สรุปข่าว
- แฮกเกอร์โจรกรรมคริปโทเคอร์เรนซีจาก Binance มูลค่ากว่า 6,300 ล้านดอลลาร์ และเร่งเปลี่ยนเป็นสินทรัพย์ที่อายัดไม่ได้อย่างรวดเร็วเพื่อหนี
- มีการกระจายธุรกรรมผ่านเครือข่าย Tron, บริดจ์ข้ามเชน, และ Privacy Cash เพื่ออำพรางและตัดเส้นทางการติดตามของเจ้าหน้าที่
- ในขั้นตอนสุดท้าย สินทรัพย์ต่างๆ ถูกแปลงกลับมารวมศูนย์ที่ Bitcoin และผ่านกระบวนการผสมเหรียญเพื่อเตรียมทยอยฟอกเงินสดผ่านตลาด OTC ต่อไป
แนวโน้มผลกระทบ: Neutral
เส้นทางการฟอกเงินของกลุ่มแฮกเกอร์ที่โจรกรรมคริปโทฯ มูลค่ามหาศาลจาก Binance โดยเริ่มต้นจากการรีบเปลี่ยนสเตเบิลคอยน์ที่ถูกอายัดได้ให้เป็นสินทรัพย์อื่นอย่างรวดเร็วในช่วงแรก ก่อนจะใช้ประโยชน์จากเชนต่างๆ และบริการพูลความเป็นส่วนตัวเพื่อซ่อนเร้นเส้นทางธุรกรรม ก่อนที่จะทยอยแปลงสินทรัพย์ทั้งหมดให้กลับมารวมศูนย์อยู่ที่ Bitcoin พร้อมใช้ระบบผสมเหรียญเพื่อเตรียมฟอกเป็นเงินสดในอนาคต
ในช่วงปลายเดือนที่ผ่านมา Binance กระดานเทรดคริปโทฯ ยักษ์ใหญ่ของโลกได้ถูกโจรกรรมคริปโทฯ เป็นมูลค่ากว่า $6.3 พันล้านดอลลาร์ โดยถึงแม้ว่าเงินบางส่วนจะสามารถอายัดไว้ได้ แต่กระนั้นเงินจำนวนมากก็ยังคงถูกขนออกไปโดยกลุ่มแฮกเกอร์ ทำให้เกิดคำถามต่อมาว่าแฮกเกอร์เหล่านั้นใช้วิธีการไหนในการฟอกเงิน
บทความนี้เราจึงจะพาทุกท่านมาดูกันว่าคนร้ายใช้วิธีไหนบ้างในการหลบเลี่ยงการตรวจจับเพื่อแปลงเงินก้อนดังกล่าวให้กลายเป็นเงินขาวสะอาด อ้างอิงข้อมูลจาก elliptic
1.หนีการอายัดเงิน (29 ต.ค.)
ทันทีที่เจาะระบบสำเร็จในวันที่ 29 ตุลาคม ภารกิจแรกของแฮกเกอร์คือ การวิ่งแข่งกับเวลา เนื่องจากสินทรัพย์ที่ได้มาราว 54% เป็นเหรียญสเตเบิลคอยน์อย่าง USDT และ USDC ที่ผู้ออกเหรียญสามารถสั่งอายัดได้
แม้ว่าทาง Tether จะสั่งอายัด USDT บนเครือข่าย Ethereum ได้ภายในเวลาเพียง 37 นาทีหลังเกิดเหตุ แต่ก่อนหน้านั้นคนร้ายได้ Swap เหรียญเป็น ETH ไปแล้วถึง 434 ล้านดอลลาร์ และนำ USDT อีก 59.9 ล้านดอลลาร์ไปวางค้ำประกันเพื่อกู้ ETH ออกมาจากแพลตฟอร์ม Aave
ขณะเดียวกัน บนเครือข่าย Tron แฮกเกอร์สามารถ Swap เหรียญ USDT มูลค่า 234 ล้านดอลลาร์ไปเป็นเหรียญ TRX ได้ทันเวลา ส่วนทางฝั่ง Circle สามารถสกัดกั้นและอายัดเหรียญ USDC ไว้ได้ครบทั้ง 823 ล้านดอลลาร์ก่อนถูก Swap ส่งผลให้ในคืนแรกมีเม็ดเงินหลุดรอดจากการอายัดไปได้ราว 786 ล้านดอลลาร์สหรัฐ ส่วนเหรียญ Bitcoin ที่ขโมยมาโดยตรงจำนวน 18,270 BTC ถูกซอยย่อยกระจายไปยัง 19 ที่อยู่ภายในครึ่งชั่วโมงแรก และถูกปล่อยให้นอนนิ่งโดยไม่ขยับอีกเลยนับตั้งแต่วันนั้น
2. ยืมมือ TRON (30-31 ต.ค.)
วันถัดมา Tron กลายเป็นเส้นทางหลักของธุรกรรม เมื่อกระเป๋าเงินใบหนึ่งเริ่มกระจายเหรียญ TRX กว่า 684 ล้านเหรียญออกเป็นก้อนเล็กๆ ไปยังกระเป๋าเงินใหม่ราว 7,700 ที่อยู่ ก่อนจะส่งต่อผ่านสะพานเชื่อมบล็อกเชน (Bridge) 6 แห่งภายใน 3 ชั่วโมง เพื่อแปลงเป็นเหรียญ ETH จำนวนราว 68,300 เหรียญ และกระจายเก็บไว้ใน 830 ที่อยู่ ซึ่งในจังหวะนี้เองที่ TRM Labs และ Chainalysis ตรวจพบว่า รูปแบบการโอนตรงกับพฤติกรรมของกลุ่ม TraderTraitor จากเกาหลีเหนือ
ในวันที่ 31 ตุลาคม แฮกเกอร์ได้เร่งความเร็วในการโอนจากไม่ถึง 12 ล้าน TRX ต่อชั่วโมง ขึ้นไปสูงสุดถึง 37 ล้าน TRX ต่อชั่วโมง พร้อม Swap เหรียญเป็น USDD และใช้แพลตฟอร์มปล่อยกู้ JustLend เป็นตัวกลางตัดเส้นทางธุรกรรมไม่ให้เชื่อมโยงต้นทางกับปลายทางได้ แม้สะพานเชื่อมหลักอย่าง THORChain จะเกิดเหตุขัดข้องทางเทคนิคและถูก FBI ออกประกาศเรียกร้องให้บล็อกธุรกรรมในเย็นวันเดียวกัน แต่คนร้ายก็สามารถเปลี่ยนไปใช้บริดจ์อื่นแทนได้อย่างต่อเนื่อง
3. ย้ายไปเชนอื่น และเริ่มใช้เครื่องมือผสมเหรียญพรางตัว (1–3 พ.ย.)
ในช่วงวันที่ 1–3 พฤศจิกายน เมื่อความเคลื่อนไหวบน Tron ซาลง แฮกเกอร์ได้สลับไปขยับเหรียญบนเครือข่ายอื่นแทน ทั้งการย้ายเหรียญ NEAR ไปยังบัญชีใหม่ การทยอยโอน ETH เป็นชุดละ 10 รายการ และการย้ายเหรียญ SOL กว่าครึ่งหนึ่งไปยังกระเป๋าใหม่ พร้อมทั้งเริ่มนำเทคนิคการผสมเหรียญ มาใช้เป็นครั้งแรกด้วยการส่ง Bitcoin ที่ได้มาจากฝั่ง Tron เข้าสู่ระบบ CoinJoin ของ Wasabi เพื่อรวมธุรกรรมหลายรายการเข้าด้วยกันจนไม่สามารถแกะรอยที่มาที่ไปได้
ในเวลาเดียวกัน XRP 233 ล้านเหรียญก็เริ่มขยับเป็นครั้งแรก โดยถูกส่งไปพักใน 6 ที่อยู่ใหม่ ขณะที่เหรียญ SOL เริ่มถูกแปลงสภาพเป็น Bitcoin ผ่านกระบวนการที่ซับซ้อน เริ่มขายเป็น USDC ก่อน บริดจ์ไป Ethereum Swap เป็น ETH แล้ว Swap ต่อเป็น Bitcoin ทั้งหมดภายในราวหนึ่งชั่วโมงต่อชุด และบางชุดข้ามถึง 4 บล็อกเชนในไม่ถึง 5 ชั่วโมง
จังหวะการฟอกเงินยิ่งทวีความเข้มข้นขึ้นในวันที่ 3 พฤศจิกายน เมื่อเหรียญ SOL ราว 137,000 เหรียญถูกกระจายผ่านระบบปล่อยกู้และบริการ Liquid Staking เพื่อ Swap เป็น Bitcoin ควบคู่ไปกับการเริ่มใช้งาน Privacy Cash ซึ่งเป็นพูลปกปิดตัวตนลักษณะเดียวกับ Tornado Cash ในการฝากและถอนเหรียญ ETH กับ SOL มูลค่ารวมราว 1 ล้านดอลลาร์สหรัฐ ในวันเดียวกับที่รัฐบาลเกาหลีเหนือออกมาปฏิเสธข้อกล่าวหาทั้งหมด
4. กลับมารวมศูนย์ที่ Bitcoin (4-7 พ.ย.)
ระหว่างวันที่ 4–7 พฤศจิกายน ปฏิบัติการทั้งหมดของแฮกเกอร์มุ่งตรงสู่การแปลงสินทรัพย์กลับไปเป็น Bitcoin โดยเริ่มจาก SOL ราว 725,000 เหรียญถูกส่งออกจากกระเป๋าเดิมใน 204 ธุรกรรมไปยัง 77 กระเป๋าใหม่ ขายเป็น USDC ผ่าน DEX และ market maker แล้วบริดจ์ไป Swap เป็น ETH และ Bitcoin ส่วน ETH ราว 29 ล้านดอลลาร์ก็ถูกส่งผ่าน THORChain ไปเป็น Bitcoin เช่นกัน
ตั้งแต่บ่ายวันที่ 5 XRP ที่ถูกพักไว้ 3 วันเริ่มถูกกระจายไปบัญชีใหม่หลายสิบบัญชี แล้ว Swap เป็น Bitcoin ส่วนใหญ่ผ่าน THORChain ขณะที่ Tron และ NEAR ถูกซอยเป็นก้อนเล็ก จนเช้าวันที่ 6 Bitcoin ที่แปลงมาจากสินทรัพย์อื่นทะลุราว 1,650 BTC (124 ล้านดอลลาร์) และเช้าวันที่ 7 การฟอก XRP ก็ถูกเร่งขึ้นอีกพร้อมการผสม Bitcoin ผ่าน coinjoin
5. สรุปความเสียหาย
จนถึงตอนนี้มี Bitcoin ที่เกิดจากการแปลงสินทรัพย์อื่นเข้ามาเก็บไว้ในกระเป๋าใหม่รวมแล้วราว 2,300 BTC (175 ล้านดอลลาร์) ส่งผลให้ในภาพรวมแล้วแฮกเกอร์ยังถือสินทรัพย์ที่เชื่อมโยงกับการโจรกรรมครั้งนี้อยู่อีกราว 3.13 พันล้านดอลลาร์ซึ่งส่วนใหญ่เป็น ETH และ BTC ที่ยังไม่ขยับรวมถึง XRP และ SOL ที่ยังฟอกไม่หมด
อย่างไรก็ตาม Elliptic ประเมินว่าจนถึงเวลานี้แฮกเกอร์น่าจะยังแปลงคริปโทฯ ออกเป็นเงินสดได้น้อยมาก เพราะหากอิงจากบทเรียนคดี Bybit คาดกันว่า ETH จะถูก Swap เป็น Bitcoin ก้อนเล็กๆ แล้วทยอยขายผ่านโบรกเกอร์ OTC ตลอดหลายเดือนถัดจากนี้
หมายเหตุ: ข้อมูลทั้งหมดมาจากรายงานของ Elliptic และสื่อ ซึ่งยังอัปเดตต่อเนื่อง และการระบุตัวผู้กระทำอาศัยหลักฐานบนเชนและข่าวกรอง ไม่ใช่คำตัดสินของศาลแต่อย่างใด
ที่มา: Elliptic
มุมมองผู้เขียน: เหตุการณ์นี้สะท้อนถึงความเชี่ยวชาญระดับสูงของอาชญากรไซเบอร์ในการใช้ประโยชน์จากช่องโหว่และกลไกของระบบกระจายศูนย์ ซึ่งถ้าหากไม่เร่งแก้ไขก็อาจทำให้คริปโทฯ สูญเสียความมั่นใจจากนักลงทุน
