กระทรวงการคลังสหรัฐฯ คว่ำบาตรเครือข่าย Tren de Aragua ปล้น ATM ด้วยมัลแวร์ jackpotting — เสียหาย 40.7 ล้านดอลลาร์ อายัด 7 กระเป๋า TRON

สรุปสั้น

กระทรวงการคลังสหรัฐฯ ประกาศคว่ำบาตรเครือข่ายของกลุ่ม Tren de Aragua ที่ถูกกล่าวหาว่าใช้มัลแวร์ดูดเงินออกจากตู้ ATM ทั่วสหรัฐฯ โดยทางการเชื่อมโยงการโจมตีที่ถูกกล่าวหาเข้ากับความเสียหายที่รายงานไว้ 40.73 ล้านดอลลาร์จากเหตุกว่า 1,500 ครั้ง นับถึงเดือนสิงหาคม 2025 เทคนิคที่ใช้เรียกว่า jackpotting ซึ่งทำให้เครื่องจ่ายเงินสดออกมาโดยไม่หักจากบัญชีลูกค้า ผู้โจมตีมักสำรวจเครื่อง ติดตั้งซอฟต์แวร์อันตราย แล้วสั่งทำงานจากระยะไกล โดยบริษัท TRM Labs ระบุว่าปฏิบัติการนี้ยังอาศัยธุรกรรมคริปโทเคอร์เรนซีในการโยกย้ายเงินที่ขโมยมาด้วย

การคว่ำบาตรเมื่อวันที่ 30 กันยายน 2026 พุ่งเป้าไปที่บุคคล 8 รายและบริษัท 2 แห่งที่เชื่อมโยงกับแผนการนี้ พร้อมหัวหน้าแก๊งอีกรายที่เกี่ยวข้องกับการทำเหมืองทองผิดกฎหมาย โดยสำนักงานควบคุมทรัพย์สินต่างชาติ (OFAC) ได้เพิ่มที่อยู่คริปโทบนเครือข่าย TRON จำนวน 7 รายการเข้าสู่บัญชีรายชื่อบุคคลและองค์กรต้องห้าม (SDN List) ซึ่งแต่ละที่อยู่เชื่อมโยงกับผู้ถูกคว่ำบาตรแต่ละราย เป็นการผูกมาตรการเข้ากับกิจกรรมคริปโทที่ระบุตัวได้ ไม่ใช่เพียงรายชื่อบุคคล

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 2 ตุลาคม 2569 โดยอ้างรายงานของบริษัท TRM Labs ว่าที่อยู่ TRON ที่ถูกคว่ำบาตรใหม่ทั้ง 7 รายการได้รับเงินรวมประมาณ 6.1 ล้านดอลลาร์นับตั้งแต่เดือนมีนาคม 2022 เป้าหมายหลักของการคว่ำบาตรคือนาย Anibal Alexander Canelon Aguirre หรือฉายา “Prometheus” ซึ่งกระทรวงการคลังระบุว่าเป็นผู้พัฒนามัลแวร์ และปรากฏอยู่ในบัญชีผู้ร้ายที่ต้องการตัวมากที่สุด 10 อันดับของ FBI โดยถูกกล่าวหาว่ามีส่วนพัฒนาซอฟต์แวร์ที่ใช้บังคับถอนเงินสดโดยไม่ได้รับอนุญาต

นอกจากนี้ยังมีผู้ร่วมขบวนการที่ถูกคว่ำบาตรอีก 6 ราย ได้แก่ Eric Gabriel Cardenas Arzola, Jose Dario Galeano Bazurto, Anthony Wuiliam Hernandez Guerrero, Carlos Javier Martinez Armenta, Oscar Leonardo Martinez Pirona และ Alejandro Mejia Castillo โดยแต่ละคนเชื่อมโยงกับที่อยู่คริปโทหนึ่งรายการ บุคคลทั้ง 7 รายและผู้ถูกระบุชื่อคนที่ 8 คือ Aslhy Javier Galeano Basurto ถูกตั้งข้อหาในรัฐเนแบรสกา ทั้งการสนับสนุน Tren de Aragua การสมคบฉ้อโกงธนาคาร การสมคบย่องเบาธนาคาร และการสมคบฟอกเงิน ส่วนบริษัทที่ถูกคว่ำบาตร 2 แห่งคือ Enigma Community และ Soluciones Integrales Toluca กระทรวงการคลังระบุว่ากระทรวงยุติธรรมได้ฟ้องผู้ต้องหา 98 รายในคดี jackpotting นับตั้งแต่วันที่ 21 ตุลาคม 2025

วิธีการโจมตีและการโยกย้ายเงิน

jackpotting เป็นการโจมตีที่ผสานการเข้าถึงทางกายภาพเข้ากับการควบคุมด้วยซอฟต์แวร์ ผู้ก่อเหตุมักสำรวจตู้ ATM เป้าหมาย ติดตั้งมัลแวร์เข้าไปในเครื่อง แล้วสั่งให้เครื่องจ่ายเงินสดออกมาโดยไม่ผ่านการหักบัญชีตามปกติ ทั้งนี้ รายงานไม่ได้ระบุชื่อตระกูลมัลแวร์หรือช่วงเวลาที่ซอฟต์แวร์ปรากฏครั้งแรก ในด้านการเงิน บริษัท TRM Labs พบว่าที่อยู่ทั้ง 7 รายการเป็นที่อยู่รับฝากที่โฮสต์อยู่บนกระดานแลกเปลี่ยนแบบรวมศูนย์ (centralized exchange) ส่วนใหญ่ไม่มีการเคลื่อนไหวมาหลายเดือน โดยธุรกรรมเข้าล่าสุดเกิดในเดือนกรกฎาคม 2026 และที่อยู่ของ Cardenas Arzola รับเงินมากที่สุดราว 2.1 ล้านดอลลาร์

อย่างไรก็ตาม บริษัท TRM Labs เตือนว่ายอดรวม 6.1 ล้านดอลลาร์ไม่ควรถูกตีความว่าเป็นเงินจากการปล้น ATM ทั้งหมด เพราะไม่ใช่ทุกธุรกรรมที่เข้ามาจะเกี่ยวข้องกับแผนการนี้ นอกจากนี้ยังพบว่าที่อยู่ที่ถูกคว่ำบาตรได้โอนเงินต่อไปยังที่อยู่อื่นที่เชื่อมโยงกับ Tren de Aragua ซึ่งผู้รับเหล่านั้นได้ส่งต่อเงินราว 35 ล้านดอลลาร์ไปยังเครือข่ายที่ทางการเชื่อมโยงกับนาย Jorge Figueira ผู้ถูกกล่าวหาว่าฟอกเงินราว 1 พันล้านดอลลาร์

ผลกระทบ

การคว่ำบาตรนี้อายัดทรัพย์สินของผู้ถูกระบุชื่อที่อยู่ภายใต้เขตอำนาจสหรัฐฯ หรืออยู่ในการควบคุมของบุคคลสหรัฐฯ พร้อมกำหนดภาระการรายงานต่อ OFAC และข้อจำกัดในการทำธุรกรรม ที่สำคัญคือสถาบันการเงินต่างชาติที่จงใจอำนวยความสะดวกธุรกรรมสำคัญให้ผู้ถูกคว่ำบาตร อาจเผชิญการคว่ำบาตรรอง (secondary sanctions) ภายใต้อำนาจที่ใช้ในครั้งนี้ รูปแบบการใช้กระดานแลกเปลี่ยนเพื่อพักและโยกย้ายเงินผิดกฎหมายข้ามพรมแดนยังสะท้อนความเสี่ยงที่กระดานแลกเปลี่ยนและสถาบันการเงินทั่วโลกต้องประเมินความเชื่อมโยงกับที่อยู่ต้องห้ามอย่างรอบคอบ

คำแนะนำ

บริษัท TRM Labs แนะนำให้กระดานแลกเปลี่ยนและสถาบันการเงินคัดกรองที่อยู่ TRON ทั้ง 7 รายการที่ถูกคว่ำบาตร ทบทวนธุรกรรมย้อนหลัง และตรวจสอบความเชื่อมโยงทางอ้อมผ่านคู่สัญญาที่อยู่ห่างออกไปหนึ่งถึงสองทอดจากที่อยู่ต้องห้าม เนื่องจากที่อยู่เหล่านี้โฮสต์อยู่บนกระดานแลกเปลี่ยน ผู้ให้บริการจึงอาจระบุตัวเจ้าของบัญชีและบัญชีที่เกี่ยวข้องได้ สถาบันการเงินควรประเมินความเชื่อมโยงเหล่านี้อย่างระมัดระวังเพื่อหลีกเลี่ยงการทำธุรกรรมต้องห้าม ส่วนผู้ให้บริการและเจ้าของเครือข่าย ATM ควรเสริมการเฝ้าระวังการเข้าถึงเครื่องทั้งทางกายภาพและทางซอฟต์แวร์ ตรวจจับการติดตั้งซอฟต์แวร์ที่ไม่ได้รับอนุญาต และจำกัดสิทธิ์การสั่งจ่ายเงินสดจากระยะไกล

Indicators of Compromise (IoCs)

ที่อยู่คริปโทบนเครือข่าย TRON ที่ถูก OFAC คว่ำบาตร:

แหล่งอ้างอิง

• Cyber Security News — Treasury Sanctions Tren de Aragua ATM Jackpotting Network
• TRM Labs — Treasury Sanctions Tren de Aragua ATM Jackpotting Network