สรุปสั้น

เหตุขโมยคริปโตจาก Binance เมื่อวันที่ 29 ตุลาคม 2569 ซึ่งเป็นการขโมยคริปโตครั้งใหญ่ที่สุดในประวัติศาสตร์ (ดูข่าว 2026/10/340 ) มีความคืบหน้าสำคัญ เมื่อสำนักงานสอบสวนกลางสหรัฐฯ (FBI) ร่วมกับหน่วย Secret Service (USSS) และหน่วยสืบสวนคดีอาญาของกรมสรรพากรสหรัฐฯ (IRS-CI) ออกประกาศระบุอย่างเป็นทางการว่าผู้อยู่เบื้องหลัง คือ TraderTraitor กลุ่มแฮ็กระดับหัวกะทิของเกาหลีเหนือที่บริษัทต่าง ๆ เรียกชื่อแตกต่างกัน เช่น Jade Sleet, Pressure Chollima, Slow Pisces และ UNC4899 จากเดิมที่มีเพียงบริษัทวิเคราะห์บล็อกเชนอย่าง TRM Labs และ Chainalysis ชี้ไปทางนี้ FBI ระบุว่าผู้โจมตีกำลังแปลงสินทรัพย์ที่ขโมยมาเป็น Ethereum (ETH) เป็นหลัก เพื่อเตรียมฟอกต่อผ่านบริการ DeFi และบริการแลกเหรียญทันที และได้เผยแพร่รายชื่อกระเป๋าที่ผู้โจมตีใช้ฟอกเงินด้วย

ด้านตัวเลขความเสียหาย บริษัท Elliptic นับยอดที่ถูกขโมยได้ 6.43 พันล้านดอลลาร์สหรัฐบน 11 บล็อกเชน ในจำนวนนี้ 2.85 พันล้านดอลลาร์ถูกผู้ออกเหรียญและเครือข่ายต่าง ๆ อายัดบนเชนแล้ว ส่วน Binance ทยอยเปิดถอนเงินตั้งแต่ 06:00 UTC วันที่ 1 พฤศจิกายน และเปิดครบทั้ง 15 เครือข่ายในวันเดียวกัน โดยมีเงินไหลออกสุทธิราว 3.64 พันล้านดอลลาร์ในช่วงไม่กี่ชั่วโมงแรก การยืนยันจากหน่วยงานรัฐทำให้รายชื่อกระเป๋าของ FBI กลายเป็นเครื่องมือที่แพลตฟอร์มคริปโตทุกแห่งควรใช้บล็อกเงินก้อนนี้ไม่ให้ผ่านระบบของตน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 1 พฤศจิกายน 2569 ว่า FBI สังเกตเห็นผู้โจมตีแปลงสินทรัพย์ที่ขโมยมาเป็น ETH เป็นหลัก และคาดว่าเงินจะถูกแปลงต่อผ่าน DeFi และบริการแลกเหรียญทันที (instant swap) ซึ่งเป็นขั้นตอนก่อนเข้าสู่การฟอกเงินรอบถัดไป ประกาศของ FBI แนบรายชื่อที่อยู่กระเป๋าที่ผู้โจมตีใช้ฟอกเงินมาด้วย ต่อมาในวันเดียวกัน Binance ระบุว่าเริ่มเปิดถอนระยะแรกช่วง 06:00–09:00 UTC หลังทีมตรวจความปลอดภัยและความพร้อมของบริการที่ได้รับผลกระทบ โดยบริการฝากเงินยังเปิดตามปกติและไม่ได้รับผลกระทบจากเหตุนี้ จากนั้นจึงประกาศว่าเปิดถอนครบทั้ง 15 เครือข่ายแล้ว ระหว่าง 06:00–15:30 UTC ของวันที่ 1 พฤศจิกายน Binance ประมวลผลการถอน 4.649 พันล้านดอลลาร์และการฝาก 1.01 พันล้านดอลลาร์ คิดเป็นเงินไหลออกสุทธิราว 3.64 พันล้านดอลลาร์

FBI attributes the record Binance cryptocurrency heist to North Korea's TraderTraitor group

ด้าน Elliptic ระบุว่าเงิน 6.43 พันล้านดอลลาร์ถูกขโมยจาก 11 บล็อกเชน โดย 82% อยู่บน Ethereum และ Bitcoin ยอดนี้สูงกว่าเหตุ Bybit ที่ถูกขโมย 1.46 พันล้านดอลลาร์เมื่อกุมภาพันธ์ 2568 อย่างมาก และ Elliptic ประเมินว่าเหตุเดียวนี้ทำให้ยอดคริปโตที่เกาหลีเหนือขโมยไปเพิ่มขึ้นเกือบเท่าตัว โดยกลุ่มที่โยงกับเกาหลีเหนือเชื่อว่าขโมยคริปโตไปแล้วกว่า 6.5 พันล้านดอลลาร์ในช่วงไม่กี่ปีที่ผ่านมา ส่วนเงินที่ถูกอายัด 2.85 พันล้านดอลลาร์มาจากการดำเนินการของ Tether, Circle, Ripple, Arbitrum และ Optimism

ข้อจำกัดของข้อมูล คือ ประกาศของ FBI ไม่ได้อธิบายว่าผู้โจมตีเจาะเข้าระบบของ Binance ได้อย่างไร ข้อมูลช่องทางเข้าที่มีอยู่ยังมาจาก Binance เองที่ระบุว่าเหตุอาจเริ่มจากโน้ตบุ๊กวิศวกร DevOps ที่ถูกเจาะ และตัวเลขความเสียหายยังต่างกันตามแหล่ง (Chainalysis ราว 5.9 พันล้าน TRM ราว 6.36 พันล้าน และ Elliptic 6.43 พันล้านดอลลาร์) เพราะนับมูลค่าเหรียญคนละเวลา

วิธีการโจมตี

กลุ่มที่ FBI ระบุชื่อมีประวัติขโมยคริปโตยาวนาน — TraderTraitor เป็นกลุ่มของเกาหลีเหนือที่ทำงานมาตั้งแต่อย่างน้อยปี 2563 เน้นขโมยคริปโตจากอุตสาหกรรม Web3 ด้วยการหลอกเหยื่อให้ดาวน์โหลดแอปพลิเคชันที่ฝังมัลแวร์ กลุ่มนี้เคยถูกโยงกับเหตุขโมยจาก DMM Bitcoin, Bybit, KelpDAO และ Bitget มาก่อน การที่ FBI ยืนยันรอบนี้จึงทำให้ Binance กลายเป็นเหยื่อรายใหญ่ที่สุดในรายชื่อนี้

ปลอมเป็นผู้สรรหาบุคลากรเพื่อให้เหยื่อรันโค้ดเอง — วิธีหลักของกลุ่ม คือ ตั้งบริษัทหน้าฉากแล้วติดต่อคนในวงการความปลอดภัยไซเบอร์ AI บล็อกเชน และบริษัทจัดหางาน ด้วยข้อเสนองานที่น่าสนใจ จากนั้นให้เหยื่อทำแบบทดสอบหรือรันโปรเจกต์ที่ฝังมัลแวร์ บริษัท Microsoft พบว่า Jade Sleet สร้างโดเมน โปรไฟล์โซเชียลมีเดีย และใช้ความรู้เฉพาะอุตสาหกรรมเพื่อปลอมเป็นผู้สรรหาของบริษัทข่าวกรองบล็อกเชนที่อ้างว่าใช้ AI โดยใช้ตำแหน่งวิศวกรซอฟต์แวร์เป็นเหยื่อล่อ และในช่วงเวลาสั้น ๆ ก็ใช้บริษัทหน้าฉากอีก 2 แห่งทำแบบเดียวกัน ทั้งยังใช้ AI ช่วยเขียนข้อความหลอก สร้างตัวตนปลอม และหลบการตรวจจับ วิธีนี้คล้ายกับ Operation Dream Job ของ Lazarus Group และ Contagious Interview ของ Famous Chollima

Terraform provider ปลอมเป็นช่องทางส่งมัลแวร์ — รายงานจาก SentinelOne, Zscaler ThreatLabz และ Microsoft พบว่ากลุ่มนี้ใช้ Terraform provider (ส่วนเสริมของเครื่องมือจัดการโครงสร้างพื้นฐานแบบโค้ด) ที่ถูกฝังมัลแวร์ เมื่อนักพัฒนาติดตั้ง provider ตัวนี้ สคริปต์ Bash จะเลือกดาวน์โหลดมัลแวร์ให้ตรงกับระบบปฏิบัติการของเหยื่อ ทั้ง macOS, Linux และ Windows ตัวแรก คือ FLATROOF ซึ่งใช้ตัวขโมยข้อมูลที่เขียนด้วย Python ดูดข้อมูลสำคัญ ก่อนติดตั้งแบ็กดอร์ ROOFDECK เพื่อควบคุมเครื่องได้เต็มรูปแบบ (ดูรายละเอียดเทคนิคในข่าว 2026/10/083 ) จุดอันตราย คือ ผู้โจมตีอาศัยขั้นตอนทำงานของนักพัฒนาที่ปกติได้รับความไว้วางใจ ทำให้มัลแวร์เข้าถึงเครื่องที่มีสิทธิ์สูงในระบบได้

ฟอกเงินผ่าน ETH และ DeFi — หลังขโมยสำเร็จ ผู้โจมตีแปลงสินทรัพย์ส่วนใหญ่เป็น ETH เพราะอายัดไม่ได้เหมือน stablecoin จากนั้นจึงคาดว่าจะส่งผ่านบริการ DeFi และบริการแลกเหรียญทันทีเพื่อตัดเส้นทางเงิน เงินส่วนที่เป็น stablecoin หรืออยู่บนเครือข่ายที่มีกลไกฉุกเฉินจึงเป็นส่วนที่ถูกอายัดได้ 2.85 พันล้านดอลลาร์

ผลกระทบ

ผู้เสียหายโดยตรง คือ Binance ซึ่งรับปากชดใช้ลูกค้าทั้งหมด แต่ผลกระทบที่ใหญ่กว่า คือ เงินราว 3.6 พันล้านดอลลาร์ที่ยังไม่ถูกอายัดกำลังไหลเข้าระบบ DeFi และบริการแลกเหรียญ แพลตฟอร์มใดที่รับเงินก้อนนี้โดยไม่รู้ตัวเสี่ยงทั้งถูกใช้เป็นทางฟอกเงินและมีปัญหากับหน่วยงานกำกับ โดยเฉพาะเมื่อ FBI เผยแพร่รายชื่อกระเป๋าแล้ว การไม่บล็อกจึงยากจะอ้างว่าไม่รู้

ในภาพกว้าง เหตุนี้ทำให้ยอดคริปโตที่เกาหลีเหนือขโมยไปเพิ่มขึ้นเกือบเท่าตัว และเงินเหล่านี้ถูกประเมินมานานว่าเป็นแหล่งทุนสำคัญของโครงการอาวุธของเกาหลีเหนือ ส่วนกลุ่มที่เสี่ยงต่อการโจมตีรอบถัดไป คือ นักพัฒนาและวิศวกร DevOps ในบริษัทคริปโต AI และความปลอดภัยไซเบอร์ ซึ่งเป็นเป้าของข้อเสนองานปลอมและเครื่องมือนักพัฒนาที่ถูกฝังมัลแวร์

คำแนะนำ

  • แพลตฟอร์มคริปโตและ DeFi — ทำทันที: นำรายชื่อกระเป๋าในประกาศของ FBI ไปตั้งบล็อกหรือเฝ้าระวังในระบบคัดกรองธุรกรรม และระงับเงินที่เชื่อมโยงกับกระเป๋าเหล่านี้ พร้อมแจ้งหน่วยงานบังคับใช้กฎหมาย
  • ทีมความปลอดภัยในบริษัทคริปโต — ตรวจว่าโดนแล้วหรือยัง: ค้นหา Terraform provider ที่ไม่ได้มาจากผู้พัฒนาที่ยืนยันได้ในเครื่องนักพัฒนาและระบบ CI และตรวจหาร่องรอยของ FLATROOF/ROOFDECK ตามรายงานของ Zscaler
  • ฝ่ายบุคคลและพนักงานสายเทคนิค: ห้ามรันโปรเจกต์ แบบทดสอบเขียนโค้ด หรือแอปที่ผู้สรรหาส่งมาบนเครื่องทำงาน ให้รันในเครื่องเสมือนที่แยกขาดจากเครือข่ายองค์กรเท่านั้น และยืนยันตัวตนบริษัทผู้สรรหาผ่านช่องทางอิสระ
  • ระยะยาว: แยกเครื่องของนักพัฒนาออกจากระบบเซ็นธุรกรรม ใช้การอนุมัติหลายฝ่ายสำหรับคำสั่งถอนขนาดใหญ่ และกำหนดเพดานการถอนต่อช่วงเวลาของกระเป๋าร้อน

แหล่งอ้างอิง