แฮกเกอร์ขโมย 6.3 พันล้านดอลลาร์จาก Binance ในไม่กี่นาที

เหตุการณ์ แฮกเกอร์ขโมย 6.3 พันล้านดอลลาร์จาก Binance ในไม่กี่นาที กลายเป็นหนึ่งในข่าวความปลอดภัยไซเบอร์ที่ถูกจับตามองมากที่สุดในวงการคริปโต รายงานเบื้องต้นระบุว่า เงินดิจิทัลถูกเคลื่อนย้ายออกจากกระเป๋าที่อยู่ภายใต้การควบคุมของ Binance ผ่านหลายบล็อกเชนภายในเวลาประมาณ 20 นาที แม้การสอบสวนยังไม่เสร็จสิ้น แต่ข้อมูลบนบล็อกเชนและการวิเคราะห์จากบริษัทข่าวกรองหลายแห่งช่วยให้เห็นภาพว่าเหตุการณ์นี้อาจเกิดขึ้นได้อย่างไร

Binance ระบุว่าเหตุการณ์อาจเริ่มจากแล็ปท็อปของวิศวกร DevOps รายหนึ่งที่ถูกเจาะระบบ อย่างไรก็ตาม บริษัทได้ชี้แจงภายหลังว่านี่ไม่ใช่การใช้สิทธิ์ของพนักงานเพียงคนเดียวหรือการกดปุ่มครั้งเดียวแล้วเงินหายทั้งหมด แต่เป็นกระบวนการโจมตีที่ซับซ้อน และพบจุดรั่วไหลเพิ่มเติมหลายจุด ขณะนี้ยังไม่มีการเปิดเผยรายละเอียดทั้งหมดว่า ผู้โจมตีได้รับอำนาจเพียงพอในการสร้างธุรกรรมถอนเงินจากกระเป๋าของบริษัทได้อย่างไร

แฮกเกอร์ขโมย 6.3 พันล้านดอลลาร์จาก Binance ในไม่กี่นาที เกิดขึ้นได้อย่างไร

ตามข้อมูลจาก TRM Labs การโจมตีครอบคลุมบล็อกเชนประมาณ 10 เครือข่าย โดยเงินส่วนใหญ่ไหลออกจากกระเป๋าที่เกี่ยวข้องกับ Binance ในช่วงเวลาสั้น ๆ บริษัทประเมินผลกระทบรวมไว้ที่ประมาณ 6.3 พันล้านดอลลาร์ และเงินราว 3 พันล้านดอลลาร์ถูกหน่วยงานหรือผู้ให้บริการหลายรายระงับไว้ได้ Binance ยืนยันว่าจะรับผิดชอบความเสียหายที่เกิดขึ้นกับผู้ใช้ โดยจะใช้เงินจากกองทุน Secure Asset Fund for Users หรือ SAFU รวมถึงเงินทุนของบริษัท

แฮกเกอร์ขโมย 6.3 พันล้านดอลลาร์จาก Binance ในไม่กี่นาที ผ่านกระเป๋าร้อน

จุดสำคัญของเหตุการณ์อยู่ที่กระเป๋าร้อน หรือ hot wallet ซึ่งเป็นกระเป๋าที่เชื่อมต่อกับระบบออนไลน์และใช้จัดการธุรกรรมจำนวนมาก นักวิเคราะห์ Conor Grogan จาก Coinbase เตือนว่า ระบบกวาดเงินฝากอัตโนมัติของ Binance ยังคงทำงานหลังการโจมตีเริ่มขึ้น ระบบดังกล่าวจะย้ายเงินจากที่อยู่ฝากเงินของลูกค้าไปยังกระเป๋ารวมของบริษัท ดังนั้น เงินฝากใหม่อาจถูกส่งเข้าไปเติมกระเป๋าที่ผู้โจมตีสามารถควบคุมได้โดยไม่ตั้งใจ

ประเด็นนี้สะท้อนความเสี่ยงของระบบอัตโนมัติในแพลตฟอร์มคริปโต แม้ระบบจะถูกออกแบบมาเพื่อเพิ่มความรวดเร็วและประสิทธิภาพ แต่เมื่อกระเป๋าหลักถูกบุกรุก กลไกเดิมอาจกลายเป็นช่องทางที่ช่วยให้ผู้โจมตีรวบรวมเงินเพิ่มได้ การหยุดระบบกวาดเงินฝากอย่างรวดเร็ว การแยกสิทธิ์ระหว่างกระเป๋า และการตรวจสอบธุรกรรมแบบเรียลไทม์จึงมีความสำคัญมาก

เบื้องหลังทางเทคนิคของการโจมตี Ethereum

บนเครือข่าย Ethereum ผู้โจมตีใช้ประโยชน์จากความสามารถของ EIP-7702 ซึ่งเป็นการอัปเกรดที่เริ่มใช้งานในปี 2025 ฟีเจอร์นี้ไม่ได้ถูกออกแบบมาเพื่อขโมยเงิน แต่ช่วยให้บัญชี Ethereum แบบเดิม หรือ EOA สามารถมอบหมายพฤติกรรมชั่วคราวให้กับสมาร์ตคอนแทรกต์ได้ ทำให้บัญชีสามารถทำงานที่ซับซ้อนขึ้น เช่น รวมการอนุมัติโทเคนและการโอนเงินไว้ในชุดคำสั่งเดียว

รายงานการวิเคราะห์ระบุว่า ผู้โจมตีเตรียมการอนุมัติ EIP-7702 จำนวน 50 รายการในธุรกรรมเดียว โดยแต่ละรายการผูกกับ nonce ที่แตกต่างกัน เนื่องจาก nonce ของกระเป๋า Binance 14 เปลี่ยนแปลงตลอดเวลาตามธุรกรรมที่กำลังดำเนินการ ผู้โจมตีจึงไม่รู้แน่ชัดว่า nonce ใดจะเป็นค่าปัจจุบันเมื่อธุรกรรมถูกบันทึกลงบล็อกเชน การเตรียมหลายทางเลือกทำให้มีหนึ่งรายการตรงกับ nonce ที่ใช้งานจริง

เมื่อการอนุมัติสำเร็จ กระเป๋าดังกล่าวจึงถูกกำหนดให้ทำงานร่วมกับสัญญาอัจฉริยะที่ผู้โจมตีควบคุม หลังจากนั้นไม่นาน เงินจำนวนมากถูกโอนออกในธุรกรรมเดียว ซึ่งรวมถึงอีเธอร์ประมาณ 167,464 ETH, USDT มูลค่าประมาณ 1.6 พันล้านดอลลาร์ และโทเคนอื่น ๆ มากกว่า 60 รายการ มูลค่าของธุรกรรมดังกล่าวอยู่ที่ประมาณ 2.5 พันล้านดอลลาร์

ผู้เชี่ยวชาญย้ำว่า EIP-7702 เองไม่ได้ถูกเจาะหรือทำงานผิดพลาด ฟีเจอร์นี้ยังต้องอาศัยลายเซ็นที่ถูกต้องจากคีย์หรือโครงสร้างพื้นฐานที่มีอำนาจลงนาม เหตุการณ์นี้จึงชี้ไปที่ปัญหาการควบคุมสิทธิ์และกระบวนการรักษาความปลอดภัยของระบบ มากกว่าจะเป็นข้อบกพร่องโดยตรงของการอัปเกรด Ethereum

ใครอาจอยู่เบื้องหลังเหตุการณ์นี้

บริษัทวิเคราะห์บล็อกเชนหลายแห่งเชื่อมโยงการโจมตีกับกลุ่ม TraderTraitor ซึ่งถูกกล่าวหาว่าเกี่ยวข้องกับกลุ่ม Lazarus และปฏิบัติการที่ได้รับการสนับสนุนจากเกาหลีเหนือ TRM Labs ระบุด้วยความมั่นใจสูงว่ารูปแบบการเคลื่อนย้ายเงินมีความคล้ายคลึงกับการโจมตีคริปโตครั้งก่อน ๆ ที่เชื่อมโยงกับกลุ่มดังกล่าว รวมถึงเหตุการณ์โจมตี Bybit ที่มีมูลค่าประมาณ 1.4 พันล้านดอลลาร์ในปี 2025

นักสืบบล็อกเชน ZachXBT ยังรายงานว่า เงินจากเหตุการณ์ Binance และเหตุการณ์โจมตี Bitget มูลค่าประมาณ 388 ล้านดอลลาร์ ถูกนำมารวมกันที่ที่อยู่เดียวกันหลังจากผ่าน THORChain ข้อมูลนี้อาจบ่งชี้ว่าทั้งสองเหตุการณ์มีผู้ลงมือกลุ่มเดียวกัน แต่การระบุผู้รับผิดชอบอย่างเป็นทางการยังต้องรอหลักฐานและผลการสอบสวนเพิ่มเติม เกาหลีเหนือปฏิเสธข้อกล่าวหาลักษณะนี้มาโดยตลอด

ผู้ใช้งาน Binance ต้องกังวลหรือไม่

Binance ยืนยันว่าเงินของลูกค้ายังปลอดภัย และบริษัทจะชดเชยความสูญเสียทั้งหมดที่เข้าเกณฑ์ แม้คำยืนยันดังกล่าวช่วยลดความตื่นตระหนก แต่เหตุการณ์นี้เตือนให้ผู้ใช้ตระหนักว่า การเก็บสินทรัพย์ไว้บนแพลตฟอร์มแบบรวมศูนย์มีความเสี่ยงด้านระบบและกระบวนการ ผู้ใช้งานควรเปิดใช้การยืนยันตัวตนหลายขั้นตอน ตั้งค่าการแจ้งเตือนธุรกรรม และไม่เปิดเผยรหัสผ่านหรือวลีสำรองให้บุคคลอื่น

• แบ่งสินทรัพย์ระยะยาวไปเก็บในกระเป๋าที่ควบคุมคีย์เองตามความเหมาะสม
• ตรวจสอบที่อยู่และเครือข่ายทุกครั้งก่อนโอนเงิน
• ติดตามประกาศอย่างเป็นทางการจาก Binance และผู้ให้บริการที่เกี่ยวข้อง
• อย่าหลงเชื่อข้อความที่อ้างว่าจะช่วยกู้เงินหรือปลดล็อกสินทรัพย์
• ใช้เงินลงทุนในระดับที่ยอมรับความเสี่ยงได้

บทเรียนสำคัญจากกรณีนี้คือ ความปลอดภัยของคริปโตไม่ได้ขึ้นอยู่กับการปกป้องคีย์ส่วนตัวเท่านั้น แต่ยังรวมถึงสิทธิ์ของพนักงาน ระบบอัตโนมัติ การจัดการ nonce การตรวจสอบธุรกรรม และแผนตอบสนองเมื่อเกิดเหตุผิดปกติด้วย การที่ฟีเจอร์ใหม่ช่วยให้ธุรกรรมเร็วขึ้นก็อาจทำให้ความเสียหายขยายตัวเร็วขึ้น หากระบบควบคุมไม่รัดกุม

สำหรับ Binance การเปิดเผยรายงานชันสูตรทางเทคนิคอย่างละเอียดจะเป็นก้าวสำคัญในการเรียกคืนความเชื่อมั่น รายงานควรอธิบายจุดเริ่มต้นของการเจาะระบบ ช่องโหว่เพิ่มเติม สิทธิ์ที่ถูกใช้ และมาตรการป้องกันไม่ให้เหตุการณ์ซ้ำรอย ส่วนผู้ใช้งานควรใช้เหตุการณ์นี้เป็นโอกาสทบทวนวิธีเก็บรักษาสินทรัพย์ของตนเอง และตัดสินใจโดยอาศัยข้อมูล ไม่ใช่ความกลัวหรือกระแสบนโซเชียล

มุมมองของผู้เขียนคือ เหตุการณ์นี้ไม่ได้พิสูจน์ว่าคริปโตหรือ EIP-7702 ปลอดภัยไม่ได้ แต่แสดงให้เห็นว่าความเร็วและความยืดหยุ่นต้องเดินคู่กับการควบคุมที่เข้มงวด ผู้ใช้ควรติดตามข่าวสาร ตรวจสอบธุรกรรมอย่างสม่ำเสมอ และกระจายความเสี่ยงอย่างมีสติ เพื่อปกป้องสินทรัพย์ของตนเองในระยะยาว

ที่มา – How Hackers Stole $6.3 Billion From Binance in Minutes