Elliptic เผยเกาหลีเหนือสร้างมีมคอยน์ 6 เหรียญบน NEAR สลับเงินแฮ็ก Binance ผ่านสระสภาพคล่อง แล้วทิ้ง

Elliptic บริษัทวิเคราะห์ธุรกรรมบนบล็อกเชน รายงานเมื่อ 9 พฤศจิกายน 2569 ว่ากลุ่มแฮ็กเกอร์ที่ Elliptic ระบุว่าเป็นของเกาหลีเหนือ สร้างมีมคอยน์ 6 เหรียญบนเครือข่าย NEAR ระหว่าง 5-7 พฤศจิกายน เพื่อสลับเงินที่ขโมยจากเหตุแฮ็ก Binance ผ่านสระสภาพคล่องของกระดานเทรดแบบกระจายศูนย์ ราว 117,000 NEAR ของเงินที่ขโมยมาไหลผ่านโทเคนเหล่านี้ ซึ่ง Elliptic คิดที่ราคาตอนรายงานได้ราว 430,000 ดอลลาร์ หรือราว 14.4 ล้านบาท ที่อัตราราว 33.5 บาทต่อดอลลาร์ ไม่มีโทเคนใดถูกซื้อขายอีกเลยตั้งแต่ 8 พฤศจิกายน ตามรายงานของ Elliptic และข่าว Cointelegraph ที่รายงานต่อ รายงานไม่เปิดเผย address หรือธุรกรรม Bitcoinaddict.com จึงตรวจซ้ำบนเชนเองไม่ได้

Elliptic พบโทเคน 6 เหรียญบน NEAR ที่สร้างในเวลา 3 วัน

มีมคอยน์คือเหรียญที่ราคามักขยับตามกระแสโซเชียลมากกว่าการใช้งานจริง สร้างได้ง่ายและถูก ส่วน NEAR คือบล็อกเชนสาธารณะที่ใครก็ออกโทเคนของตัวเองบนเครือข่ายได้ รายงานของ Elliptic ระบุชื่อโทเคนทั้ง 6 เหรียญ ได้แก่ FUK, OLCCL, MEILI, MMLI, DABI และ SINU โดย FUK สร้างเวลา 00:25 น. UTC วันที่ 5 พฤศจิกายน อีก 4 เหรียญคือ OLCCL, MEILI, MMLI และ DABI สร้างวันที่ 6 พฤศจิกายน ระหว่าง 07:19 ถึง 14:27 น. UTC ส่วน SINU สร้างเวลา 10:06 น. UTC วันที่ 7 พฤศจิกายน

แต่ละเหรียญมีต้นทุนสร้างราว 25 NEAR หรือราว 90 ดอลลาร์ ราว 3,000 บาท ตามรายงาน เมื่อรวม 6 เหรียญจะเป็นราว 540 ดอลลาร์ ตัวเลขนี้ Bitcoinaddict.com คำนวณเอง เทียบกับเงินราว 430,000 ดอลลาร์ที่ Elliptic ประเมินว่าไหลผ่านสระของเหรียญเหล่านี้ ต้นทุนการสร้างโทเคนจึงต่ำมากเมื่อเทียบกับยอดที่ย้ายได้

ย้ายเงินผ่านสระสภาพคล่องอย่างไร

กระดานเทรดแบบกระจายศูนย์ หรือ DEX คือแพลตฟอร์มสลับเหรียญที่ทำงานด้วยโปรแกรมบนบล็อกเชน ไม่มีบริษัทกลางจับคู่ให้ ผู้ใช้สลับเหรียญผ่านสระสภาพคล่อง ซึ่งเป็นกองเงินสองสกุลที่ผู้ฝากเตรียมไว้ให้คนมาสลับกัน ตามรายงานของ Elliptic แต่ละโทเคนถูกจับคู่กับ NEAR ในสระของตัวเอง ทั้งรายงานและ Cointelegraph ไม่ระบุว่าใช้ DEX เจ้าไหน

Cointelegraph อธิบายว่ากระเป๋าชุดหนึ่งสลับ NEAR ที่ขโมยมาเป็นมีมคอยน์ใหม่ และอีกชุดขายมีมคอยน์กลับเข้าสระเพื่อรับ NEAR คืน ผลคือเงินเปลี่ยนมือระหว่างกระเป๋าโดยดูเหมือนเป็นการซื้อขายเหรียญ แต่ Elliptic ระบุว่าธุรกรรมยังตามรอยบนเชนได้ กระเป๋าฝั่งซื้อได้เงินจากกระเป๋าหลักที่ถือ NEAR ที่ขโมยมาผ่านบัญชีคั่นกลาง

Elliptic โยงโทเคนเข้าด้วยกันอย่างไร

ชื่อกระเป๋าช่วยโยงไม่ได้ เพราะเป็นชื่อสุ่มจากแอปกระเป๋ายอดนิยม Elliptic จึงดูที่การเติมเงิน ผู้สร้าง 5 ใน 6 เหรียญได้รับเงินจากกระเป๋าที่เพิ่งขายโทเคนรุ่นก่อน 2-13 นาทีก่อนเปิดตัวรุ่นถัดไป ทำให้โทเคนต่อกันเป็นสายเดียว

ผู้ซื้อจากนอกวงแทบไม่มี Elliptic ระบุว่าไม่มีใครนอกเครือข่ายนี้ซื้อ 5 เหรียญ ส่วน FUK มีผู้ซื้อจากนอกวงเพียงไม่กี่รายการในวันแรก รวมแล้วต่ำกว่า 1% ของปริมาณซื้อขายทั้งหมดของ FUK ตามที่ Elliptic ระบุ ส่วน DABI, MMLI และ SINU มีกระเป๋าซื้อและกระเป๋าขายอย่างละ 1 ราย บ่ายวันที่ 8 พฤศจิกายน ผู้สร้าง 4 เหรียญถอนสภาพคล่องที่เหลือออกจากสระ และไม่มีเหรียญใดมีการซื้อขายอีกหลังจากนั้น

NEAR 11.8 ล้านเหรียญยังไม่ขยับ และท่าเดียวกับ Bybit

Elliptic ระบุว่า ณ เวลาที่วิเคราะห์ NEAR ราว 11.8 ล้านเหรียญ มูลค่า 43.7 ล้านดอลลาร์ หรือราว 1,464 ล้านบาท จากเงินที่ขโมยยังไม่ถูกย้าย เมื่อนำสองตัวเลขมาหารกันจะได้ราคาราว 3.7 ดอลลาร์ต่อ NEAR ซึ่งสอดคล้องกับยอด 430,000 ดอลลาร์ต่อ 117,000 NEAR ราคานี้เป็นการคำนวณของ Bitcoinaddict.com เพราะต้นทางไม่ระบุราคา NEAR

Elliptic ระบุว่ากลวิธีสร้างโทเคนไร้ค่าเคยใช้หลังแฮ็ก Bybit ปี 2568 ซึ่งผู้ฟอกเงินสร้างโทเคนบน TRON จับคู่กับเหรียญคงมูลค่า (stablecoin) แล้วย้ายอย่างน้อย 24 ล้านดอลลาร์ ราว 804 ล้านบาท ในกรณี Binance รายงานระบุว่า Elliptic พบโทเคนบน TRON ที่สร้างเพื่อฟอกเงินเมื่อ 2 พฤศจิกายน โดยไม่ระบุยอด และเมื่อ 3 พฤศจิกายน เงิน SOL ที่ขโมยถูกสลับผ่านโทเคนบน Solana ที่มีอยู่แล้วและซื้อขายเบาบาง ไม่ใช่โทเคนที่สร้างเอง

ตัวเลขแฮ็กและใครระบุว่าเกาหลีเหนือเป็นผู้ก่อ

มูลค่าแฮ็กต่างกันตามแหล่ง Cointelegraph เขียนราว 6.3 พันล้านดอลลาร์ รายงานของ Elliptic เขียน 6.4 พันล้านดอลลาร์ ส่วน Binance รายงานเหตุการณ์ของตัวเองไว้ 6.34 พันล้านดอลลาร์ ตามข่าว Binance เล่าเอง แฮ็กเกอร์ฝังสิทธิ์ EIP-7702 ระงับถอนหยุดไม่ได้ทั้งหมด ที่ Bitcoinaddict.com รายงานไว้ ข่าวนี้ใช้ราว 6.3 พันล้านดอลลาร์ ราว 2.11 แสนล้านบาท ตามตัวเลขของ Binance และ Cointelegraph

รายงานของ Elliptic เขียนว่าเหตุแฮ็ก Binance ถูกระบุว่าเป็นฝีมือกลุ่ม TraderTraitor กลุ่มที่ FBI และบริษัทวิเคราะห์โยงกับเกาหลีเหนือ ตามที่ Bitcoinaddict.com รายงานไว้ใน ข่าว FBI ชี้เกาหลีเหนืออยู่เบื้องหลังแฮ็ก ฝั่งเกาหลีเหนือ คิม โย จอง (Kim Yo-jong) น้องสาวผู้นำ ปฏิเสธข้อสรุปของ FBI ตาม ข่าวที่รายงานเมื่อ 2 พฤศจิกายน ข่าว Cointelegraph ฉบับนี้ไม่มีคำตอบจากเกาหลีเหนือหรือ Binance และรายงานของ Elliptic ไม่ระบุระดับความมั่นใจของการระบุตัวผู้ก่อเหตุ ข่าวนี้จึงใช้คำว่า Elliptic ระบุในทุกจุดที่โยงกับเกาหลีเหนือ

คำแนะนำของ Elliptic และข้อควรระวัง

รายงานแนะนำว่าเงินที่มาจากสระสภาพคล่องไม่ควรถือว่าสะอาดโดยอัตโนมัติ โดยเฉพาะเมื่อเกี่ยวกับโทเคนที่เพิ่งสร้าง สัญญาณเตือนที่ Elliptic ระบุ ได้แก่ โทเคนที่สร้างภายในไม่กี่วัน สระที่มีกระเป๋าซื้อขายน้อย กระเป๋าที่ซื้ออย่างเดียวหรือขายอย่างเดียว และกระเป๋าใหม่ที่ได้เงินก่อนซื้อขายไม่นาน ซึ่งมักเป็นยอดกลม Elliptic แนะนำให้ตรวจเทียบกับรายชื่อกระเป๋าที่เกี่ยวกับแฮ็ก Binance ที่เปิดเผยสาธารณะ และตรวจเงินฝากที่รับไปแล้วซ้ำเมื่อรายชื่อเพิ่ม

รายงานยังเสนอบริการตรวจสอบต่อเนื่องของ Elliptic เอง ผู้อ่านจึงควรรู้ว่าบริษัทขายผลิตภัณฑ์ที่เกี่ยวกับปัญหาที่รายงานนำเสนอ ตัวเลขทั้งหมดมาจากการวิเคราะห์ของ Elliptic เอง ข่าวนี้ไม่ได้อ้างผู้ตรวจสอบอิสระรายอื่น

สิ่งที่ยังไม่รู้

รายงานไม่ระบุว่าใช้ DEX เจ้าไหน และไม่ระบุว่า 430,000 ดอลลาร์เป็นสัดส่วนเท่าไรของเงินที่ฟอกไปแล้วทั้งหมด เมื่อเทียบกับมูลค่าแฮ็กราว 6.3 พันล้านดอลลาร์ ยอดนี้คิดเป็นไม่ถึง 0.01% ตัวเลขนี้ Bitcoinaddict.com คำนวณเอง เงินที่ผ่านการฟอกด้วยวิธีอื่นหรือยังไม่ถูกย้ายอยู่ที่ไหนบ้าง ต้นทางไม่ได้บอกครบ ข่าวนี้ไม่มีคำตอบจาก Binance และเกาหลีเหนือต่อรายงานของ Elliptic

📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:

👉 FBI ชี้เกาหลีเหนืออยู่เบื้องหลังแฮ็กกว่า 6 พันล้านดอลลาร์ กระดานเทรดเปิดถอนช่วงแรกแล้ว ชดเชยราว 95%

👉 คิม โย จอง น้องสาวผู้นำเกาหลีเหนือ ปฏิเสธข้อสรุปของ FBI ที่โยงเกาหลีเหนือกับเหตุแฮ็กกว่า 6 พันล้านดอลลาร์

👉 Chainalysis ชี้แฮ็กเกอร์ Binance เดินเกมฟอกเงินสุดพิสดาร โอนวนกระเป๋าเก่าพรางเส้นทาง

👉 THORChain เปิดสวอป Bitcoin และ Ethereum คืน หลังนักวิเคราะห์เตือนเสี่ยงถูกใช้ฟอกเงินจากแฮ็ก Binance

🔗 อ้างอิงต้นฉบับ: รายงานของ Elliptic และ Cointelegraph

💬 ความเห็นบรรณาธิการ Bitcoinaddict

ข้อสังเกตคือ ยอด 430,000 ดอลลาร์ที่ Elliptic ตามรอยได้เล็กมากเมื่อเทียบกับมูลค่าแฮ็ก และโทเคนทั้ง 6 เหรียญถูกทิ้งภายในไม่กี่วัน แต่ผู้วิเคราะห์ชี้ว่าวิธีสร้างโทเคนใหม่เป็นสระสลับเงินเคยใช้มาแล้วหลังแฮ็ก Bybit สำหรับผู้ใช้ไทยที่ซื้อขายเหรียญบน DEX รายงานนี้ชี้ว่าโทเคนที่เพิ่งสร้างไม่กี่วัน มีกระเป๋าซื้อขายน้อย และมีกระเป๋าที่ซื้ออย่างเดียวหรือขายอย่างเดียว คือสัญญาณที่ Elliptic ใช้ตรวจ ควรตรวจประวัติเหรียญก่อนรับโอนหรือซื้อ ข้อมูลนี้ไม่ใช่คำแนะนำการลงทุน

ภาพประกอบสร้างด้วย AI ต้นแบบภาพ: Kim Jong Un จาก Mil.ru / Wikimedia Commons (CC BY 4.0) ภาพนี้ใช้ประกอบเรื่องเกาหลีเหนือโดยรวม ไม่ได้ระบุว่าบุคคลในภาพสั่งการหรือเกี่ยวข้องกับการฟอกเงินนี้ รายงานของ Elliptic และ Cointelegraph ไม่ได้เอ่ยถึงตัวเขา

รายงานโดยทีมข่าว Bitcoinaddict.com