เกาหลีเหนือถูกโยง แฮกคริปโท Binance มูลค่า 2 แสนล้านบาท ภายใน 20 นาที

บล็อกเชนสหรัฐเปิดข้อมูลการถูกโจรกรรมสินทรัพย์ดิจิทัล ครั้งใหญ่ที่สุดในประวัติศาสตร์ของ Binance แพลตฟอร์มซื้อขายคริปโทเคอร์เรนซี เจอร่องรอยกลุ่มแฮกเกอร์ระดับแนวหน้าของเกาหลีเหนืออยู่เบื้องหลัง

Reuters รายงานเมื่อเช้านี้ว่า TRM Labs บริษัทวิเคราะห์ข้อมูลบล็อกเชนจากสหรัฐอเมริกา เปิดเผยผลการตรวจสอบเหตุโจรกรรมสินทรัพย์ดิจิทัลจาก Binance ซึ่งเป็นหนึ่งในแพลตฟอร์มซื้อขายคริปโทเคอร์เรนซีอันดับ 1 ของโลก พบความเชื่อมโยงกับกลุ่มแฮกเกอร์จากเกาหลีเหนือ

TRM Labs ระบุว่า ผู้โจมตีสามารถเคลื่อนย้ายสินทรัพย์ดิจิทัลออกจากกระเป๋าเงินคริปโทเคอร์เรนซีของ Binance คิดเป็นมูลค่าประมาณ 6,360 ล้านดอลลาร์สหรัฐ ผ่านเครือข่ายบล็อกเชนรวม 10 แห่ง โดยธุรกรรมส่วนใหญ่เกิดขึ้นภายในเวลาประมาณ 20 นาที

ตัวเลขดังกล่าวแสดงให้เห็นถึงขนาดและความรวดเร็วของปฏิบัติการ ซึ่งผู้โจมตีสามารถเคลื่อนย้ายสินทรัพย์มูลค่ามหาศาลผ่านระบบดิจิทัลหลายเครือข่ายได้ในช่วงเวลาสั้น ๆ

เปิดชื่อ TraderTraitor หน่วยแฮกเกอร์ระดับแนวหน้าเกาหลีเหนือ

TRM Labs เปิดชื่อ TraderTraitor กลุ่มแฮกเกอร์เกาหลีเหนือ โดยระบุว่า ผู้ที่อยู่เบื้องหลังปฏิบัติการครั้งนี้คือ TraderTraitor ซึ่งเป็นกลุ่มแฮกเกอร์ระดับแนวหน้าที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ โดยบริษัทประเมินจากข้อมูลธุรกรรมบนบล็อกเชน (On-chain) ร่วมกับข้อมูลข่าวกรองภายนอกระบบ (Off-chain) และมีความเชื่อมั่นในระดับสูงต่อผลการวิเคราะห์ดังกล่าว

กลุ่ม TraderTraitor เคยถูกสำนักงานสอบสวนกลางสหรัฐ (FBI) ระบุว่าเป็นผู้รับผิดชอบเหตุโจรกรรมคริปโทจาก Bybit เมื่อเดือนกุมภาพันธ์ 2568

การตรวจสอบครั้งล่าสุดพบรูปแบบการโจมตีที่คล้ายกับเหตุการณ์ก่อนหน้า ทั้งการเตรียมระบบล่วงหน้า การใช้บริการ Tornado Cash เพื่อปกปิดเส้นทางธุรกรรม และการเตรียมลายเซ็นดิจิทัลสำหรับอนุมัติการโอนเงิน ก่อนดำเนินการเคลื่อนย้ายสินทรัพย์จำนวนมากในเวลาใกล้เคียงกัน

อย่างไรก็ตาม การระบุว่าเกาหลีเหนืออยู่เบื้องหลังการโจมตีครั้งนี้ยังเป็นผลการประเมินของ TRM Labs ไม่ใช่ข้อสรุปจากกระบวนการยุติธรรม

แฮกเกอร์เตรียมการล่วงหน้าอย่างน้อย 36 ชั่วโมง

TRM Labs พบว่า ผู้โจมตีเริ่มเตรียมปฏิบัติการอย่างน้อย 36 ชั่วโมงก่อนเกิดเหตุ โดยเริ่มจากการรับเงินจำนวนเล็กน้อยผ่าน Tornado Cash เมื่อวันที่ 28 ตุลาคม ก่อนทดลองใช้โปรแกรมโจมตีกับกระเป๋าเงินหลายแห่งในวันถัดมา

หนึ่งในเป้าหมายสำคัญคือ Hot Wallet หรือกระเป๋าเงินดิจิทัลที่เชื่อมต่ออินเทอร์เน็ต ซึ่งแพลตฟอร์มซื้อขายคริปโทใช้สำหรับดำเนินธุรกรรมถอนเงินของลูกค้า

ผู้โจมตีใช้กลไกที่เรียกว่า EIP-7702 บนเครือข่าย Ethereum เพื่อเปลี่ยนการทำงานของกระเป๋าเงิน Binance ให้รับคำสั่งจากโปรแกรมที่ผู้โจมตีควบคุม โดยมีการเตรียมคำอนุญาตที่ลงลายเซ็นดิจิทัลไว้ล่วงหน้า 50 รายการ

หลังเข้าควบคุมกระเป๋าเงินได้ ผู้โจมตีใช้เวลาเพียง 3 นาที 24 วินาที ในการสั่งโอนสินทรัพย์จำนวนมากออกไป และยังสามารถโอนเงินที่เข้ามาใหม่ออกจากกระเป๋าเงินดังกล่าวได้อีกหลายครั้ง

TRM Labs ประเมินว่าผู้โจมตีอาจเข้าถึงระบบที่ใช้อนุมัติและลงลายเซ็นธุรกรรมของ Binance ซึ่งส่งผลให้สามารถสั่งโอนสินทรัพย์ข้ามเครือข่ายได้ อย่างไรก็ตาม Binance ยังไม่ได้เปิดเผยสาเหตุที่แท้จริงของช่องโหว่ด้านความปลอดภัย

อายัดเงินได้แล้ว 2,700 ล้านดอลลาร์ แต่แฮกเกอร์ยังถือคริปโทอีกมหาศาล

หลังเกิดเหตุ บริษัทผู้ออกเหรียญ Stablecoin หลายแห่ง ได้แก่ Tether, Circle, Ripple และ World Liberty Financial ได้ร่วมกันอายัดสินทรัพย์ดิจิทัลที่เชื่อมโยงกับการโจรกรรม คิดเป็นมูลค่าประมาณ 2,670 ล้านดอลลาร์

นอกจากนี้ คณะกรรมการความปลอดภัยของเครือข่าย Arbitrum ยังดำเนินมาตรการฉุกเฉินเพื่อย้ายสินทรัพย์ ETH และ ARB มูลค่าประมาณ 30 ล้านดอลลาร์ ออกจากการควบคุมของผู้โจมตี ทำให้ยอดสินทรัพย์ที่ถูกระงับหรือยึดการควบคุมคืนรวมอยู่ที่ประมาณ 2,700 ล้านดอลลาร์

อย่างไรก็ตาม TRM Labs พบว่าผู้โจมตียังถือครองสินทรัพย์มากกว่า 420,000 ETH และ 18,270 BTC คิดเป็นมูลค่าประมาณ 2,400 ล้านดอลลาร์ ซึ่งเป็นสินทรัพย์ที่ไม่สามารถอายัดได้โดยตรงผ่านบริษัทผู้ออกเหรียญ Stablecoin

ผู้โจมตียังพยายามเปลี่ยนเหรียญ Stablecoin ที่มีความเสี่ยงถูกอายัดให้เป็นสินทรัพย์ประเภทอื่น โดยบางธุรกรรมยอมแลกในอัตราที่เสียเปรียบกว่าราคาตลาด เพื่อเร่งเคลื่อนย้ายเงินก่อนถูกระงับ

เงินผู้ใช้ Binance ปลอดภัยหรือไม่

ประเด็นต่อจากนี้สำหรับผู้ใช้งาน Binance คือความปลอดภัยของเงินฝากและความสามารถในการถอนสินทรัพย์ออกจากแพลตฟอร์ม

ภายหลังเกิดเหตุ Binance ยืนยันว่ากำลังตรวจสอบปัญหาด้านความปลอดภัย และได้ระงับการถอนสินทรัพย์บนเครือข่ายบล็อกเชนหลายแห่งเป็นการชั่วคราว เพื่อป้องกันความเสียหายเพิ่มเติม

บริษัทระบุว่าเงินของผู้ใช้งานยังปลอดภัย แม้จะเกิดการเคลื่อนย้ายสินทรัพย์ออกจากกระเป๋าเงินของแพลตฟอร์มเป็นจำนวนมาก

อย่างไรก็ตาม คำยืนยันดังกล่าวเป็นข้อมูลจาก Binance เอง ขณะที่รายงานของ TRM Labs ยังไม่ได้ยืนยันอย่างเป็นอิสระว่าผู้ใช้งานทุกรายสามารถถอนเงินได้ตามปกติ หรือแพลตฟอร์มสามารถชดเชยความเสียหายทั้งหมดได้แล้ว

สำหรับประชาชนที่ถือครองสินทรัพย์ดิจิทัล เหตุการณ์นี้ไม่ได้หมายความว่าเหรียญ Bitcoin หรือ Ethereum ในกระเป๋าเงินส่วนบุคคลของทุกคนถูกโจรกรรม แต่เป็นการโจมตีกระเป๋าเงินที่อยู่ภายใต้การดูแลของแพลตฟอร์ม Binance

ผู้ใช้งานจึงควรตรวจสอบประกาศอย่างเป็นทางการของแพลตฟอร์มเกี่ยวกับสถานะการฝากและถอนสินทรัพย์ หลีกเลี่ยงการกดลิงก์จากข้อความที่อ้างว่าสามารถช่วยกู้คืนเงิน และไม่เปิดเผยรหัสผ่านหรือรหัสยืนยันตัวตนแก่บุคคลอื่น

โดยเฉพาะในช่วงที่เกิดเหตุการณ์โจมตีทางไซเบอร์ครั้งใหญ่ ผู้ไม่หวังดีอาจใช้ข่าวดังกล่าวเป็นข้ออ้างในการส่งข้อความหลอกลวงเพื่อขโมยข้อมูลบัญชีเพิ่มเติม

ทั้งนี้ การโจรกรรมครั้งดังกล่าวยังอยู่ระหว่างการตรวจสอบ โดย TRM Labs ระบุว่าจะติดตามเส้นทางการเคลื่อนย้ายสินทรัพย์ที่เหลือ และแจ้งข้อมูลให้หน่วยงานที่เกี่ยวข้องเพื่อป้องกันการฟอกเงินผ่านแพลตฟอร์มซื้อขายคริปโทเคอร์เรนซีต่อไป