FBI เผยวอลเล็ตกว่า 600 แห่ง เชื่อมโยงแฮกเกอร์เกาหลีเหนือปล้น Binance

FBI กล่าวหาอย่างเป็นทางการว่ากลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ คือผู้อยู่เบื้องหลังการโจรกรรมคริปโตเคอร์เรนซีครั้งประวัติศาสตร์จาก Binance พร้อมขอความร่วมมือจากภาคอุตสาหกรรมช่วยสกัดกั้นการฟอกเงินที่ถูกขโมยไป

การโจมตี เกิดขึ้นเมื่อวันที่ 29 ตุลาคม โดยแฮกเกอร์สามารถถอนเงินออกจาก hot wallets ของ Binance ในหลายบล็อกเชน และเคลื่อนย้ายเงินส่วนใหญ่ออกไปได้ภายในเวลาเพียง 20 นาที ซึ่งทาง Binance ประเมินความเสียหายไว้สูงถึง 6.3 พันล้านดอลลาร์ นับเป็นการโจรกรรมคริปโตครั้งใหญ่ที่สุดเท่าที่เคยมีบันทึกไว้

เพียงไม่กี่ชั่วโมงหลังเกิดเหตุ บริษัทวิเคราะห์บล็อกเชนอย่าง TRM Labs และ Chainalysis ได้เชื่อมโยงเหตุการณ์นี้กับกลุ่ม TraderTraitor ของเกาหลีเหนือทันที ในเบื้องต้น Binance ระบุว่าการบุกรุกอาจเริ่มจากแล็ปท็อปของวิศวกร DevOps ที่ถูกเจาะระบบ พร้อมให้คำมั่นว่าจะรับผิดชอบความเสียหายทั้งหมดที่เกิดขึ้น

ต่อมาเมื่อวันที่ 31 ตุลาคม FBI ได้เปิดเผย การระบุตัวตนผู้กระทำผิด โดยระบุว่าพบกลุ่ม TraderTraitor แปลงสินทรัพย์ที่ขโมยมาเป็น Ethereum (ETH) เป็นหลัก และคาดว่าจะมีการฟอกเงินผ่านบริการ DeFi และบริการแลกเปลี่ยนทันที (instant swap) ในลำดับถัดไป

ในการแจ้งเตือนครั้งนี้มีการระบุชื่อที่อยู่กระเป๋าเงิน Ethereum จำนวน 608 แห่ง, Bitcoin 19 แห่ง และ Solana 1 แห่ง ซึ่งเป็นที่พักเงินจากการโจรกรรม FBI ร่วมกับ Secret Service และ IRS-CI จึงขอให้ผู้ให้บริการ node ของ THORChain, ตลาดแลกเปลี่ยน และบริษัทวิเคราะห์บล็อกเชน ปฏิเสธการทำธุรกรรมที่เชื่อมโยงกับที่อยู่เหล่านี้

ก่อนหน้านี้ FBI เคยกล่าวหาว่ากลุ่มเดียวกันนี้อยู่เบื้องหลัง การแฮ็ก Bybit มูลค่า 1.5 พันล้านดอลลาร์ เมื่อเดือนกุมภาพันธ์ 2025 ที่ผ่านมา

Binance ระบุว่าการโจมตีไปไกลกว่าแล็ปท็อปเครื่องเดียว

Richard Teng ซีอีโอร่วมของ Binance เผยแพร่ แถลงการณ์ ว่าการตรวจสอบในภายหลังพบจุดที่ถูกบุกรุกเพิ่มเติมมากกว่าแค่แล็ปท็อปเครื่องเดียว โดยชี้ว่าเป็นกระบวนการที่ซับซ้อนและไม่ได้ทำโดยบุคคลเพียงคนเดียว ผู้โจมตียังติดตั้งกลไกทำลายตัวเอง (self-destruct mechanism) เพื่อลบเครื่องมือและหลักฐานทิ้ง ทำให้การสืบสวนทำได้ยากขึ้น

Teng ระบุเพิ่มเติมว่าผู้โจมตีใช้ฟีเจอร์ delegation EIP-7702 ของ Ethereum ซึ่งหลบเลี่ยงการควบคุมตามปกติของระบบไปได้ ทั้งนี้ Binance สัญญาว่าจะจัดทำรายงานสรุปทางเทคนิค (post-mortem) หลังจากตรวจสอบข้อเท็จจริงทั้งหมดเสร็จสิ้น

ปัจจุบัน Binance เริ่มทยอยเปิดให้ถอนเงินได้ตามปกติในบางเครือข่ายตั้งแต่วันที่ 1 พฤศจิกายน โดยบริษัทระบุว่าประมาณ 95% ของเงินที่ถูกขโมยไปได้รับการชดเชยโดยใช้เงินของบริษัทเองแล้ว เพื่อรักษาความมุ่งมั่นที่จะไม่ให้ผู้ใช้ต้องแบกรับผลกระทบทางการเงินจากเหตุการณ์นี้

การฟอกเงินดูเหมือนจะเป็นระบบอัตโนมัติ

Elliptic บริษัทวิเคราะห์บล็อกเชน ระบุว่ามูลค่าการโจรกรรมอยู่ที่ 6.43 พันล้านดอลลาร์ ครอบคลุม 11 บล็อกเชน โดยพบว่าผู้โจมตียังควบคุมสินทรัพย์อีกประมาณ 3.25 พันล้านดอลลาร์ที่ไม่มีผู้ออกเหรียญรายใดสามารถสั่งอายัดได้ กระจายอยู่ในที่อยู่มากกว่า 800 แห่ง

ข้อสังเกตที่น่าสนใจคือการฟอกเงินครั้งนี้ดูเหมือนจะทำผ่านระบบอัตโนมัติที่ "ไม่รู้จักหลับนอน" ต่างจากกรณี Bybit ที่ทำโดยมนุษย์ โดยพบการโอนเงินออกจากวอลเล็ตหลักบน Tron ทุกชั่วโมงตลอด 24 ชั่วโมง และมีการเปลี่ยนเส้นทางเงินไปยังวอลเล็ตใหม่ทันทีเมื่อพบว่า bridge ข้ามเครือข่ายปฏิเสธการฝากเงิน

Chainalysis ยังพบ รูปแบบการฟอกเงินที่บ่งชี้ถึงการใช้ระบบอัตโนมัติ เช่น การทำธุรกรรมหลายพันรายการในช่วงเวลาสั้นๆ แม้ข้อมูลจะไม่สามารถระบุได้ชัดเจนว่าเป็น AI agents หรือสคริปต์ทั่วไป แต่คาดว่ากระบวนการฟอกเงินทั้งหมดอาจต้องใช้เวลานานหลายเดือน