สัมภาษณ์งานลวงโลก! Binance เผยแฮ็กเกอร์ฝังมัลแวร์ผ่านงานปลอม ใช้ AI ภายในเจาะต่อ ขโมยกว่า 6.3 พันล้านดอลลาร์
Binance (กระดานเทรดคริปโตรายใหญ่ของโลก) เผยแพร่รายงานเหตุการณ์ฉบับแรกของเหตุแฮ็กมูลค่ากว่า 6.3 พันล้านดอลลาร์ (ราว 2.13 แสนล้านบาท) เมื่อวันอังคารที่ 3 พ.ย. 2569 ระบุว่าผู้โจมตีใช้แคมเปญหลายเดือนที่รวมการหลอกลวงทางสังคม มัลแวร์ ข้อมูลรับรองที่ขโมยมา และเครื่องมือ AI ภายในบริษัทที่ถูกควบคุม โดยขั้นสำคัญคือการหลอกพนักงานผ่านกระบวนการสัมภาษณ์งานปลอม หลังผู้โจมตีเล็งวิศวกรอีกคนผ่านตัวติดตั้งซอฟต์แวร์ที่ถูกแก้ไขมาตั้งแต่เดือน มิ.ย. ตามที่ The Block รายงาน
รายงานเหตุแฮ็ก 6.3 พันล้านดอลลาร์ ผู้โจมตีใช้เวลาหลายเดือน
ริชาร์ด เท็ง (Richard Teng) co-CEO ของ Binance ระบุผ่านโพสต์ใน X ว่าเหตุการณ์นี้เป็นแคมเปญที่ใช้เวลาหลายเดือน และบริษัทเผยแพร่รายงานเต็มเพราะบทเรียนไม่ได้จำกัดอยู่แค่ Binance รายงานนี้เป็นฉบับแรก (initial) จึงอาจมีรายละเอียดเพิ่มหรือเปลี่ยนได้ในภายหลัง
ข้อมูลทั้งหมดในหัวข้อต่อไปนี้เป็นสิ่งที่ Binance เล่าเองในรายงาน และ The Block นำมาสรุป ยังไม่มีหน่วยงานอิสระยืนยัน
ลำดับเหตุการณ์ ตั้งแต่ Homebrew ที่ถูกแก้ไขถึงสัมภาษณ์งานปลอม
- เดือน มิ.ย. ผู้โจมตีเล็งวิศวกรฝ่าย Wallet DevOps รายหนึ่ง ผ่านการติดตั้ง Homebrew (ตัวติดตั้งซอฟต์แวร์ยอดนิยมบน Mac) ที่ถูกแก้ไข ซึ่งเขาโหลดขณะพยายามติดตั้งเครื่องมือ AI สำหรับเขียนโค้ด ทีมความปลอดภัยของ Binance ตรวจพบความผิดปกติ จึงเปลี่ยนเครื่องและหมุนเวียนข้อมูลรับรองที่เกี่ยวข้อง แต่ข้อมูลเกี่ยวกับตำแหน่งงานและเพื่อนร่วมงานของเขายังรั่วไป
- เดือน ก.ย. ผู้โจมตีสวมบทเป็นผู้บริหารบริษัทในกระบวนการสรรหาพนักงานปลอม แล้วหลอกพนักงานอีกคนให้โหลดงานเขียนโค้ดที่เป็นมัลแวร์ จนคอมพิวเตอร์ทำงานของเขาติดมัลแวร์และถูกเข้าถึงโดยไม่ได้รับอนุญาต
- วันที่ 20 ต.ค. ผู้โจมตีใช้เครื่องของพนักงานคนนั้นร่วมกับเครื่องมือ AI ภายในบริษัท เข้าควบคุมเครื่องของวิศวกรอีก 2 คน และพบสิทธิ์ในการ deploy (ติดตั้งและรันงาน) ผ่าน container (ตู้บรรจุซอฟต์แวร์สำหรับรันระบบ) บนเครื่องหนึ่งในนั้น
- ราว 9 วันต่อมา ผู้โจมตีใช้ข้อมูลรับรองที่ขโมยมา deploy container แล้วรันสคริปต์อันตรายที่ใช้เปิดการโจมตีกระเป๋าเงิน
ตัวเลขความเสียหายและการกู้คืนตามรายงาน
The Block ระบุว่าสินทรัพย์ที่ถูกขโมยมีมูลค่ากว่า 6.3 พันล้านดอลลาร์ (ตัวเลขในส่วนสรุปของข่าวเป็น 6.34 พันล้านดอลลาร์ จึงมีความต่างเล็กน้อยระหว่างส่วนต่างๆ ของข่าวต้นทาง) Binance ระบุว่าอายัดหรือสกัดไว้ได้ราว 2.85 พันล้านดอลลาร์ (ราว 9.6 หมื่นล้านบาท) และทดแทนสินทรัพย์ที่ได้รับผลกระทบแล้ว 98% สินทรัพย์ที่เกี่ยวข้องมีหลายสิบรายการบนเครือข่าย BSC, Ethereum, Solana, XRP, Sui, Arbitrum, Optimism, TRON และ Base อัตราแลกเปลี่ยนราว 33.78 บาทต่อดอลลาร์ ตาม CoinGecko (4 พ.ย.)
ส่วนการเปิดถอน The Block ระบุว่า Binance เริ่มเปิดถอนเป็นช่วงตั้งแต่ 04:00 น. UTC ของวันที่ 3 พ.ย. โดยเรียงตามความต้องการของผู้ใช้ในสัปดาห์ที่ผ่านมา ข่าวก่อนหน้าของเราเคยรายงานการเปิดถอนช่วงแรกไว้ วันที่ในแต่ละรายงานจึงอาจต่างกัน Binance ยังระบุว่ายอดฝากรายชั่วโมงสูงกว่ายอดถอน ซึ่งบริษัทมองว่าเป็นสัญญาณว่าการไหลของเงินเริ่มนิ่ง
Binance อ้าง FBI โยงเกาหลีเหนือ ฝ่ายเกาหลีเหนือปฏิเสธ
ตามที่ Binance รายงาน FBI โยงการโจมตีนี้กับเกาหลีเหนือ The Block ไม่ได้อ้างคำแถลงของ FBI โดยตรง และไม่ได้ระบุว่า Binance ยืนยันการโยงนี้ด้วยตนเอง ส่วนน้องสาวผู้นำเกาหลีเหนือเรียกคำกล่าวอ้างของ FBI ว่า "grave political provocation" เมื่อวันจันทร์ และปฏิเสธการโยงนี้ คิม โย จอง (Kim Yo Jong) ปฏิเสธข้อสรุปของ FBI ตามที่เรารายงานไว้ก่อนหน้านี้ ทั้งข้อกล่าวหาและคำปฏิเสธเป็นคำกล่าวอ้างของแต่ละฝ่าย
Binance ระบุด้วยว่าตรวจพบและป้องกันการโจมตีที่ต้องสงสัยว่าเกี่ยวข้องกับเกาหลีเหนือได้ 57 ครั้งในปี 2569 เรื่องที่ Binance เตือนเรื่องกับดักสัมภาษณ์งานปลอมของกลุ่มเกาหลีเหนือ เราเคยรายงานไว้เมื่อ 27 ต.ค.
Binance ปรับมาตรการความปลอดภัยอะไร
ตามรายงาน Binance ปิดจุดเข้าที่ผู้โจมตีใช้ สร้างหรือเปลี่ยนระบบที่ได้รับผลกระทบ เสริมการควบคุมอุปกรณ์ และขยายการใช้ AI ตรวจจับพฤติกรรมผิดปกติ นอกจากนี้บริษัทกำลังว่าจ้างผู้ตรวจสอบความปลอดภัยทางไซเบอร์อิสระ ตามส่วนสรุปของข่าวต้นทาง
สิ่งที่ยังไม่ทราบ และบทเรียนสำหรับคนทำงานสายคริปโตในไทย
ตอนนี้ยังไม่ทราบตัวตนของผู้โจมตี ปลายทางสุดท้ายของเงินที่ถูกขโมย เหตุผลที่สินทรัพย์ส่วน 2% ยังไม่ได้รับการทดแทน และขอบเขตกับผลของการตรวจสอบอิสระ The Block ไม่ได้อธิบายว่าผู้โจมตีแก้ไข Homebrew ได้อย่างไร
เรื่องที่คนทำงานสายคริปโตในไทยเห็นได้ชัดคือทางที่ผู้โจมตีใช้ ไม่ได้เริ่มจากช่องโหว่ของระบบเงิน แต่เข้ามาทางเครื่องของพนักงาน ตั้งแต่ตัวติดตั้งซอฟต์แวร์ที่ถูกแก้ไข ไปจนถึงพนักงานที่ได้รับ "งานสัมภาษณ์" และโหลดไฟล์ตามที่ผู้สัมภาษณ์ปลอมสั่ง ผู้ที่ได้รับข้อเสนองานผ่านช่องทางส่วนตัว โดยเฉพาะงานที่ให้โหลดและรันโค้ดบนเครื่องทำงาน ควรตรวจสอบตัวตนบริษัทและผู้สัมภาษณ์ก่อน ข้อมูลนี้ยังไม่ใช่คำแนะนำด้านความปลอดภัยทางการ
ข่าวนี้เป็นเรื่องของ Binance ระดับโลก รายงานต้นทางไม่ได้กล่าวถึง Binance TH ซึ่งเป็นนิติบุคคลแยกจาก Binance.com และเราเคยรายงานสถานะบริการของ Binance TH ในข่าวแยกเมื่อ 30 ต.ค.
📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
เหตุการณ์นี้สืบเนื่องจากที่เราเคยรายงานไว้ก่อนหน้านี้
👉 FBI ชี้เกาหลีเหนืออยู่เบื้องหลังแฮ็กกว่า 6 พันล้านดอลลาร์ กระดานเทรดเปิดถอนช่วงแรกแล้ว ชดเชยราว 95%
🔗 อ้างอิงต้นฉบับ: The Block (3 พ.ย.) อัตราแลกเปลี่ยนราว 33.78 บาทต่อดอลลาร์ ตาม CoinGecko (4 พ.ย.)
💬 ความเห็นบรรณาธิการ Bitcoinaddict
รายงานฉบับแรกของ Binance ชี้ว่าการโจมตีครั้งนี้ใช้ความเชื่อใจของพนักงานเป็นทางเข้า ไม่ใช่ช่องโหว่ของตัวระบบกระเป๋าเงินโดยตรง ข้อมูลทั้งหมดมาจากบริษัทเองและยังไม่มีผู้ตรวจสอบอิสระยืนยัน จึงควรรอรายงานฉบับต่อไปและผลตรวจสอบอิสระประกอบ สำหรับผู้ใช้ในไทย ความเสี่ยงของกระดานเทรดรวมศูนย์ไม่ได้อยู่ที่ตัวเลขสำรองอย่างเดียว แต่รวมถึงวิธีที่บริษัทป้องกันคนของตัวเอง เพื่อความโปร่งใส ขอแจ้งว่า Bitcoin Addict เป็นพันธมิตร (affiliate) ของ Binance TH
ภาพปก: ภาพประกอบสร้างด้วย AI โดยทีม Bitcoin Addict
รายงานโดยทีมข่าว Bitcoinaddict.com