Binance เผยเบื้องหลังถูกแฮก 6 พันล้านดอลลาร์ พบใช้สัมภาษณ์งานปลอม

Binance ระบุว่าแฮกเกอร์ที่อยู่เบื้องหลังการโจรกรรมมูลค่า 6.34 พันล้านดอลลาร์เมื่อสัปดาห์ที่แล้ว สามารถเข้าถึงระบบลงนามวอลเล็ต (wallet signing systems) ได้หลังจากทำแคมเปญต่อเนื่องนานหลายเดือน โดยบุกรุกคอมพิวเตอร์ของวิศวกร 3 ราย ซึ่งหนึ่งในนั้นถูกหลอกผ่านการสัมภาษณ์งานปลอม

กระดานเทรดคริปโตเคอเรนซีรายใหญ่ได้เผยแพร่ รายงานเหตุการณ์ เบื้องต้นเมื่อวันที่ 3 พฤศจิกายนที่ผ่านมา ระบุว่าสินทรัพย์ที่ถูกขโมยไปประมาณ 2.85 พันล้านดอลลาร์ได้รับการอายัดหรือสกัดกั้นไว้ได้เรียบร้อยแล้ว

Binance กล่าวขออภัยต่อเหตุการณ์ที่เกิดขึ้น โดยยอมรับว่าสิ่งนี้ไม่ควรเกิดขึ้น และแสดงความเสียใจต่อความกังวลรวมถึงความไม่แน่นอนที่ส่งผลกระทบต่อผู้ใช้ พันธมิตร และอุตสาหกรรมในวงกว้าง ทั้งนี้ FBI ได้ระบุว่าการโจรกรรมดังกล่าวเป็นฝีมือของ TraderTraitor ซึ่งเป็นกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ

การโจมตีเกิดขึ้นได้อย่างไร

Binance ให้ข้อมูลว่าการบุกรุกเกิดขึ้นเป็นขั้นตอนผ่านกระบวนการสรรหาบุคลากรปลอม การหลอกให้ดาวน์โหลดซอฟต์แวร์อันตราย และการใช้เครื่องมือ AI ภายในองค์กร โดยบริษัทตั้งข้อสังเกตว่านี่ไม่ใช่การบุกรุกเพียงครั้งเดียวหรือเป็นแค่เหตุการณ์ phishing ทั่วไป

เหตุการณ์เริ่มขึ้นในเดือนมิถุนายน เมื่อวิศวกรตำแหน่ง Wallet DevOps ดาวน์โหลดตัวติดตั้ง Homebrew ที่ถูกดัดแปลงในระหว่างค้นหาเครื่องมือเขียนโค้ดที่ใช้ AI ยอดนิยมผ่าน search engine แม้ทีมรักษาความปลอดภัยจะตรวจพบและสั่งเปลี่ยนอุปกรณ์พร้อมรีเซ็ต credential ทันที แต่ผู้โจมตีได้ข้อมูลเชิงลึกเกี่ยวกับโครงสร้างทีมวอลเล็ตไปแล้ว

ต่อมาในเดือนกันยายน วิศวกรรายที่สองได้รับการติดต่อจากผู้ที่อ้างว่าเป็นผู้อำนวยการโครงการเพื่อเชิญเข้าสัมภาษณ์งาน 2 รอบ โดยรอบแรกคุยกับ HR ปลอมที่สร้างสายสัมพันธ์ด้วยการแชร์โซเชียลมีเดียส่วนตัว และรอบที่สองกับผู้ที่อ้างว่าเป็น CEO ของบริษัทที่ไม่มีตัวตนจริง

ในการสัมภาษณ์รอบสองผ่านแอปแชท วิศวกรถูกขอให้ดาวน์โหลด "แบบทดสอบ" เขียนโค้ดลงในคอมพิวเตอร์ที่ใช้ทำงาน ซึ่งภายในซ่อน code repository ที่เป็นอันตรายไว้ เมื่อมีการตั้งค่าระบบ malware จะเข้าแทนที่ส่วนประกอบของเครื่องมือพัฒนาที่ถูกกฎหมายและเปิดช่องทาง (backdoor) ไปยังเซิร์ฟเวอร์ของแฮกเกอร์

Binance ระบุว่า malware แบบ 0-day นี้ไม่ถูกตรวจพบโดยเครื่องมือป้องกันความปลอดภัยที่ endpoint ในขณะนั้น ต่อมาในวันที่ 20 ตุลาคม ผู้โจมตีได้ใช้เครื่องที่ติดเชื้อร่วมกับเครื่องมือ AI ภายใน เพื่อเข้าควบคุมระบบของวิศวกรคนแรกและวิศวกรวอลเล็ตคนที่สาม แม้ในรายงานจะไม่ได้ระบุชัดเจนว่ามีการใช้ AI ในลักษณะใดก็ตาม

คอมพิวเตอร์ของวิศวกรคนแรกมี token ที่อนุญาตให้ทำ container deployments ได้ จนกระทั่งวันที่ 29 ตุลาคม ผู้โจมตีได้ลงชื่อเข้าใช้เครื่องของวิศวกรคนที่สามเพื่อปรับใช้ container ด้วย credential ของวิศวกรคนแรก และเริ่มการโจมตีผ่านสคริปต์อันตราย

ผู้โจมตีใช้ประโยชน์จากการเข้าถึงบริการลงนามวอลเล็ตภายในเพื่อโอนเหรียญ XRP, SOL, OP และ BTC ออกจาก hot wallets นอกจากนี้ยังละเมิดกลไก EIP-7702 ของ Ethereum ทำให้ Smart Contract ของแฮกเกอร์ได้รับสิทธิ์ควบคุมบางส่วนเหนือวอลเล็ต ซึ่งการระงับการถอนปกติไม่สามารถหยุดการเคลื่อนย้ายสินทรัพย์บน chain นี้ได้ เนื่องจาก hot wallet ถูกป้องกันด้วยระบบ multi-party computation (MPC) ทำให้ไม่มีกุญแจดอกเดียวที่ใช้ยกเลิกสิทธิ์ได้ทันที การโอนครั้งสุดท้ายสิ้นสุดลงเมื่อเวลา 23:56 UTC ก่อนที่การมอบสิทธิ์จะถูกเคลียร์ได้สำเร็จหลังเที่ยงคืนเพียงเล็กน้อย

ปัจจุบัน Binance ได้สร้างระบบวอลเล็ตและเครื่องมือ AI ใหม่ทั้งหมด พร้อมเปลี่ยนอุปกรณ์และยกเลิก credential ของพนักงานที่เกี่ยวข้องแล้ว รวมถึงว่าจ้างบริษัทภายนอกมาตรวจสอบเหตุการณ์ และจัดตั้งกองทุนวิจัยเพื่อความปลอดภัยของ AI บนบล็อกเชน โดยในปีนี้บริษัทตรวจพบภัยคุกคามที่เกี่ยวข้องกับเกาหลีเหนือไปแล้วกว่า 57 รายการ

การพัฒนาอื่นๆ

ทางการเกาหลีเหนือได้ออกมาปฏิเสธ การระบุตัวตนของ FBI โดย Kim Yo Jong น้องสาวของผู้นำ Kim Jong Un ระบุผ่านสื่อรัฐบาลว่าข้อกล่าวหาเรื่องแฮกเกอร์ TraderTraitor เป็นการยั่วยุทางการเมืองที่ร้ายแรงและเป็นการบิดเบือนความเห็นของสังคมโลก

[ อ่าน: เกาหลีเหนือยิงขีปนาวุธลงสู่ทะเลเพื่อประท้วงข้อกล่าวหาการแฮก Binance ]

ล่าสุด Binance ดำเนินการตรวจสอบทุนสำรอง (Proof of Reserves) สำหรับ 10 token หลักเสร็จสิ้นแล้ว เพื่อยืนยันว่ามีสินทรัพย์หนุนหลังแบบ 1:1 โดย Richard Teng ซีอีโอร่วมระบุว่า 98% ของสินทรัพย์ที่ได้รับผลกระทบได้รับการ เติมเข้าสู่ระบบ แล้ว และเปิดให้บริการถอนเงินตามปกติเกือบทั้งหมดแล้ว

ในด้านการติดตามเส้นทางการเงิน Elliptic พบว่าเงินที่ถูกขโมยไหลผ่านวอลเล็ตกว่า 12,000 แห่งบน 11 บล็อกเชน แต่ยังไม่พบหลักฐานการใช้ AI ในการตัดสินใจฟอกเงิน ขณะที่ Chainalysis ระบุว่าปัญหาทางเทคนิคของ THORChain ช่วยให้ ชะลอการฟอกเงิน ไว้ได้ชั่วคราว