ปิดถอนแล้วเงินยังไหลต่อ! Binance เล่าเอง แฮ็กเกอร์ฝังสิทธิ์ EIP-7702 บนเชน ระงับถอนหยุดไม่ได้ทั้งหมด
Binance (กระดานเทรดคริปโตรายใหญ่ของโลก) ระบุในรายงานเหตุการณ์ฉบับแรกที่เผยแพร่เป็นบทความบน X ค่ำวันที่ 3 พ.ย. 2569 ว่าการระงับถอนหยุดเงินที่ไหลออกไม่ได้ทั้งหมด เพราะผู้โจมตีใช้กลไก EIP-7702 ของ Ethereum ฝังสิทธิ์ไว้บนเชน สิทธิ์เหล่านี้ทำงานแยกจากระบบถอนของ Binance และต้องใช้ธุรกรรมเพิ่มเพื่อยกเลิก
ความเสียหายรวมราว 6.34 พันล้านดอลลาร์ (ราว 2.14 แสนล้านบาท) เหตุเกิดวันที่ 29 ต.ค. 2569 ตามเวลา UTC ธุรกรรมที่ไม่ได้รับอนุญาตรายการสุดท้ายยืนยันบนเชนเวลา 23:56 UTC และ Binance ล้างสิทธิ์ที่ฝังไว้ได้เมื่อ 00:10 UTC ของวันที่ 30 ต.ค. ตามที่บริษัทระบุในรายงาน ส่วนเรื่องที่ผู้โจมตีเข้าถึงพนักงานผ่านสัมภาษณ์งานปลอมและเครื่องมือ AI ภายใน เรารายงานไว้ในข่าวก่อนหน้าแล้ว ข่าวนี้เจาะเฉพาะวิธีโจมตีในคืนเกิดเหตุและเหตุผลที่ระงับถอนแล้วเงินยังไหลต่อ
ลำดับเหตุการณ์คืนเกิดเหตุของ Binance ตามรายงาน
Binance ระบุว่าผู้โจมตีใช้การเข้าถึงระบบเซ็นธุรกรรมภายในของกระเป๋าโดยไม่ได้รับอนุญาต เพื่อสั่งโอนนอกกระบวนการถอนปกติ เวลาในรายงานเป็น UTC ซึ่งช้ากว่าเวลาไทย 7 ชั่วโมง เช่น 20:05 UTC ตรงกับ 03:05 น. ของวันที่ 30 ต.ค. ตามเวลาไทย ลำดับที่รายงานเล่ามีดังนี้
- 20:05 ถึง 20:09 UTC hot wallet ซึ่งเป็นกระเป๋าที่ต่อเน็ตไว้รองรับการถอนของ Binance 5 ใบ ส่ง 233.46 ล้าน XRP ไปที่อยู่ที่ผู้โจมตีควบคุม
- รายงานเล่าต่อว่า hot wallet บน Solana และ Optimism ส่งราว 970,500 SOL และ 44.2 ล้าน OP ไปยังที่อยู่ของผู้โจมตี รายงานไม่ได้ระบุเวลาของรายการนี้
- Binance ได้รับการแจ้งเตือนภายในเรื่องการโอนปริมาณมาก และเริ่มสอบสวนทันที
- hot wallet ส่ง BTC 18,270 เหรียญไปยังที่อยู่ของผู้โจมตี รายงานเรียงรายการนี้ต่อจากการแจ้งเตือนภายใน แต่ไม่ได้ระบุเวลา
- ผู้โจมตีใช้ระบบเซ็นธุรกรรมเดิมเรียกกลไก EIP-7702 ให้สัญญาอัจฉริยะที่ตนควบคุมได้สิทธิ์ execute บางส่วนเหนือ hot wallet ของ Binance 1 ใบ
- Binance ระงับถอนเพื่อจำกัดเงินไหลออก ประสานพาร์ตเนอร์ให้อายัดโทเคนที่ได้รับผลกระทบ และเริ่มเพิกถอนสิทธิ์ที่ไม่ได้รับอนุญาต รายงานไม่ได้ระบุเวลาของขั้นตอนนี้
- 23:56 UTC ETH 2,961.9 เหรียญ ซึ่ง Binance ระบุว่าเป็นการโอนที่ไม่ได้รับอนุญาตรายการสุดท้ายที่ยืนยันบนเชน และระบุว่าหลังจากนั้นไม่พบการโอนที่ไม่ได้รับอนุญาตอีก Bitcoin Addict ตรวจบน Blockscout เมื่อ 4 พ.ย. พบรายการ ETH 2,961.91 เหรียญออกจากกระเป๋าที่ Binance เรียกว่า Binance14 เวลา 23:56:47 UTC ตรงกับที่รายงานระบุ tx 0x4395d51dc3f3c51230329efc3548f74edbced353ff3f795c517cc57fa650f89b
- 00:10 UTC ของวันที่ 30 ต.ค. Binance สั่งการอนุญาตใหม่จาก hot wallet ชื่อ Binance14 ไปที่ zero address ซึ่งเป็นที่อยู่ศูนย์ที่ใช้ยกเลิกการมอบสิทธิ์ใน EIP-7702 เพื่อล้างโค้ดมอบสิทธิ์ Bitcoin Addict ตรวจบน Blockscout เมื่อ 4 พ.ย. พบธุรกรรมนี้เวลา 00:10:35 UTC tx 0xafbf94c92a8d749988411669fa14d4f8866d9b4420b4ebd299f28e958dac7209
นับจากการโอนครั้งแรกเวลา 20:05 UTC ถึงการล้างสิทธิ์เวลา 00:10 UTC ใช้เวลา 4 ชั่วโมง 5 นาที ตัวเลขนี้กองบรรณาธิการคำนวณจากเวลาในรายงาน Binance ไม่ได้ระบุช่วงเวลารวมไว้เอง
EIP-7702 คืออะไร และผู้โจมตีใช้กลไกนี้อย่างไร
EIP-7702 คือกลไกบน Ethereum ที่ให้บัญชีมอบสิทธิ์ execute บางส่วนให้สัญญาอัจฉริยะ (โปรแกรมที่รันอยู่บนเชน) โดยไม่ต้องเปิดเผยกุญแจส่วนตัว ตามคำอธิบายของ Binance ในรายงาน
Binance ระบุว่าในคืนเกิดเหตุ ผู้โจมตีใช้กลไกนี้ให้สัญญาอัจฉริยะที่ตนควบคุมมีสิทธิ์ execute บางส่วนเหนือ hot wallet ของ Binance โดยส่งธุรกรรมเซ็น 50 รายการเพื่อปรับหมายเลขลำดับธุรกรรมของบัญชีที่เรียกว่า nonce และตั้งการมอบสิทธิ์ที่เป็นอันตรายขึ้นบนเชน
Binance อธิบายว่าสิทธิ์ที่ถูกตั้งไว้บนเชนทำงานแยกจากระบบถอนปกติของบริษัท และ Binance ต้องส่งธุรกรรมเพิ่มเพื่อเพิกถอนสิทธิ์เหล่านั้นบนเชน
ทำไมระงับถอนแล้วยังหยุดไม่ได้ และกระเป๋า MPC เกี่ยวอย่างไร
"การระงับถอนอย่างเดียวหยุดการเคลื่อนย้ายสินทรัพย์ที่ไม่ได้รับอนุญาตได้ไม่ทั้งหมด"
Binance รายงานเหตุการณ์ความปลอดภัยฉบับแรก เผยแพร่บน X วันที่ 3 พ.ย. 2569 ต้นฉบับ "suspending withdrawals alone could not stop all unauthorized asset movements"
Binance ระบุว่ารายการมอบสิทธิ์ที่เป็นอันตรายอยู่บนเชนและทำงานอิสระจากโครงสร้างการถอนปกติของบริษัท การระงับถอนและการปิดบริการ hot wallet จึงไม่ทำให้สิทธิ์ที่มีอยู่บนเชนหมดผลโดยอัตโนมัติ
hot wallet ที่เกี่ยวข้องใช้ระบบ MPC (Multi-Party Computation เทคนิคแบ่งกุญแจเป็นหลายส่วนให้หลายฝ่ายร่วมเซ็น) จึงไม่มีกุญแจส่วนตัวดอกเดียวที่ใช้เพิกถอนสิทธิ์ได้ทันที ทีมต้องพัฒนาและรันขั้นตอนพิเศษเพื่อเพิกถอน ซึ่งใช้เวลาเพิ่ม Binance ระบุว่าความซับซ้อนนี้ทำให้การสกัดการเคลื่อนย้ายสินทรัพย์ใช้เวลานานขึ้น
บริษัทระบุว่ากำลังทบทวนกระบวนการรับมือเหตุ ความครอบคลุมของนโยบายการเซ็นธุรกรรม และการควบคุม hot wallet เพื่อให้รับมือภัยคุกคามได้เร็วขึ้นในอนาคต
ตัวเลขความเสียหาย การอายัด และการทดแทนตามรายงาน Binance
- มูลค่าสินทรัพย์ที่ได้รับผลกระทบราว 6.34 พันล้านดอลลาร์ (ราว 2.14 แสนล้านบาท)
- อายัดหรือสกัดไว้ได้ราว 2.85 พันล้านดอลลาร์ (ราว 9.63 หมื่นล้านบาท) เป็นตัวเลข ณ วันที่ Binance เผยแพร่รายงาน และ Binance ระบุว่ายังต้องกระทบยอดและขึ้นกับความผันผวนของราคาตลาด
- ณ วันที่ 31 ต.ค. Binance ระบุว่าทดแทนโทเคนที่ได้รับผลกระทบแล้ว 98% และบอกว่าตรวจสอบได้ที่หน้า Proof of Reserves ซึ่งเป็นหน้าแสดงหลักฐานว่ากระดานมีสินทรัพย์ครอบคลุมเงินฝากลูกค้า ส่วนที่เหลือเป็นสินทรัพย์ที่ซื้อได้ยาก ซึ่ง Binance ระบุว่าอยู่ระหว่างจัดซื้อ
- Binance ระบุว่ากันเงินไว้มากกว่า 100% ของที่ต้องใช้ชดเชยความเสียหาย และบริษัทรับภาระความเสียหายเอง ไม่ใช่ผู้ใช้
ตัวเลขดอลลาร์ทั้งหมดมาจากรายงานของ Binance ส่วนตัวเลขบาทเป็นการประมาณของกองบรรณาธิการที่อัตราราว 33.78 บาทต่อดอลลาร์ ตาม CoinGecko (4 พ.ย.)
FBI ที่ Binance อ้างถึง และคำปฏิเสธจากเกาหลีเหนือ
รายงานเขียนว่าข้อมูลล่าสุดที่ FBI (สำนักงานสอบสวนกลางสหรัฐฯ) เผยแพร่ชี้ว่าเกาหลีเหนือรับผิดชอบเหตุนี้ รายงานส่วนนี้ไม่ได้แนบหลักฐานเพิ่มเติม ฝ่ายเกาหลีเหนือปฏิเสธผ่านคิม โย จอง (Kim Yo Jong) น้องสาวผู้นำเกาหลีเหนือ ตามที่เรารายงานไว้ก่อนหน้านี้ ทั้งข้อกล่าวหาและคำปฏิเสธเป็นคำกล่าวอ้างของแต่ละฝ่าย
สิ่งที่ Binance ยังไม่เปิดเผย และแผนต่อจากนี้
Binance ระบุว่านี่เป็นรายงานฉบับแรก ผลการสอบสวนยังต้องผ่านการตรวจสอบอิสระ และบางรายละเอียดเชิงเทคนิคจะไม่เปิดเผยเพื่อไม่ให้ผู้ประสงค์ร้ายนำไปวางแผนโจมตี รายงานไม่ได้ระบุปลายทางสุดท้ายของเงินส่วนที่ยังไม่ถูกอายัด และไม่ได้ระบุเวลาของการโอน SOL, OP และ BTC แต่ละรายการ
ตามรายงาน ณ วันที่ 3 พ.ย. Binance ทำแล้วดังนี้
- สร้างระบบกระเป๋าที่ได้รับผลกระทบขึ้นใหม่ในสภาพแวดล้อมใหม่
- สร้างเครื่องมือ AI ภายในและระบบควบคุมการเข้าถึงขึ้นใหม่
- เปลี่ยนอุปกรณ์ที่ได้รับผลกระทบ และยกเลิกข้อมูลรับรองกับโทเคนที่เกี่ยวข้องกับวิศวกรที่ได้รับผลกระทบ
- สแกนความปลอดภัยเพิ่มเติมทุกอุปกรณ์ของพนักงาน
- เสริมระบบตรวจจับพฤติกรรมผิดปกติด้วย AI และการควบคุมความเสี่ยงของบริการกระเป๋า
- ร่วมมือกับหน่วยงานบังคับใช้กฎหมาย บริษัทข่าวกรองบล็อกเชน และพันธมิตรในอุตสาหกรรมเพื่อตามรอยและอายัดสินทรัพย์
ขั้นต่อไปที่ Binance ระบุไว้มี 3 เรื่อง
- ว่าจ้างผู้เชี่ยวชาญความปลอดภัยไซเบอร์อิสระตรวจสอบเหตุการณ์ทั้งหมดและยืนยันข้อค้นพบ
- เพิ่มการลงทุนด้านการตรวจจับด้วย AI การปกป้องอุปกรณ์ปลายทาง ความปลอดภัยของสภาพแวดล้อมนักพัฒนา และการเฝ้าดูพฤติกรรมผิดปกติ
- กำลังเตรียมตั้งกองทุนวิจัยความปลอดภัยและโครงการร่วมกับบริษัท AI ชั้นนำ ผู้เล่นในอุตสาหกรรม และบริษัทความปลอดภัย โดยเน้นความปลอดภัยของ AI ในสภาพแวดล้อมบล็อกเชน
ผู้ใช้ในไทยควรรู้อะไรจากรายงานนี้
รายงานไม่ได้กล่าวถึง Binance TH ซึ่งเป็นนิติบุคคลแยกจาก Binance.com เราเคยรายงานสถานะบริการของ Binance TH ในข่าวแยกเมื่อ 30 ต.ค.
ผู้ที่อยากเข้าใจความต่างระหว่างเหรียญที่ฝากไว้กับกระดานเทรดและเหรียญในกระเป๋าที่ถือกุญแจเอง บทความ Hardware Wallet คืออะไร ต่างจากกระเป๋าคริปโตแบบอื่นยังไง อธิบายพื้นฐานของกระเป๋าฝั่งผู้ใช้ไว้ครบ
ภาพปก: ภาพประกอบสร้างด้วย AI โดยทีม Bitcoin Addict ใช้ไฟล์โลโก้ Binance ทางการ
📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
👉 EIP-7702 ฟีเจอร์ใหม่บน Ethereum กลับถูกใช้เป็นเครื่องมือขโมยเหรียญกว่า 80% โดยแฮ็กเกอร์
🔗 อ้างอิงต้นฉบับ: Binance รายงานเหตุการณ์ความปลอดภัย 29 ต.ค. ฉบับแรก บน X (3 พ.ย.) อัตราแลกเปลี่ยนราว 33.78 บาทต่อดอลลาร์ ตาม CoinGecko (4 พ.ย.)
💬 ความเห็นบรรณาธิการ Bitcoinaddict
รายงานฉบับแรกของ Binance ทำให้เห็นว่าคำสั่งระงับถอนเป็นแค่ด่านเดียว ถ้าสิทธิ์ที่ผู้โจมตีฝังไว้อยู่บนเชนแล้ว ผู้ให้บริการต้องมีวิธีเพิกถอนที่ทำได้เร็วด้วย และกุญแจแบบ MPC ที่ไม่มีดอกเดียวให้ปิดสิทธิ์ทันทีทำให้ขั้นตอนนี้ใช้เวลานานขึ้นตามที่ Binance เล่าเอง ข้อมูลทั้งหมดมาจากบริษัทและยังไม่ผ่านการตรวจสอบอิสระ จึงควรรอรายงานฉบับต่อไปประกอบ สำหรับผู้ใช้ในไทย คำถามที่ควรถามกระดานเทรดที่ใช้อยู่ไม่ได้มีแค่ว่ามีเงินสำรองเท่าไร แต่รวมถึงว่ามีแผนเพิกถอนสิทธิ์บนเชนและกระบวนการรับมือเหตุเร็วแค่ไหน เพื่อความโปร่งใส ขอแจ้งว่า Bitcoin Addict เป็นพันธมิตร (affiliate) ของ Binance TH
รายงานโดยทีมข่าว Bitcoinaddict.com