แฮกเกอร์เกาหลีเหนือขโมยคริปโตกว่า $1.3 หมื่นล้าน เจาะวิธีโจมตีกระดานเทรด

ช่วงสัปดาห์ที่ผ่านมา คำว่า “เกาหลีเหนือ” ถูกค้นหาในกลุ่มผู้อ่านของเราเพิ่มขึ้นเท่าตัว และมาพร้อมคำว่า “โจมตีทางไซเบอร์” นี่ไม่ใช่เรื่องบังเอิญ เพราะเมื่อวันที่ 29 ตุลาคม 2026 Binance ถูกดูดเงินออกไปราว $6.34 ถึง $6.4 พันล้าน กระจายอยู่บน 10 บล็อกเชน ภายในเวลาประมาณ 20 นาที เหตุการณ์นี้กลายเป็นการขโมยคริปโตครั้งใหญ่ที่สุดในประวัติศาสตร์

คำถามที่ตามมาทันทีคือ ใครทำได้ขนาดนี้ และทำไมกระดานเทรดที่ใหญ่ที่สุดในโลกถึงยังโดน คำตอบที่ FBI ประกาศออกมาในวันที่ 1 ถึง 2 พฤศจิกายน 2026 ชี้ไปที่กลุ่ม TraderTraitor หน่วยแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐเกาหลีเหนือ ซึ่งอยู่ภายใต้ร่มของ Lazarus Group ขณะที่บริษัทวิเคราะห์บนเชนอย่าง Chainalysis, TRM Labs และนักสืบอิสระ ZachXBT ต่างยืนยันผลในทิศทางเดียวกัน

บทความนี้จะพาไปดูว่า Lazarus คือใคร ทำไมรัฐที่โดนคว่ำบาตรทั้งโลกถึงหันมาเล็งคริปโต พวกเขาโจมตีอย่างไร เงินที่ขโมยไปหายไปไหน และคนธรรมดาอย่างเราควรป้องกันตัวเองอย่างไร

Lazarus Group คือใคร

Lazarus Group ไม่ใช่กลุ่มแฮกเกอร์วัยรุ่นที่นั่งเจาะระบบเล่น ๆ ในห้องมืด แต่เป็นปฏิบัติการไซเบอร์ที่อยู่ภายใต้การควบคุมโดยตรงของสำนักข่าวกรองทั่วไปของเกาหลีเหนือ (Reconnaissance General Bureau หรือ RGB) ซึ่งเป็นหน่วยข่าวกรองต่างประเทศหลักของประเทศ กลุ่มนี้มีหลายชื่อเรียกตามหน่วยย่อยและตามบริษัทความปลอดภัยที่ติดตาม เช่น APT38, BlueNoroff, Andariel และ TraderTraitor

สำนักงานควบคุมทรัพย์สินต่างประเทศสหรัฐฯ (OFAC) ประกาศคว่ำบาตร Lazarus Group, Bluenoroff และ Andariel ภายใต้คำสั่งฝ่ายบริหารที่ 13722 เมื่อวันที่ 13 กันยายน 2019 ก่อนหน้านั้นในปี 2018 กระทรวงยุติธรรมสหรัฐฯ ได้ยื่นฟ้อง Park Jin Hyok โปรแกรมเมอร์ชาวเกาหลีเหนือ ในคดีโจมตีไซเบอร์ระดับโลกหลายคดี ทั้งการเจาะระบบ Sony Pictures ในปี 2014 การขโมยเงิน $81 ล้านจากธนาคารกลางบังกลาเทศในปี 2016 และมัลแวร์เรียกค่าไถ่ WannaCry ในปี 2017

ลองไล่ดูเป้าหมายตามลำดับเวลา จะเห็นการเปลี่ยนแปลงที่ชัดเจน จากสตูดิโอภาพยนตร์ ไปธนาคารกลาง แล้วมาจบที่กระดานเทรดคริปโต ถ้าคิดแบบนักธุรกิจ นี่คือการย้ายไปหาตลาดที่ “ทำกำไรได้มากที่สุดต่อความเสี่ยงหนึ่งหน่วย” และตอนนี้ตลาดนั้นคือคริปโต

ทำไมเกาหลีเหนือถึงเล็งคริปโต

คำตอบสั้นที่สุดคือ “เพราะไม่มีทางเลือกอื่นที่ดีกว่านี้” เกาหลีเหนือถูกคว่ำบาตรอย่างกว้างขวางทั้งจากสหประชาชาติและสหรัฐฯ จนถูกตัดออกจากเครือข่ายธนาคารระหว่างประเทศอย่าง SWIFT การโอนเงินผ่านระบบธนาคารปกติแทบเป็นไปไม่ได้ แต่คริปโตไม่มีพรมแดน ไม่ต้องข้ามด่านศุลกากร และขโมยได้จากระยะไกลผ่านคีย์บอร์ดเพียงตัวเดียว

คณะผู้เชี่ยวชาญของสหประชาชาติ (UN Panel of Experts) ระบุในรายงานปี 2024 ว่าพบการโจมตีไซเบอร์ที่สงสัยว่าเป็นฝีมือเกาหลีเหนือ 58 ครั้ง ระหว่างปี 2017 ถึง 2023 มูลค่ารวมประมาณ $3 พันล้าน และประเมินว่าเงินคริปโตที่ขโมยมาเป็นแหล่งทุนราว 40% ถึง 50% ของโครงการขีปนาวุธและอาวุธทำลายล้างสูงของประเทศ

ตัวเลขนี้ทำให้เรื่องเปลี่ยนจาก “อาชญากรรมไซเบอร์” ธรรมดา กลายเป็นเรื่องความมั่นคงระดับโลก ทุกครั้งที่กระดานเทรดถูกเจาะ เงินบางส่วนอาจกลายเป็นงบประมาณของโครงการอาวุธ

ข้อมูลของ Chainalysis ยิ่งทำให้ภาพชัดขึ้น ในปี 2021 เกาหลีเหนือคิดเป็นราว 15% ของมูลค่าความเสียหายจากการแฮกคริปโตทั่วโลก โดยเฉลี่ยครั้งละ $50.65 ล้าน แต่ในปี 2025 กลุ่มที่เชื่อมโยงกับเกาหลีเหนือขโมยไปได้ $2.02 พันล้าน เพิ่มขึ้น 51% จากปี 2024 ทำให้ยอดสะสมจนถึงสิ้นปี 2025 อยู่ที่ $6.75 พันล้าน

ส่วนปี 2026 (ข้อมูลถึงวันที่ 31 ตุลาคม) การโจมตีที่สงสัยว่าเชื่อมโยงกับเกาหลีเหนือคิดเป็นเกือบ 89% ของความเสียหายจากการแฮกคริปโตทั้งหมดที่มีรายงาน และค่าเฉลี่ยความเสียหายต่อครั้งพุ่งขึ้นเป็น $185.65 ล้าน โดยมีเหตุ Binance เป็นตัวดันหลัก หากนับรวมตั้งแต่ปี 2021 ถึงตุลาคม 2026 จากความเสียหายทั้งอุตสาหกรรม $2.23 หมื่นล้าน มีราว $1.32 หมื่นล้าน หรือ 59% ที่เชื่อมโยงกับเกาหลีเหนือ

พูดง่าย ๆ คือ เงินที่ถูกแฮกจากวงการคริปโตเกินครึ่ง ไหลไปที่ประเทศเดียว

เหตุแฮกใหญ่ที่ถูกระบุว่าเชื่อมโยงกับเกาหลีเหนือ

เราคัดเฉพาะกรณีที่ FBI หน่วยงานรัฐ หรือบริษัทวิเคราะห์บนเชนที่น่าเชื่อถือระบุตัวผู้กระทำแล้ว เรียงตามลำดับเวลาดังนี้

• Ronin Network ของ Axie Infinity ($620 ถึง $625 ล้าน) เกิดเหตุวันที่ 23 มีนาคม 2022 และเปิดเผยต่อสาธารณะวันที่ 29 มีนาคม แฮกเกอร์ขโมย 173,600 ETH และ 25.5 ล้าน USDC ต่อมาในเดือนเมษายน 2022 FBI และ OFAC ระบุว่าเป็นฝีมือ Lazarus Group และ APT38
• Harmony Horizon Bridge ($100 ล้าน) เกิดเหตุวันที่ 24 มิถุนายน 2022 วันที่ 23 มกราคม 2023 FBI ยืนยันว่า Lazarus Group และ APT38 อยู่เบื้องหลัง โดยใช้ Private Key ที่ถูกเจาะ และฟอกเงินไปกว่า $60 ล้านผ่านโปรโตคอลความเป็นส่วนตัว RAILGUN
• Stake.com ($41 ล้าน) เกิดเหตุวันที่ 4 กันยายน 2023 เพียงสองวันต่อมา FBI ออกแถลงการณ์ระบุว่า Lazarus Group คือผู้กระทำ
• Bybit ($1.5 พันล้าน) เกิดเหตุเดือนกุมภาพันธ์ 2025 FBI และ Chainalysis ระบุว่าเป็นฝีมือหน่วย TraderTraitor ของเกาหลีเหนือ ถือเป็นสถิติการแฮกครั้งใหญ่ที่สุดในขณะนั้น
• Binance ($6.34 ถึง $6.4 พันล้าน) เกิดเหตุเวลาราวตี 3:05 ของวันที่ 30 ตุลาคม 2026 ตามเวลาไทย (20:05 UTC วันที่ 29 ตุลาคม) FBI ระบุว่าเป็นฝีมือ TraderTraitor ในวันที่ 1 ถึง 2 พฤศจิกายน 2026 แซงหน้า Bybit ขึ้นเป็นสถิติใหม่

นอกจากนี้ยังมีกรณี Bitget ที่สูญเงินราว $387 ถึง $388 ล้านในเดือนกันยายน 2026 ซึ่ง Chainalysis ใช้หลักฐานทางนิติวิทยาศาสตร์บนเชนเชื่อมโยงไปยังเกาหลีเหนือ และพบว่าเงินจากเหตุนี้ถูกนำไปรวมกับเงินที่ขโมยจาก Binance ในภายหลัง

ฝั่งเกาหลีเหนือปฏิเสธมาตลอด ล่าสุดเมื่อวันที่ 3 พฤศจิกายน 2026 Kim Yo-jong น้องสาวของผู้นำ Kim Jong-un ออกแถลงการณ์ผ่านสำนักข่าวกลางเกาหลี (KCNA) ปฏิเสธว่าไม่ได้เกี่ยวข้อง และเรียกผลการสอบสวนของ FBI ว่าเป็น “การยั่วยุทางการเมืองอย่างร้ายแรง”

มีอีกเรื่องที่ต้องพูดให้ชัด เหตุแฮก Mercado Bitcoin กระดานเทรดในบราซิลเมื่อวันที่ 2 พฤศจิกายน 2026 ซึ่งสูญเงินราว $38 ถึง $48.6 ล้าน ยังไม่มีการระบุตัวผู้กระทำ แม้จะเกิดห่างจาก Binance เพียงไม่กี่วัน แต่ทั้ง Mercado Bitcoin และบริษัทความปลอดภัยอย่าง CertiK และ Bitquery ยืนยันว่ายังอยู่ระหว่างการสอบสวน และยังไม่มีหลักฐานทางการที่โยงไปยังเกาหลีเหนือ การเหมารวมเพราะช่วงเวลาตรงกันจึงไม่ถูกต้อง

อ่านรายละเอียดเหตุการณ์ฝั่ง Binance เพิ่มเติมได้ที่ ข่าวแฮก Binance บน Siam Blockchain

วิธีโจมตีที่ใช้บ่อย เจาะคนก่อนเจาะระบบ

หลายคนเข้าใจว่าแฮกเกอร์ระดับรัฐต้องใช้ช่องโหว่ซอฟต์แวร์ที่ไม่มีใครรู้จัก หรือหาบั๊กใน Smart Contract แต่ความจริงคือช่องทางหลักของกลุ่มนี้ “อยู่ที่คน” มากกว่าโค้ด

1. การสัมภาษณ์งานปลอม กรณี Binance คือตัวอย่างที่ชัดที่สุด Binance เปิดเผยเมื่อวันที่ 3 ถึง 4 พฤศจิกายน 2026 ว่าการเจาะระบบเริ่มตั้งแต่เดือนกันยายน วิศวกรฝ่าย DevOps คนหนึ่งถูกติดต่อผ่านแพลตฟอร์มหางาน ได้รับเชิญสัมภาษณ์กับบริษัทที่ไม่มีอยู่จริง แล้วถูกหลอกให้ดาวน์โหลด “แบบทดสอบเขียนโค้ด” ที่ฝังมัลแวร์ลงในคอมพิวเตอร์ที่ใช้ทำงาน จากจุดนั้นแฮกเกอร์เข้าถึงระบบเซ็นธุรกรรมของ Hot Wallet และใช้ฟีเจอร์ EIP-7702 บน Ethereum มอบสิทธิ์แบบกลุ่ม จนเปลี่ยน Hot Wallet ให้กลายเป็นเครื่องกวาดเงินออก

2. Spear Phishing และการหลอกลวงทางสังคม คือการส่งข้อความหรืออีเมลที่ออกแบบเฉพาะสำหรับเหยื่อแต่ละคน ไม่ใช่สแปมหว่านแห ข้อความอาจมาในรูปข้อเสนอการลงทุน การชวนร่วมโปรเจกต์ หรือการทักทายจากคนในวงการที่ดูน่าเชื่อถือ FBI เคยออกประกาศเตือนเมื่อเดือนกันยายน 2024 ว่าเกาหลีเหนือกำลังเล็งเป้าไปที่พนักงานในอุตสาหกรรมคริปโตด้วยวิธีการเหล่านี้

3. แฝงตัวเป็นพนักงานไอที อีกด้านหนึ่งของกลยุทธ์คือส่งคนของตัวเองเข้าไปทำงานจริง โดยใช้ตัวตนที่ขโมยมาจากชาวตะวันตก สมัครงานในบริษัทคริปโตแบบทำงานทางไกล FBI ออกประกาศเตือนเรื่องพนักงานไอทีเกาหลีเหนือที่ปลอมตัวตนมาแล้ว ผู้ที่ได้รับการว่าจ้างอาจทั้งส่งเงินเดือนกลับประเทศ และเปิดประตูหลังให้ทีมแฮก

4. มัลแวร์และการโจมตี Private Key มัลแวร์ที่ถูกพบบ่อยในแบบทดสอบงานปลอมมีชื่อเช่น BeaverTail และ InvisibleFerret ซึ่งออกแบบมาเพื่อขโมยข้อมูลและควบคุมเครื่องเหยื่อ เป้าหมายสุดท้ายคือ Private Key หรือระบบเซ็นธุรกรรมของกระเป๋า ดังที่เห็นในกรณี Harmony ซึ่งคีย์ถูกเจาะ และ Binance ซึ่งระบบเซ็นของ Hot Wallet ถูกยึด

ลองคิดดูว่า กระดานเทรดลงทุนกับระบบความปลอดภัยไปมหาศาล แต่จุดอ่อนที่สุดกลับเป็นวิศวกรคนหนึ่งที่อยากได้งานใหม่ นี่คือเหตุผลที่กลุ่มนี้น่ากลัว เพราะพวกเขาไม่ได้สู้กับไฟร์วอลล์ แต่สู้กับธรรมชาติของมนุษย์

เงินที่ถูกขโมยไปไหน และติดตามบนเชนได้แค่ไหน

การขโมยเป็นแค่ครึ่งแรกของงาน ครึ่งหลังคือการฟอกเงินให้ใช้ได้จริง ซึ่งยากกว่ามาก เพราะทุกธุรกรรมบนบล็อกเชนถูกบันทึกไว้ให้ทุกคนเห็น

ในอดีต เครื่องมือหลักคือ Mixer หรือบริการผสมเหรียญ แต่หลังจาก OFAC คว่ำบาตร Tornado Cash ในปี 2022 และหน่วยงานบังคับใช้กฎหมายปิดบริการผสม Bitcoin อย่าง Blender.io, ChipMixer และ Sinbad แฮกเกอร์เกาหลีเหนือก็ปรับวิธี หันไปใช้การกระโดดข้ามหลายเชน ผ่าน Bridge อย่าง Avalanche Bridge, THORChain และ Relay สลับไปเป็น Bitcoin หรือ Ether อย่างรวดเร็ว แล้วปล่อยขายผ่านนายหน้าซื้อขายนอกตลาด (OTC) ที่ใช้ภาษาจีน

อีกเกมที่สำคัญคือการแข่งกับเวลาก่อนเหรียญถูกอายัด Stablecoin อย่าง USDT และ USDC มีผู้ออกที่สามารถขึ้นบัญชีดำกระเป๋าได้ แฮกเกอร์จึงตั้งระบบอัตโนมัติให้สลับเหรียญเหล่านี้เป็น ETH หรือ BTC ภายในไม่กี่นาที แต่รอบ Binance พวกเขาไม่ได้ชนะทั้งหมด Tether, Circle, Ripple, Arbitrum Security Council และ World Liberty Financial ร่วมกันอายัดเหรียญได้ราว $2.7 ถึง $2.8 พันล้าน ซึ่งเป็นตัวเลขที่สูงมากเมื่อเทียบกับเหตุการณ์ในอดีต

ส่วนที่เหลือยังอยู่ในมือแฮกเกอร์ ณ วันที่ 6 พฤศจิกายน 2026 เงินที่ยังไม่ถูกอายัดซึ่งมีมากกว่า 420,000 ETH และ 18,270 BTC กำลังถูกติดตามขณะเคลื่อนผ่านโปรโตคอลแบบกระจายศูนย์อย่าง THORChain และ Bridge ข้ามเชนต่าง ๆ

ข่าวดีคือ Binance ยังคงมีสภาพคล่องและไม่เกิดผลกระทบลุกลามทั้งระบบ ตามบทวิเคราะห์จากสื่อและนักวิเคราะห์ในอุตสาหกรรมอย่าง Bankless โดย Binance ใช้กองทุน SAFU เงินในคลังของบริษัท และกองทุนประกันฟิวเจอร์ ชดเชยความเสียหายของลูกค้าทั้งหมด และกลับมาเปิดให้ถอนเงินตั้งแต่วันที่ 1 พฤศจิกายน 2026

แต่อย่าลืมว่า “ติดตามได้” ไม่ได้แปลว่า “เอาคืนได้” บล็อกเชนโปร่งใสก็จริง แต่ถ้าเงินไปถึงมือนายหน้า OTC ที่ไม่ร่วมมือกับเจ้าหน้าที่ การติดตามก็จบลงตรงนั้น

ผู้ใช้ทั่วไปควรป้องกันตัวอย่างไร

ถ้ากระดานเทรดระดับโลกยังโดน คนธรรมดาจะทำอะไรได้ คำตอบคือทำได้มากกว่าที่คิด เพราะวิธีที่ใช้หลอกวิศวกร Binance ก็เป็นวิธีเดียวกับที่ใช้หลอกผู้ใช้ทั่วไป

• อย่ารันไฟล์หรือโค้ดจากคนที่ไม่รู้จัก โดยเฉพาะข้อเสนองานที่ให้ดาวน์โหลด “แบบทดสอบ” หรือติดตั้งโปรแกรมก่อนสัมภาษณ์ ถ้าจำเป็นจริง ให้เปิดบนเครื่องแยกที่ไม่มีกระเป๋าคริปโตอยู่
• แยกเงินลงทุนระยะยาวออกจากกระดานเทรด เก็บไว้ใน Hardware Wallet และเหลือบนกระดานเฉพาะส่วนที่ใช้เทรด
• อย่าเก็บ Seed Phrase ในรูปดิจิทัล ห้ามถ่ายรูป ห้ามเก็บในโน้ตบนมือถือ หรือบนคลาวด์
• ใช้แอปยืนยันตัวตนสองชั้นแทน SMS และเปิดระบบรายชื่อกระเป๋าที่อนุญาตให้ถอนเงิน (Whitelist) ถ้ากระดานรองรับ
• อ่านทุกธุรกรรมก่อนกดเซ็น หากไม่เข้าใจว่ากำลังอนุมัติอะไร อย่ากด โดยเฉพาะคำขอมอบสิทธิ์ให้ Smart Contract
• เข้าเว็บผ่าน Bookmark เท่านั้น อย่ากดลิงก์จากอีเมล ข้อความ หรือโฆษณา

อ่านแนวทางการเก็บรักษาเหรียญแบบละเอียดได้ที่ 5 วิธีเก็บคริปโตให้ปลอดภัย

สรุป

ภาพรวมจากข้อมูลทั้งหมดบอกเราว่า กลุ่มแฮกเกอร์ที่ถูกระบุว่าเชื่อมโยงกับเกาหลีเหนือ ไม่ใช่ภัยคุกคามหนึ่งในหลายราย แต่เป็นผู้เล่นหลักของอาชญากรรมคริปโต ด้วยส่วนแบ่ง 59% ของความเสียหายจากการแฮกตั้งแต่ปี 2021 และเกือบ 89% ในปี 2026 กลุ่มนี้มีรัฐหนุนหลัง มีเป้าหมายระยะยาว และมีแรงจูงใจที่ไม่มีวันหายไปตราบใดที่การคว่ำบาตรยังอยู่

อาวุธของพวกเขาไม่ใช่เทคโนโลยีที่ล้ำที่สุด แต่เป็นความอดทนและความเข้าใจคน กรณี Binance ใช้เวลาวางแผนนานเป็นเดือน เพื่อเปิดทางให้ดูดเงินออกใน 20 นาที สิ่งที่วงการได้เรียนรู้รอบนี้คือ การอายัด Stablecoin อย่างรวดเร็ว และกองทุนสำรองที่เพียงพอ สามารถจำกัดความเสียหายได้จริง แต่ยังไม่พอที่จะหยุดการโจมตีครั้งต่อไป

ความเห็นผู้เขียน

ผมว่าเราต้องเลิกมองเรื่องนี้เป็น “ข่าวแฮก” ได้แล้วครับ นี่คือสงครามที่ไม่ยุติธรรม ฝั่งหนึ่งคือบริษัทเอกชนที่ต้องทำกำไร มีพนักงานหลายพันคน แต่ละคนมีชีวิต มีความอยากเปลี่ยนงาน อีกฝั่งคือหน่วยงานรัฐที่ไม่ต้องสนใจผลประกอบการ ไม่กลัวโดนฟ้อง และมีเวลาไม่จำกัด พวกเขาล้มเหลวได้ร้อยครั้ง ขอแค่สำเร็จครั้งเดียวก็คุ้ม

สิ่งที่ทำให้ผมคิดหนักที่สุดคือ ช่องโหว่ของ Binance ไม่ได้อยู่ในโค้ด แต่อยู่ในกล่องข้อความของ LinkedIn หรือแพลตฟอร์มหางานสักแห่ง ถ้าคนในบริษัทที่ลงทุนด้านความปลอดภัยมากที่สุดในวงการยังพลาดได้ แล้วเราที่เก็บเหรียญไว้ในมือถือเครื่องเดียวกับที่ใช้เล่นโซเชียล ปลอดภัยกว่าจริงหรือ

อีกเรื่องที่อยากชวนคิด การอายัดเงินกว่า $2.7 พันล้านโดยผู้ออก Stablecoin รอบนี้ ช่วยลดความเสียหายได้เยอะมาก แต่ก็ตอกย้ำว่า Stablecoin ไม่ได้กระจายอำนาจจริง มีคนกดปุ่มหยุดเงินได้ ซึ่งวันนี้เป็นข่าวดี แต่สาย Decentralization ก็ควรรู้ตัวว่ากำลังพึ่งพาอะไรอยู่

และสุดท้าย ผมอยากเตือนว่าอย่าโยนทุกเหตุแฮกให้เกาหลีเหนือ อย่างกรณี Mercado Bitcoin ที่ยังไม่มีใครยืนยันผู้กระทำ การเหมารวมทำให้เราละเลยการหาสาเหตุจริง และอาจปล่อยให้คนร้ายตัวจริงลอยนวล สิ่งที่ควรจับตาต่อจากนี้คือ เงินกว่า 420,000 ETH ที่ยังเคลื่อนไหวอยู่บนเชน จะถูกปล่อยออกมาเมื่อไหร่ และผ่านช่องทางไหน เพราะนั่นจะบอกเราว่าวงการปิดประตูการฟอกเงินได้ดีขึ้นแค่ไหน

ภาพจาก AI