แฮ็ก Binance โดยเกาหลีเหนือ 6.3 พันล้านดอลลาร์สหรัฐฯ พลิกผันด้วยเหรียญมีม

เหรียญมีมทำให้การติดตามร่องรอยการแฮ็ก Binance ซับซ้อนขึ้น

ผู้ฟอกเงินจากเกาหลีเหนือใช้เหรียญมีมและโทเคนที่ไม่เป็นที่รู้จักบน Tron, Solana และ Near ตามที่ Tom Robinson ผู้ร่วมก่อตั้งและนักวิทยาศาสตร์หลักของ Elliptic ได้อธิบายเมื่อวันที่ 9 พฤศจิกายน Tron และ Near ใช้เหรียญที่เพิ่งสร้างขึ้นใหม่ ส่วน Solana อาศัยสินทรัพย์ที่มีอยู่เดิม

Robinson เขียนว่า:

"คนส่วนใหญ่คิดว่าโทเคนมีมเป็นเหรียญล้อเล่นที่ราคาขึ้นลงตามกระแสความนิยม แต่ผู้ฟอกเงินจากเกาหลีเหนือได้ค้นพบวิธีใช้ที่แตกต่างออกไป โดยสร้างโทเคนที่ไม่มีใครอยากซื้อ และใช้มันเพื่อปกปิดการเคลื่อนย้ายของเงินที่ถูกขโมย"

บน Near กลุ่มหนึ่งได้ซื้อเหรียญใหม่ด้วยสกุลเงินดิจิทัลที่ถูกขโมยผ่านพูลสภาพคล่องของโทเคน ส่วนกระเป๋าเงินอื่น ๆ ได้ขายเหรียญเข้าสู่พูลเดียวกันและรับเงินคืนที่เกือบเท่ากัน โดยแยกที่อยู่ผู้ส่งและผู้รับออกจากกัน

โทเคน 6 ตัวที่สร้างขึ้นระหว่างวันที่ 5 ถึง 7 พฤศจิกายน ได้จัดการธุรกรรมประมาณ 117,000 NEAR (430,000 ดอลลาร์) โดยแทบไม่มีการซื้อขายจากภายนอกเลย การเปิดตัวแต่ละครั้งมีค่าใช้จ่ายประมาณ 90 ดอลลาร์ ผู้สร้าง 5 คนได้รับเงินทุนจากการขายโทเคนครั้งก่อนไม่นานก่อนที่จะเปิดตัวโทเคนทดแทน

สำนักงานสอบสวนกลาง (FBI) ได้ระบุว่าเหตุการณ์การโจรกรรมบน Binance เมื่อเดือนที่แล้วเป็นฝีมือของเกาหลีเหนือเมื่อวันที่ 31 ตุลาคม โดยระบุว่าการปฏิบัติการดังกล่าวคือ Tradertraitor ซึ่งเป็นกลุ่มที่ได้รับการสนับสนุนจากรัฐเกาหลีเหนือที่มุ่งเป้าโจมตีธุรกิจสกุลเงินดิจิทัล

อย่างไรก็ตาม เกาหลีเหนือได้ปฏิเสธความรับผิดชอบต่อการแฮ็กดังกล่าวเมื่อวันที่ 3 พฤศจิกายน คิม โย-จอง น้องสาวของผู้นำเกาหลีเหนือ คิม จอง อึน ได้เรียกข้อกล่าวหาของ FBI ว่าเป็น "การยั่วยุทางการเมืองอย่างร้ายแรง" ที่มีเจตนาทำลายชื่อเสียงของประเทศ

การโจรกรรม Binance ก่อให้เกิดการแข่งขันเพื่อป้องกันการอายัด

Chainalysis พบว่าสินทรัพย์ที่ถูกขโมยจากการโจมตี Binance เมื่อวันที่ 29 ตุลาคม ได้ถูกผสมกับเงินที่ได้จากการโจมตี Bitget ในเดือนกันยายน บริษัทดังกล่าวอ้างถึงการทับซ้อนนี้ในการระบุว่าการโจมตี Binance เป็นฝีมือของ Tradertraitor การประเมินนี้อิงจากกิจกรรมบนบล็อกเชนที่สังเกตเห็นในช่วงหลายชั่วโมงหลังการโจมตี

ผู้โจมตีพยายามหลีกเลี่ยงการอายัดสินทรัพย์ผ่านการแปลงเป็นสเทเบิลคอยน์อย่างรวดเร็ว โดยแลกเปลี่ยนเงินจำนวน 325 ล้านดอลลาร์เป็นอีเทอร์ประมาณ 285 ล้านดอลลาร์ภายในเวลาเกือบ 20 นาที อีเทอร์ไม่มีระบบอายัดที่ควบคุมโดยผู้ออกเหรียญ ซึ่งสเทเบิลคอยน์มีอยู่

Elliptic ได้ระบุถึงโทเค็น Tron ที่ไม่มีมูลค่า ซึ่งถูกสร้างขึ้นเพื่อวัตถุประสงค์ในการฟอกเงินเท่านั้น เมื่อวันที่ 2 พฤศจิกายน และโทเค็น Solana ที่ถูกขโมยได้ถูกโอนผ่านโทเค็นที่มีปริมาณการซื้อขายต่ำในวันถัดไป Elliptic เคยติดตามเงินอย่างน้อย $24 million ผ่านแผนการคล้ายกันหลังเหตุการณ์การโจรกรรม Bybit ปี 2025 มาก่อนแล้ว

ในการอธิบายวิธีการแบบหลายชั้น Robinson กล่าวว่า:

"ผู้ฟอกเงินของเกาหลีเหนือมักไม่พึ่งพาเทคนิคเดียว แต่จะจัดเรียงเทคนิคราคาถูกหลายชั้น โดยแต่ละชั้นจะเพิ่มความล่าช้าเล็กน้อย โทเค็นมีมที่สร้างขึ้นเองเป็นเพียงชั้นเพิ่มเติมอีกชั้นหนึ่งเท่านั้น"

กระเป๋าเงินนับพันนำไปสู่บิตคอยน์

จนถึงวันที่ 2 พฤศจิกายน สินทรัพย์ที่ถูกขโมยได้ผ่านกระเป๋าเงินประมาณ 12,000 ใบ บนบล็อกเชน 11 ตัว การตั้งเวลาที่คงที่และการลองทำซ้ำแบบสุ่มของกระบวนการที่ล้มเหลวโดยไม่มีการปรับเปลี่ยน ชี้ให้เห็นถึงระบบอัตโนมัติแบบดั้งเดิม Elliptic ไม่พบหลักฐานใดที่บ่งชี้ถึงการตัดสินใจที่ควบคุมโดย AI

การอัปเดตเมื่อวันที่ 7 พฤศจิกายน นับได้มากกว่า 20,000 กระเป๋าเงิน 16 บล็อกเชน และธุรกรรมอย่างน้อย 65,000 ครั้ง Elliptic ติดตามการแปลงสินทรัพย์จากโซลานา (Solana), XRP และทรอน (Tron) เป็นบิตคอยน์ประมาณ 2,300 เหรียญ ซึ่งมีมูลค่า 175 ล้านดอลลาร์ ณ ขณะนั้น

ยอดเงินที่แปลงแล้วเพิ่มขึ้นเป็นประมาณ 3,000 บิตคอยน์ มูลค่า 225 ล้านดอลลาร์ ณ วันที่ 9 พฤศจิกายน Elliptic ยังติดตามได้ประมาณ 7,000 อีเทอร์ (มูลค่าประมาณ 15 ล้านดอลลาร์) ที่ถูกส่งเข้า Tornado Cash ซึ่งเป็นบริการผสมเงินที่อนุญาตให้ถอนเงินฝากรวมไปยังที่อยู่ต่าง ๆ ได้ บริษัทคาดการณ์ว่า มีเพียงจำนวนที่น้อยมากเท่านั้นที่ถูกถอนออกมาเป็นเงินสดแล้ว

เกี่ยวกับความเสี่ยงจากการใช้พูลการซื้อขาย นักวิทยาศาสตร์หลักของ Elliptic ได้เตือนว่า:

"กระเป๋าเงินที่ได้รับเงินจากพูลสภาพคล่องไม่ควรถูกถือว่าสะอาดโดยอัตโนมัติ เนื่องจากมันอาจอยู่ห่างจากเงินที่ถูกขโมยเพียงสองขั้นตอนการแลกเปลี่ยนเท่านั้น"