TRM Labs ระบุเกาหลีเหนือเบื้องหลังเหตุ Binance 6.36 พันล้านดอลลาร์ มั่นใจสูง ยังไม่พบคำยืนยันจาก Binance
TRM Labs (บริษัทวิเคราะห์ธุรกรรมบล็อกเชนของสหรัฐฯ) เผยแพร่บทวิเคราะห์บนเว็บไซต์ของตัวเอง ลงวันที่ 29 ต.ค. 2569 ระบุว่าผู้โจมตีย้ายเงินราว 6.36 พันล้านดอลลาร์ (ราว 2.15 แสนล้านบาท ที่ 33.775 บาทต่อดอลลาร์ ตาม Frankfurter 28 ต.ค. 2569) ออกจากกระเป๋าของ Binance บน 10 บล็อกเชน ส่วนใหญ่ในราว 20 นาที เริ่มเมื่อ 20.05 น. UTC ของ 29 ต.ค. (ตรงกับ 03.05 น. ไทย 30 ต.ค.) และ TRM ระบุว่า "ด้วยความมั่นใจสูง" ว่าเป็นฝีมือ TraderTraitor หน่วยแฮกชั้นนำของเกาหลีเหนือ การระบุตัวนี้เป็นการประเมินของ TRM ทีมข่าวไม่พบคำยืนยันจาก Binance หรือหน่วยงานรัฐ ข่าวนี้กำลังพัฒนา ทีมข่าวเขียนจากข้อมูล ณ ราว 13.30 น. ตามเวลาไทย
ทีมข่าวเปิดอ่านบทวิเคราะห์ต้นฉบับบนเว็บไซต์ TRM Labs โดยตรง และเทียบกับรายงานของ Reuters ที่อ้าง TRM ตัวเลขในบทวิเคราะห์เป็นข้อมูลออนเชน ณ 00.30 น. UTC ของ 30 ต.ค. (07.30 น. ไทย) ทีมข่าวไม่ได้ตรวจออนเชนเอง
TRM Labs ระบุอะไรบ้าง
- ผู้โจมตีย้ายเงินราว 6.36 พันล้านดอลลาร์ออกจากกระเป๋า Binance บน 10 บล็อกเชน ได้แก่ Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base และ Polygon
- TRM เรียกเหตุนี้ว่าการขโมยคริปโตใหญ่ที่สุดเท่าที่เคยบันทึก ใหญ่กว่าเหตุ Bybit เมื่อ ก.พ. 2568 (ราว 1.5 พันล้านดอลลาร์ หรือราว 5.1 หมื่นล้านบาท) ประมาณ 4 เท่า
- ระบุตัวผู้โจมตีว่าเป็น TraderTraitor หน่วยแฮกชั้นนำของเกาหลีเหนือ จากข้อมูลข่าวกรองออนเชนและนอกเชน ซึ่ง TRM ระบุว่ามั่นใจสูง
- TRM ระบุว่า FBI ระบุกลุ่มเดียวกันนี้ว่าอยู่เบื้องหลังเหตุ Bybit (ทีมข่าวไม่ได้ตรวจกับ FBI)
- ลักษณะที่ตรงกับเหตุเกาหลีเหนือครั้งก่อน เช่น Bybit และ KelpDAO (เม.ย. 2569): ถอนเงินก้อนเล็กจาก Tornado Cash (บริการผสมเหรียญที่ปกปิดที่มา) มาเติมกระเป๋าของผู้ปฏิบัติการ เตรียมการล่วงหน้านาน และได้ลายเซ็นมาก่อนแล้วสั่งทำรวดเดียว แต่รูปแบบการฟอกเงินต่างจากเหตุ Bybit ที่พึ่งบริดจ์ข้ามเชนเป็นหลัก
วิธีโจมตีตามการวิเคราะห์ของ TRM
- บน Ethereum ผู้โจมตีใช้ EIP-7702 (ฟีเจอร์ที่ให้กระเป๋าธรรมดามอบการทำงานให้สมาร์ตคอนแทรกต์ผ่านการเซ็นอนุญาต) เปลี่ยนกระเป๋าร้อนของ Binance ให้เป็นตัวกวาดเงินที่ผู้โจมตีควบคุม โดยเตรียมลายเซ็นอนุญาตไว้ล่วงหน้า 50 ชุด
- กระเป๋าร้อนนั้นส่งเงินทั้งหมดออกในธุรกรรมเดียว ราว 167,464 ETH และอีก 63 โทเคน รวม USDT ราว 1.615 พันล้านหน่วย
- อีก 9 เชนส่งเงินให้ผู้โจมตีผ่านธุรกรรมที่เซ็นตามปกติ ภายในราวครึ่งชั่วโมง TRM ประเมินว่าชี้ไปที่การที่ระบบเซ็นธุรกรรมของกระเป๋าร้อน Binance โดนยึด และระบุว่า Binance ยังไม่เผยสาเหตุหลัก
- การเตรียมการเริ่มอย่างน้อย 36 ชั่วโมงก่อนเกิดเหตุ ตั้งแต่เช้า 28 ต.ค. ตามเวลา UTC มีการทดสอบโค้ดบนกระเป๋าทดลอง และติดตั้งโค้ดชุดเดียวกันบนกระเป๋าร้อนของ Binance หลังซ้อมแล้ว 4 ชั่วโมง
ตัวเลขของ TRM เทียบกับที่ Binance แถลง
- ความเสียหาย: TRM นับราว 6.36 พันล้านดอลลาร์ (คิดมูลค่าตามราคา ณ เวลาที่โอน) หรือราว 6.23 พันล้านดอลลาร์ตามราคาปัจจุบัน ส่วน Binance ประเมินเองราว 6.3 พันล้านดอลลาร์ เมื่อ 09.25 น. ตัวเลขทั้งสองใกล้กัน
- ยอดอายัด: TRM นับราว 2.7 พันล้านดอลลาร์ (ราว 9.1 หมื่นล้านบาท) ณ 00.30 น. UTC แบ่งเป็น Tether ราว 1.77 พันล้าน USDT, Circle ราว 825 ล้าน USDC, Ripple 40.5 ล้าน RLUSD, World Liberty Financial 27.8 ล้าน USD1 และ Arbitrum Security Council ราว 30 ล้านดอลลาร์ ส่วน Binance แถลงว่ายอดอายัดที่ตรวจสอบแล้วราว 3 พันล้านดอลลาร์ ทีมข่าวไม่ทราบสาเหตุของส่วนต่างราว 300 ล้านดอลลาร์ ซึ่งอาจมาจากเวลาของตัวเลขหรือวิธีนับ (เป็นการคาดของทีมข่าว)
- เงินที่ยังอยู่ในมือผู้โจมตี: TRM ระบุว่ามี ETH มากกว่า 420,000 ETH และ 18,270 BTC มูลค่าราว 2.4 พันล้านดอลลาร์ (ราว 8.1 หมื่นล้านบาท) ซึ่งผู้ออกสเตเบิลคอยน์อายัดไม่ได้
- การฟอกเงิน: TRM ระบุว่าผู้โจมตีขาย USDT ราว 325 ล้านหน่วยให้ผู้ทำตลาดในส่วนลดกว่า 10% และกู้ ETH ราว 19,760 ETH บน Aave โดยวาง USDT 60 ล้านหน่วยเป็นหลักประกัน และ TRM คาดว่าขั้นต่อไปจะผ่านบริดจ์ข้ามเชน บริการสลับเหรียญ และโบรกเกอร์ OTC
สิ่งที่ยังไม่ทราบ
- Binance ยังไม่ยืนยันตัวผู้โจมตี โพสต์ของ Binance ระบุเพียงว่าร่วมกับหน่วยงานบังคับใช้กฎหมายเพื่อยืนยันตัวตนคนร้าย
- สาเหตุหลัก: Binance ระบุเมื่อ 09.25 และ 11.36 น. ว่าอาจเกี่ยวกับคอมพิวเตอร์ของวิศวกร DevOps ที่โดนเจาะ และ "หลายปัจจัย" ส่วน TRM ชี้ไปที่ระบบเซ็นธุรกรรมของกระเป๋าร้อน ทีมข่าวไม่ทราบว่าสองคำอธิบายนี้ตรงกันหรือไม่ และ Binance ยังไม่ได้เผยแพร่รายงานสาเหตุฉบับเต็ม
- Binance แถลงว่าไม่พบหลักฐานคีย์ส่วนตัวของกระเป๋าใดรั่ว ซึ่งต่างจากคำอธิบายของ TRM เรื่องระบบเซ็นธุรกรรมโดนยึด ทีมข่าวไม่ทราบว่ารายละเอียดทางเทคนิคตรงกันแค่ไหน
- ผู้โจมตีจะเคลื่อนเงินที่เหลือผ่านทางใด และจะอายัดเพิ่มได้เท่าไร
ผู้ใช้ชาวไทยควรรู้อะไร
- Binance TH (Gulf Binance) เป็นนิติบุคคลในไทยที่แยกจาก Binance.com บทวิเคราะห์ของ TRM พูดถึงกระเป๋าของ Binance ไม่ได้เอ่ยถึง Binance TH Binance TH แถลงเมื่อ 07.50 น. ว่าสินทรัพย์ลูกค้ายังปลอดภัย Cold Wallet แยกจาก Binance และระงับฝากถอนสินทรัพย์ดิจิทัลชั่วคราว ทีมข่าวตรวจ ณ ราว 12.20 น. ยังไม่พบแถลงอัปเดตจาก Binance TH
- ติดตามประกาศจากช่องทางทางการ และระวังข้อความแอบอ้างว่าเปิดถอน คืนเงิน หรือชดเชย
ที่ต้องแยกให้ชัด
- การระบุว่าเป็น TraderTraitor เป็นการประเมินของ TRM ด้วยความมั่นใจสูง ไม่ใช่การยืนยันจาก Binance หรือหน่วยงานรัฐ ข้อความของ TRM ที่ทีมข่าวอ่านใช้ชื่อ TraderTraitor ส่วนชื่อ Lazarus Group ที่ปรากฏในโพสต์และสื่อบางแห่งเป็นการเรียกรวมของผู้เผยแพร่เหล่านั้น
- 6.36 พันล้านดอลลาร์เป็นยอดที่ TRM นับจากการโอนออกจากกระเป๋าที่ TRM ระบุว่าเป็นของ Binance ทีมข่าวตรวจเองไม่ได้ และไม่ใช่ยอดขาดทุนสุทธิ เพราะมีการอายัดแล้วราว 2.7 ถึง 3 พันล้านดอลลาร์ตามผู้ระบุแต่ละราย
- "ชดเชยทั้งหมด" และ "เงินผู้ใช้ปลอดภัย" ยังเป็นคำแถลงของ Binance ไม่ใช่ข้อสรุปของ TRM
- การเทียบกับเหตุ Bybit เป็นของ TRM และรูปแบบฟอกเงินต่างจากเหตุนั้น จึงยังสรุปไม่ได้ว่าเงินจะไหลไปทางเดียวกัน
📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
ข่าวต่อเนื่องและข่าวพื้นหลังที่เรารายงานไว้ก่อนหน้านี้
👉 Binance ระบุสกัดการโจมตีที่โยงเกาหลีเหนือ ไม่มีสินทรัพย์เสียหาย
🔗 อ้างอิงต้นฉบับ: TRM Labs, Reuters (ผ่าน Yahoo News), โพสต์ของ Binance บน X (09.25 น.), โพสต์ของ Binance บน X (11.36 น.)
💬 ความเห็นบรรณาธิการ Bitcoinaddict
ข้อที่ตรวจได้ชัดคือ TRM Labs ซึ่งนับออนเชนด้วยวิธีของตัวเองได้ยอดราว 6.36 พันล้านดอลลาร์ ใกล้เคียงกับที่ Binance ประเมินเองราว 6.3 พันล้านดอลลาร์ นับเป็นตัวเลขอิสระชุดแรกที่ทีมข่าวเห็นว่าตรงกับตัวเลขของ Binance ส่วนที่ยังไม่มีหลักฐานคือการยืนยันตัวผู้โจมตีและสาเหตุหลัก ข้อสังเกตของทีมข่าวคือ คำอธิบายของ Binance (คอมพิวเตอร์วิศวกรอาจเป็นจุดเข้า) กับของ TRM (ระบบเซ็นธุรกรรมโดนยึด) อยู่คนละระดับ ไม่จำเป็นต้องขัดกัน แต่ยังไม่มีใครเชื่อมให้เห็น จนกว่าจะมีรายงานสาเหตุของ Binance ผู้ใช้ชาวไทยควรแยกข้อสรุปของผู้วิเคราะห์ภายนอกออกจากข้อเท็จจริงที่ยืนยันแล้ว และดูประกาศของ Binance TH เป็นหลักสำหรับบัญชีของตัวเอง
ข้อควรทราบ: Bitcoin Addict เป็นพันธมิตร (affiliate) ของ Binance TH ซึ่งเป็นนิติบุคคลแยกจาก Binance.com ทีมข่าวเขียนข่าวนี้ด้วยมาตรฐานเดียวกับข่าวอื่น และไม่ได้ยืนยันแทน Binance หรือ TRM
เนื้อหานี้เป็นข้อมูลข่าว ไม่ใช่คำแนะนำการลงทุน
— รายงานโดยทีมข่าว Bitcoinaddict.com