โอเพนซอร์สควรต้องรับผิดชอบหรือไม่?

จากมุมมองทางกฎหมาย สัญญาอนุญาตแบบโอเพนซอร์สส่วนใหญ่ (รวมถึง MIT และ AGPL) จะมีข้อความปฏิเสธความรับผิดชอบว่า "ซอฟต์แวร์นี้จัดให้ 'ตามสภาพที่เป็นอยู่' โดยไม่มีการรับประกันใด ๆ ทั้งโดยชัดแจ้งหรือโดยนัย... ผู้เขียนจะไม่รับผิดชอบต่อความเสียหายใด ๆ"

แต่จากมุมมองด้านศีลธรรม เมื่อคุณรู้ว่าโค้ดของคุณจะถูกผู้ใช้ใช้ในการจัดการสินทรัพย์ที่เป็นเงินจริง คุณควรจะมีมาตรฐานความปลอดภัยที่สูงกว่านี้ไม่ใช่หรือ?

จุดเด่นของเคส Nofx คือ:

1. นี่คือระบบ ซื้อขายอัตโนมัติที่ขับเคลื่อนด้วย AI ซึ่งเกี่ยวข้องกับเงินทุนของผู้ใช้โดยตรง

2. โครงการนี้ได้รับดาวมากกว่า 9,000 ดวง และมีฐานผู้ใช้จำนวนมาก

3. จุดอ่อนไม่ได้เกิดจากการโจมตีที่ซับซ้อนและแอบแฝง แต่เกิดจากการขาดการป้องกันขั้นพื้นฐาน

4. ปัญหาดังกล่าวเกิดขึ้นต่อเนื่องมาหลายสัปดาห์แล้ว และในระหว่างนั้นก็มีผู้ใช้งานรายใหม่ทยอยเปิดใช้งานบริการของตนอย่างต่อเนื่อง

ผลกระทบต่ออุตสาหกรรม: ความเสี่ยงเฉพาะตัวของการซื้อขายด้วย AI

วิกฤตด้านความปลอดภัยของ Nofx เผยให้เห็นความเสี่ยงเฉพาะตัวที่มีอยู่ในสาขาการซื้อขายโดยใช้ปัญญาประดิษฐ์ (AI):

ระบบอัตโนมัติเป็นดาบสองคม:

• ระบบการซื้อขาย AI ถูกออกแบบมาให้ทำงานอัตโนมัติตลอด 24 ชั่วโมง 7 วันต่อสัปดาห์ • เมื่อถูกเจาะระบบ ผู้โจมตีสามารถดำเนินการซื้อขายจำนวนมากได้อย่างรวดเร็ว • ผู้ใช้อาจไม่รู้ตัวว่าสินทรัพย์ของตนถูกโอนไปเป็นเวลาหลายชั่วโมง

ความขัดแย้งระหว่างซอฟต์แวร์โอเพนซอร์สและความปลอดภัย:

• ซอฟต์แวร์โอเพนซอร์สช่วยให้ชุมชนปรับปรุงและตรวจสอบระบบได้ดียิ่งขึ้น • แต่ก็ทำให้ผู้โจมตีค้นพบช่องโหว่ได้ง่ายขึ้นเช่นกัน • ช่องโหว่มักถูกเปิดเผยก่อนที่จะมีการแก้ไขช่องโหว่ด้านความปลอดภัยเสร็จสมบูรณ์

ขาดการให้ความรู้แก่ผู้ใช้งาน:

• ผู้ใช้จำนวนมากไม่เข้าใจความเสี่ยงของการใช้งานระบบซื้อขายด้วย AI • พวกเขาใช้การตั้งค่าเริ่มต้นโดยตรงโดยไม่รู้ว่าต้องเปลี่ยนคีย์ • พวกเขาเปิดเผยบริการสู่สาธารณะทางอินเทอร์เน็ตโดยไม่มีการป้องกันความปลอดภัยขั้นพื้นฐาน

ความสำคัญอันเป็นแบบอย่างของ SlowMist

การกระทำของ SlowMist ในเหตุการณ์นี้เป็นสิ่งที่น่ายกย่อง:

1. การตอบสนองอย่างรวดเร็ว: การวิเคราะห์เชิงลึกทันทีที่ได้รับข้อมูลข่าวกรอง

2. การสแกนเชิงรุก: ค้นหาจุดที่ได้รับผลกระทบโดยอัตโนมัติโดยไม่ต้องรอรายงานจากผู้ใช้

3. ความร่วมมือกับภาคอุตสาหกรรม: ทำงานร่วมกับตลาดหลักทรัพย์อย่างใกล้ชิด แทนที่จะดำเนินการอย่างโดดเดี่ยว

4. การเปิดเผยข้อมูลต่อสาธารณะ: เผยแพร่รายงานโดยละเอียดหลังจากจัดการกับเหตุฉุกเฉินแล้ว และให้ความรู้แก่ชุมชน

5. ชี้แจงจุดยืนของคุณ: เน้นย้ำว่านี่ไม่ใช่การวิพากษ์วิจารณ์ แต่เป็นมาตรการเพื่อลดความเสี่ยง

กลไกการเปิดเผยความรับผิดชอบนี้เป็นหัวใจสำคัญของความปลอดภัยในอุตสาหกรรม

โดยสรุป: ซอฟต์แวร์โอเพนซอร์สไม่ใช่บัตรผ่านที่จะทำให้พ้นผิด

เหตุการณ์ช่องโหว่ด้านความปลอดภัยของ Nofx บอกเราว่า:

1. โครงการโอเพนซอร์สจำเป็นต้องมีการตรวจสอบด้านความปลอดภัย: แม้แต่โครงการที่พัฒนาอย่างรวดเร็วก็ไม่ควรละเลยการตรวจสอบด้านความปลอดภัย

2. การกำหนดค่าเริ่มต้นควรให้ความสำคัญกับความปลอดภัยเป็นอันดับแรก: ความง่ายในการพัฒนาและความง่ายในการโจมตีมักเป็นสองด้านของเหรียญเดียวกัน

3. เงินทุนของผู้ใช้ต้องได้รับการดูแลเป็นพิเศษ: สำหรับระบบที่เกี่ยวข้องกับเงิน ความปลอดภัยถือเป็นหลักประกันขั้นพื้นฐานที่ไม่สามารถละเลยได้

4. ชุมชนจำเป็นต้องสร้างกลไกการตอบสนองด้านความปลอดภัย: การกระทำของ SlowMist เป็นตัวอย่างที่ดี

5. ทักษะทางเทคนิค ≠ ความตระหนักด้านความปลอดภัย: การเขียนโค้ดที่ใช้งานได้ไม่ได้หมายความว่าคุณสามารถเขียนโค้ดที่ปลอดภัยได้

คำถามที่ 4: การ "รับรอง" ของแอมเบอร์มีมูลค่าเท่าไหร่กันแน่?

ท่ามกลางวิกฤตการณ์มากมายของ Nofx มีรายละเอียดหนึ่งที่มักถูกมองข้าม แต่กลับเผยให้เห็นปัญหาที่พบได้ทั่วไปในอุตสาหกรรมคริปโตเคอร์เรนซี นั่นคือ วัฒนธรรมการรับรอง (certification)

การปรากฏตัวของการรับรอง: ได้รับการสนับสนุนจาก @amber_ac_

ก่อนเกิดเหตุการณ์ หากคุณเข้าไปดูโปรไฟล์ทวิตเตอร์ของ Nofx คุณจะเห็นข้อความต่อไปนี้ในส่วนประวัติส่วนตัว: ได้รับการสนับสนุนโดย @amber_ac_

นี่หมายความว่าอย่างไร? ในวงการคริปโตเคอร์เรนซี...

โดยทั่วไปแล้ว "ได้รับการสนับสนุนโดย" หมายความว่า:

• ได้รับเงินลงทุนจากสถาบันนั้น • หรืออย่างน้อยก็ได้รับการสนับสนุนด้านการบ่มเพาะ • มีความสัมพันธ์ที่ได้รับการยอมรับอย่างเป็นทางการ

Amber Group เป็นองค์กรที่มีชื่อเสียงในอุตสาหกรรมคริปโตเคอร์เรนซี มีเงินทุนและทรัพยากรจำนวนมาก amber.ac คือโครงการเร่งการเติบโตของระบบนิเวศของกลุ่ม สำหรับโครงการโอเพนซอร์สใหม่ การได้รับการรับรองจาก Amber หมายความว่า:

1. การรับรองความน่าเชื่อถือ: ทำให้โครงการมีความน่าเชื่อถือมากขึ้นและดึงดูดผู้ใช้ได้มากขึ้น

2. การอำนวยความสะดวกด้านการเงิน: นักลงทุนรายอื่น ๆ จะเต็มใจทำตามมากขึ้น

3. การสนับสนุนด้านทรัพยากร: โอกาสในการเข้าถึงการสนับสนุนด้านเทคนิค การตลาด และกฎหมาย

4. ความเชื่อมั่นของชุมชน: ผู้ใช้เต็มใจที่จะเข้าร่วมและมีส่วนร่วมมากขึ้น

นี่ก็เหมือนกับผู้ประกอบการที่ได้รับข้อเสนอการลงทุนจากบริษัทร่วมทุนชั้นนำ แม้ว่าพวกเขาจะยังไม่ได้รับการสนับสนุนทางการเงิน แต่การรับรองนั้นก็มีคุณค่ามหาศาลแล้ว

ชิปของแซ็ค: ผมสามารถพาแอมเบอร์มาได้

ย้อนกลับไปที่เบื้องหลังความขัดแย้งภายใน ไพ่เด็ดของแซ็คในการเรียกร้องหุ้น 50% คือความสามารถของเขาในการแนะนำแอมเบอร์ให้รู้จักกับฝ่ายการตลาดของ Nofx

จากข้อมูลของทิงเคิล แซ็คเคยเป็นนักศึกษาฝึกงานที่แอมเบอร์มาก่อน ซึ่งในวงการนี้ ประสบการณ์ดังกล่าวหมายถึงเครือข่ายความสัมพันธ์ที่ดีระดับหนึ่ง แซ็คสัญญากับทิงเคิลว่าเขาจะนำเงินลงทุนหรือการสนับสนุนด้านการบ่มเพาะจากแอมเบอร์มาให้ได้ แลกกับการถือหุ้น 50%

จากมุมมองทางธุรกิจ การทำธุรกรรมนี้ถือว่าสมเหตุสมผล:

• หากแซ็คสามารถดึงดูดการลงทุนจากแอมเบอร์ได้สำเร็จ การสนับสนุนนี้จะมีมูลค่ามากกว่าการเขียนโค้ดเพียง 14 วันอย่างแน่นอน • สำหรับโครงการโอเพนซอร์ส การได้รับการรับรองจากสถาบันชั้นนำถือเป็นก้าวสำคัญที่จะทำให้โครงการประสบความสำเร็จ • การให้หุ้น 50% แก่ผู้แนะนำทรัพยากรในระยะเริ่มต้นนั้นไม่ใช่เรื่องที่ไม่เคยเกิดขึ้นมาก่อน

แต่คำถามสำคัญคือ: ในที่สุดแอมเบอร์มาหรือไม่?

แอมเบอร์ชี้แจงเพิ่มเติม: ไม่มีโครงการบ่มเพาะ การลงทุน หรือความร่วมมือทางธุรกิจอย่างเป็นทางการใดๆ ทั้งสิ้น

ในเดือนธันวาคม 2025 ท่ามกลางความขัดแย้งภายในและข้อถกเถียงเรื่องโอเพนซอร์สที่เกิดขึ้นกับ Nofx ทาง amber.ac ได้ออกแถลงการณ์อย่างเป็นทางการ:

"เราไม่มีโครงการบ่มเพาะ การลงทุน หรือความร่วมมือทางธุรกิจอย่างเป็นทางการกับ Nofx เรามีการแลกเปลี่ยนความคิดเห็นอย่างเป็นมิตรกับ Nofx โดยอิงจากการสังเกตการณ์ในอุตสาหกรรม แต่การแลกเปลี่ยนเหล่านั้นไม่ได้นำไปสู่ความร่วมมืออย่างเป็นทางการใดๆ ความร่วมมืออย่างเป็นทางการทั้งหมดของเราจะประกาศผ่านทางเว็บไซต์อย่างเป็นทางการของเรา"

คำกล่าวนี้ค่อนข้างแยบยล:

1. ปฏิเสธความสัมพันธ์อย่างเป็นทางการ: ไม่มีการลงทุน ไม่มีการบ่มเพาะธุรกิจ และไม่มีความร่วมมือทางธุรกิจ

2. การรับทราบการติดต่อก่อนหน้านี้: "การแลกเปลี่ยนที่เป็นมิตร" และ "ข้อสังเกตเกี่ยวกับอุตสาหกรรม"

3. เน้นขั้นตอนการดำเนินงาน: ความร่วมมืออย่างเป็นทางการจะได้รับการประกาศอย่างเป็นทางการ

4. การกำหนดขอบเขตที่ชัดเจน: นี่เป็นการเลิกจ้างอย่างเป็นทางการต่อสาธารณะ

คำถามก็คือ ความแตกต่างระหว่าง "การสื่อสารที่เป็นมิตร" กับ "ได้รับการสนับสนุนโดย" นั้นมากน้อยแค่ไหน?

การหายไปของการรับรอง: การลบและคำอธิบาย

หลังจากที่แอมเบอร์ออกแถลงการณ์ได้ไม่นาน ชุมชนก็พบว่า Nofx ได้ลบวลี "Backed by @amber_ac_" ออกจากประวัติส่วนตัวในทวิตเตอร์ของตนอย่างเงียบๆ

เพื่อตอบคำถามจากชาวเน็ต บรรณาธิการของ Nofx กล่าวว่า "เราขอขอบคุณแอมเบอร์สำหรับการสนับสนุนในตอนแรก แต่เนื่องจากสถานการณ์ปัจจุบันและคำขอของเธอ เราจึงเคารพความต้องการของเธอและได้ลบเนื้อหาดังกล่าวออกแล้ว"

คำตอบนี้ก่อให้เกิดคำถามใหม่:

1. "การสนับสนุนเบื้องต้น" คืออะไร: หากไม่มีความร่วมมืออย่างเป็นทางการ การสนับสนุนหมายถึงอะไร?

2. การลบข้อมูล "ตามคำขอของอีกฝ่าย": แอมเบอร์ได้ร้องขอการลบข้อมูลด้วยตนเองหรือไม่?

3. ผลกระทบจาก "เหตุการณ์ปัจจุบัน": การร้องขอให้ลบเนื้อหาเกิดขึ้นเนื่องจากเรื่องอื้อฉาวหรือไม่?

จากมุมมองของแอมเบอร์ การตัดครั้งนี้เป็นสิ่งที่จำเป็น:

• Nofx กำลังเผชิญกับปัญหาช่องโหว่ด้านความปลอดภัย ข้อพิพาทด้านส่วนแบ่งการถือหุ้น และความขัดแย้งทางสัญญา • การมีส่วนเกี่ยวข้องใดๆ กับ Nofx อาจส่งผลเสียต่อชื่อเสียงของ Amber Amber ไม่ต้องการรับผิดชอบใดๆ หากผู้ใช้ได้รับความเสียหายอันเป็นผลมาจากการใช้ Nofx

จากมุมมองของ Nofx การลบครั้งนี้ดูไม่เหมาะสม:

• คำรับรองที่พวกเขาเคยภาคภูมิใจกลับหายไปอย่างกะทันหัน • ภาพลักษณ์ที่โลกภายนอกได้รับคือ "แม้แต่นักลงทุนก็หนีไปหมดแล้ว"
• เหตุการณ์นี้ยิ่งทำให้ความเชื่อมั่นของชุมชนลดลงไปอีก

"โครงการเร่งการพัฒนาระบบนิเวศ" กับ "การลงทุนอย่างเป็นทางการ": พื้นที่สีเทา

amber.ac วางตำแหน่งตัวเองเป็น "ตัวเร่งการเติบโตของระบบนิเวศ" มากกว่าจะเป็นกองทุนลงทุนโดยตรง ความคลุมเครือในการวางตำแหน่งนี้เป็นต้นเหตุของปัญหา

โดยทั่วไปแล้ว ตัวเร่งการพัฒนาระบบนิเวศจะนำเสนอสิ่งต่อไปนี้:

• การให้คำปรึกษาและคำแนะนำจากผู้เชี่ยวชาญในอุตสาหกรรม • แหล่งข้อมูลชุมชนและการสร้างเครือข่าย • การเข้าร่วมกิจกรรมและการเผยแพร่แบรนด์ • แต่ไม่รับประกันว่าจะได้รับเงินทุนโดยตรง

ความสัมพันธ์ด้านการลงทุนอย่างเป็นทางการ ได้แก่:

• ระบุจำนวนเงินลงทุนและอัตราส่วนทุนอย่างชัดเจน • เอกสารทางกฎหมาย (สัญญาลงทุน สัญญาระหว่างผู้ถือหุ้น)
• สิทธิ์ในการดำรงตำแหน่งกรรมการหรือผู้สังเกตการณ์ • การรายงานทางการเงินและการดำเนินงานอย่างสม่ำเสมอ

ความสัมพันธ์ระหว่าง Nofx และ amber.ac อาจอยู่ในพื้นที่สีเทาระหว่างทั้งสอง:

• เราได้มีการแลกเปลี่ยนและให้คำแนะนำกันบ้างแล้ว (เป็นการแลกเปลี่ยนอย่างเป็นมิตร)
Nofx ถือว่านี่เป็นการ "ให้การสนับสนุน" และสามารถระบุว่า "ได้รับการสนับสนุนโดย" ได้
• amber.ac เชื่อว่านี่ไม่ใช่ "ความร่วมมืออย่างเป็นทางการ" และไม่ควรเผยแพร่ต่อสาธารณะ • แซ็คอาจเป็นผู้ประสานงานในการแลกเปลี่ยนเหล่านี้ แต่สุดท้ายแล้วก็ไม่ได้นำไปสู่การลงทุน

การแพร่หลายของวัฒนธรรมการรับรอง: ปัญหาทั่วไปในอุตสาหกรรมคริปโตเคอร์เรนซี

เหตุการณ์ Nofx-Amber เป็นเพียงส่วนเล็กๆ ของปัญหาทั้งหมด ในอุตสาหกรรมคริปโตเคอร์เรนซี วัฒนธรรมการรับรองสินค้าได้แพร่หลายไปทั่วแล้ว

เทคนิคการรับรองทั่วไป:

1. สถาบันแห่งหนึ่งถูกระบุว่าเป็นผู้ลงทุนหลัก: ในความเป็นจริงแล้ว อาจเป็นการลงทุนเพิ่มเติมเพียงเล็กน้อยเท่านั้น

2. บุคคลสำคัญให้การรับรอง: อาจเป็นการแชร์ต่อก็ได้

3. ผ่านการสนับสนุนจากโครงการเร่งพัฒนาธุรกิจบางแห่ง: พวกเขาอาจเข้าร่วมเวิร์คช็อปเพียงครั้งเดียวเท่านั้น

4. การเป็นพันธมิตรกับตลาดหลักทรัพย์แห่งใดแห่งหนึ่ง: นี่อาจหมายความเพียงแค่ว่าได้มีการยื่นคำขอจดทะเบียนหลักทรัพย์แล้ว

ห่วงโซ่คุณค่าที่แท้จริงของการรับรอง:

• ระดับสูงสุด: สัญญาการลงทุนอย่างเป็นทางการ ซึ่งระบุจำนวนเงินและเงื่อนไขต่างๆ

• ระดับกลาง: ได้รับคัดเลือกเข้าร่วมโครงการเร่งพัฒนาธุรกิจที่มีแผนการสนับสนุนที่ชัดเจน

• ชั้นล่างสุด: เข้าร่วมกิจกรรมเพื่อเพิ่มพูนประสบการณ์

• ด้านล่างสุด: ฉันได้คุยส่วนตัวและให้คำแนะนำบางอย่าง

ปัญหาคือ โครงการหลายโครงการจงใจนำเสนอความสัมพันธ์ระดับล่างในรูปแบบของการรับรองจากระดับบน

เหตุใดสถาบันการลงทุนจึงยอมรับความคลุมเครือเช่นนี้โดยปริยาย?

1. ขยายอิทธิพล: มีโครงการต่างๆ กล่าวถึงแบรนด์ของคุณมากขึ้น ซึ่งจะช่วยขยายการเข้าถึงแบรนด์ของคุณให้กว้างขึ้น

2. การคิดเชิงตัวเลือก: เริ่มต้นด้วยการสร้างความสัมพันธ์ที่อ่อนแอ ซึ่งอาจเปลี่ยนเป็นการลงทุนในอนาคตได้

3. ความช่วยเหลือเล็กๆ น้อยๆ: ค่าใช้จ่ายในการแลกเปลี่ยนข้อมูลเพียงครั้งเดียวนั้นต่ำมาก แต่มีคุณค่าอย่างมากต่อทีมงานโครงการ

4. รายได้ที่ไม่ผ่านระบบภาษี: บางองค์กรอาจเรียกเก็บ "ค่าที่ปรึกษา" หรือ "ค่าธรรมเนียมการใช้แบรนด์"

เหตุใดทีมงานโครงการจึงกระตือรือร้นกับเรื่องนี้มากขนาดนี้?

1. ความต้องการด้านเงินทุน: การได้รับการรับรองจะช่วยให้การขอรับเงินทุนในอนาคตง่ายขึ้น

2. ความไว้วางใจจากผู้ใช้: ชุมชนมีแนวโน้มที่จะไว้วางใจโครงการที่ได้รับการรับรองจากสถาบันต่างๆ มากกว่า

3. แรงกดดันจากการแข่งขัน: โครงการอื่นๆ กำลังโปรโมตและรับรองตัวเอง หากคุณไม่ทำ คุณก็จะล้าหลัง

4. ความภาคภูมิใจ: ผู้ก่อตั้งก็ต้องการการยอมรับแบบนี้เช่นกัน

ข้อคิด: ขอบเขตความรับผิดชอบในการรับรองอยู่ที่ไหน?

กรณีของ Nofx-Amber ก่อให้เกิดคำถามสำคัญว่า องค์กรควรรับผิดชอบมากน้อยเพียงใดเมื่อชื่อขององค์กรถูกนำไปใช้ในการรับรองสินค้า?

ถ้าแอมเบอร์ลงทุนใน Nofx จริงๆ:

• ในฐานะผู้ถือหุ้น นักลงทุนมีหน้าที่ในการกำกับดูแลและบริหารจัดการโครงการ • นักลงทุนควรเข้าแทรกแซงหากเกิดปัญหาใหญ่ในโครงการ • นักลงทุนอาจต้องรับผิดชอบทางศีลธรรมบางประการต่อความสูญเสียของผู้ใช้งาน

ถ้าเป็นการ " แลกเปลี่ยนกันอย่างเป็นมิตร " เท่านั้น :

• แอมเบอร์ไม่มีภาระผูกพันทางกฎหมายใดๆ • อย่างไรก็ตาม หากโครงการใดนำชื่อของเธอเป็นการรับรอง แอมเบอร์ควรแก้ไขโดยทันที • หากเธอทราบถึงการใช้ในทางที่ผิดและไม่หยุดยั้ง ถือว่าเป็นการยินยอมหรือไม่?

ในกรณีของ Nofx:

1. Nofx ได้ติดแท็ก "Backed by Amber" บน Twitter มาหลายสัปดาห์ (และอาจจะหลายเดือน) แล้ว

2. ในฐานะองค์กรมืออาชีพ แอมเบอร์มีความสามารถในการตรวจสอบสื่อสังคมออนไลน์

3. ถ้าหากพวกเขาไม่ได้มีการร่วมมือกันอย่างเป็นทางการจริง ๆ ทำไมพวกเขาถึงไม่ชี้แจงให้ชัดเจนตั้งแต่แรก?

4. เราควรรอจนกว่า Nofx จะประสบปัญหาเสียก่อนแล้วค่อยรีบตัดความสัมพันธ์หรือไม่?

รูปแบบ "ความคลุมเครือก่อนแล้วค่อยแยกทางทีหลัง" นี้ทำลายรากฐานของความไว้วางใจในอุตสาหกรรมทั้งหมด

โดยสรุป: การท่องจำไม่ใช่เรื่องง่าย

บทเรียนจากเหตุการณ์แอมเบอร์-นอฟซ์:

1. ถึงเจ้าของโครงการ: อย่ากล่าวเกินจริงเกี่ยวกับความสัมพันธ์ของคุณกับสถาบันต่างๆ การรับรองเท็จจะถูกเปิดโปงในที่สุด

2. สำหรับสถาบันการลงทุน: กำหนดขอบเขตการรับรองให้ชัดเจน แก้ไขการละเมิดโดยทันที และให้พวกเขารับผิดชอบต่อการกระทำของตน

3. สำหรับผู้ใช้งาน: เรียนรู้วิธีแยกแยะระหว่างคำรับรองที่แท้จริงและคำรับรองปลอม และตรวจสอบช่องทางอย่างเป็นทางการของสถาบันการลงทุน

4. สำหรับภาคอุตสาหกรรม: กำหนดมาตรฐานและบรรทัดฐานการรับรองเพื่อลดความคลุมเครือ

ในอุตสาหกรรมคริปโตเคอร์เรนซี การรับรองถือเป็นรูปแบบหนึ่งของทุนทางสังคม แต่เช่นเดียวกับทุนทุกประเภท มันต้องการกฎเกณฑ์และความรับผิดชอบ เมื่อทุกคนใช้ความไว้วางใจนี้มากเกินไป ผลที่ตามมาคือความน่าเชื่อถือของอุตสาหกรรมทั้งหมดจะพังทลายลง

คำถามที่ 5: เหตุการณ์นี้ได้เปิดเผยปัญหาเชิงระบบอะไรบ้าง?

เมื่อเราตัดข้อกล่าวหาและการโต้แย้งเฉพาะเจาะจงออกไป และก้าวออกจากรายละเอียดของคดี Nofx เราจะพบว่าความวุ่นวายนี้ชี้ให้เห็นถึงปัญหาเชิงระบบที่ฝังรากลึกห้าประการ ซึ่งปัญหาเหล่านี้ไม่ได้มีอยู่เฉพาะใน Nofx เท่านั้น แต่ยังเป็น "จุดอ่อน" ของระบบนิเวศคริปโตแบบโอเพนซอร์สทั้งหมดอีกด้วย

คำถามที่ 1: การเสื่อมถอยของจิตวิญญาณโอเพนซอร์สในกระแสการค้าเชิงพาณิชย์

การเปลี่ยนแปลงใบอนุญาตของ Nofx จาก MIT เป็น AGPL แม้จะดูเหมือนเป็นการตัดสินใจทางเทคนิค แต่แท้จริงแล้วสะท้อนให้เห็นถึงความขัดแย้งพื้นฐานระหว่างเจตนารมณ์ของโอเพนซอร์สและผลประโยชน์ทางการค้า

เจตนารมณ์ดั้งเดิมของโอเพนซอร์ส:

• การแบ่งปันโค้ดช่วยส่งเสริมการทำงานร่วมกัน • การเรียนรู้จากผลงานของผู้อื่นช่วยหลีกเลี่ยงการคิดค้นสิ่งใหม่ทั้งหมด • ขับเคลื่อนโดยชุมชน โดยใช้ประโยชน์จากภูมิปัญญาส่วนรวม

ความเป็นจริงของการค้าเชิงพาณิชย์:

• จำเป็นต้องปกป้องผลประโยชน์ทางธุรกิจ • ป้องกันไม่ให้คู่แข่ง "ได้ประโยชน์" จากธุรกิจ
• แสวงหาช่องทางการสร้างรายได้

สัญญาอนุญาต MIT แสดงถึงอุดมคติของซอฟต์แวร์โอเพนซอร์ส: ใช้ได้อย่างอิสระ ตราบใดที่คุณอ้างอิงแหล่งที่มา ความเอื้อเฟื้อเผื่อแผ่เช่นนี้ดึงดูดนักพัฒนาและชุมชนจำนวนมาก ทำให้ Nofx ได้รับดาวมากกว่า 9000 ดวงอย่างรวดเร็ว

แต่เมื่อ Nofx เห็นว่าโครงการอย่าง COAI ซึ่งระดมทุนได้ 17 ล้านดอลลาร์ อาจจะนำโค้ดของพวกเขาไปใช้ พวกเขาก็เปลี่ยนใจ สัญญาอนุญาต AGPL เป็น "กำแพงป้องกัน" ที่เข้มงวดที่สุดในโลกโอเพนซอร์ส: ถ้าจะใช้โค้ดของฉัน คุณต้องเปิดเผยซอร์สโค้ดนั้นด้วย และห้ามใช้ในเชิงพาณิชย์แบบปิดซอร์ส

จากมุมมองของ Nofx การเปลี่ยนแปลงนี้ถือว่าสมเหตุสมผล:

• สิทธิ์ในการเลือกใบอนุญาต: ผู้เขียนซอฟต์แวร์โอเพนซอร์สมีสิทธิ์ในการประเมินการเลือกใบอนุญาตใหม่ในระหว่างการพัฒนาโครงการ AGPL เองเป็นใบอนุญาตโอเพนซอร์สที่ถูกต้องตามกฎหมายและมีการใช้งานอย่างแพร่หลาย

• ผลประโยชน์ที่ไม่เท่าเทียมกัน: ทีมพัฒนาซอฟต์แวร์โอเพนซอร์สขนาดเล็กมักรู้สึกว่าผลงานของตนไม่คุ้มค่ากับผลตอบแทนที่ได้รับ เมื่อเห็นว่าโค้ดของตนถูกนำไปใช้ในโครงการเชิงพาณิชย์ขนาดใหญ่ที่มีเงินทุนสนับสนุนอย่างดี

• การปกป้องระบบนิเวศ: ลักษณะ "การแพร่กระจาย" ของ AGPL ถูกออกแบบมาเพื่อป้องกันไม่ให้โค้ดโอเพนซอร์สถูก "นำไปใช้โดยไม่ได้รับอนุญาต" และเพื่อปกป้องการพัฒนาอย่างยั่งยืนของระบบนิเวศโอเพนซอร์ส

• สถานะเสียเปรียบ: เมื่อต้องเผชิญกับคู่แข่งที่มีเงินทุนสนับสนุน 17 ล้านดอลลาร์ โครงการโอเพนซอร์สจึงเสียเปรียบอย่างมากในแง่ของทรัพยากร การสนับสนุนทางกฎหมาย และการเข้าถึงตลาด

การเปลี่ยนแปลงนี้เป็นสิ่งที่เข้าใจได้ เพราะผู้เขียนซอฟต์แวร์โอเพนซอร์สมีสิทธิ์ที่จะเลือกใบอนุญาตของตนเอง อย่างไรก็ตาม ปัญหาที่แท้จริงอยู่ที่:

1. ไม่มีการแจ้งเตือนในชุมชน: การเปลี่ยนแปลงใบอนุญาตไม่ได้ถูกประกาศในชุมชน และนักพัฒนาที่ใช้เวอร์ชัน MIT อยู่แล้วอาจไม่ทราบเรื่องนี้

2. การบังคับใช้ย้อนหลัง: ใช้ข้อตกลงที่แก้ไขเมื่อวันที่ 4 พฤศจิกายน เพื่อตรวจสอบการกระทำที่เกิดขึ้นเมื่อวันที่ 3 พฤศจิกายน

3. การกล่าวหาแบบเลือกปฏิบัติ: เหตุใดจึงกล่าวหาเฉพาะ COAI แทนที่จะกล่าวหาโครงการอื่นๆ ที่ใช้เวอร์ชันของ MIT?

4. การเก็บรวบรวมข้อมูลส่วนตัว: Google Analytics ถูกติดตั้งใช้งานในระหว่างขั้นตอน MIT ซึ่งเก็บรวบรวมข้อมูลผู้ใช้โดยไม่เปิดเผยข้อมูลดังกล่าว

จากอีกมุมมองหนึ่ง แนวทางปฏิบัติบางอย่างของ Nofx อาจมีที่มาที่ไปเฉพาะตัว:

• การรักษาเจตนารมณ์ดั้งเดิม: วัตถุประสงค์พื้นฐานของการเปลี่ยนแปลงข้อตกลงอาจเป็นการปกป้องผลประโยชน์ของผู้มีส่วนร่วมในชุมชน มากกว่าการมุ่งเป้าไปที่คู่แข่งเฉพาะราย

• ข้อจำกัด: ในฐานะทีมขนาดเล็ก เราอาจละเลยกระบวนการสื่อสารกับชุมชนที่เป็นมาตรฐานไปบ้างในช่วงที่โครงการเติบโตอย่างรวดเร็ว

• ข้อกำหนดทางเทคนิค: Google Analytics น่าจะถูกใช้เพื่อทำความเข้าใจพฤติกรรมของผู้ใช้ ระบุปัญหา และปรับปรุงผลิตภัณฑ์ มากกว่าเพื่อการรวบรวมข้อมูลที่เป็นอันตราย

• ข้อจำกัดด้านทรัพยากร: เมื่อเผชิญกับการแข่งขันจากภาคธุรกิจที่มีเงินทุนสนับสนุนอย่างดี โครงการโอเพนซอร์สจึงขาดทรัพยากรด้านกฎหมายและตลาดที่เทียบเท่ากันอย่างแท้จริง

อย่างไรก็ตาม แม้จะเข้าใจพื้นฐานดังกล่าวแล้ว ปัญหาของการนำไปปฏิบัติก็ยังคงอยู่ นี่ไม่ใช่เพียงแค่การรักษาเจตนารมณ์ของโอเพนซอร์สอีกต่อไป แต่เป็นการหาจุดสมดุลระหว่างการปกป้องผลประโยชน์ของตนเองและการรักษาความไว้วางใจภายในระบบนิเวศโอเพนซอร์ส

การแปลกแยกจากซอฟต์แวร์โอเพนซอร์สปรากฏให้เห็นได้ในหลายรูปแบบดังนี้:

• เครื่องมือ : ซอฟต์แวร์โอเพนซอร์สกลายเป็นเครื่องมือในการดึงดูดผู้ใช้และความสนใจ มากกว่าที่จะเป็นเป้าหมายในตัวเอง

• การนำไปใช้เป็นอาวุธ: โปรโตคอลโอเพนซอร์สถูกนำมาใช้เป็นอาวุธโจมตีศัตรู แทนที่จะใช้เป็นพื้นฐานสำหรับการทำงานร่วมกัน

• แนวทางฝ่ายเดียว: เรียกร้องให้ผู้อื่นเปิดเผยซอร์สโค้ดของงานตนเอง ในขณะที่ตนเองเปลี่ยนแปลงกฎเกณฑ์โดยพลการ

การตัดสินใจนี้ต้องใช้ความระมัดระวัง เป็นการยากที่จะเข้าใจกระบวนการตัดสินใจภายในและแรงจูงใจที่แท้จริงของทีม Nofx จากภายนอก การเปลี่ยนแปลงใบอนุญาตโอเพนซอร์สเป็นสิทธิ์ทางกฎหมาย ประเด็นสำคัญคือ:

1. วิธีการดำเนินการ: วิธีการแก้ไขเปลี่ยนแปลง วิธีการแจ้งผู้ใช้ และวิธีการจัดการผู้ใช้ที่มีอยู่

2. ความโปร่งใส: กระบวนการตัดสินใจเปิดเผยต่อสาธารณะหรือไม่ และมีการอธิบายเหตุผลอย่างเพียงพอหรือไม่?

3. ความสม่ำเสมอ: สถานการณ์ที่คล้ายคลึงกันทั้งหมดได้รับการปฏิบัติอย่างเท่าเทียมกันหรือไม่

กรณีนี้เผยให้เห็น ปัญหาเชิงระบบในระบบนิเวศโอเพนซอร์ส Web3 นั่นคือ การขาดมาตรฐานที่สมบูรณ์ ไม่ใช่เพียงแค่พฤติกรรมที่มุ่งร้ายของฝ่ายใดฝ่ายหนึ่ง

ข้อเรียกร้องของทั้งสองฝ่ายนั้นสมเหตุสมผล:

ข้อเรียกร้องของ Nofx: ผลงานของผู้มีส่วนร่วมในโครงการโอเพนซอร์สไม่ควรถูกนำไปใช้ในโครงการเชิงพาณิชย์โดยไม่จ่ายค่าตอบแทน พวกเขาต้องได้รับการยอมรับและรางวัลที่เหมาะสม

• ข้อกล่าวอ้างของ COAI: โค้ดที่ใช้งานอย่างถูกต้องตามกฎหมายภายใต้ใบอนุญาต MIT ไม่ควรถูกบังคับให้ต้องปฏิบัติตามข้อผูกพันของ AGPL ย้อนหลัง

• ปัญหาของอุตสาหกรรม: จะสร้างสมดุลระหว่างการส่งเสริมการแบ่งปันแบบโอเพนซอร์สและการปกป้องสิทธิ์ของผู้สร้างสรรค์ได้อย่างไร

ความบิดเบือนนี้ทำลายรากฐานของความไว้วางใจภายในระบบนิเวศโอเพนซอร์สทั้งหมด เมื่อนักพัฒนาไม่แน่ใจว่าโครงการของ MIT จะถูกจัดประเภทใหม่เป็น AGPL และถูกดำเนินคดีตามกฎหมายหรือไม่ พวกเขาจะยังกล้าใช้โค้ดโอเพนซอร์สต่อไปหรือไม่? เมื่อผู้เขียนโอเพนซอร์สพบว่าผลงานของพวกเขาถูกนำไปใช้ในเชิงพาณิชย์โดยไม่ได้รับค่าตอบแทนใดๆ พวกเขาจะยังเต็มใจที่จะใช้โอเพนซอร์สต่อไปหรือไม่?

นี่เป็นสถานการณ์ที่ไม่มีใครได้ประโยชน์ สิ่งที่จำเป็นอย่างแท้จริงคือการกำหนดมาตรฐานระดับอุตสาหกรรม

คำถามที่ 2: การขาดความตระหนักรู้เกี่ยวกับความเสี่ยงทางกฎหมายในหมู่ทีมสตาร์ทอัพ

ข้อพิพาทเรื่องส่วนแบ่งหุ้นระหว่าง Tinkle และ Zack ได้เปิดเผยให้เห็นถึงปัญหาการปฏิบัติตามกฎหมายที่พบได้ทั่วไปในสตาร์ทอัพด้านคริปโตเคอร์เรนซี

ความวุ่นวายในการจัดสรรหุ้น:

• เอกสารทางกฎหมายที่แสดงว่า Zack ถือหุ้น 50% (การจดทะเบียน APEIRON LABS)
• ทิงเคิลเชื่อว่าแซ็คสมควรได้รับส่วนแบ่งหุ้นเพียง 10-20% เท่านั้น (โดยพิจารณาจากผลงานการเขียนโค้ด)
• ช่องว่างทางความคิดนี้ไม่ควรเกิดขึ้น การจัดสรรส่วนแบ่งความเป็นเจ้าของควรได้รับการกำหนดและบันทึกไว้อย่างชัดเจนตั้งแต่เริ่มต้น

บันทึกการตัดสินใจที่หายไป:

• แซ็คกล่าวว่าเขาได้รับส่วนแบ่งหุ้น 50% โดยมีข้อผูกมัดว่าจะนำเงินลงทุนจากแอมเบอร์เข้ามา • ทิงเคิลกล่าวว่าแซ็คพูดเกินจริงเกี่ยวกับความสามารถของเขา และสุดท้ายก็ไม่มีเงินลงทุนเข้ามา • ในขณะนั้นไม่มีบันทึกเป็นลายลักษณ์อักษรเกี่ยวกับเงื่อนไขของข้อตกลง: ว่าเป็นข้อผูกมัดที่จะพยายามอย่างเต็มที่ หรือจะได้รับส่วนแบ่งหุ้นก็ต่อเมื่อโครงการเสร็จสมบูรณ์แล้วเท่านั้น?

ความสับสนวุ่นวายในขั้นตอนการสื่อสาร:

• หลังจากที่แซ็คส่งจดหมายของทนายความไปแล้ว ทิงเคิลก็ไม่ตอบกลับเป็นเวลาหนึ่งเดือน • มีเพียงหลังจากที่ทิงเคิลกล่าวหาเขาต่อสาธารณะว่ากรรโชกทรัพย์เท่านั้น แซ็คจึงไม่มีทางเลือกอื่นนอกจากต้องตอบโต้ต่อสาธารณะ • ทำไมพวกเขาไม่เจรจากันเป็นการส่วนตัวก่อน แทนที่จะเปิดฉากสงครามสื่อโดยตรง?

การใช้เครื่องมือทางกฎหมายในทางที่ผิด:

• ทิงเคิลอ้างว่าจดหมายของทนายความนั้นเป็นการขู่กรรโชก ซึ่งเป็นความผิดทางอาญาที่ร้ายแรง • แซ็คได้แสดงเอกสารการประนีประนอมทางการค้ามาตรฐานเพื่อพิสูจน์ว่าเป็นการดำเนินการตามกฎหมาย

ปัญหาเหล่านี้พบได้บ่อยมากในทีมสตาร์ทอัพด้านคริปโตเคอร์เรนซี:

1. การดำเนินการอย่างรวดเร็วดีกว่าการปฏิบัติตามขั้นตอนที่กำหนดไว้: วัฒนธรรม "ทำก่อนทำก่อน" นำไปสู่การที่เอกสารทางกฎหมายจำนวนมากสูญหาย

2. แนวคิดที่ขับเคลื่อนด้วยเทคโนโลยี: บริษัทที่ก่อตั้งโดยวิศวกรมักละเลยข้อพิจารณาทางกฎหมายและการปฏิบัติตามกฎระเบียบ

3. ภาพลวงตาของการกระจายอำนาจ: การเชื่อว่ากฎหมายแบบดั้งเดิมสามารถถูกละเลยได้ในโลกของคริปโตเคอร์เรนซี

4. ข้อควรพิจารณาด้านค่าใช้จ่าย: โครงการในระยะเริ่มต้นอาจไม่มีงบประมาณเพียงพอที่จะจ้างทนายความมืออาชีพ

อย่างไรก็ตาม เมื่อโครงการขยายใหญ่ขึ้นหรือเกิดข้อพิพาทขึ้น การ "ละเลย" ในช่วงแรกเหล่านี้อาจกลายเป็นอันตรายที่ซ่อนเร้นอย่างใหญ่หลวงได้

สิ่งที่ควรทำ:

• ทีมผู้ก่อตั้งควรมีข้อตกลงร่วมกันเป็นลายลักษณ์อักษรตั้งแต่วันแรก
• กำหนดประเภทการมีส่วนร่วม สัดส่วนการถือหุ้น และกำหนดการได้รับสิทธิ์ของแต่ละบุคคลให้ชัดเจน
• การตัดสินใจที่สำคัญควรได้รับการบันทึกเป็นลายลักษณ์อักษร (อีเมล เอกสารที่ลงนามแล้ว)
• ควรให้ทนายความมืออาชีพตรวจสอบโครงสร้างและการปฏิบัติตามกฎระเบียบของบริษัทเป็นประจำ • ในกรณีที่มีข้อพิพาท ควรดำเนินการทางกฎหมายก่อน แทนที่จะไปทะเลาะกันในแวดวงประชาสัมพันธ์

คำถามที่ 3: ความไม่สอดคล้องกันอย่างร้ายแรงระหว่างความสามารถทางเทคนิคและการตระหนักรู้ด้านความปลอดภัย

ช่องโหว่ด้านความปลอดภัยของ Nofx เผยให้เห็นความจริงอันโหดร้าย: ในอุตสาหกรรมคริปโตเคอร์เรนซี ทักษะทางเทคนิค ≠ ความตระหนักรู้ด้านความปลอดภัย

อาการที่แสดงถึงความไม่ลงตัวของความสามารถ:

• Nofx มีความสามารถในการพัฒนาระบบซื้อขายอัตโนมัติที่ขับเคลื่อนด้วย AI ซึ่งต้องอาศัยความเชี่ยวชาญทางเทคนิคอย่างมาก อย่างไรก็ตาม บริษัทได้ทำผิดพลาดด้านความปลอดภัยขั้นพื้นฐาน เช่น "การตรวจสอบสิทธิ์เป็นศูนย์" และ "คีย์เริ่มต้น" การเขียนโค้ดที่ใช้งานได้ไม่ได้หมายความว่าสามารถเขียนโค้ดที่ปลอดภัยได้

ความสามารถในการระดมทุนไม่ได้หมายความถึงความแข็งแกร่งทางเทคโนโลยีเสมอไป:

• COAI ระดมทุนได้ 17 ล้านดอลลาร์ แต่เผชิญกับคำวิจารณ์เกี่ยวกับความสามารถในการเขียนโค้ด • Nofx ได้รับคำวิจารณ์ในเชิงบวกจากชุมชน แต่ประสบปัญหาช่องโหว่ด้านความปลอดภัย • ในอุตสาหกรรมคริปโตเคอร์เรนซี ความสามารถในการเล่าเรื่องมักมีน้ำหนักมากกว่าความเชี่ยวชาญทางเทคนิคในการระดมทุน

การลดความสำคัญของความปลอดภัย:

• ภายใต้แรงกดดันในการพัฒนาอย่างรวดเร็ว ความปลอดภัยจึงถูกมองว่าเป็นปัญหา "หลังการทำสัญญา" ฟีเจอร์ต่างๆ มีความสำคัญมากกว่าความปลอดภัย และความเร็วในการใช้งานมีความสำคัญมากกว่าการตรวจสอบโค้ด ความร้ายแรงของปัญหาจะปรากฏชัดก็ต่อเมื่อเกิดความเสียหายจริงขึ้นแล้ว

ความเข้าใจผิดที่ว่าซอฟต์แวร์โอเพนซอร์ส ≠ ความปลอดภัย:

• หลายคนเชื่อว่าโค้ดโอเพนซอร์สมีความปลอดภัยกว่าโดยธรรมชาติ ("มีคนนับล้านจับตามอง")
• อย่างไรก็ตาม ในความเป็นจริง ผู้ใช้ส่วนใหญ่ไม่ได้ดูที่โค้ด แต่ดูเฉพาะจำนวนดาวที่ได้รับเท่านั้น • การตรวจสอบความปลอดภัยต้องใช้ความรู้เฉพาะทางและเวลาจำนวนมาก ไม่ได้เกิดขึ้นโดยอัตโนมัติ

ความเสี่ยงพิเศษของการซื้อขายโดยใช้ AI:

• เกี่ยวข้องกับเงินทุนของผู้ใช้จริง ความเสียหายไม่สามารถแก้ไขได้ • การดำเนินการอัตโนมัติ ช่วงเวลาในการโจมตีสั้น ซึ่งมักจะตรวจจับไม่ได้แล้ว • การดำเนินงานตลอด 24 ชั่วโมง 7 วันต่อสัปดาห์ ยิ่งทำให้ปัญหาด้านความปลอดภัยมีผลกระทบมากขึ้น

บทเรียนที่ได้จากคดี Nofx:

1. ความปลอดภัยเป็นสิ่งสำคัญที่สุด ไม่ใช่ทางเลือก: ระบบที่เกี่ยวข้องกับเงินทุนของผู้ใช้จะต้องได้รับการตรวจสอบความปลอดภัยจากผู้เชี่ยวชาญ

2. ให้ความสำคัญกับความปลอดภัยในการตั้งค่าเริ่มต้น: การทำให้ผู้ใช้ไม่สะดวกบ้าง ดีกว่าการทำให้ผู้โจมตีเข้าถึงได้ง่าย

3. การพัฒนาอย่างรวดเร็วไม่ใช่ข้ออ้าง: ผลิตภัณฑ์ขั้นต่ำที่ใช้งานได้ (MVP) อาจมีฟังก์ชันการทำงานที่เรียบง่าย แต่ต้องไม่ปลอดภัยและเปราะบาง

4. ชุมชนต้องการกลไกการตอบสนองด้านความปลอดภัย: ควรมีการจัดตั้งบทบาทต่างๆ เช่น SlowMist ให้เป็นส่วนหนึ่งของระบบอย่างเป็นทางการ

คำถามที่ 4: วัฒนธรรมการรับรองที่แพร่หลายในอุตสาหกรรมคริปโตเคอร์เรนซี

เหตุการณ์ Nofx-Amber ได้เปิดเผยให้เห็นถึงวัฒนธรรมการรับรองสินค้าหรือบริการในวงการคริปโตเคอร์เรนซี

ภาวะเงินเฟ้อที่เกิดจากการรับรองสินค้า:

• โครงการเกือบทุกโครงการอ้างว่า "ได้รับการสนับสนุนจากองค์กรใดองค์กรหนึ่ง"
• แต่ความหมายของ "การสนับสนุน" นี้แตกต่างกันอย่างมาก • ตั้งแต่การลงทุนอย่างเป็นทางการไปจนถึงการสนทนาแบบไม่เป็นทางการ ทุกอย่างสามารถถูกบรรจุอยู่ในคำว่า "ได้รับการสนับสนุนโดย" ได้

การแพร่กระจายของพื้นที่สีเทา:

• ความร่วมมือเชิงกลยุทธ์: อาจเป็นเพียงการทำธุรกิจร่วมกัน • พันธมิตรในระบบนิเวศ: อาจเป็นเพียงการแชร์โพสต์ของกันและกัน • ทีมที่ปรึกษา: อาจเป็นเพียงความเกี่ยวข้องในนาม • สถาบันการลงทุน: อาจเป็นเพียงการซื้อโทเค็นบางส่วน

ทำไมวัฒนธรรมนี้ถึงมีตลาดรองรับ?

1. ความไม่สมดุลของข้อมูล : ผู้ใช้ทั่วไปพบว่าการตรวจสอบความถูกต้องของคำรับรองทำได้ยาก

2. ความคิดแบบเลียนแบบ: "คนนั้นคนนี้ลงทุน ดังนั้นมันต้องน่าเชื่อถือ"

3. แรงกดดันจากการแข่งขัน: หากไม่มีการโปรโมทและการรับรอง คุณจะเสียเปรียบตั้งแต่เริ่มต้น

4. ช่องว่างด้านกฎระเบียบ: ความถูกต้องของผลิตภัณฑ์ขาดการรับรองจากหน่วยงานที่เกี่ยวข้อง

วงจรชั่วร้าย:

• ทีมงานโครงการมักกล่าวเกินจริงเกี่ยวกับคำรับรองเพื่อดึงดูดความสนใจและเงินทุนให้มากขึ้น เมื่อเห็นตัวอย่างที่ประสบความสำเร็จ โครงการอื่นๆ จึงทำตาม • สถาบันการเงินต่างๆ ยอมยอมรับความสัมพันธ์ที่ไม่ชัดเจนโดยปริยาย เพื่อหวังผลในด้านอิทธิพล เมื่อโครงการประสบปัญหา สถาบันการเงินเหล่านั้นก็รีบถอยห่างออกมา ผู้ใช้งานและอุตสาหกรรมจึงได้รับความเสียหาย

วิธีที่จะทำลายวงจรนี้:

1. สถาบันการลงทุน: จัดทำรายการพอร์ตการลงทุนอย่างเป็นทางการ โดยระบุจำนวนเงินลงทุนและวันที่ลงทุน

2. ฝ่ายโครงการ: ควรส่งเสริมเฉพาะความสัมพันธ์ที่เป็นทางการและตรวจสอบได้ และจัดเตรียมเอกสารประกอบเท่านั้น

3. สื่อและผู้มีอิทธิพลทางความคิด (KOLs): ตรวจสอบความถูกต้องของคำรับรองก่อนรายงาน

4. ผู้ใช้งาน: เรียนรู้วิธีตรวจสอบข้อมูลและหลีกเลี่ยงการเชื่อคำรับรองโดยไม่ไตร่ตรอง

5. ข้อบังคับ: บทลงโทษสำหรับการรับรองเท็จ (มีอยู่แล้วในบางประเทศ)

คำถามที่ 5: การขาดกลไกการกำกับดูแลชุมชนอย่างสิ้นเชิง

ปัญหาที่ร้ายแรงที่สุดที่เกิดจากวิกฤตสามด้านของ Nofx คือการขาดกลไกการกำกับดูแลที่มีประสิทธิภาพภายในชุมชนโอเพนซอร์ส

ไม่มีกลไกการระงับข้อพิพาทโดยวิธีการอนุญาโตตุลาการสำหรับข้อพิพาทที่เกิดขึ้นจากข้อตกลงนี้

ข้อพิพาทระหว่าง Nofx และ COAI มีลักษณะเป็นการให้ข้อมูลที่ขัดแย้งกันจากทั้งสองฝ่าย ไม่มีบุคคลที่สามที่ได้รับการยอมรับอย่างเป็นสากลที่จะตัดสินว่าใครถูกใครผิด ทางเลือกเดียวคือการพึ่งพาความคิดเห็นสาธารณะและกฎหมาย ซึ่งความคิดเห็นสาธารณะนั้นไม่ยุติธรรม และกฎหมายนั้นมีค่าใช้จ่ายสูง

ขาดขั้นตอนมาตรฐานสำหรับประเด็นด้านความปลอดภัย:

• การตอบสนองอย่างทันท่วงทีของ SlowMist เป็นข้อยกเว้น ไม่ใช่เรื่องปกติ • โครงการโอเพนซอร์สส่วนใหญ่ขาดทีมตอบสนองด้านความปลอดภัย • การเปิดเผยช่องโหว่ การแจ้งเตือนผู้ใช้ และการแก้ไขฉุกเฉิน ล้วนขาดมาตรฐาน

ไม่มีช่องทางอุทธรณ์ในข้อพิพาทด้านความยุติธรรม:

• ความขัดแย้งระหว่างทิงเคิลและแซ็คสามารถแก้ไขได้ด้วยวิธีการทางกฎหมายหรือความคิดเห็นสาธารณะเท่านั้น • ชุมชนโอเพนซอร์สขาดกลไกการแก้ไขข้อพิพาท • การกำกับดูแล DAO ได้รับการเสนอมานานแล้ว แต่การนำไปใช้จริงนั้นเกิดขึ้นน้อยมาก

ขาดแรงจูงใจในการมีส่วนร่วมของชุมชน:

การตรวจสอบความปลอดภัยและการตรวจทานโค้ดต้องใช้เวลามากพอสมควร

• แต่ผู้มีส่วนร่วมในโครงการโอเพนซอร์สส่วนใหญ่มักเป็นอาสาสมัคร • บริษัทเชิงพาณิชย์มีทีมงานเฉพาะด้าน ในขณะที่โครงการโอเพนซอร์สขับเคลื่อนด้วยความรักและความทุ่มเท

ความพยายามที่อิงตามหลักปฏิบัติทางการกำกับดูแลที่มีอยู่:

1. OpenSSF (Open Source Security Foundation): ส่งเสริมแนวปฏิบัติที่ดีที่สุดด้านความปลอดภัยของซอฟต์แวร์โอเพนซอร์ส

2. CVE ( Common Vulnerabilities and Exposures): ระบบระบุและติดตามช่องโหว่

3. โครงการให้รางวัลสำหรับการ ค้นพบช่องโหว่ (Bug Bounty) : การให้โบนัสเพื่อเป็นแรงจูงใจแก่นักวิจัยด้านความปลอดภัย

4. ระเบียบปฏิบัติ : ระเบียบปฏิบัติของชุมชน

5. รูปแบบมูลนิธิ : การจัดตั้งมูลนิธิเพื่อบริหารจัดการโครงการ (เช่น มูลนิธิลินุกซ์)

อย่างไรก็ตาม การนำกลไกเหล่านี้ไปประยุกต์ใช้ในด้านการเข้ารหัสแบบโอเพนซอร์สยังคงมีจำกัดมาก

กลไกการกำกับดูแลที่เหมาะสมสำหรับโอเพนซอร์ส แนวทางที่สมดุล และกลุ่มผู้ใช้งาน ควรประกอบด้วย:

1. มาตรฐานการตรวจสอบความปลอดภัย: ระบุให้ชัดเจนว่าโครงการประเภทใดบ้างที่ต้องผ่านการตรวจสอบก่อนที่จะได้รับการแนะนำ

2. สถาบันอนุญาโตตุลาการ: บุคคลที่สามที่เป็นกลาง ทำหน้าที่จัดการข้อตกลงและข้อพิพาทด้านความยุติธรรม

3. กระบวนการเปิดเผยความรับผิดชอบ: วิธีการแจ้ง วิธีการแก้ไข และวิธีการประกาศหลังจากการค้นพบช่องโหว่

4. แรงจูงใจในการมีส่วนร่วมของชุมชน: มอบรางวัลแก่ผู้มีส่วนร่วมผ่านโทเค็น NFT หรือวิธีการอื่น ๆ

5. ข้อกำหนดด้านความโปร่งใส: การเปิดเผยข้อมูลสำคัญอย่างเป็นภาคบังคับ เช่น แหล่งเงินทุน การรับรอง และโครงสร้างส่วนของผู้ถือหุ้น

ต้นตอของปัญหาเชิงระบบ: การแลกเปลี่ยนระหว่างความเร็วและคุณภาพ

ต้นตอร่วมกันของปัญหาทั้งห้าประการนี้คือ การที่อุตสาหกรรมคริปโตเคอร์เรนซีให้ความสำคัญกับความเร็วมากเกินไป:

• การพัฒนาอย่างรวดเร็ว: คว้าโอกาสจากหัวข้อที่กำลังเป็นที่นิยม ปรับปรุงอย่างรวดเร็ว และสร้างความได้เปรียบในฐานะผู้บุกเบิก • การระดมทุนอย่างรวดเร็ว: ระดมทุนในราคาประเมินสูงขณะที่ตลาดกำลังร้อนแรง โดยไม่คำนึงถึงรายละเอียดด้านการปฏิบัติตามกฎระเบียบ • การเติบโตอย่างรวดเร็ว: แข่งขันกันวัดตัวชี้วัดต่างๆ เช่น จำนวนผู้ใช้ จำนวนดาว และขนาดของชุมชน • การสร้างรายได้อย่างรวดเร็ว: ออกโทเค็น จดทะเบียนในตลาดแลกเปลี่ยน และถอนเงินสด

ในวัฒนธรรมนี้:

• ความปลอดภัยเป็นภาระ ทำให้ทุกอย่างช้าลง • กฎหมายเป็นค่าใช้จ่าย จึงต้องลดหย่อนค่าใช้จ่ายในส่วนที่ไม่จำเป็นออกไป • การปกครองเป็นอุปสรรค ทำให้การตัดสินใจเป็นไปได้ยาก • การมองการณ์ไกลเป็นเรื่องตลก ตลาดหุ้นขาขึ้นไม่รอใคร

แต่เมื่อความเร็วสำคัญกว่าทุกสิ่ง คุณภาพก็ย่อมตกเป็นเหยื่อ Nofx ได้รับดาวเพิ่มขึ้น 9,000 ดวงในสองเดือน แต่ก็สูญเสียความน่าเชื่อถือไปมากในสองเดือนเดียวกันนั้น

สรุป: ปัญหาที่เกิดขึ้นจริงในอุดมคติของโอเพนซอร์ส

จากความรุ่งเรืองอย่างรวดเร็วไปจนถึงวิกฤตการณ์สามด้าน เรื่องราวของ Nofx เป็นภาพสะท้อนย่อส่วนของขบวนการโอเพนซอร์ส Web3 มันแสดงให้เห็นถึงพลังของการทำงานร่วมกันแบบโอเพนซอร์ส และเปิดเผยความท้าทายต่างๆ ที่โมเดลนี้เผชิญในความเป็นจริง

escándalการแฮ็ก เตือนเราว่า การกระจายอำนาจไม่ได้หมายถึงความปลอดภัยเสมอ ไป escándalความขัดแย้งภายใน เผยให้เห็นว่า ความไม่ลงรอยกันระหว่างผู้มีอุดมการณ์อาจสร้างความเสียหายได้มากกว่าการโจมตีจากภายนอก และ escándalโอเพนซอร์ส ทำให้คำถามที่ค้างคามานานกลับมาเป็นที่สนใจอีกครั้ง: จะปกป้องสิทธิ์ของผู้มีส่วนร่วมในโอเพนซอร์สในโลกของ Web3 ที่ขับเคลื่อนด้วยเชิงพาณิชย์ได้อย่างไร?

สิ่งที่น่าเป็นห่วงเป็นพิเศษคือ ความจำเป็นในการชี้แจงเพิ่มเติมเกี่ยวกับการกำหนดระยะเวลา ในข้อพิพาทเรื่องใบอนุญาตโอเพนซอร์ส เรื่องนี้ไม่เพียงแต่เกี่ยวข้องกับข้อดีข้อเสียของแต่ละกรณีเท่านั้น แต่ยังเกี่ยวข้องกับการกำหนดมาตรฐานของระบบนิเวศโอเพนซอร์ส Web3 ทั้งหมดด้วย ในอนาคต อาจจำเป็นต้องมีกลไกที่น่าเชื่อถือมากขึ้นสำหรับการบันทึกการเปลี่ยนแปลงใบอนุญาต และระบบอนุญาโตตุลาการจากบุคคลที่สามที่มีอำนาจมากขึ้น

บทความนี้อ้างอิงข้อมูลที่เปิดเผยต่อสาธารณะ และไม่ได้แสดงถึงการสนับสนุนหรือปฏิเสธฝ่ายใดฝ่ายหนึ่ง รายละเอียดทางเทคนิค ไทม์ไลน์ และเอกสารทางกฎหมายทั้งหมดที่กล่าวถึงในบทความนี้ สามารถตรวจสอบได้จากช่องทางสาธารณะ เช่น GitHub และ Twitter

ลิงก์ต้นฉบับ

ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:

กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats

กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App

บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia