สรุปข่าว
- Binance ถูกปล้นคริปโทมูลค่า 6.3 พันล้านดอลลาร์ ใหญ่กว่าสถิติแฮก Bybit เมื่อเดือนกุมภาพันธ์ 2025 ถึง 4 เท่า ผู้ก่อเหตุคือ TraderTraitor หน่วยแฮกเกอร์เฉพาะกิจของเกาหลีเหนือ
- กลุ่มนี้ใช้วิธีปลอมนัดสัมภาษณ์งาน เพื่อหลอกวิศวกรให้โหลดมัลแวร์ แล้วเจาะเข้าระบบภายใน โดยไม่ต้องพึ่งช่องโหว่ Smart Contract
- Chainalysis พบว่า เหรียญที่ขโมยจาก Binance ถูกโอนไปรวมกับกระเป๋าที่เก็บเหรียญจากการแฮก Bitget มูลค่า 388 ล้านดอลลาร์ ซึ่งยืนยันแล้วว่า เป็นฝีมือเกาหลีเหนือ
แนวโน้มที่ส่งผลกระทบต่อราคา: Bearish
เหตุการณ์นี้ตอกย้ำความเสี่ยงด้านความปลอดภัยของแพลตฟอร์มใหญ่ที่สุดในอุตสาหกรรม และชี้ว่าจุดอ่อนอยู่ที่ตัวคน ซึ่งแก้ยากกว่าช่องโหว่ทางเทคนิค แรงกดดันด้านความเชื่อมั่นและแรงเทขายจากเหรียญที่ถูกฟอกน่าจะกดตลาดในระยะสั้น ขณะที่หน่วยงานกำกับดูแลอาจหยิบเหตุการณ์นี้ขึ้นมาเข้มงวดกับผู้ให้บริการคริปโทมากขึ้น
เหตุการณ์โจรกรรมคริปโทฯ ครั้งประวัติศาสตร์มูลค่า 6.3 พันล้านดอลลาร์จาก Binance ได้เปิดโปงโฉมหน้าของกลุ่ม TraderTraitor หน่วยแฮกเกอร์เฉพาะกิจของรัฐบาลเกาหลีเหนือที่ทำลายสถิติแฮกเดิมของ Bybit เมื่อเดือนกุมภาพันธ์ 2025 สูงกว่าถึง 4 เท่าตัว
ความน่ากลัวของขบวนการนี้อยู่ที่การวางแผนสวมรอยนัดสัมภาษณ์งานเพื่อฝังมัลแวร์เข้าสู่ระบบภายใน ก่อนจะนำเงินที่ขโมยได้ไปฟอกผ่านตลาดนอกกระดานเพื่อส่งกลับไปหล่อเลี้ยงระบอบการปกครองของเปียงยาง
หน่วยรบไซเบอร์ระดับหัวกะทิ จากเด็กอัจฉริยะสู่เครื่องมือหาเงินของเปียงยาง
Ari Redbord หัวหน้าฝ่ายนโยบายระดับโลกของบริษัทวิเคราะห์บล็อกเชน TRM Labs อธิบายโครงสร้างของกลุ่มแฮกเกอร์เกาหลีเหนือว่า หาก Lazarus Group คือองค์กรแม่ที่ดูแลปฏิบัติการไซเบอร์ทุกรูปแบบ
กลุ่ม TraderTraitor (หรือที่รู้จักในชื่อ Jade Sleet, UNC4899 และ Slow Pisces) ก็เปรียบเสมือนหน่วยรบพิเศษระดับหัวกะทิที่ถูกตั้งขึ้นมาเพื่อเจาะระบบกระดานเทรดและผู้ให้บริการรับฝากสินทรัพย์ดิจิทัลโดยเฉพาะ โดยทางการสหรัฐฯ เคยออกประกาศเตือนภัยของกลุ่มนี้มาตั้งแต่ปี 2022 หลังพบความพยายามนำเหรียญ USDT ที่ขโมยมาไปใช้ซื้อน้ำมันจากรัสเซีย
จุดเริ่มต้นของ TraderTraitor ก่อตั้งขึ้นในช่วงปี 2016–2017 ภายใต้สังกัดสถาบันวิจัย 110 ของสำนักข่าวกรองทั่วไปแห่งเกาหลีเหนือ (RGB) โดยใช้ระบบคัดเลือกเด็กอัจฉริยะด้านคณิตศาสตร์และวิทยาศาสตร์ตั้งแต่ระดับประถมศึกษาเพื่อส่งเข้าโรงเรียนเฉพาะทางด้าน STEM คล้ายกับระบบปั้นนักกีฬายิมนาสติกของรัสเซียในอดีต เด็กเหล่านี้จะได้รับสิทธิ์พิเศษให้เข้าถึงอินเทอร์เน็ตและถูกส่งไปฝึกฝนทักษะขั้นสูงต่อในประเทศจีน เพื่อกลับมาเป็นอาชญากรไซเบอร์เต็มตัว
เมื่อแทรกซึมเข้าสู่ระบบเป้าหมายได้สำเร็จ แฮกเกอร์จะมุ่งเป้าไปที่การขโมยสิทธิ์ผู้ดูแลระบบหรือระบบคลาวด์ จากนั้นจะใช้วิธีปิดระบบยืนยันตัวตนสองชั้น (2FA/MFA) เพียงชั่วคราวเพื่ออนุมัติธุรกรรมโอนเงิน แล้วรีบเปิดระบบกลับคืนตามเดิมทันที ความแนบเนียนนี้ทำให้ระบบตรวจจับความผิดปกติอัตโนมัติแทบไม่สามารถแยกแยะได้เลยว่าคำสั่งโอนเงินเหล่านั้นไม่ได้มาจากผู้ใช้งานตัวจริง
แผนสวมรอยสมัครงานสุดแนบเนียน
จุดเด่นที่ทำให้ TraderTraitor ประสบความสำเร็จในแผนการปล้นครั้งใหญ่ ไม่ใช่การเจาะระบบ Smart Contract แต่คือ การใช้เทคนิค Social Engineering ที่เล่นกับความไว้วางใจของมนุษย์ โดยแฮกเกอร์จะอดทนวางแผนติดต่อวิศวกรซอฟต์แวร์ของบริษัทเป้าหมายล่วงหน้าหลายเดือน ด้วยการสวมรอยเป็นฝ่ายบุคคลหรือผู้บริหารระดับสูงเพื่อทาบทามให้มาสัมภาษณ์งาน
- กรณี Binance (ตุลาคม 2026): Jimmy Su ประธานเจ้าหน้าที่ฝ่ายความปลอดภัยของ Binance เปิดเผยว่า แฮกเกอร์เริ่มติดต่อวิศวกรของบริษัทตั้งแต่เดือนกันยายน โดยจัดฉากสัมภาษณ์รอบแรกกับ HR ปลอมที่ยอมเปิดเผยรูปถ่ายส่วนตัวเพื่อสร้างความเชื่อใจ ก่อนจะนัดสัมภาษณ์รอบสองกับผู้ที่อ้างตัวเป็นซีอีโอ แล้วหลอกให้เหยื่อดาวน์โหลดไฟล์ทดสอบเขียนโค้ดที่ฝังมัลแวร์ลงในแล็ปท็อปทำงาน จนคนร้ายสามารถเข้าถึงระบบภายในและใช้เครื่องมือ AI ขององค์กรสั่งถอนเงินออกไปได้สำเร็จ
- กรณี Ginco และ DMM Bitcoin (ปี 2024): แฮกเกอร์ปลอมเป็น Recruiter บน LinkedIn ส่งแบบทดสอบเขียนโค้ดบน GitHub ที่มีมัลแวร์ไปให้พนักงานของบริษัทวอลเล็ต Ginco ก่อนจะขโมยข้อมูลไปสวมรอยแทรกแซงธุรกรรมของเว็บเทรด DMM Bitcoin จนสูญเสีย Bitcoin ไปถึง 4,503 BTC (ราว 308 ล้านดอลลาร์สหรัฐ) และทำให้แพลตฟอร์มต้องปิดตัวลงในที่สุด
- ประวัติการโจมตีอื่นๆ: อยู่เบื้องหลังการแฮก AlphaPo (60 ล้านดอลลาร์), CoinsPaid (37 ล้านดอลลาร์), Atomic Wallet (100 ล้านดอลลาร์) ในปี 2023 รวมถึงการเจาะสะพานเชื่อมบล็อกเชนของ KelpDAO มูลค่า 292 ล้านดอลลาร์เมื่อเดือนเมษายนที่ผ่านมา
หลักฐานเชื่อมโยงกับการแฮกกระดานเทรด Bitget
แม้ว่าล่าสุด คิม โยจอง น้องสาวของผู้นำสูงสุดเกาหลีเหนือ จะออกมาปฏิเสธว่าข้อกล่าวหาของ FBI เป็นเรื่องไร้สาระ แต่ข้อมูลบนบล็อกเชนกลับชี้ชัดไปในทิศทางตรงกันข้าม
โดย Tom McLouth นักวิเคราะห์ข่าวกรองอาวุโสจาก Chainalysis เปิดเผยหลักฐานสำคัญว่า สินทรัพย์ที่ถูกขโมยไปจาก Binance ได้ถูกโอนไปรวมเข้ากับกระเป๋าเงินที่ใช้เก็บเหรียญจากการแฮกกระดานเทรด Bitget มูลค่า 388 ล้านดอลลาร์สหรัฐเมื่อเดือนกันยายนที่ผ่านมา ซึ่งได้รับการยืนยันชัดเจนแล้วว่าเป็นฝีมือของเกาหลีเหนือ
รายงานยังระบุอีกว่า เครือข่ายแฮกเกอร์และบุคลากรไอทีเหล่านี้ไม่ได้นั่งทำงานรวมกันอยู่ในกรุงเปียงยาง แต่แฝงตัวกระจายอยู่ตามประเทศต่างๆ ทั่วโลกเพื่อรับคำสั่งและส่งต่อเหรียญที่ขโมยมาเข้าสู่ตลาดซื้อขายนอกกระดาน (OTC) ในพื้นที่ที่ไร้การกำกับดูแลเพื่อแปลงเป็นเงินสด
ด้วยเหตุนี้ ผู้เชี่ยวชาญจึงเตือนว่าบริษัทคริปโทฯ ไม่สามารถรอตั้งรับตอนที่เงินเริ่มถูกโอนออกจากกระเป๋าได้อีกต่อไป แต่ต้องป้องกันตั้งแต่ด่านแรกสุดด้วยการฝึกอบรมพนักงานเพื่ออุดช่องโหว่ทางจิตวิทยาไม่ให้ตกเป็นเหยื่อตั้งแต่ต้น
ที่มา : coindesk
มุมมองผู้เขียน : บทเรียนจากครั้งนี้คือต่อให้ระบบรักษาความปลอดภัยแน่นแค่ไหน คนก็ยังเป็นประตูที่เปิดง่ายที่สุด เมื่อแฮกเกอร์ลงทุนหลอกเหยื่อหลายเดือนและสร้างฉากสัมภาษณ์ได้สมจริงถึงขั้นเปิดเผยรูปถ่าย
