สรุปสั้น
ตลาดแลกเปลี่ยนคริปโทเคอร์เรนซี Bitget ยืนยันว่าการโจรกรรมสินทรัพย์มูลค่า 387.5 ล้านดอลลาร์เมื่อปลายเดือนกันยายน เกิดจากผู้โจมตีใช้ช่องโหว่ zero-day ในผลิตภัณฑ์ความปลอดภัยของบุคคลที่สามเพื่อขโมยข้อมูลรับรอง (credential) ระดับสูงภายใน จากนั้นใช้สั่งถอนเงินปลอมเข้าไปในระบบกระเป๋าเงิน จนเกิด “การโอนผิดปกติที่ข้ามการควบคุมความเสี่ยงที่มีอยู่” Bitget แจ้งผู้ผลิตรายนั้นแล้วและปิดฟังก์ชันที่ได้รับผลกระทบระหว่างรอการแก้ไข แต่ไม่เปิดเผยชื่อผู้ผลิตหรือผลิตภัณฑ์ ข่าวนี้คือคำตอบของคำถามที่ยังค้างจากรายงานแรก (ดูโพสต์ 2026/09/207 ) ว่าผู้โจมตีเข้าถึงระบบ backend ได้อย่างไร
รายงานความคืบหน้าของบริษัท SlowMist ชี้ว่าการเจาะระบบเริ่มตั้งแต่วันที่ 31 สิงหาคม 2569 หรือราวสามสัปดาห์ก่อนเงินถูกโอนออก ส่วนบริษัท Mandiant ของ Google พบว่าผู้โจมตีวาง web shell บนอุปกรณ์ความปลอดภัยตัวหนึ่ง สร้างช่องทางสั่งการ (C2) แล้วเคลื่อนที่ด้านข้างไปยังเซิร์ฟเวอร์งานของกระเป๋าเงินในระบบจริงเพื่อติดตั้งแพ็กเกจอันตราย เหตุครั้งนี้กระทบ 11 บล็อกเชน และ Bitget ยังคงชี้ว่าเป็นฝีมือกลุ่มแฮ็กเกอร์เกาหลีเหนือจากรูปแบบ IP และการวิเคราะห์ on-chain
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 1 ตุลาคม 2569 ว่า Bitget โพสต์บน X ยืนยันผลการสืบสวนเบื้องต้นจาก SlowMist ว่า “พบกิจกรรมอันตรายที่เกี่ยวข้องกับผลิตภัณฑ์ความปลอดภัยของบุคคลที่สาม รวมถึงช่องโหว่ zero-day และกู้คืนเครื่องมือที่ผู้โจมตีเขียนขึ้นเองเพื่อเริ่มการถอนเงินโดยไม่ได้รับอนุญาตได้” เหตุการณ์นี้ Bitget เปิดเผยครั้งแรกเมื่อวันที่ 24 กันยายน 2569 ว่าถูกขโมยสินทรัพย์จากกระเป๋าร้อนและกระเป๋าอุ่นผ่านการโอนหลายรายการที่ไม่ได้รับอนุญาต จนต้องระงับการถอนเงินทั้งหมดชั่วคราว ตัวเลขความเสียหายเปลี่ยนจาก 351.6 ล้านดอลลาร์ในประกาศแรก มาเป็น 387.5 ล้านดอลลาร์ในการยืนยันล่าสุด โดยมีสินทรัพย์ราว 1.1 ล้านดอลลาร์ที่ถูกอายัดได้แล้วโดยบริษัท Circle บริษัท Tether และ NEAR Intents
บล็อกเชนที่ได้รับผลกระทบมี 11 เครือข่าย ได้แก่ Ethereum, XRP Ledger, Zcash, TRON, Arbitrum, Optimism, Base, BNB Smart Chain, Avalanche, Algorand และ Celestia ส่วนสินทรัพย์ที่ระบุแล้วได้แก่ XRP, ETH, USDT, ZEC, ATOM, USDC, USD0, XAUt, BNB, AVAX, TRX, ALGO และ TIA ทั้งนี้ Bitget ยังไม่เปิดเผยชื่อผู้ผลิตหรือผลิตภัณฑ์ที่มีช่องโหว่ โดยรายงานของ SlowMist เรียกเพียงว่า “ผลิตภัณฑ์ A” และ “ผลิตภัณฑ์ B” จึงยังไม่มีหมายเลข CVE หรือวิธีให้องค์กรอื่นตรวจสอบว่าตัวเองใช้ผลิตภัณฑ์เดียวกันหรือไม่
ด้านการระบุตัวผู้โจมตี Bitget ระบุว่ารูปแบบพฤติกรรมของ IP และการวิเคราะห์ on-chain ชี้ไปที่กลุ่มแฮ็กเกอร์เกาหลีเหนือ โดยบริษัท Elliptic และบริษัท TRM Labs พบกระเป๋าเงินที่ทับซ้อนกับเส้นทางฟอกเงินจากการโจรกรรมครั้งก่อน ๆ ซึ่งรายงานแรกเชื่อมโยงไปที่กลุ่ม TraderTraitor
วิธีการโจมตี
ไทม์ไลน์จากรายงานของ SlowMist แสดงว่าการโจมตีเป็นปฏิบัติการที่วางแผนและแฝงตัวนานหลายสัปดาห์ ร่องรอยแรกสุดอยู่ที่วันที่ 31 สิงหาคม 2569 เมื่อบริการหนึ่งที่รันบนโหนดของผลิตภัณฑ์ A ถูกโจมตีผ่านช่องโหว่ zero-day ผู้โจมตีรันสคริปต์ซ่อนอยู่ภายใต้โปรเซสของบริการนั้น สั่งอ่านตัวแปรสภาพแวดล้อม (environment variable) ที่เก็บรหัสผ่านฐานข้อมูล แล้วเชื่อมต่อเข้าฐานข้อมูลโดยตรง พฤติกรรมสคริปต์ซ่อนแบบเดียวกันถูกพบอีกบนอีกสองโหนดในวันที่ 23 และ 25 กันยายน ซึ่ง SlowMist สรุปว่าสภาพแวดล้อมเหล่านี้ถูกเจาะไว้แล้วก่อนที่สินทรัพย์จะถูกโอนออก
วันที่ 25 กันยายน ผู้โจมตีเข้าสู่แพลตฟอร์มจัดการของผลิตภัณฑ์ B ด้วยตัวตนของพนักงานภายใน แล้วพยายาม inject คำสั่งระบบเข้าไปในพารามิเตอร์ของงาน (task parameter) ติดกันสามครั้งเพื่อเขียนไฟล์อันตราย จากนั้นส่งโค้ดผ่าน endpoint สำหรับรันคำสั่งบนเว็บของแพลตฟอร์มเพื่อแก้ไขค่าคอนฟิกเซิร์ฟเวอร์ เขียนไฟล์สำหรับส่งต่อการสื่อสาร (communication relay) และอัปโหลดชิ้นส่วนโปรแกรมอันตรายทีละชุดมาประกอบกัน Mandiant ยืนยันภาพเดียวกันว่าผู้โจมตีวาง web shell บนอุปกรณ์ความปลอดภัย B สร้างการเชื่อมต่อ C2 แล้วใช้สิทธิ์ที่ฝังไว้นั้นเคลื่อนที่ด้านข้างไปยังเซิร์ฟเวอร์งานของกระเป๋าเงินในระบบจริง (production wallet job server) และติดตั้งแพ็กเกจอันตราย สรุปคือผู้โจมตีใช้อุปกรณ์เครือข่ายและอุปกรณ์ความปลอดภัยที่ยึดได้เป็นฐานกระจายแพ็กเกจอันตรายและเข้าควบคุมเซิร์ฟเวอร์กระเป๋าเงิน
ชิ้นสุดท้ายคือเครื่องมือขโมยเงินที่ SlowMist กู้คืนได้จากไฟล์ที่ถูกลบ เครื่องมือนี้เขียนขึ้นเฉพาะให้ตรงกับตรรกะการถอนเงินของระบบกระเป๋าเงิน Bitget และเริ่มทำงานขโมยคริปโทเมื่อเวลา 01:49 น. ของวันที่ 25 กันยายน 2569 การที่ผู้โจมตีต้องเข้าใจกลไกการถอนเงินภายในละเอียดขนาดนี้ สอดคล้องกับช่วงเวลาแฝงตัวเกือบหนึ่งเดือนที่ใช้สำรวจระบบก่อนลงมือ
ผลกระทบ
นอกจากความเสียหายเกือบ 400 ล้านดอลลาร์ต่อ Bitget เอง ประเด็นที่กว้างกว่าคือจุดเริ่มต้นของการโจมตีอยู่ที่อุปกรณ์ความปลอดภัยของบุคคลที่สาม ซึ่งเป็นสิ่งที่องค์กรติดตั้งเพื่อป้องกันตัวเอง อุปกรณ์กลุ่มนี้มักมีสิทธิ์สูงและมองเห็นเครือข่ายภายในเกือบทั้งหมด แต่ทีมความปลอดภัยติดตั้ง EDR หรือเฝ้าระวังบนตัวอุปกรณ์ได้จำกัด จึงกลายเป็นจุดแฝงตัวที่เหมาะสำหรับกลุ่มอย่างเกาหลีเหนือ ตรงกับแนวโน้มที่หลายกลุ่มหันมาเจาะอุปกรณ์ขอบเครือข่ายและอุปกรณ์ความปลอดภัยเป็นทางเข้าหลัก
ที่น่ากังวลคือ Bitget และ SlowMist ยังไม่เปิดเผยชื่อผู้ผลิต ทำให้องค์กรอื่นที่อาจใช้ผลิตภัณฑ์เดียวกัน ทั้งในวงการคริปโทและนอกวงการ ยังไม่มีทางรู้ว่าตัวเองเสี่ยงอยู่หรือไม่ จนกว่าผู้ผลิตจะออกแพตช์และประกาศช่องโหว่อย่างเป็นทางการ
คำแนะนำ
องค์กรที่ถือสินทรัพย์มูลค่าสูงควรถือว่าอุปกรณ์ความปลอดภัยและอุปกรณ์เครือข่ายเป็นพื้นที่เสี่ยงที่ต้องเฝ้าระวังเหมือนเซิร์ฟเวอร์ทั่วไป ตรวจหาโปรเซสหรือสคริปต์แปลกปลอมที่รันภายใต้บริการของอุปกรณ์ ตรวจไฟล์ที่ถูกเพิ่มในไดเรกทอรีเว็บของคอนโซลจัดการเพื่อหา web shell และเฝ้าระวังการเชื่อมต่อขาออกที่ผิดปกติจากตัวอุปกรณ์ ไม่ควรเก็บรหัสผ่านฐานข้อมูลหรือข้อมูลรับรองสำคัญไว้ในตัวแปรสภาพแวดล้อมแบบข้อความธรรมดา ให้ใช้ระบบจัดการ secret ที่มีการหมุนเวียนรหัสและบันทึกการเข้าถึงแทน ควรแยกเครือข่ายของอุปกรณ์ความปลอดภัยออกจากระบบกระเป๋าเงินหรือระบบอนุมัติธุรกรรม และบังคับใช้การอนุมัติหลายฝ่ายร่วมกับการตรวจสอบนอกระบบ (out-of-band) สำหรับคำสั่งถอนเงินมูลค่าสูง เพื่อให้คำสั่งปลอมที่ส่งจากเซิร์ฟเวอร์ที่ถูกยึดไม่สามารถผ่านไปได้เพียงลำพัง นอกจากนี้ควรติดตามประกาศจากผู้ผลิตอุปกรณ์ความปลอดภัยที่ใช้งานอยู่อย่างใกล้ชิด เพราะช่องโหว่ในข่าวนี้ยังไม่ถูกเปิดเผยชื่อ