สรุปสั้น
Binance ตลาดซื้อขายคริปโตเคอร์เรนซีที่ใหญ่ที่สุดในโลก ประกาศเมื่อวันที่ 29 ตุลาคม 2569 ว่าเกิด “เหตุด้านความปลอดภัย” ที่กระทบสินทรัพย์ราว 6.3 พันล้านดอลลาร์สหรัฐ กลายเป็นการขโมยคริปโตครั้งใหญ่ที่สุดเท่าที่เคยบันทึก ใหญ่กว่าเหตุ Bybit ที่ถูกขโมย 1.5 พันล้านดอลลาร์เมื่อกุมภาพันธ์ 2568 เกือบ 4 เท่า การสอบสวนเบื้องต้นชี้ว่าเหตุอาจเริ่มจากโน้ตบุ๊กของวิศวกร DevOps ที่ถูกเจาะ ทำให้ผู้โจมตีเข้าถึงคอนเทนเนอร์บริการและส่งคำสั่งถอนเงินที่ไม่ได้รับอนุญาต เงินส่วนใหญ่ไหลออกภายในราว 20 นาทีบน 10 บล็อกเชน Binance ระบุว่าไม่พบหลักฐานว่ากุญแจส่วนตัวของกระเป๋ารั่ว และจะชดใช้ความเสียหายทั้งหมดจากกองทุน SAFU และเงินของบริษัท
บริษัทวิเคราะห์บล็อกเชน TRM Labs และ Chainalysis ระบุด้วยความมั่นใจสูงว่าผู้อยู่เบื้องหลัง คือ TraderTraitor หน่วยแฮ็กของเกาหลีเหนือที่ FBI เคยระบุว่าขโมยเงินจาก Bybit แต่บริษัท Elliptic เตือนให้ระวังการฟันธง เพราะรูปแบบการฟอกเงินช้ากว่าและต่างจากที่เคยเห็น ผู้ออกเหรียญ stablecoin อายัดเงินไปแล้วราว 3 พันล้านดอลลาร์ แต่ผู้โจมตียังถือ ETH และ BTC ที่อายัดไม่ได้อีกราว 2.4 พันล้านดอลลาร์ แพลตฟอร์มคริปโตทุกรายควรทบทวนว่าเครื่องของนักพัฒนาคนเดียวสามารถไปถึงระบบเซ็นธุรกรรมได้หรือไม่
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 ตุลาคม 2569 ว่า Binance หยุดฝากถอนชั่วคราว เพิกถอนสิทธิ์ของที่อยู่ที่ได้รับผลกระทบ และประสานเจ้าหน้าที่บังคับใช้กฎหมายกับพันธมิตรด้านข่าวกรองบล็อกเชนเพื่อติดตามเงิน โดยคาดว่าจะเปิดถอนได้อีกภายใน 48 ชั่วโมงหลังปรับปรุงความปลอดภัยของระบบถอนเงิน ต่อมา Binance เผยว่าการสอบสวนพบ “จุดเจาะเพิ่มเติม” นอกเหนือจากโน้ตบุ๊กเครื่องนั้น นาย Richard Teng ซีอีโอร่วมของ Binance ย้ำว่าผู้โจมตีไม่ได้ใช้แค่สิทธิ์ของวิศวกรคนเดียว และไม่ใช่การกระทำด้วยคลิกเดียว แต่เป็นกระบวนการโจมตีที่ซับซ้อนกว่านั้น และยังไม่ได้ระบุว่าบุคคลใดต้องรับผิดชอบ
ไทม์ไลน์ตาม TRM Labs ผู้โจมตีเตรียมการอย่างน้อย 36 ชั่วโมงก่อนลงมือ วันก่อนเกิดเหตุ ผู้โจมตีเติมเงินกระเป๋าปฏิบัติการด้วยการถอนเงินจำนวนเล็ก 3 ครั้งจาก Tornado Cash (บริการผสมเงินเพื่อตัดเส้นทาง) ไม่กี่ชั่วโมงก่อนเหตุทดสอบโค้ดโจมตีกับกระเป๋า 3 ใบ จากนั้นเวลา 20:20 UTC วันที่ 29 ตุลาคม จึงสั่งกระเป๋าร้อน (hot wallet) ของ Binance ให้ส่งยอดคงเหลือทั้งหมดออก ธุรกรรมเดียวย้าย 167,464 ETH กับโทเคน 63 ชนิด รวม USDT 1.615 พันล้านหน่วย Chainalysis ประเมินมูลค่าที่ถูกขโมยไว้ราว 5.912 พันล้านดอลลาร์ ณ เวลาเกิดเหตุ ขณะที่ TRM นับได้ 6.36 พันล้านดอลลาร์ และ Elliptic นับได้ 6.43 พันล้านดอลลาร์
หลักฐานที่โยงไปเกาหลีเหนือมี 3 ข้อ ข้อแรก Chainalysis และ Elliptic พบเงินจากเหตุเจาะ Bitget เมื่อเดือนก่อนซึ่งโยงกับเกาหลีเหนือ ถูกส่งไปปนกับเงินของ Binance ที่ที่อยู่ Ethereum เดียวกัน ข้อสอง วิธีเตรียมการเหมือนเหตุ Bybit และ KelpDAO (เมษายน 2569) คือ เติมเงินกระเป๋าผ่าน Tornado Cash ทดสอบล่วงหน้า และใช้ลายเซ็นที่เตรียมไว้ยิงพร้อมกันครั้งเดียว ข้อสาม การเจาะเครื่องพนักงานด้วยการหลอกให้รันมัลแวร์ผ่านข้อสอบเขียนโค้ดหรือโปรเจกต์ปลอมเป็นเทคนิคที่เคยใช้กับ DMM Bitcoin และ Bybit นักสืบบล็อกเชน ZachXBT ก็ชี้ไปที่ Lazarus Group เช่นกัน
ข้อจำกัดของหลักฐาน คือ Binance ยังไม่เผยสาเหตุต้นตอและยังไม่ระบุตัวผู้ก่อเหตุ นาย Tom Robinson ผู้ก่อตั้งและหัวหน้านักวิทยาศาสตร์ของ Elliptic ชี้ว่าผู้ฟอกเงินของเกาหลีเหนือมักแปลง stablecoin เป็นเหรียญหลักภายในไม่กี่นาที แต่รอบนี้ผู้โจมตีถือ USDT ไว้ 37 นาทีบน Ethereum และ 46 นาทีบน Tron และใช้ผู้ดูแลสภาพคล่องกับโปรโตคอลกู้ยืม DeFi แทนการข้ามเชนผ่าน bridge แบบเหตุ Bybit ซึ่ง TRM เองก็ยอมรับว่ารูปแบบฟอกเงินต่างไป (2026/10/004 เคยรายงานเหตุ Bitget ที่ถูกโยงในครั้งนี้)
วิธีการโจมตี
ทางเข้า: โน้ตบุ๊กวิศวกร DevOps — Binance ระบุว่าเหตุอาจเริ่มจากโน้ตบุ๊กของวิศวกร DevOps ที่ถูกเจาะ ซึ่งพาผู้โจมตีไปถึงคอนเทนเนอร์บริการที่ส่งคำสั่งถอนเงินได้ Elliptic ประเมินว่าน่าจะใช้วิศวกรรมสังคมหลอกพนักงานให้รันมัลแวร์ภายใต้ข้ออ้างข้อสอบเขียนโค้ดหรือโปรเจกต์ปลอม ซึ่งเป็นแนวทางประจำของกลุ่มเกาหลีเหนือ แต่ Binance ยังไม่ยืนยันวิธีที่โน้ตบุ๊กถูกเจาะ
ไม่ได้ขโมยกุญแจ แต่สั่งระบบเซ็นให้ — TRM และ Elliptic ประเมินตรงกันว่าผู้โจมตีไม่ได้ขโมยกุญแจส่วนตัว แต่ได้ความสามารถสั่งระบบเซ็นธุรกรรมของกระเป๋าร้อน Binance ให้เซ็นธุรกรรมที่ผู้โจมตีเลือกข้ามหลายเชน เหตุผล คือ บนอีก 9 เชนที่ใช้ชนิดกุญแจและวิธีเซ็นต่างกัน กระเป๋าของ Binance ล้วนเซ็นธุรกรรมโอนเงินที่ถูกต้องให้ผู้โจมตีภายในราวครึ่งชั่วโมง Elliptic เปรียบว่าคล้ายเหตุ Bybit ที่เครื่องนักพัฒนาของ Safe{Wallet} ถูกเจาะ แล้วธุรกรรมที่ผู้อนุมัติของ Bybit เซ็นถูกบิดเบือน ทั้งสองกรณีจุดที่ถูกเจาะ คือ คนและระบบรอบกระเป๋า ไม่ใช่การเข้ารหัส
ลายเซ็น EIP-7702 ล่วงหน้า 50 ชุดบน Ethereum — EIP-7702 เป็นกลไกที่ให้กระเป๋าธรรมดามอบพฤติกรรมของตนให้ smart contract ได้ด้วยการเซ็นอนุญาต ผู้โจมตีส่งธุรกรรมเดียวที่บรรจุการอนุญาต 50 ชุดซึ่งกระเป๋าร้อนของ Binance เซ็นไว้ล่วงหน้า ทุกชุดชี้ไปที่ contract กวาดเงินที่รับคำสั่งจากผู้โจมตีเท่านั้น การอนุญาตแต่ละชุดใช้ได้เฉพาะเมื่อตัวนับธุรกรรม (nonce) ของกระเป๋าตรงกับค่าที่เซ็นไว้ กระเป๋าร้อนประมวลผลการถอนตลอดเวลาจนตัวนับเลื่อนไปเรื่อย ๆ การเตรียม 50 ค่าติดกันจึงรับประกันว่าจะมีอย่างน้อยชุดหนึ่งตรง TRM ตั้งข้อสังเกตว่าการเซ็นล่วงหน้าเป็นชุดแบบนี้ชี้ว่าสิทธิ์เข้าถึงระบบเซ็นอาจมีเวลาจำกัด หรือต้องขอลายเซ็นผ่านระบบกลาง
กวาดเงินภายใน 3 นาที 24 วินาที — หลังมอบสิทธิ์ให้ contract แล้ว ผู้โจมตีสั่งกระเป๋าส่งยอดคงเหลือทั้งหมดไปยังที่อยู่ของตนภายใน 3 นาที 24 วินาที
ฟอกเงินด้วยระบบอัตโนมัติ — ผู้โจมตีขาย USDT แลก ETH ต่ำกว่าราคาตลาดเกิน 10% เพื่อหนีการอายัด และใช้การซื้อขายก้อนใหญ่กับผู้ดูแลสภาพคล่องและโปรโตคอลกู้ยืม Chainalysis พบธุรกรรมนับพันในเวลาสั้น ที่อยู่จำนวนมากรับ 1 TRX ก่อน แล้วรับเงินเพิ่มและส่งต่อ พร้อมวนเงินกลับไปที่อยู่เดิม ซึ่งชี้ว่าใช้สคริปต์อัตโนมัติ
ผลกระทบ
ผู้เสียหายโดยตรง คือ Binance ซึ่งรับปากชดใช้ลูกค้าทั้งหมด แต่ผู้ใช้ทั่วโลกได้รับผลจากการปิดฝากถอนชั่วคราว ด้านการอายัดเงิน Tether อายัด USDT ราว 1.567-1.77 พันล้านหน่วย Circle อายัด USDC ราว 800-825 ล้านหน่วย Ripple และ World Liberty Financial อายัดอีกจำนวนหนึ่ง และ Security Council ของ Arbitrum ใช้อำนาจฉุกเฉินดึงเงินราว 30 ล้านดอลลาร์ออกจากกระเป๋าผู้โจมตี Elliptic ประเมินว่าผู้โจมตียังคุมสินทรัพย์ที่ผู้ออกเหรียญอายัดไม่ได้ราว 3.33 พันล้านดอลลาร์ใน 43 ที่อยู่ รวม 511,861 ETH, 18,270 BTC, XRP 233 ล้านหน่วย และ TRX 670 ล้านหน่วย
ในภาพใหญ่ หากเป็นฝีมือเกาหลีเหนือจริง เงินก้อนนี้เท่ากับแหล่งทุนมหาศาลของรัฐที่ถูกคว่ำบาตรหนัก นาย Robinson ระบุว่าแฮ็กเกอร์เกาหลีเหนืออยู่นอกเอื้อมกฎหมายตะวันตก ความเสี่ยงต่ำแต่ผลตอบแทนสูง และเจาะที่คน ไม่ใช่ที่เทคโนโลยี เพราะต้องการเพียงโน้ตบุ๊กที่ถูกเจาะเครื่องเดียว ข่าวดีเพียงอย่าง คือ การติดตามและอายัดดีขึ้นจนทำให้แต่ละครั้งได้กำไรน้อยลง
คำแนะนำ
- แยกระบบเซ็นธุรกรรมของกระเป๋าร้อนออกจากเครือข่ายและเครื่องของนักพัฒนาอย่างเด็ดขาด ไม่ให้สิทธิ์ของผู้ใช้หรือคอนเทนเนอร์เดียวส่งคำขอเซ็นได้โดยไม่ผ่านการอนุมัติหลายฝ่าย
- ตั้งเพดานมูลค่าและจำนวนการถอนต่อช่วงเวลาในระดับระบบเซ็น และแจ้งเตือนทันทีเมื่อพบการอนุญาต EIP-7702 หรือการมอบสิทธิ์ให้ contract ที่ไม่อยู่ในรายการอนุญาต
- ห้ามพนักงานที่มีสิทธิ์เข้าถึงโครงสร้างพื้นฐานการเงินรันโค้ดจากผู้สรรหาหรือข้อสอบเขียนโค้ดบนเครื่องทำงาน ให้ใช้เครื่องแยกหรือ VM ที่ทิ้งได้
- ตรวจธุรกรรมขาเข้าที่มาจากที่อยู่ที่เกี่ยวข้องกับเหตุ Binance และ Bitget เช่น 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7 และพร้อมอายัดตามคำขอของหน่วยงาน
- ผู้ใช้ Binance ระวังข้อความหรืออีเมลอ้างการชดเชยหรือคืนเงิน ให้ตรวจข่าวจากช่องทางทางการของ Binance เท่านั้น
แหล่งอ้างอิง
- Binance security incident announcement — Binance
- North Korea steals USD 6.36 billion from Binance in the largest hack in history — TRM Labs
- Binance exploit: latest findings and response — Chainalysis
- Binance: the largest hack in history — Elliptic
- $6 Billion Binance Hack Bears Hallmarks of North Korea’s TraderTraitor — SecurityWeek