สรุปสั้น

ตลาดแลกเปลี่ยนคริปโทเคอร์เรนซี Bitget เปิดเผยว่าถูกกลุ่มแฮ็กเกอร์ที่ต้องสงสัยว่าเป็นชาวเกาหลีเหนือขโมยสินทรัพย์มูลค่าราว 351.6 ล้านดอลลาร์จากกระเป๋าเงินร้อน (hot wallet) และกระเป๋าเงินอุ่น (warm wallet) โดยระบบความปลอดภัยตรวจพบการโอนที่ไม่ได้รับอนุญาตเมื่อเวลา 18:31 UTC ของวันที่ 24 กันยายน 2569 ทางบริษัทยืนยันว่ากระเป๋าเงินเย็น (cold wallet) และสินทรัพย์ส่วนใหญ่ของแพลตฟอร์มยังปลอดภัย ยอดคงเหลือในบัญชีลูกค้ายังถูกต้อง และการฝากเงินกับการเทรดยังทำงานปกติ แต่ได้ระงับการถอนเงินชั่วคราวระหว่างการตรวจสอบความปลอดภัยแบบครบวงจร

Bitget ยังไม่เปิดเผยรายละเอียดว่าการโจมตีเกิดขึ้นอย่างไร แต่ได้ว่าจ้างบริษัท Mandiant ของ Google และ SlowMist มาช่วยสืบสวน โดยนางสาว Gracy Chen ซีอีโอของ Bitget ระบุว่าจากรูปแบบพฤติกรรมของ IP และการวิเคราะห์ on-chain วิธีการโจมตีครั้งนี้สอดคล้องอย่างมากกับรูปแบบที่รู้จักของกลุ่มแฮ็กเกอร์เกาหลีเหนือ ต่อมาบริษัทวิเคราะห์บล็อกเชนอย่าง Elliptic และ TRM Labs ต่างพบความเชื่อมโยงกับกลุ่ม TraderTraitor และโครงสร้างการฟอกเงินเดียวกับที่ใช้ในการโจมตี Bybit เมื่อปี 2025

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 25 กันยายน พ.ศ. 2569 ว่า Bitget ออกมาเปิดเผยผ่านโพสต์บน X ว่าระบบความปลอดภัยตรวจพบการโอนที่ไม่ได้รับอนุญาตจากกระเป๋าเงินร้อนจำนวนหนึ่งเมื่อวันที่ 24 กันยายน มูลค่าความเสียหายเบื้องต้นราว 351.6 ล้านดอลลาร์

ตามข้อมูลของนางสาว Gracy Chen สินทรัพย์ที่ได้รับผลกระทบรวมถึง ETH, XRP, BNB, AVAX, USDT และ USDC บนเชน Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC และ Base โดยบริษัทได้ติดต่อมูลนิธิของทุกเชนที่เกี่ยวข้อง และบางแห่งได้ยืนยันการอายัดที่อยู่กระเป๋าเงินของผู้โจมตีแล้ว ทั้งนี้ Chen อธิบายว่า “ผู้โจมตีเจาะระบบ backend สำคัญภายในโครงสร้างกระเป๋าเงินของเรา ใช้มันปลอมข้อมูลธุรกรรม และกระตุ้นกระบวนการอนุมัติของเราเพื่อโอนเงินออก” โดยระบุว่าไม่สามารถเกิดการโอนที่ไม่ได้รับอนุญาตเพิ่มได้อีก ส่วนวิธีการเจาะระบบที่แน่ชัดยังอยู่ระหว่างการสืบสวน

ในโพสต์ติดตามผล Bitget ระบุว่ามีสินทรัพย์ถูกโอนไปยังที่อยู่ที่ผู้โจมตีควบคุมข้ามหลายเครือข่ายรวมมูลค่าราว 390.06 ล้านดอลลาร์ ตามการติดตามธุรกรรม on-chain ล่าสุด และได้เปิดโครงการ Recovery Bounty เพื่อระดมความช่วยเหลือจากตลาดแลกเปลี่ยน โครงการบล็อกเชน นักวิจัย และชุมชน on-chain ในการอายัดและกู้คืนสินทรัพย์ เหตุการณ์นี้เกิดขึ้นราวหนึ่งสัปดาห์หลัง SentinelOne ระบุว่ากลุ่ม TraderTraitor ที่เชื่อมโยงกับเกาหลีเหนืออยู่เบื้องหลังการโจมตีบริษัทบริการไอทีในอินเดีย โดย TraderTraitor เป็นที่รู้จักจากการขโมยเงิน 1.5 พันล้านดอลลาร์จาก Bybit และ 292 ล้านดอลลาร์จากสะพาน LayerZero ของ KelpDAO

วิธีการโจมตี

จากคำอธิบายของ Bitget ผู้โจมตีเจาะเข้าระบบ backend สำคัญภายในโครงสร้างพื้นฐานกระเป๋าเงินของบริษัท จากนั้นใช้ระบบดังกล่าวปลอมแปลงข้อมูลธุรกรรม (spoof transaction data) และกระตุ้นกระบวนการอนุมัติเพื่อสั่งโอนเงินออกจากกระเป๋าร้อนและกระเป๋าอุ่น จุดสำคัญคือการโจมตีมุ่งเป้าที่ระบบเบื้องหลังการอนุมัติธุรกรรม ไม่ใช่การขโมยกุญแจส่วนตัวโดยตรง จึงทำให้ผู้โจมตีสั่งโอนได้เสมือนเป็นธุรกรรมที่ผ่านการอนุมัติจริง

ด้านการวิเคราะห์ on-chain บริษัท Elliptic ระบุว่าพบความเชื่อมโยงระหว่าง XRP จากการโจมตี Bitget กับ ETH จากการโจมตีก่อนหน้าที่ถูกระบุว่าเป็นฝีมือเกาหลีเหนือ รวมถึงเชื่อมโยงกับที่อยู่ที่เกี่ยวข้องกับการฟอกเงินของการโจมตีที่ผ่านมา รวมถึงการเจาะ Bybit ในปี 2025 พร้อมชี้ว่าการใช้โครงสร้างการฟอกเงินร่วมกันระหว่างเหตุการณ์ต่าง ๆ เป็นลักษณะที่พบซ้ำ ๆ ในการฟอกเงินของการโจมตีที่เชื่อมโยงกับเกาหลีเหนือ ขณะที่ TRM Labs พบความทับซ้อนกับกระเป๋าเงินที่ใช้ฟอกเงินจากการโจมตี Bybit และสะพาน AFX ซึ่งชี้ไปที่การมีส่วนร่วมของกลุ่ม TraderTraitor

ผลกระทบ

หากการโจรกรรม Bitget ได้รับการยืนยันว่าเป็นฝีมือเกาหลีเหนือจริง ปี 2569 จะกลายเป็นปีที่มีมูลค่าการขโมยคริปโทของเกาหลีเหนือสูงเป็นอันดับสองเท่าที่มีบันทึก คือราว 1.04 พันล้านดอลลาร์ รองจากปี 2025 ที่ 1.68 พันล้านดอลลาร์ เหตุการณ์นี้ตอกย้ำว่าตลาดแลกเปลี่ยนคริปโทยังเป็นเป้าหมายมูลค่าสูงของปฏิบัติการหารายได้ที่รัฐหนุนหลัง และจุดอ่อนไม่ได้จำกัดอยู่ที่การเก็บกุญแจ แต่รวมถึงระบบ backend ที่ควบคุมกระบวนการอนุมัติธุรกรรม ซึ่งหากถูกเจาะก็เปิดทางให้สั่งโอนเงินออกได้เสมือนเป็นธุรกรรมปกติ นาย Ari Redbord จาก TRM Labs ระบุว่าอุตสาหกรรมต้องเสริมความแข็งแกร่งของการควบคุมด้านไซเบอร์ และต้องตอบโต้กลุ่มผู้โจมตีเชิงรุกด้วยอำนาจด้านความมั่นคงทุกทางที่มี

คำแนะนำ

  • ตลาดแลกเปลี่ยนและผู้ให้บริการกระเป๋าเงินควรเสริมความแข็งแกร่งของระบบ backend ที่ควบคุมกระบวนการอนุมัติและลงนามธุรกรรม ไม่ใช่ป้องกันเฉพาะการเก็บกุญแจส่วนตัว
  • แยกโครงสร้างพื้นฐานของกระเป๋าเงินแบบ self-custodial ออกจากระบบของตลาดแลกเปลี่ยนอย่างชัดเจน ตามที่ Bitget ระบุว่า Bitget Wallet ไม่ได้รับผลกระทบเพราะแยกระบบกัน
  • เฝ้าระวังพฤติกรรมธุรกรรมที่ผิดปกติแบบเรียลไทม์ และเตรียมกลไกอายัด/ติดตามสินทรัพย์ร่วมกับมูลนิธิเชนและบริษัทวิเคราะห์บล็อกเชน
  • ระวังกลยุทธ์ของกลุ่มเกาหลีเหนืออย่าง TraderTraitor ที่มักใช้วิศวกรรมสังคมหลอกพนักงานฝ่ายพัฒนาและฝ่ายเทคนิคเป็นช่องทางเข้าตั้งต้น

แหล่งอ้างอิง