สรุปข่าว
- นักวิจัยด้านความปลอดภัยไซเบอร์ Vangelis Stikas ซึ่งเป็น CTO ของ Kumio แอบแฮกและติดตามเซิร์ฟเวอร์ของแฮกเกอร์เกาหลีเหนือนาน 22 เดือน จนพบว่า มีบริษัทถูกเจาะระบบไปแล้วกว่า 1,640 แห่งใน 57 ประเทศ โดย 700-800 แห่งเสียหายรุนแรง
- เทคนิคหลักคือ “Contagious Interview” หลอกเหล่านักพัฒนา ด้วยข้อเสนองานปลอม ที่เงินเดือนสูง แล้วฝังมัลแวร์ผ่านโปรแกรมทดสอบฝีมือ บริษัทที่ยืนยันว่า โดนแล้วมี Coinbase และ Uniswap Labs
- คาดว่า เกาหลีเหนือขโมยคริปโตไปแล้วอย่างน้อย 2.02 พันล้านดอลลาร์ในปี 2025 เพิ่มขึ้น 51% จากปีก่อน ทำให้ยอดความเสียหายสะสมพุ่งถึง 6.75 พันล้านดอลลาร์
แนวโน้มที่ส่งผลกระทบต่อราคา: Neutral
ข่าวนี้เป็นการเปิดโปงวิธีการแทรกซึมที่เกิดขึ้นมานานแล้ว ไม่ใช่เหตุการณ์แฮกครั้งใหม่ที่ทำให้เงินไหลออกจากระบบทันที ผลกระทบด้านราคาต่อ BTC หรือ ETH โดยตรงจึงมีจำกัด แต่สิ่งที่ต้องจับตาคือ ความเชื่อมั่นต่อบริษัทคริปโตรายใหญ่อย่าง Coinbase ในแง่มาตรฐานการจ้างงานและความปลอดภัยภายใน ซึ่งอาจกดดันราคาหุ้นหรือโทเคนที่เกี่ยวข้องกับแพลตฟอร์มเหล่านั้นในระยะสั้นได้บ้าง
นิตยสาร WIRED รายงานเมื่อวันที่ 5 สิงหาคมที่ผ่านมาว่า Vangelis Stikas นักวิจัยด้านความปลอดภัยไซเบอร์และประธานเจ้าหน้าที่ฝ่ายเทคโนโลยี (CTO) ของบริษัท Kumio ได้แอบแฮกและติดตามกลุ่มเซิร์ฟเวอร์ของแฮกเกอร์เกาหลีเหนือเป็นเวลานานถึง 22 เดือน จนพบหลักฐานการเจาะระบบเข้าถึงบริษัทมากถึง 1,640 แห่ง ใน 57 ประเทศ โดยในจำนวนนี้ มีบริษัทราว 700 ถึง 800 แห่งที่ได้รับความเสียหายรุนแรง
Vangelis Stikas นำเสนอผลการวิจัยนี้ ในงานสัมมนาด้านความปลอดภัย Black Hat ที่จัดขึ้น ณ นครลาสเวกัส โดยเปิดเผยว่า บริษัทที่ได้รับการยืนยันว่าถูกเจาะระบบนั้น ยังรวมถึงกระดานเทรดคริปโตเคอร์เรนซีอย่าง Coinbase และ Uniswap Labs
แม้แฮกเกอร์จะสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนได้เป็นจำนวนมาก แต่เป้าหมายที่พวกเขามุ่งเน้นมาโดยตลอดคือ การเข้าถึง Private Keys และกระเป๋าเงินคริปโตเคอเรนซี
เล่ห์เหลี่ยมการฝังมัลแวร์ผ่านการสัมภาษณ์งานปลอม
เทคนิคหลักที่ใช้ในการเจาะระบบคือ กลยุทธ์ที่เรียกว่า “Contagious Interview” โดยแฮกเกอร์จะติดต่อเหล่านักพัฒนาซอฟต์แวร์ด้วยข้อเสนอรับสมัครงานปลอมที่ให้เงินเดือนสูงลิ่ว จากนั้นจะหลอกล่อให้ดาวน์โหลดโปรแกรมทดสอบฝีมือการทำงานที่แฝงมัลแวร์เอาไว้ ซึ่ง Microsoft ได้ติดตามเทคนิคนี้ มาตั้งแต่ปี 2022 และจัดว่า เป็นแผนการยอดฮิตของกลุ่มแฮกเกอร์เกาหลีเหนือ
ยิ่งไปกว่านั้น รายงานเมื่อเดือนธันวาคม 2025 จาก Chainalysis บริษัทวิเคราะห์บล็อกเชน ระบุตรงกันว่า แฮกเกอร์เกาหลีเหนือได้ขยายวิธีการแอบอ้างเป็นผู้สรรหาบุคลากร ในบริษัท Web3 และ AI เพื่อขโมยรหัสผ่าน, รหัสต้นฉบับ (Source Code) และสิทธิ์การเข้าถึงระบบภายใน ผ่านการสัมภาษณ์และการทดสอบทางเทคนิคปลอม
รายงานยังระบุอีกว่า ฟรีแลนซ์หรือพนักงานสัญญาจ้างบางคน ที่แฝงตัวเข้าไป สามารถเข้าถึงระบบภายในของบริษัทต่าง ๆ ได้พร้อมกันมากถึง 30 แห่ง ซึ่งขยายขอบเขตความเสียหายให้กว้างขึ้นอย่างมหาศาล
ทั้งนี้ คาดว่าแฮกเกอร์เกาหลีเหนือสามารถขโมยคริปโตเคอเรนซีไปได้ไม่ต่ำกว่า 2.02 พันล้านดอลลาร์สหรัฐในปี 2025 ซึ่งพุ่งขึ้น 51% จากปีก่อนหน้า ส่งผลให้มูลค่าความเสียหายสะสมรวมจนถึงปัจจุบัน สูงถึง 6.75 พันล้านดอลลาร์สหรัฐ
บทเรียนจากอดีต และรูปแบบการโจมตีที่เปลี่ยนไป
นี่ไม่ใช่ครั้งแรกที่กลุ่มแฮกเกอร์เกาหลีเหนือพุ่งเป้าโจมตีอุตสาหกรรมคริปโตเคอร์เรนซี โดยในเดือนเมษายน 2022 กระทรวงการคลังสหรัฐฯ ได้ขึ้นบัญชีคว่ำบาตรที่อยู่วอลเล็ตรับเงิน ที่ขโมยมาจาก “Ronin Bridge” ซึ่งเกี่ยวข้องกับเกม NFT “Axie Infinity” มูลค่าประมาณ 625 ล้านดอลลาร์ เนื่องจากมีความเชื่อมโยงกับกลุ่ม Lazarus ของเกาหลีเหนือ
และในเดือนมิถุนายนปีเดียวกัน เงินมูลค่าราว 100 ล้านดอลลาร์ก็ถูกขโมยไปจาก Horizon Bridge ซึ่งเป็น Cross-chain Bridge ของ Harmony (ONE) โดย FBI ได้ยืนยันในเวลาต่อมาว่า เป็นฝีมือของกลุ่ม Lazarus เช่นกัน
อย่างไรก็ตาม ขนาดความเสียหายที่ Stikas เปิดเผยในครั้งนี้ มีลักษณะที่แตกต่างออกไปจากเหตุการณ์เจาะระบบ Bridge รายแห่งในอดีต เพราะมันแสดงให้เห็นว่า กลยุทธ์การแทรกซึมเข้าไปในหลายบริษัทพร้อมกัน โดยใช้ “คน” เช่น นักพัฒนาและพนักงานสัญญาจ้างเป็นฐานที่มั่น แทนที่จะเป็นการโจมตีระบบโดยตรง นั้นประสบความสำเร็จในวงกว้าง และรุนแรงมากกว่าที่เคยคาดการณ์ไว้มาก
การตอบรับจากผู้ช่วยวิจัย และคำชี้แจงจาก Coinbase
Stikas เปิดเผยว่า เขาสามารถเข้าถึงเครื่องทำงาน, บัญชี Slack และ Discord ภายในที่กลุ่มแฮกเกอร์ใช้ได้ และเมื่อพูดถึงสิทธิ์การเข้าถึงที่แฮกเกอร์ได้ มาจากบริษัทคริปโต
โดย Stikas ให้คำนิยามว่า เป็น “สิทธิ์การเข้าถึงที่น่าเหลือเชื่อ” เพราะสามารถเข้าถึงได้ทั้ง Private Keys ไปจนถึงโครงสร้างพื้นฐานของบล็อกเชนโดยตรง
ทางด้านโฆษกของ Coinbase ได้ออกมายืนยันว่า พนักงานสัญญาจ้างรายดังกล่าวอาศัยอยู่ในสหรัฐฯ และไม่พบหลักฐานความเชื่อมโยงกับรัฐบาลเกาหลีเหนือ พร้อมอธิบายเพิ่มเติมว่า สัญญาจ้างดังกล่าวได้ถูกยกเลิกไปภายใน 30 วันนับตั้งแต่เริ่มงาน ซึ่งเป็นช่วงเวลาก่อนที่จะได้รับรายงานจาก Stikas
อย่างไรก็ตาม Stikas ระบุว่า ยังมีอีกหลายร้อยบริษัทที่ได้รับแจ้งเตือนเรื่องการถูกโจมตีแต่ยังไม่ได้ตอบกลับ และรายงานการเจาะระบบใหม่ ๆ ก็ยังคงเพิ่มขึ้นทุกวัน จนทำให้งานวิจัยส่วนตัวของเขาในวันนั้น กลายมาเป็นภารกิจหลักที่เขาต้องรับมืออย่างหนักในปัจจุบัน
ที่มา : coinpost
มุมมองผู้เขียน : จุดที่น่ากังวลที่สุดไม่ใช่แค่ตัวมัลแวร์หรือช่องโหว่ทางเทคนิค แต่คือ “กระบวนการจ้างงาน” ที่ยังเป็นจุดอ่อนใหญ่ของบริษัทคริปโตทั่วโลก ตราบใดที่การสัมภาษณ์ทางไกลและการจ้างฟรีแลนซ์ยังตรวจสอบตัวตนได้ยาก เหตุการณ์แบบนี้จะไม่ใช่ครั้งสุดท้าย และบริษัทที่ถือกุญแจ Private Key จำนวนมากอาจต้องกลับมาทบทวนกระบวนการคัดกรองพนักงานให้เข้มงวดกว่าที่เป็นอยู่
