เบื้องหลังแฮก Binance ตั้งบริษัททิพย์ ปล้นคริปโตฯ จัดฉากสัมภาษณ์งาน ลวงวิศวกรฝังมัลแวร์

Binance แพลตฟอร์มซื้อขายคริปโตเคอร์เรนซีที่ใหญ่ที่สุดในโลก เปิดเผยรายละเอียดเพิ่มเติมเกี่ยวกับเหตุการณ์ถูกโจมตีครั้งประวัติศาสตร์ ซึ่งทำให้บริษัทสูญเสียสินทรัพย์ดิจิทัลมูลค่าสูงถึง 6,300 ล้านดอลลาร์สหรัฐ หรือประมาณ 2 แสนล้านบาท โดยพบว่ากลุ่มผู้โจมตีใช้เวลาหลายเดือนในการวางแผนและเจาะระบบผ่านวิศวกรของบริษัท ก่อนเข้าถึงระบบภายในที่ใช้ลงนามอนุมัติธุรกรรมของกระเป๋าสินทรัพย์ดิจิทัล 

โดย Binance ระบุว่า เหตุการณ์ครั้งนี้ไม่ได้เป็นเพียงการเจาะระบบครั้งเดียว หรือการหลอกลวงแบบ Phishing ทั่วไป แต่เป็นปฏิบัติการที่ซับซ้อนหลายขั้นตอน โดยผสมผสานเทคนิค Social Engineering ผ่านการสัมภาษณ์งานปลอม การดาวน์โหลดซอฟต์แวร์อันตราย การเจาะเครื่องมือ AI ภายในองค์กร การเข้าควบคุมอุปกรณ์พนักงาน และวิธีการอนุมัติธุรกรรมขั้นสูงจนนำไปสู่การโจรกรรมคริปโตมูลค่าหลายพันล้านดอลลาร์

อ่านเพิ่มเติม Binance ถูกแฮกครั้งประวัติศาสตร์ อาจเสียหายทะลุ 2 แสนล้านบาท Binance TH ยันเงินลูกค้าปลอดภัย

มิถุนายน 2026 หลอกดาวน์โหลดเครื่องมือ AI ฝังมัลแวร์ผ่าน Homebrew

จุดเริ่มต้นของการโจมตีเกิดขึ้นตั้งแต่เดือนมิถุนายน 2026 เมื่อวิศวกรทีม Wallet DevOps ของ Binance ซึ่งรายงานเรียกว่า Engineer A ค้นหาเครื่องมือ AI ที่ได้รับความนิยมผ่าน Search Engine เพื่อดาวน์โหลดมาใช้งาน โดยวิศวกรรายดังกล่าวกลับดาวน์โหลดตัวติดตั้ง Homebrew ที่ถูกดัดแปลงให้มีมัลแวร์แฝงอยู่ หรือ Trojanized Homebrew Installer โดยไม่รู้ตัว

Homebrew เป็นเครื่องมือจัดการและติดตั้งซอฟต์แวร์ที่ได้รับความนิยมในหมู่นักพัฒนา โดยเฉพาะบนระบบ macOS ซึ่งการโจมตีผ่านตัวติดตั้งที่ถูกปลอมแปลงในลักษณะนี้ถือเป็นหนึ่งในรูปแบบการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply Chain Attack)

แม้ Binance จะตรวจพบการโจมตีและเปลี่ยนข้อมูลรับรองที่เกี่ยวข้องทั้งหมดเพื่อป้องกันความเสี่ยง แต่ข้อมูลเกี่ยวกับหน้าที่ของ Engineer A รวมถึงเพื่อนร่วมงานที่เกี่ยวข้องกับโครงสร้างพื้นฐานกระเป๋าสินทรัพย์ดิจิทัลได้รั่วไหลไปถึงกลุ่มแฮกเกอร์แล้ว ข้อมูลดังกล่าวทำให้ผู้โจมตีสามารถระบุเป้าหมายบุคลากรที่มีบทบาทสำคัญต่อระบบกระเป๋าคริปโตของ Binance ได้แม่นยำมากขึ้น

กันยายน 2026 สร้างบริษัทปลอม หลอกสัมภาษณ์งานวิศวกร

ขั้นตอนที่สองเกิดขึ้นในเดือนกันยายน 2026 เมื่อกลุ่มแฮกเกอร์พุ่งเป้าไปยังวิศวกรอีกคน ซึ่งรายงานเรียกว่า Engineer B โดยผู้โจมตีติดต่อวิศวกรรายดังกล่าวผ่านแพลตฟอร์มหางานที่ถูกต้องตามกฎหมาย อ้างอิงจาก Fortune รายงานแพลตฟอร์มดังกล่าวคือ LinkedIn 

โดยแอบอ้างเป็น Project Director ของบริษัทแห่งหนึ่ง ก่อนนัดหมายการสัมภาษณ์งานรอบแรกกับบุคคลที่อ้างว่าเป็นเจ้าหน้าที่ฝ่ายทรัพยากรบุคคล หรือ HR

ระหว่างการสัมภาษณ์ผ่านวิดีโอ เจ้าหน้าที่ HR ปลอมได้แชร์บัญชีโซเชียลมีเดียที่มีทั้งภาพถ่ายและวิดีโอส่วนตัว เพื่อสร้างความน่าเชื่อถือและทำให้วิศวกรเชื่อว่ากำลังติดต่อกับบริษัทที่มีอยู่จริง 

จากนั้นจึงนัดสัมภาษณ์รอบที่สองผ่านแอปพลิเคชันแชตยอดนิยม กับบุคคลที่อ้างตัวว่าเป็นซีอีโอของบริษัท ซึ่งภายหลังพบว่าบริษัทดังกล่าวไม่มีอยู่จริง

ในช่วงท้ายของการสัมภาษณ์รอบที่สอง Engineer B ได้รับคำสั่งให้ดาวน์โหลด Assignment หรือแบบทดสอบการเขียนโปรแกรมลงบนคอมพิวเตอร์ที่ใช้ทำงาน แต่ภายในแบบทดสอบกลับมีชุดโค้ดอันตรายซ่อนอยู่ ซึ่งถูกออกแบบให้ทำงานระหว่างขั้นตอนติดตั้งและตั้งค่าซอฟต์แวร์

มัลแวร์ดังกล่าวใช้เทคนิค Obfuscation และ Evasion เพื่อซ่อนพฤติกรรมอันตรายและหลบเลี่ยงการตรวจจับ โดยหนึ่งในวิธีการคือการแทนที่ส่วนประกอบของเครื่องมือพัฒนาซอฟต์แวร์ที่ถูกต้องด้วยเวอร์ชันที่ถูกฝังโค้ดอันตราย

วิธีนี้ทำให้แฮกเกอร์สามารถสั่งรันคำสั่งบนคอมพิวเตอร์ และสร้างการเชื่อมต่อไปยังเซิร์ฟเวอร์ภายนอกที่อยู่ภายใต้การควบคุมของผู้โจมตี โดยกลุ่มแฮกเกอร์ยังพยายามลบร่องรอยหลักฐานทางดิจิทัลที่เกี่ยวข้องกับการบุกรุกเพื่อทำให้การตรวจสอบย้อนหลังทำได้ยากขึ้น

20 ตุลาคม 2026 ใช้เครื่องมือ AI ภายในองค์กร ขยายการโจมตี

หลังจากเข้าควบคุมคอมพิวเตอร์ของ Engineer B ได้แล้ว กลุ่มแฮกเกอร์ได้ยกระดับการโจมตีอีกครั้งในวันที่ 20 ตุลาคม 2026

โดยอาศัยคอมพิวเตอร์ที่ถูกเจาะระบบของ Engineer B ร่วมกับการใช้เครื่องมือ AI ภายในองค์กรของ Binance ที่ถูกโจมตีเพื่อเข้าควบคุมคอมพิวเตอร์ของวิศวกรอีก 2 ราย ได้แก่ Engineer A ซึ่งทำงานในทีม Wallet DevOps และ Engineer C ซึ่งเป็นวิศวกรซอฟต์แวร์ที่เกี่ยวข้องกับระบบกระเป๋าคริปโต อย่างไรก็ตามบริษัทยังไม่ได้เปิดเผยรายละเอียดเชิงเทคนิคว่า เครื่องมือ AI ภายในองค์กรถูกเจาะระบบด้วยวิธีใดหรือผู้โจมตีใช้ความสามารถของ AI เพื่อเข้าถึงและควบคุมอุปกรณ์เหล่านั้นอย่างไร

โดยระหว่างการโจมตี แฮกเกอร์ค้นพบว่า คอมพิวเตอร์ของ Engineer A มี Container Deployment Permission Token หรือโทเคนที่ให้สิทธิ์ในการนำซอฟต์แวร์ขึ้นติดตั้งและใช้งานในระบบ Container ขององค์กร ซึ่งโทเคนดังกล่าวกลายเป็นข้อมูลสำคัญที่ทำให้ผู้โจมตีสามารถนำสิทธิ์ของวิศวกรมาใช้ดำเนินการกับระบบภายในได้

29 ตุลาคม 2026 ใช้สิทธิ์วิศวกรเข้าถึงระบบลงนามธุรกรรม

รายงานระบุว่า ในวันที่ 29 ตุลาคม 2026 ระหว่างเวลา 17.15-19.56 น. ตามเวลาที่ระบุในรายงาน กลุ่มแฮกเกอร์ได้เข้าสู่คอมพิวเตอร์ของ Engineer C

จากนั้นนำข้อมูลรับรองที่ขโมยมาจาก Engineer A มาใช้ติดตั้ง Container และสั่งรันสคริปต์อันตรายเพื่อเริ่มการโจมตีระบบกระเป๋าสินทรัพย์ดิจิทัลของ Binance

โดยจุดสำคัญที่สุดของการโจมตีครั้งนี้ คือ แฮกเกอร์สามารถเข้าถึงบริการ Wallet Signing Service ภายในองค์กรโดยไม่ได้รับอนุญาต ซึ่งบริการดังกล่าวมีหน้าที่เกี่ยวข้องกับการลงนามรับรองธุรกรรมสินทรัพย์ดิจิทัล ซึ่งเป็นส่วนสำคัญในการอนุมัติการเคลื่อนย้ายคริปโตออกจากกระเป๋า

การเข้าถึงระบบดังกล่าวทำให้ผู้โจมตีสามารถเริ่มต้นธุรกรรมโดยไม่ผ่านกระบวนการถอนเงินตามปกติของแพลตฟอร์มจนนำไปสู่การขโมยสินทรัพย์ดิจิทัลมูลค่าราว 6,300 ล้านดอลลาร์สหรัฐ

ผลกระทบจากการโจมตีทำให้ Binance ต้องระงับบริการถอนสินทรัพย์ดิจิทัลสำหรับลูกค้าทั่วโลกชั่วคราวเมื่อวันที่ 29 ตุลาคม ส่งผลให้ผู้ใช้งานไม่สามารถถอนคริปโตออกจากแพลตฟอร์มได้ ซึ่งภายหลังบริษัทได้จัดเตรียมเงินทุนสำหรับชดเชยความเสียหายไว้มากกว่า 100% ของมูลค่าสินทรัพย์ที่ถูกขโมย โดยสามารถเติมสินทรัพย์ที่ได้รับผลกระทบกลับเข้าสู่ระบบได้แล้วประมาณ 98% ณ วันเสาร์ที่ 31 ตุลาคม และกลับมาเปิดให้บริการอีกครั้งในวันอาทิตย์ที่ 1 พฤศจิกายนที่ผ่านมา

Binance ปิดช่องโหว่ สร้างระบบ Wallet และ AI ภายในใหม่

หลังเกิดเหตุ Binance ระบุว่าได้ดำเนินมาตรการฟื้นฟูและยกระดับความปลอดภัยของระบบที่ได้รับผลกระทบ โดยเฉพาะการสร้างระบบกระเป๋าสินทรัพย์ดิจิทัลขึ้นใหม่ในสภาพแวดล้อมที่แยกออกจากระบบเดิม รวมถึงสร้างเครื่องมือ AI ภายในองค์กรและระบบควบคุมสิทธิ์การเข้าถึงขึ้นใหม่

มาตรการเพิ่มเติม ณ วันที่ 3 พฤศจิกายน ประกอบด้วย

• เปลี่ยนอุปกรณ์ของพนักงานที่ได้รับผลกระทบจากการโจมตี
• ยกเลิกข้อมูลรับรองและโทเคนที่เกี่ยวข้องกับวิศวกรที่ถูกเจาะระบบ
• ตรวจสอบความปลอดภัยของอุปกรณ์พนักงานทั้งหมดอย่างเข้มงวด
• เพิ่มประสิทธิภาพระบบ AI สำหรับตรวจจับพฤติกรรมผิดปกติ
• ยกระดับมาตรการควบคุมความเสี่ยงของบริการกระเป๋าสินทรัพย์ดิจิทัล
• ประสานงานกับหน่วยงานบังคับใช้กฎหมาย บริษัทวิเคราะห์ข้อมูลบล็อกเชน และพันธมิตรในอุตสาหกรรม เพื่อติดตามและอายัดสินทรัพย์ที่ถูกขโมย

โดย Binance ยืนยันว่าได้ปิดช่องทางที่ผู้โจมตีใช้เข้าสู่ระบบแล้ว และระบบที่เกี่ยวข้องกับเส้นทางการโจมตีได้รับการสร้างใหม่หรือเปลี่ยนทดแทน พร้อมเพิ่มความเข้มงวดในการควบคุมอุปกรณ์และสิทธิ์การเข้าถึงระบบภายใน

FBI ชี้เกาหลีเหนืออยู่เบื้องหลัง

หน่วยงานบังคับใช้กฎหมายของสหรัฐฯ ทั้งสำนักงานสอบสวนกลาง (FBI) และ US Secret Service ได้เข้ามาช่วย Binance ติดตามเส้นทางการเคลื่อนย้ายสินทรัพย์ดิจิทัลที่ถูกขโมยออกจากกระเป๋าของแพลตฟอร์ม

หน่วยงานดังกล่าว รวมถึงนักวิเคราะห์ด้านความปลอดภัยไซเบอร์หลายแห่ง ระบุว่า รูปแบบการโจมตีครั้งนี้มีลักษณะสอดคล้องกับปฏิบัติการของกลุ่มแฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งเคยถูกกล่าวหาว่าอยู่เบื้องหลังการโจรกรรมสินทรัพย์ดิจิทัลครั้งใหญ่มาแล้วหลายครั้ง

หนึ่งในกลุ่มที่เป็นที่รู้จักคือ TraderTraitor หรือที่มีความเชื่อมโยงกับชื่อ Lazarus Group ซึ่งเคยถูกกล่าวหาว่าอยู่เบื้องหลังการโจมตีแพลตฟอร์ม Bybit ในปี 2025 และขโมยสินทรัพย์ดิจิทัลมูลค่าประมาณ 1,500 ล้านดอลลาร์สหรัฐ ซึ่งในเวลานั้นถือเป็นการโจรกรรมคริปโตครั้งใหญ่ที่สุดในประวัติศาสตร์

สำหรับเหตุการณ์ Binance ล่าสุด บริษัทระบุผ่าน X ว่า ข้อมูลล่าสุดที่ได้รับจาก FBI ชี้ว่า สาธารณรัฐประชาธิปไตยประชาชนเกาหลีหรือเกาหลีเหนือเป็นผู้รับผิดชอบต่อเหตุการณ์ดังกล่าว

อย่างไรก็ตามรัฐบาลเกาหลีเหนือได้ออกมาปฏิเสธข้อกล่าวหา โดย Kim Yo Jong เจ้าหน้าที่ระดับสูงของเกาหลีเหนือ และน้องสาวของ Kim Jong Un ผู้นำประเทศ ระบุว่า ข้อกล่าวหาดังกล่าวเป็นอีกหนึ่งความพยายามที่มีเจตนาร้ายของสหรัฐฯ ในการทำลายภาพลักษณ์ของเกาหลีเหนือ

บทเรียน Binance ถูกแฮก 

สิ่งที่ทำให้เหตุการณ์นี้น่าสนใจ คือ แฮกเกอร์ไม่ได้เริ่มต้นด้วยการโจมตีระบบกระเป๋าสินทรัพย์ดิจิทัลโดยตรง แต่ใช้เวลาหลายเดือนค่อย ๆ เข้าถึงข้อมูลและอุปกรณ์ของบุคลากรที่เกี่ยวข้องกับระบบสำคัญ

ตั้งแต่การปลอมตัวติดตั้งเครื่องมือ AI การสร้างบริษัทปลอมเพื่อสัมภาษณ์งาน การฝังมัลแวร์ในแบบทดสอบเขียนโปรแกรม ไปจนถึงการใช้เครื่องมือ AI ภายในองค์กรที่ถูกเจาะระบบ เพื่อขยายการควบคุมไปยังวิศวกรรายอื่น

ท้ายที่สุดผู้โจมตีสามารถขโมยข้อมูลรับรองและโทเคนที่มีสิทธิ์ติดตั้งซอฟต์แวร์ในระบบ ก่อนเข้าถึงบริการลงนามธุรกรรมของกระเป๋าคริปโต ซึ่งเป็นจุดสำคัญที่ทำให้สามารถเคลื่อนย้ายสินทรัพย์ออกจากระบบได้โดยไม่ผ่านกระบวนการถอนเงินปกติ

ประเด็นนี้สะท้อนความเสี่ยงที่เพิ่มขึ้นของการใช้ AI ภายในองค์กร โดยเฉพาะเมื่อเครื่องมือดังกล่าวเชื่อมต่อกับข้อมูล ระบบพัฒนาซอฟต์แวร์ หรืออุปกรณ์ของพนักงานที่มีสิทธิ์เข้าถึงโครงสร้างพื้นฐานสำคัญ รวมถึงความเปราะบางของการจัดการระบบจัดการสิทธิ์เข้าถึงโครงสร้างพื้นฐานสำคัญ เมื่อผู้โจมตีสามารถใช้ความเชื่อใจของพนักงานเป็นจุดเริ่มต้น และค่อย ๆ ขยายการเข้าถึงจนถึงระบบที่ควบคุมสินทรัพย์มูลค่าหลายพันล้านดอลลาร์

เหตุการณ์ครั้งนี้จึงสะท้อนความท้าทายของอุตสาหกรรมเทคโนโลยีและการเงินดิจิทัลในยุค AI ที่เครื่องมือเดียวกันสามารถถูกนำไปใช้ได้ทั้งเพื่อเพิ่มประสิทธิภาพการทำงาน และกลายเป็นช่องทางให้ผู้ไม่หวังดีเข้าถึงระบบสำคัญขององค์กรจนนำไปสู่การโจรกรรมสินทรัพย์ดิจิทัลมูลค่าสูงที่สุดในประวัติศาสตร์

ที่มาข้อมูล Fortune , Bloomberg , The Hacker News

อ่านข่าวหุ้น และการลงทุน กับ Thairath Money เพื่อให้คุณ "การเงินดีชีวิตดี" ได้ที่ https://www.thairath.co.th/money/investment 

ติดตามเพจ Facebook : Thairath Money ได้ที่ลิงก์นี้  https://www.facebook.com/ThairathMoney