แกะรอยแฮ็ก Binance ทำไม "เกาหลีเหนือ" เป็นผู้ต้องสงสัยเบอร์หนึ่ง?

บริษัทวิเคราะห์บล็อกเชนรายใหญ่ 2 แห่งระบุว่า มีข้อมูลข่าวกรองที่หนักแน่นชี้ไปยังกลุ่มแฮ็กเกอร์ซึ่งได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ ว่าอาจอยู่เบื้องหลังการโจมตี Binance แพลตฟอร์มซื้อขายคริปโทเคอร์เรนซีรายใหญ่ที่สุดของโลก สร้างความเสียหายมูลค่าหลายพันล้านดอลลาร์สหรัฐฯ

กลุ่มที่ถูกจับตามองคือ TraderTraitor กลุ่มแฮ็กเกอร์จากเกาหลีเหนือที่เชื่อมโยงกับปฏิบัติการไซเบอร์ของ Lazarus Group

Reuters/Dado Ruvic/Illustration

โดย TRM Labs บริษัทวิเคราะห์ธุรกรรมบล็อกเชน ระบุด้วยความมั่นใจในระดับสูงว่า TraderTraitor น่าจะเป็นผู้ก่อเหตุ ขณะที่ Chainalysis บริษัทวิเคราะห์ธุรกรรมบล็อกเชนอีกรายก็ชี้ไปในทิศทางเดียวกัน โดย Chainalysis ระบุว่าพบเงินจากเหตุโจมตี Binance ถูกนำไปรวมกับเงินจากเหตุโจมตี Bitget ซึ่งเคยถูกเชื่อมโยงกับเกาหลีเหนือมาก่อน

หากข้อกล่าวหานี้เป็นจริง เหตุการณ์ดังกล่าวจะเป็นอีกหลักฐานสำคัญที่สะท้อนว่า กลุ่มแฮ็กเกอร์ซึ่งเชื่อมโยงกับเกาหลีเหนือมีศักยภาพสูงขึ้นเพียงใด โดยเฉพาะในโลกคริปโทที่กลายเป็นเป้าหมายสำคัญของการโจมตีเพื่อหวังผลทางการเงิน

ประเทศที่มีอินเทอร์เน็ตจำกัด แต่สร้าง "กองทัพแฮ็กเกอร์"

เกาหลีเหนือเป็นหนึ่งในประเทศที่ยากจนที่สุดในโลก และประชาชนทั่วไปเข้าถึงอินเทอร์เน็ตได้อย่างจำกัด อย่างไรก็ตาม ผู้เชี่ยวชาญกล่าวหารัฐบาลของคิม จองอึนว่า พึ่งพาอาชญากรรมไซเบอร์เพื่อหาเงินสนับสนุนประเทศ แม้รัฐบาลเปียงยางจะปฏิเสธข้อกล่าวหานี้มาโดยตลอด

รายงานหลายฉบับระบุว่า เกาหลีเหนือพัฒนาปฏิบัติการไซเบอร์อย่างเป็นระบบ โดยคัดเลือกนักศึกษาที่มีศักยภาพโดดเด่นจากมหาวิทยาลัย ก่อนส่งเข้าสู่กลุ่มแฮ็กเกอร์ซึ่งอยู่ภายใต้การกำกับดูแลของหน่วยข่าวกรองเกาหลีเหนือ

การปฏิบัติการไซเบอร์บางส่วนยังเชื่อว่าเกิดขึ้นนอกประเทศ โดยการวิเคราะห์ของบริษัทเทคโนโลยีบางแห่งระบุว่า กิจกรรมแฮ็กบางส่วนดำเนินการจากพื้นที่ฝั่งจีนใกล้ชายแดนเกาหลีเหนือ

จาก Sony Pictures สู่การขโมยคริปโท

หนึ่งในเหตุแฮ็กที่ถูกเชื่อมโยงกับเกาหลีเหนือและโด่งดังที่สุดเกิดขึ้นในปี 2014 โดยเป้าหมายคือ Sony Pictures เหตุการณ์ดังกล่าวเกิดขึ้นหลังสตูดิโอสร้างภาพยนตร์ฮอลลีวูดเรื่อง The Interview ซึ่งมีเนื้อหาเกี่ยวกับแผนลอบสังหารคิม จองอึน

การโจมตีครั้งนั้นทำให้อีเมลภายในจำนวนหลายพันฉบับของผู้บริหารระดับสูงของสตูดิโอถูกเปิดเผย และสร้างความอับอายให้กับบริษัท อย่างไรก็ตาม ในช่วงหลัง ปฏิบัติการที่ถูกเชื่อมโยงกับแฮ็กเกอร์เกาหลีเหนือมักมุ่งไปที่ผลประโยชน์ทางการเงินมากขึ้น โดยเฉพาะการโจมตีแพลตฟอร์มและสินทรัพย์คริปโท

FBI เคยชี้เกาหลีเหนือขโมยเงิน Bybit 1.5 พันล้านดอลลาร์

เมื่อปี 2025 สำนักงานสอบสวนกลางสหรัฐฯ หรือ FBI ระบุว่า เกาหลีเหนืออยู่เบื้องหลังการขโมยสินทรัพย์ดิจิทัลมูลค่าประมาณ 1.5 พันล้านดอลลาร์ จากแพลตฟอร์ม Bybit โดย FBI ใช้ชื่อ TraderTraitor เรียกกิจกรรมไซเบอร์ของเกาหลีเหนือที่เกี่ยวข้องกับเหตุการณ์ดังกล่าว

หลังเหตุการณ์ดังกล่าว FBI ระบุว่า TraderTraitor เร่งฟอกและกระจายสินทรัพย์ที่ขโมยมาอย่างรวดเร็ว โดยเปลี่ยนบางส่วนเป็นบิตคอยน์และสินทรัพย์ดิจิทัลประเภทอื่น ก่อนกระจายไปยังที่อยู่บนบล็อกเชนหลายพันแห่ง และคาดว่าจะนำไปฟอกต่อเพื่อเปลี่ยนเป็นเงินทั่วไปในท้ายที่สุด

FBI กล่าวหาเกาหลีเหนือในภาพรวมว่ามีส่วนเกี่ยวข้องกับอาชญากรรมไซเบอร์และการขโมยสินทรัพย์เสมือน ขณะที่ก่อนหน้านั้นในปี 2022 แฮ็กเกอร์เกาหลีเหนือยังถูกสงสัยว่าเกี่ยวข้องกับการขโมยคริปโทเคอร์เรนซีมูลค่า 620 ล้านดอลลาร์

Reuters/Dado Ruvic/Illustration/File Photo

Binance ถูกเจาะอย่างไร?

สำหรับเหตุโจมตีล่าสุด TRM Labs ระบุว่า ผู้โจมตีสามารถทำให้ Hot Wallet ของ Binance ซึ่งเป็นกระเป๋าคริปโทที่เชื่อมต่ออินเทอร์เน็ต ส่งสินทรัพย์ไปยังที่อยู่ที่ผู้โจมตีควบคุมได้ โดยบนเครือข่าย Ethereum มีการใช้กลไก EIP-7702 เพื่อให้ Hot Wallet ทำงานร่วมกับโค้ดที่ผู้โจมตีควบคุม ขณะที่ธุรกรรมบนบล็อกเชนอื่นมีลักษณะเป็นการโอนที่มีลายเซ็นถูกต้อง

TRM ระบุว่า มีความเป็นไปได้สูงที่ผู้โจมตีสามารถเข้าถึงหรือควบคุมระบบลงนามธุรกรรมของ Hot Wallet ของ Binance ซึ่งเป็นส่วนสำคัญของแผนการโจมตี ขณะที่ช่วงแรก Binance ระบุว่า บริษัทเชื่อว่าแล็ปท็อปของวิศวกร DevOps รายหนึ่งอาจถูกเจาะระบบ ทำให้ผู้โจมตีเข้าถึง service container และส่งคำสั่งถอนเงินโดยไม่ได้รับอนุญาต โดยยังไม่พบหลักฐานว่าคีย์ส่วนตัวของกระเป๋าเงินรั่วไหล

อย่างไรก็ตาม ภายหลังบริษัทระบุว่า การโจมตีมีขอบเขตกว้างกว่าที่ประเมินไว้ในตอนแรก ขณะเดียวกัน Binance ยังไม่ได้ยืนยันอย่างเป็นทางการว่าเหตุการณ์ดังกล่าวเชื่อมโยงกับเกาหลีเหนือ

Binance กันเงินชดเชยได้ 80% พบรูปแบบการฟอกเงินที่ไม่เคยเห็นมาก่อน

Binance ระบุว่า บริษัทได้กันเงินของบริษัทไว้มากกว่า 6.34 พันล้านดอลลาร์ เพื่อรองรับความเสียหาย โดยในจำนวนนี้มีสินทรัพย์ชนิดเดียวกับที่ถูกขโมยแล้วประมาณ 5 พันล้านดอลลาร์ คิดเป็นประมาณ 80% ของความเสียหายทั้งหมด และกำลังซื้อสินทรัพย์ส่วนที่เหลือเพิ่มเติม ขณะที่มีสินทรัพย์ที่ถูกอายัดหรือแช่แข็งบนบล็อกเชนแล้วประมาณ 3 พันล้านดอลลาร์

หากข้อกล่าวหาที่เชื่อมโยงเหตุการณ์กับเกาหลีเหนือได้รับการยืนยัน การโจมตีครั้งนี้จะสะท้อนถึงขีดความสามารถที่เพิ่มขึ้นอย่างมากของกลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับรัฐบาลเปียงยาง

อีกประเด็นที่ทำให้เหตุการณ์นี้ได้รับความสนใจคือ วิธีการจัดการกับสินทรัพย์ที่ถูกขโมย โดย Chainalysis ระบุว่า พบรูปแบบการฟอกเงินที่บริษัทไม่เคยเห็นมาก่อน มีธุรกรรมหลายพันรายการเกิดขึ้นในช่วงเวลาสั้น ๆ และมีการหมุนเวียนสินทรัพย์ระหว่างที่อยู่ต่าง ๆ ซ้ำไปมา ซึ่งบ่งชี้ถึงการใช้ระบบอัตโนมัติในการเคลื่อนย้ายและปกปิดเส้นทางเงิน

ผู้เชี่ยวชาญยังระบุว่า การเติบโตของปัญญาประดิษฐ์ หรือ AI กำลังเปิดช่องทางใหม่ให้กับผู้ก่อภัยคุกคามทางไซเบอร์ ทั้งในด้านระบบอัตโนมัติและวิธีการโจมตีรูปแบบต่าง ๆ

อย่างไรก็ตาม สำหรับกรณี Binance ข้อมูลที่เปิดเผยในขณะนี้ยังไม่ยืนยันว่า AI ถูกนำมาใช้ในขั้นตอนการเจาะระบบโดยตรง โดยสิ่งที่ Chainalysis ตรวจพบคือรูปแบบธุรกรรมที่บ่งชี้ถึงการใช้ระบบอัตโนมัติ

ที่มา: BBC