Chainalysis ชี้แฮกเกอร์ Binance เดินเกมฟอกเงินสุดพิสดาร โอนวนกระเป๋าเก่าพรางเส้นทาง
Chainalysis บริษัทวิเคราะห์ข้อมูลบล็อกเชน โพสต์บน X เมื่อ 17.09 น. วันที่ 30 ต.ค. 2569 ตามเวลาไทย ว่านักสืบของบริษัทเห็นรูปแบบการฟอกเงินจากเหตุแฮก Binance ที่ "ไม่เคยเห็นมาก่อน" โดยมีธุรกรรมหลายพันรายการในช่วงสั้นๆ ซึ่งชี้ว่าผู้โจมตีอาจใช้ระบบอัตโนมัติ ส่วน Elliptic บริษัทวิเคราะห์อีกแห่ง ระบุในรายงานอัปเดตล่าสุดเมื่อราว 02.30 น. วันที่ 31 ต.ค. ว่าผู้โจมตีแปลงสเตเบิลคอยน์ราว 786 ล้านดอลลาร์เป็น ETH และ TRX ก่อนผู้ออกเหรียญอายัดได้ทัน และถือสินทรัพย์ที่อายัดไม่ได้อยู่ราว 3.23 พันล้านดอลลาร์ CryptoSlate สรุปเรื่องนี้เมื่อ 30 ต.ค. ข่าวนี้กำลังพัฒนา ทีมข่าวเขียนจากข้อมูล ณ ราว 09.30 น. วันที่ 31 ต.ค. ตามเวลาไทย
ทีมข่าวเปิดโพสต์ของ Chainalysis บน X และรายงานฉบับเต็มของ Elliptic โดยตรงแล้ว ส่วนบทความต้นทางที่ส่งมาคือ CryptoSlate เขียนโดย Oluwapelumi Adejumo ซึ่งสรุปข้อมูลจากสองบริษัทนี้โดยไม่ได้ตรวจยืนยันเอง ทีมข่าวยังไม่ได้เปิดบล็อกของ Chainalysis ที่โพสต์ลิงก์ไว้
Chainalysis เห็นอะไร
นักสืบของเราเห็นรูปแบบการฟอกเงินที่ไม่เคยเห็นมาก่อนกับเงินที่โดนขโมยจากเหตุ Binance
โพสต์ระบุว่ามีธุรกรรมหลายพันรายการในช่วงสั้นๆ ซึ่ง "ชี้ว่า" ผู้โจมตีใช้ระบบอัตโนมัติเพื่อพรางเส้นทางเงิน และแทนที่จะส่งเงินต่อไปข้างหน้าอย่างเดียว ผู้โจมตีวนเงินไปมาระหว่างที่อยู่กระเป๋าหลายใบ และมักส่งกลับไปยังที่อยู่ที่ใช้ก่อนหน้าในลำดับเดียวกัน ข้อสรุปเรื่องระบบอัตโนมัติเป็นการอนุมานของ Chainalysis ไม่ใช่ข้อเท็จจริงที่ยืนยันแล้ว ยอดดูโพสต์ตอนเปิดอ่านราว 596,000 ครั้ง
CryptoSlate เล่าเพิ่มว่ามีรูปแบบที่กระเป๋าหลายใบได้รับ TRX จำนวน "1 TRX" พอดีก่อนรับเงินก้อนใหญ่แล้วส่งต่อ ทีมข่าวไม่พบรายละเอียดนี้ในโพสต์ของ Chainalysis และรายงานของ Elliptic ที่เปิดอ่าน จึงยังไม่ยืนยัน
Elliptic ตามเส้นทางเงินได้ถึงไหน
Elliptic ประเมินว่าเงินที่โดนขโมยจาก Binance เมื่อ 29 ต.ค. มี 6.43 พันล้านดอลลาร์ (ราว 2.17 แสนล้านบาท ที่ 33.775 บาทต่อดอลลาร์ ตาม Frankfurter 28 ต.ค. 2569) ผู้โจมตีดูดเงินจากกระเป๋าร้อนของ Binance บน 11 เชน ใน Elliptic ตรวจยืนยันเงินที่อายัดแล้ว 2.84 พันล้านดอลลาร์ หรือ 44% ของยอดที่โดนขโมย
- สเตเบิลคอยน์ที่โดนขโมยมีมูลค่า 3.46 พันล้านดอลลาร์ แต่ผู้โจมตีแปลงเป็นเหรียญอื่นช้า Elliptic ระบุว่า Tether อายัดกระเป๋าหลักของผู้โจมตีบน Ethereum ภายใน 37 นาทีหลังเงินเข้า ส่วน Circle อายัด USDC 823 ล้านดอลลาร์ตามมาอีก 3 นาที
- ก่อนการอายัดมีผล ผู้โจมตีแปลงสเตเบิลคอยน์ราว 786 ล้านดอลลาร์ (ราว 2.7 หมื่นล้านบาท) เป็น ETH และ TRX ได้แก่ USDT 434 ล้านหน่วยแลกเป็น 160,451 ETH ผ่าน Uniswap, 1inch และระบบเสนอราคาของผู้ทำตลาด ราคาที่ได้แย่กว่าราคาตลาด 12% ถึง 26% Elliptic ตีความว่าผู้โจมตีให้ความสำคัญกับความเร็วมากกว่ามูลค่า
- USDT 234 ล้านหน่วยแลกเป็น TRX 638 ล้านหน่วยบน SunSwap (กระดานเทรดแบบกระจายศูนย์บนเชน Tron) และขาย RLUSD 48 ล้านหน่วยก่อน Ripple อายัดส่วนที่เหลือ รวมถึงเทขายเหรียญอื่นราว 150 ชนิดเป็น ETH การเทขายกลุ่มนี้หยุดราว 13.36 น. วันที่ 30 ต.ค. ตามเวลาไทย
- Bitcoin 18,270 BTC แบ่งผ่านโซ่ธุรกรรมสั้นๆ ไปไว้ใน 19 ที่อยู่ ส่วนใหญ่ที่อยู่ละราว 1,000 BTC ยังไม่มีเงินส่วนนี้ไหลเข้าบริการใดๆ ตามที่ Elliptic ตรวจ
- วันที่ 30 ต.ค. ผู้โจมตีเริ่มย้ายเงินข้ามเชน ขาย AVAX ที่ขโมยได้ทั้งหมดเป็น USDC โอนข้ามไป Ethereum ผ่านโปรโตคอล CCTP ของ Circle แล้วแลกเป็น 7,242.8 ETH ในช่วงราว 18.38 ถึง 19.29 น. ตามเวลาไทย
- ส่วน TRX 638 ล้านหน่วยแบ่งไปไว้ใน 5 ที่อยู่ใหม่ 4 ที่อยู่ยังไม่ขยับ ที่อยู่ที่ 5 ทยอยส่งออก TRX จำนวนน้อยๆ แลกเป็น USDT แล้วส่งผ่านบริการแลกและสะพานข้ามเชน ส่วนใหญ่เข้า ETH Elliptic ตรวจพบว่าเงินบางส่วนบนเชน Tron มีการฟอกปนกับเงินจากเหตุแฮก Bitget เดือน ก.ย. 2569 ซึ่ง ZachXBT รายงานก่อน
- ผู้โจมตีกู้ ETH 19,762 หน่วยจาก Aave โดยวาง USDT 59.9 ล้านหน่วยเป็นหลักประกัน ก่อน Aave อายัดตลาดที่เกี่ยวข้อง เงินกู้ยังเปิดอยู่และใกล้โดนบังคับขาย
Elliptic ประเมินว่า ณ ตอนนี้ผู้โจมตีคุมสินทรัพย์ที่ผู้ออกเหรียญอายัดไม่ได้ราว 3.23 พันล้านดอลลาร์ (ราว 1.09 แสนล้านบาท) ประกอบด้วย ETH 519,104 หน่วย BTC 18,270 หน่วย XRP 233 ล้านหน่วย และ TRX ราว 575 ล้านหน่วย Elliptic คาดว่าเงินเหล่านี้จะวนผ่านกระเป๋าหลายใบ สะพานข้ามเชน เครื่องผสมเหรียญ และบริการแลกเปลี่ยน ก่อนพยายามถอนเป็นเงินสดผ่านนายหน้า OTC และกระดานเทรด ซึ่งเป็นการคาดการณ์ ไม่ใช่เหตุที่เกิดแล้ว
เกาหลีเหนือ: Elliptic บอก "น่าจะ" ไม่ใช่ยืนยัน
Elliptic ระบุว่าเชื่อว่าน่าจะเป็นฝีมือกลุ่มที่เชื่อมโยงกับเกาหลีเหนือ โดยชี้ว่ามีการฟอกเงินปนกับเงินจากเหตุแฮก Bitget วิธีการที่คล้ายกรณี Bybit และขนาดของการโจมตีที่ต้องประสานกันบน 11 เชนในราว 3 ชั่วโมง แต่ Elliptic ยอมรับข้อควรระวัง คือเงินที่ปนกันยังเป็นสัดส่วนน้อย การฟอกในครั้งนี้ช้ากว่าที่กลุ่มเกาหลีเหนือมักทำ ทำให้โดนอายัดเกิน 2.6 พันล้านดอลลาร์ และยังไม่มีหน่วยงานรัฐยืนยัน โดยกรณี Bybit เอฟบีไอประกาศภายใน 5 วัน บทความของ CryptoSlate ไม่ได้พูดถึงเกาหลีเหนือ ส่วนที่เรารายงานก่อนหน้านี้ TRM Labs ระบุเกาหลีเหนือด้วยระดับความมั่นใจสูง และ Binance ยังไม่ได้แสดงความเห็นเรื่องผู้กระทำ
ตัวเลขความเสียหายยังไม่ตรงกัน
Binance ประเมินความเสียหายราว 6.3 พันล้านดอลลาร์ Elliptic ประเมิน 6.43 พันล้านดอลลาร์ ตัวเลขของ Elliptic ไม่รวมเงิน 169 ล้านดอลลาร์ที่ออกจาก Binance หลังระงับการถอน ซึ่ง Elliptic ระบุว่าไปยังที่อยู่เก่าแก่ที่ไม่เกี่ยวกับผู้โจมตี และดูเหมือนเป็น Binance ย้ายเงินของตัวเอง เหตุผลของส่วนต่างระหว่างสองตัวเลขนี้ ทั้งสองฝ่ายไม่ได้อธิบายครบ
ที่ยังไม่ทราบ
- ผู้ก่อเหตุคือใคร ยังไม่มีหน่วยงานรัฐยืนยัน และ Binance ไม่ได้ระบุ
- รูปแบบ "1 TRX" ที่ CryptoSlate เล่า ทีมข่าวไม่พบต้นทางในเอกสารที่เปิดอ่าน
- ระบบอัตโนมัติที่ Chainalysis กล่าวถึง เป็นการอนุมานจากรูปแบบธุรกรรม ยังไม่มีหลักฐานโดยตรง
- ตัวเลขความเสียหาย 6.3 หรือ 6.43 พันล้านดอลลาร์ ตัวไหนใกล้ความจริงกว่า
- เงินที่ถือบนเชนจะถูกถอนเป็นเงินสดผ่านช่องทางไหนและเมื่อไร
📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
เหตุการณ์นี้สืบเนื่องจากเหตุแฮก Binance ที่เรารายงานไว้ก่อนหน้านี้
👉 Binance แถลงฉบับ 2 กันเงินบริษัท 6.34 พันล้านดอลลาร์ มีเหรียญชดเชยแล้วราว 80% คาดเปิดถอนใน 34 ชม.
🔗 อ้างอิงต้นฉบับ: CryptoSlate (Oluwapelumi Adejumo, 30 ต.ค. 2569), Chainalysis (17.09 น.), Elliptic (อัปเดต 30 ต.ค. 2569)
💬 ความเห็นบรรณาธิการ Bitcoinaddict
ข้อที่ตรวจได้ชัดคือตัวเลขการฟอกเงินส่วนใหญ่ในรายงานนี้มาจากการวิเคราะห์ของ Elliptic และ Chainalysis ซึ่งเป็นการประเมินของบริษัทเอกชน ยังไม่ใช่ข้อสรุปของทางการ Elliptic เปิดรายชื่อที่อยู่ที่เกี่ยวข้องให้ดาวน์โหลดฟรี ซึ่งโพสต์เมื่อ 23.51 น. ระบุว่ามี 48 รายการ และรายงานฉบับล่าสุดระบุว่ามีมากกว่า 1,000 รายการ ธุรกิจคริปโตสามารถนำไปตรวจกับเหรียญที่รับเข้าได้ ทีมข่าวไม่ได้ตรวจว่าผู้ให้บริการในไทยใช้รายชื่อนี้หรือยัง สำหรับผู้ใช้ชาวไทย Binance TH ระบุในแถลงของตัวเองว่าเป็นนิติบุคคลอิสระจาก Binance ควรดูประกาศ Binance TH เรื่องการถอนสินทรัพย์ดิจิทัล และรายงาน Proof of Reserves ที่ Binance สัญญาว่าจะออกภายใน 2 พ.ย.
เนื้อหานี้เป็นข้อมูลข่าว ไม่ใช่คำแนะนำการลงทุน
— รายงานโดยทีมข่าว Bitcoinaddict.com