Chapter 7 — Following Money
There is one domain in this book where the wins are checkable, and it is worth understanding exactly why before looking at the wins themselves.
Follow a criminal's reasoning and everything else is deniable — a match is contestable, a cluster is an opinion, a prediction is unfalsifiable in either direction. But money either moved or it did not, and when a government seizes it, a court docket says so. The claim "we recovered $3.6 billion" is adversarially checkable in a way that "our system improved investigations" never is.
That is why this is the strongest chapter in Part II, and it is also why it is the shortest list.
บทที่ 7 — ตามรอยเงิน
หนังสือเล่มนี้มีโดเมนเดียวที่ชัยชนะตรวจสอบได้จริง เหตุผลว่าทำไมจึงเป็นเช่นนั้นควรเข้าใจให้ชัดก่อน แล้วค่อยดูตัวชัยชนะเอง
ตามรอยความคิดของอาชญากร แล้วทุกอย่างที่เหลือปฏิเสธได้หมด — คู่ที่จับได้ยังโต้แย้งได้ กลุ่มที่รวมได้ยังเป็นแค่ความเห็น คำพยากรณ์พิสูจน์เท็จไม่ได้ไม่ว่าจะออกหัวหรือก้อย แต่เงินนั้นเคลื่อนย้ายหรือไม่เคลื่อนย้าย และเมื่อรัฐบาลยึดมันได้ บันทึกคดีของศาลก็บอกไว้เช่นนั้น คำกล่าวอ้างว่า "เรายึดคืนได้ $3.6 billion" ตรวจสอบได้แบบเผชิญหน้าฝ่ายตรงข้าม ส่วนคำว่า "ระบบของเราทำให้การสืบสวนดีขึ้น" ไม่มีวันตรวจสอบแบบนั้นได้
นี่คือเหตุผลที่บทนี้แข็งแกร่งที่สุดในภาคที่ 2 และเป็นเหตุผลเดียวกันที่ทำให้รายการนี้สั้นที่สุด
The seizures
Bitfinex. Around 120,000 bitcoin were stolen in the 2016 hack of the exchange. In February 2022 the US Department of Justice seized 94,643 BTC, worth roughly $3.6 billion — the largest financial seizure in its history at the time. Ilya Lichtenstein and Heather Morgan pleaded guilty in 2023 and were sentenced in 2024 to 60 and 18 months. By sentencing, the government reported recovering around $10 billion in stolen and appreciated funds. Investigators followed roughly 2,075 addresses controlled by the hacker. [ESTABLISHED] on the seizure and sentences, from DOJ records; [CLAIMED] on the specific attribution of the tracing to Chainalysis Reactor, which is the vendor's own framing. (TRM Labs recap of DOJ figures; Bloomberg)
Welcome to Video. A darknet site selling access to 250,000 child sexual abuse videos, paid in bitcoin. Tracing the payments located the server in South Korea and identified the administrator, then identified the user base through other exchanges. Result: 337 users arrested or charged worldwide and at least 23 children rescued, with around eight terabytes of material seized. [ESTABLISHED] for the arrests and rescues, corroborated by DOJ's own announcement and international reporting; [CLAIMED] for the tracing methodology narrative, sourced to the vendor. (Al Jazeera; Chainalysis)
That case is the one to hold on to. Twenty-three children were removed from ongoing abuse because somebody could follow a payment. Whatever scepticism the rest of this book earns, it does not extend to that outcome.
Colonial Pipeline. A $4.4 million bitcoin ransom paid in May 2021; the FBI recovered $2.3 million (63.7 BTC) in June by obtaining the private key to the DarkSide wallet and seizing the funds under warrant. [ESTABLISHED] on the recovery.
And a correction I owe you: no source I found names Chainalysis, Elliptic or any vendor as the tracing tool in this recovery. The record says the FBI obtained the key; the method of acquisition is undisclosed. This case is widely cited in vendor marketing. It should not be attributed to a named product without better sourcing than I could find. [ABSENT] (CNBC)
การยึดทรัพย์
Bitfinex. บิตคอยน์ราว 120,000 เหรียญถูกขโมยไปในการแฮ็กตลาดแลกเปลี่ยนเมื่อปี 2016 เดือนกุมภาพันธ์ 2022 กระทรวงยุติธรรมสหรัฐฯ ยึด 94,643 BTC มูลค่าราว $3.6 billion — ณ เวลานั้นเป็นการยึดทรัพย์สินทางการเงินครั้งใหญ่ที่สุดในประวัติศาสตร์ของหน่วยงาน อิลยา ลิคเทนสไตน์ และเฮเธอร์ มอร์แกน รับสารภาพในปี 2023 และถูกตัดสินจำคุกในปี 2024 เป็นเวลา 60 เดือนและ 18 เดือนตามลำดับ ถึงวันตัดสิน รัฐบาลรายงานว่ายึดคืนเงินที่ถูกขโมยและมูลค่าที่เพิ่มขึ้นได้ราว $10 billion นักสืบสวนตามรอยที่อยู่ราว 2,075 แห่ง ที่แฮ็กเกอร์ควบคุมอยู่ [ESTABLISHED] สำหรับการยึดทรัพย์และคำพิพากษา จากบันทึกของ DOJ; [CLAIMED] สำหรับข้อระบุเจาะจงว่าตามรอยด้วย Chainalysis Reactor เพราะนั่นคือกรอบที่บริษัทผู้ขายเล่าเอง (สรุปตัวเลขของ DOJ โดย TRM Labs; Bloomberg)
Welcome to Video. เว็บไซต์บนดาร์กเน็ตขายสิทธิ์เข้าถึงวิดีโอล่วงละเมิดทางเพศเด็ก 250,000 คลิป รับจ่ายเป็นบิตคอยน์ ตามรอยเงินที่จ่ายแล้วพบเซิร์ฟเวอร์ในเกาหลีใต้และตัวผู้ดูแลระบบ จากนั้นจึงระบุฐานผู้ใช้ผ่านตลาดแลกเปลี่ยนอื่น ๆ ผลลัพธ์: มีผู้ถูกจับกุมหรือตั้งข้อหา 337 คนทั่วโลก และ เด็กอย่างน้อย 23 คนได้รับการช่วยเหลือ พร้อมข้อมูลที่ยึดได้ราวแปดเทราไบต์ [ESTABLISHED] สำหรับการจับกุมและการช่วยเหลือ ประกาศของ DOJ เองและรายงานข่าวระดับนานาชาติยืนยันตรงกัน; [CLAIMED] สำหรับเรื่องเล่าว่าตามรอยอย่างไร เพราะมาจากบริษัทผู้ขาย (Al Jazeera; Chainalysis)
คดีนั้นคือคดีที่ควรจำไว้ให้มั่น เด็กยี่สิบสามคนหลุดจากการถูกล่วงละเมิดที่กำลังดำเนินอยู่ เพราะมีคนตามรอยเงินที่จ่ายได้ หนังสือเล่มนี้ตั้งข้อสงสัยกับเรื่องอื่นมากเท่าใดก็ตาม ข้อสงสัยนั้นไม่ครอบคลุมถึงผลลัพธ์นี้
Colonial Pipeline. ค่าไถ่บิตคอยน์ $4.4 million จ่ายไปในเดือนพฤษภาคม 2021; FBI ยึดคืนได้ $2.3 million (63.7 BTC) ในเดือนมิถุนายน โดยได้กุญแจส่วนตัวของกระเป๋าเงิน DarkSide มา แล้วยึดเงินภายใต้หมายศาล [ESTABLISHED] สำหรับการยึดคืน
และคำแก้ไขที่ผมติดค้างคุณอยู่: ไม่มีแหล่งข้อมูลใดที่ผมพบระบุว่า Chainalysis, Elliptic หรือบริษัทผู้ขายรายใดเป็นเครื่องมือตามรอยในการยึดคืนครั้งนี้ บันทึกบอกเพียงว่า FBI ได้กุญแจมา วิธีได้มาไม่ถูกเปิดเผย บริษัทผู้ขายอ้างคดีนี้ในการตลาดกันแพร่หลาย ตราบใดที่ไม่มีแหล่งอ้างอิงที่ดีกว่าที่ผมหาได้ ก็ไม่ควรยกให้เป็นผลงานของผลิตภัณฑ์ใดผลิตภัณฑ์หนึ่ง [ABSENT] (CNBC)
The honest caveat about the word "AI"
Blockchain tracing is usually described as artificial intelligence and mostly is not.
The core of what makes it work is graph analysis and clustering heuristics applied to a public, permanent ledger — grouping addresses that must share an owner because of how transactions are constructed, then attaching known entities at the edges where funds touch a regulated exchange. That is excellent engineering on an unusually cooperative data source. It is not a large model reasoning about crime.
The distinction matters because the transferability is limited. Blockchain tracing works so well partly because the blockchain is a complete, immutable, universally readable record of every transaction that ever happened. Almost no other investigative domain has that. Do not generalise from its success rate to anything else.
คำเตือนตามตรงเรื่องคำว่า "AI"
การตามรอยบล็อกเชนมักถูกเรียกว่าปัญญาประดิษฐ์ ส่วนใหญ่แล้วมันไม่ใช่
สิ่งที่ทำให้มันได้ผลคือการวิเคราะห์กราฟและฮิวริสติกการรวมกลุ่ม ใช้กับบัญชีแยกประเภทที่เปิดเผยต่อสาธารณะและถาวร — จับกลุ่มที่อยู่ที่ต้องมีเจ้าของร่วมกันเพราะโครงสร้างของธุรกรรมบังคับให้เป็นเช่นนั้น แล้วผูกตัวตนที่รู้จักเข้าที่ขอบ ตรงจุดที่เงินไปแตะตลาดแลกเปลี่ยนที่อยู่ภายใต้การกำกับดูแล นั่นคือวิศวกรรมชั้นเยี่ยมบนแหล่งข้อมูลที่ให้ความร่วมมือผิดปกติ มันไม่ใช่โมเดลขนาดใหญ่ที่นั่งให้เหตุผลเรื่องอาชญากรรม
ความแตกต่างนี้สำคัญเพราะมันถ่ายโอนไปที่อื่นได้จำกัด การตามรอยบล็อกเชนได้ผลดีส่วนหนึ่งเพราะบล็อกเชนบันทึกธุรกรรมทุกรายการที่เคยเกิดขึ้นไว้ครบ แก้ไม่ได้ และใครก็อ่านได้ โดเมนการสืบสวนอื่นแทบไม่มีสิ่งนี้ อย่าเหมาว่าอัตราความสำเร็จนี้จะใช้ได้กับเรื่องอื่น
Thailand's version, and where its evidence stands
Thailand's money-side apparatus is collected in full in Appendix B. The relevant figures for this chapter, with their grades:
- 351,000-plus mule accounts closed and THB 3.6 billion frozen, October 2025 to June 2026;
more than 29,000 suspects arrested. [CLAIMED] — government spokesperson.
- 189,887 personal and 10,672 corporate mule accounts uncovered with over 1.1 million linked
transactions traced, October 2025 to May 2026. [CLAIMED]
- A single transnational syndicate's assets temporarily seized by the anti-money-laundering office at
THB 20,392 million, including THB 7,720 million in cash and equities. [CLAIMED]
- A cash-withdrawal reporting rule at THB 5 million credited by the government with cutting large
cash withdrawals by around 35%; a deposit rule at the same threshold from October 2026. [CLAIMED]
- A victim refund mechanism through the anti-money-laundering office without a court order,
under a ministerial regulation effective 12 August 2026. [ESTABLISHED] that the regulation exists and its date; its effect is unmeasured.
(Xinhua; Nation Thailand, June 2026; Nation Thailand, August 2026)
Every operational number is a government describing its own work. I searched for an independent audit and found none. [ABSENT]
The last item is the interesting one. A refund path that does not require a court order changes the economics of victimhood more than any detection technology in this book — because it shortens the distance between a report and money coming back, which is the only outcome most victims care about. It is also, structurally, a decision system operating on flags. Read it alongside the documentation gap at the end of Chapter 6.
ฉบับของประเทศไทย และจุดที่หลักฐานยืนอยู่
กลไกด้านการเงินของประเทศไทยรวบรวมไว้ครบในภาคผนวก ข ตัวเลขที่บทนี้ใช้ พร้อมเกรดของแต่ละตัว มีดังนี้:
- บัญชีม้ากว่า 351,000 บัญชีถูกปิด และเงิน THB 3.6 billion ถูกอายัด ตั้งแต่ตุลาคม 2025 ถึงมิถุนายน 2026; ผู้ต้องสงสัยกว่า 29,000 คนถูกจับกุม
[CLAIMED]— โฆษกรัฐบาล - บัญชีม้าบุคคลธรรมดา 189,887 บัญชี และบัญชีนิติบุคคล 10,672 บัญชี ถูกเปิดโปง พร้อมธุรกรรมที่เชื่อมโยงกว่า 1.1 ล้านรายการที่ถูกตามรอย ตั้งแต่ตุลาคม 2025 ถึงพฤษภาคม 2026
[CLAIMED] - ทรัพย์สินของเครือข่ายอาชญากรรมข้ามชาติเครือข่ายเดียวถูกอายัดชั่วคราวโดยสำนักงานป้องกันและปราบปรามการฟอกเงิน ที่ THB 20,392 million รวมถึงเงินสดและหลักทรัพย์ THB 7,720 million
[CLAIMED] - กฎการรายงานการถอนเงินสดที่ THB 5 million ซึ่งรัฐบาลให้เครดิตว่าช่วยลดการถอนเงินสดก้อนใหญ่ลงราว 35%; กฎการฝากเงินที่เกณฑ์เดียวกันเริ่มตุลาคม 2026
[CLAIMED] - กลไกคืนเงินให้ผู้เสียหาย ผ่านสำนักงานป้องกันและปราบปรามการฟอกเงิน โดยไม่ต้องมีคำสั่งศาล ภายใต้กฎกระทรวงที่มีผลบังคับใช้ 12 สิงหาคม 2026
[ESTABLISHED]ว่ากฎกระทรวงนี้มีอยู่จริงและวันที่มีผลบังคับใช้; ผลของมันยังไม่ถูกวัด
(Xinhua; Nation Thailand, มิถุนายน 2026; Nation Thailand, สิงหาคม 2026)
ตัวเลขปฏิบัติการทุกตัวคือรัฐบาลเล่างานของตัวเอง ผมค้นหาการตรวจสอบอิสระแล้ว ไม่พบเลย [ABSENT]
รายการสุดท้ายคือรายการที่น่าสนใจ ช่องทางคืนเงินที่ไม่ต้องรอคำสั่งศาลเปลี่ยนเศรษฐศาสตร์ของการตกเป็นเหยื่อได้มากกว่าเทคโนโลยีตรวจจับใด ๆ ในหนังสือเล่มนี้ — เพราะมันย่นระยะห่างระหว่างการแจ้งความกับเงินที่ได้คืน และนั่นคือผลลัพธ์เดียวที่เหยื่อส่วนใหญ่สนใจ ในเชิงโครงสร้าง มันยังเป็นระบบตัดสินใจที่ทำงานบนธงสัญญาณด้วย อ่านควบคู่กับช่องว่างด้านเอกสารในตอนท้ายของบทที่ 6
Singapore, and the limits of a good example
Singapore's Anti-Scam Centre, established 18 June 2019 and expanded into an Anti-Scam Command in March 2022, is the model most often held up in this region, and deservedly — it fuses bank, telco and police data specifically to find connections between accounts that look unrelated.
Its reported results: more than S$730 million recovered for victims since 2019. In an earlier window, June 2019 to 2022, 40,900 bank accounts frozen and over S$310 million recovered — a recovery rate of about 25% of reported losses. In 2025, cross-border work under Operation FRONTIER+ recovered over S$28 million and led to more than 2,100 arrests; the 2026 iteration reported more than 3,000 arrests across ten jurisdictions. [CLAIMED] — every figure is Singapore Police Force self-report, and I found no independent audit of any of them. (SPF Mid-Year Scam Brief 2026; Operation Frontier+ III)
I want to be careful here, because the grade is easy to misread as an accusation. Singapore's police are not suspected of inventing numbers. The point is narrower and it applies to every force in this book including Thailand's: a self-reported recovery rate is not the same kind of object as a court docket. The 25% figure is the most useful number in this chapter — it is the only place anyone has published a denominator — and it is still unaudited.
If you use Singapore as your comparator in a meeting, and you should, use it honestly: this is what they report, and nobody outside has checked it. That sentence will do you more good in front of a sceptical officer than an unqualified claim, because the sceptical officer already suspects the number is polished, and saying so first makes everything else you say more credible.
สิงคโปร์ และขีดจำกัดของตัวอย่างที่ดี
ศูนย์ป้องกันการหลอกลวง (Anti-Scam Centre) ของสิงคโปร์คือแบบอย่างที่ถูกยกขึ้นมาบ่อยที่สุดในภูมิภาคนี้ และสมควรแล้ว ศูนย์นี้ก่อตั้งเมื่อ 18 มิถุนายน 2019 และขยายเป็นหน่วยบัญชาการป้องกันการหลอกลวง (Anti-Scam Command) ในเดือนมีนาคม 2022 — มันหลอมรวมข้อมูลธนาคาร โทรคมนาคม และตำรวจเข้าด้วยกัน เพื่อหาความเชื่อมโยงระหว่างบัญชีที่ดูไม่เกี่ยวข้องกันโดยเฉพาะ
ผลลัพธ์ที่รายงาน: เงินกว่า S$730 million คืนให้เหยื่อได้ตั้งแต่ปี 2019 ในช่วงก่อนหน้านั้น มิถุนายน 2019 ถึง 2022 บัญชีธนาคาร 40,900 บัญชีถูกอายัด และคืนเงินได้กว่า S$310 million — อัตราการคืนราว 25% ของความสูญเสียที่แจ้งไว้ ปี 2025 งานข้ามพรมแดนภายใต้ Operation FRONTIER+ คืนเงินได้กว่า S$28 million และนำไปสู่การจับกุมกว่า 2,100 คน; ฉบับปี 2026 รายงานการจับกุมกว่า 3,000 คนในสิบเขตอำนาจศาล [CLAIMED] — ทุกตัวเลขเป็นรายงานของตำรวจสิงคโปร์เอง และผมไม่พบการตรวจสอบอิสระของตัวเลขใดเลย (SPF Mid-Year Scam Brief 2026; Operation Frontier+ III)
ตรงนี้ผมขอระวังคำ เพราะเกรดนี้อ่านผิดเป็นคำกล่าวหาได้ง่าย ตำรวจสิงคโปร์ไม่ได้ถูกสงสัยว่าปั้นตัวเลข ประเด็นแคบกว่านั้น และใช้ได้กับทุกหน่วยงานในหนังสือเล่มนี้ รวมถึงของประเทศไทย: อัตราการคืนเงินที่รายงานเองไม่ใช่วัตถุประเภทเดียวกับบันทึกคดีของศาล ตัวเลข 25% คือตัวเลขที่มีประโยชน์ที่สุดในบทนี้ — เป็นที่เดียวที่มีใครเผยแพร่ตัวส่วนออกมา — และมันก็ยังไม่ผ่านการตรวจสอบอยู่ดี
ใช้สิงคโปร์เป็นตัวเปรียบเทียบในที่ประชุมได้ และควรใช้ แต่ใช้อย่างตรงไปตรงมา: นี่คือสิ่งที่พวกเขารายงาน และไม่มีใครนอกหน่วยงานตรวจสอบมันเลย ประโยคนั้นช่วยคุณต่อหน้านายตำรวจที่ขี้สงสัยได้มากกว่าคำกล่าวอ้างที่ไม่มีเงื่อนไข เพราะนายตำรวจคนนั้นสงสัยอยู่แล้วว่าตัวเลขถูกขัดเงามา พูดออกมาก่อนเสียเอง ทุกอย่างที่คุณพูดต่อจากนั้นจะน่าเชื่อถือขึ้น
Why this chapter is short
Because I could not honestly make it longer.
The independently verifiable wins for data-driven investigation, worldwide, in a decade, amount to a set of asset seizures where a government press release confirms the amount, a darknet takedown with a confirmed arrest count, and one class of operation — encrypted-network interception — whose breakthrough was not analytical at all. Everything else in the success column is the seller or the buyer describing the purchase.
That is the true state of the evidence in August 2026. It is much weaker than the discourse implies. It is also not nothing, and 337 arrests with 23 children rescued is not the kind of "not nothing" anyone should be casual about.
The Move — Sort every claim by who would suffer if it were false. For any figure you are about to rely on or repeat, ask who published it and what it would cost them to be wrong. A DOJ seizure amount is checkable against a docket and a false one is a scandal. A vendor's case study costs nothing to inflate. A force's recovery statistic sits between: real institutional accountability, no external audit. Write the answer next to the number. You will find the numbers reorder themselves, and the ones that survive are the ones to build an argument on.
What would change my mind: an independent audit of Singapore's or Thailand's recovery figures — by an auditor-general, a parliamentary committee, or academic researchers with data access — would promote a large block of this chapter from [CLAIMED] to something firmer, and would be the single most valuable piece of research anyone in this region could publish. Its absence is the reason the chapter reads more cautiously than the subject deserves.
ทำไมบทนี้จึงสั้น
เพราะผมทำให้มันยาวกว่านี้อย่างซื่อสัตย์ไม่ได้
ชัยชนะที่ตรวจสอบได้อย่างเป็นอิสระของการสืบสวนที่ขับเคลื่อนด้วยข้อมูล ทั่วโลก ตลอดหนึ่งทศวรรษ มีอยู่เท่านี้: การยึดทรัพย์สินชุดหนึ่งที่แถลงข่าวของรัฐบาลยืนยันจำนวนเงิน การปิดเว็บดาร์กเน็ตหนึ่งครั้งพร้อมจำนวนการจับกุมที่ยืนยันได้ และปฏิบัติการหนึ่งประเภท — การดักฟังเครือข่ายเข้ารหัส — ที่จุดพลิกผันไม่ได้มาจากการวิเคราะห์เลย ที่เหลือทั้งหมดในคอลัมน์ความสำเร็จคือผู้ขายหรือผู้ซื้อเล่าเรื่องการซื้อขายของตัวเอง
นั่นคือสถานะที่แท้จริงของหลักฐาน ณ เดือนสิงหาคม 2026 มันอ่อนกว่าที่วาทกรรมสาธารณะบอกไว้มาก แต่ก็ไม่ใช่ว่าไม่มีอะไรเลย และการจับกุม 337 คนพร้อมเด็ก 23 คนได้รับการช่วยเหลือ ไม่ใช่ "ไม่มีอะไรเลย" ประเภทที่ใครควรพูดถึงอย่างไม่ใส่ใจ
ท่าประจำบท — เรียงลำดับทุกคำกล่าวอ้างตามว่าใครจะเสียหายหากมันเป็นเท็จ ตัวเลขทุกตัวที่คุณกำลังจะพึ่งพาหรือพูดซ้ำ ถามว่าใครเผยแพร่มัน และถ้าผิดพวกเขาต้องจ่ายเท่าไร จำนวนการยึดทรัพย์ของ DOJ ตรวจสอบกับบันทึกคดีได้ ตัวเลขปลอมคือเรื่องอื้อฉาว กรณีศึกษาของบริษัทผู้ขายพองตัวเลขได้โดยไม่มีต้นทุน สถิติการคืนเงินของหน่วยงานหนึ่งอยู่ตรงกลาง: รับผิดชอบทางสถาบันจริง แต่ไม่มีใครภายนอกตรวจสอบ เขียนคำตอบไว้ข้าง ๆ ตัวเลขนั้น แล้วตัวเลขจะจัดลำดับใหม่ด้วยตัวมันเอง ตัวที่รอดคือตัวที่ควรใช้สร้างข้อโต้แย้ง
อะไรจะทำให้ผมเปลี่ยนใจ: การตรวจสอบอิสระต่อตัวเลขการคืนเงินของสิงคโปร์หรือประเทศไทย — โดยผู้ตรวจการแผ่นดิน คณะกรรมาธิการรัฐสภา หรือนักวิจัยเชิงวิชาการที่มีสิทธิ์เข้าถึงข้อมูล — จะยกเนื้อหาส่วนใหญ่ของบทนี้จาก [CLAIMED] ขึ้นไปสู่สิ่งที่มั่นคงกว่า และจะเป็นงานวิจัยชิ้นเดียวที่มีคุณค่าที่สุดที่ใครในภูมิภาคนี้จะเผยแพร่ได้ การที่มันยังไม่มีอยู่คือเหตุผลที่บทนี้อ่านแล้วระมัดระวังกว่าที่หัวข้อสมควรได้รับ