TRM Labs- ZachXBT ชี้กลุ่ม Lazarus เกาหลีเหนืออยู่เบื้องหลังแฮ็ก Binance

ผู้สืบสวนชี้ไปยังเปียงยาง

การตามล่าผู้โจมตี Binance มีผู้ต้องสงสัยหลักแล้ว โดยบริษัทวิเคราะห์บล็อกเชน TRM Labs ระบุว่า การโจมตีครั้งนี้เป็นฝีมือของ Tradertraitor (ส่วนหนึ่งของระบบนิเวศ Lazarus) ซึ่งบริษัทนี้เรียกว่าเป็นหน่วยแฮ็กเกอร์ระดับสูงของเกาหลีเหนือ บริษัทดังกล่าวได้ข้อสรุปนี้ด้วยความมั่นใจสูง โดยอ้างอิงจากข้อมูลทั้งบนเชนและนอกเชน โดยประเมินมูลค่าทรัพย์สินที่ถูกขโมยไว้ที่ประมาณ $6.36 พันล้าน ณ เวลาที่แต่ละสินทรัพย์ถูกขโมยไป.

นักสืบอิสระ ZachXBT ได้ข้อสรุปที่คล้ายกันเมื่อหลายชั่วโมงก่อน และเมื่อถูกถามว่าใครอยู่เบื้องหลังการถอนเงินนี้ เขาตอบว่า:

"น่าจะเป็นกลุ่ม Lazarus (DPRK)"

อย่างไรก็ตาม โพสต์ดังกล่าวไม่ได้ยืนยันความรับผิดชอบโดยอัตโนมัติ และยังไม่มีการรัฐบาลใดที่ระบุชื่อผู้กระทำผิดอย่างเป็นทางการแล้ว

Ari Redbord หัวหน้าฝ่ายนโยบายระดับโลกของ TRM กล่าวกับ Al Jazeera ว่าการโจมตีครั้งนี้เป็นเหตุการณ์ที่ไม่เคยเกิดขึ้นมาก่อน และจะถูกมองว่าเป็นจุดเปลี่ยนสำคัญในประวัติศาสตร์ของคริปโต โดยเสริมว่า:

"เมื่อเกาหลีเหนือทำการขโมยในขนาดนี้ เงินดังกล่าวจะถูกนำไปใช้สนับสนุนการแพร่กระจายอาวุธและกิจกรรมอื่น ๆ ที่ก่อให้เกิดความไม่เสถียร"

แผนการโจมตีที่รู้จักกันดี แต่มีขนาดใหญ่ขึ้นถึงสี่เท่า

ทีม TRM เชื่อว่าวิธีการดำเนินการและรูปแบบลายเซ็นตรงกับคดีการโจรกรรม Bybit เมื่อต้นปีที่แล้ว ซึ่ง FBI ได้ระบุว่ากลุ่มเดียวกันเป็นผู้ก่อเหตุ รวมถึงคดีแฮ็ก Kelpdao ในเดือนเมษายน 2026 บริษัทวิเคราะห์บล็อกเชน Chainalysis ประเมินแยกต่างหากว่าเงินที่ถูกขโมยไปประมาณ 5.912 พันล้านดอลลาร์ ซึ่งเกือบสี่เท่าของขนาดการโจรกรรม Bybit

การเตรียมการดำเนินการอย่างเป็นระบบ โดยนักวิจัยบนเชน 0xQuit พบว่า relayer ของผู้โจมตีได้รับเงินจากสามการถอนเงินจาก Tornade Cash ครั้งละ 0.1 ETH ในช่วงสองวันก่อนหน้านั้น พร้อมด้วยสัญญาผู้แทนที่ถูกปรับใช้เมื่อเวลา 15:59 UTC นักวิเคราะห์อีกคนระบุว่า ผู้โจมตีได้ซ้อมการถอนเงินล่วงหน้า 6 ชั่วโมงบนกระเป๋าเงินใหม่ 3 ใบ โดยถอนเงินทดสอบในจำนวนเล็กน้อยของโทเคนหลายชนิด

การโจมตีจริงเกิดขึ้นเมื่อเวลา 20:24 UTC เมื่อมี ETH จำนวน 167,464 ถูกโอนออกจากกระเป๋าเงินร้อน Binance 14 Bitcoin.com News ได้รายงานเมื่อวานนี้ว่ากลวิธีมอบหมายกระเป๋าเงินทำงานอย่างไร รวมถึงผลการสอบสวนเบื้องต้นของ Binance ที่ชี้ว่าแล็ปท็อปของวิศวกร DevOps ถูกแฮ็ก

โซเชียลมีเดียได้เพิ่มสีสันด้วยการล้อเลียนเหตุการณ์ทั้งหมด โดยผู้แสดงความคิดเห็นคนหนึ่งอ้างว่าผู้โจมตีได้เปิดตัวเหรียญมีม "LAZARUS" บน Pump.fun Bitcoin.com News ไม่สามารถยืนยันได้ว่าผู้พัฒนาเหรียญดังกล่าวมีความเกี่ยวข้องกับกระเป๋าเงินของผู้โจมตี

เงินกำลังไหลไปไหน

ต่างจาก Bybit ที่เงินที่ถูกขโมยถูกโอนผ่านบริดจ์อย่างรวดเร็ว การฟอกเงินครั้งนี้กลับพึ่งพาการซื้อขายในปริมาณใหญ่ TRM ระบุว่า ผู้โจมตีได้ขาย USDT ประมาณ 325 ล้านให้กับผู้สร้างตลาด เพื่อแลกกับ ETH ประมาณ 122,300 ด้วยส่วนลดมากกว่า 10% นอกจากนี้ ยังกู้ยืม ETH ประมาณ 19,760 บน Aave โดยใช้ USDT 60 ล้านเป็นหลักประกัน

การระงับบัญชีได้ช่วยกู้คืนเงินส่วนใหญ่มากแล้ว และ Binance ระบุว่าจำนวนเงินที่ถูกระงับทั้งหมดได้ถึงประมาณ $3 พันล้าน อย่างไรก็ตาม TRM ประเมินว่าผู้โจมตีถือครองมากกว่า 420,000 ETH และ 18,270 BTC ซึ่งมูลค่าประมาณ $2.4 พันล้านอยู่นอกเหนือการเข้าถึงของผู้ออกเหรียญ โดยบิตคอยน์ถูกโอนผ่าน "peel chain" ซึ่งเป็นวิธีการฟอกเงินที่แบ่งเงินออกเป็นชุดการโอนขนาดเล็กจำนวนมาก

Onchain Lens รายงานว่ากลุ่มนี้กำลังย้าย ETH มูลค่ากว่า 1 พันล้านดอลลาร์ไปยังกระเป๋าเงินใหม่ ซึ่งน่าจะเป็นการเตรียมการก่อนการผสมเงิน TRM คาดการณ์ว่าขั้นตอนต่อไปจะเกี่ยวข้องกับสะพานข้ามเชน (cross-chain bridges) บริการแลกเปลี่ยน (swap services) และผู้กลางซื้อขายนอกตลาด (OTC brokers)

ปีที่มีจำนวนการโจรกรรมคริปโตสูงที่สุดในประวัติศาสตร์

การโจรกรรมครั้งนี้เกิดขึ้นในปีที่ Defillama เรียกว่าเป็นปีที่ถูกแฮ็กมากที่สุดในประวัติศาสตร์คริปโต โดยในปี 2026 มีมูลค่ากว่า 8 พันล้านดอลลาร์ที่ถูกขโมยไปแล้ว เมื่อเทียบกับปี 2025 ที่อาชญากรไซเบอร์ขโมยเงินไป 2.87 พันล้านดอลลาร์จากเหตุการณ์เกือบ 150 ครั้ง

การโจมตี Binance ยังเกิดขึ้นเพียงไม่กี่ชั่วโมงหลังจากที่ Polymarket หยุดการซื้อขายเนื่องจากช่องโหว่อื่น ซึ่งแสดงให้เห็นว่าทีมความปลอดภัยต้องต่อสู้บนหลายแนวรบพร้อมกัน

ผลพวงอาจไม่มีตัวเทียบ

TRM ระบุว่ากำลังแจ้งเตือนพันธมิตรผ่าน Beacon Network และเรียกร้องให้แพลตฟอร์มแลกเปลี่ยนตรวจสอบการฝากเงินเพื่อคัดกรองที่อยู่ของผู้โจมตีที่ถูกติดป้าย ในเวลาเดียวกัน Binance ได้สัญญาว่าจะเผยแพร่รายงานวิเคราะห์ทางเทคนิคอย่างละเอียดหลังจากการสอบสวนเบื้องต้นเสร็จสิ้น

คำถามสำคัญในขณะนี้คือความเร็ว เนื่องจากทุกชั่วโมงที่ ETH และ BTC ของผู้โจมตีถูกเก็บไว้โดยไม่ถูกผสม จะทำให้ผู้สอบสวนมีเวลาเพิ่มเติมในการติดตามเส้นทางการถอนเงิน ขณะที่ประวัติการกระทำของเกาหลีเหนือชี้ให้เห็นว่ากลุ่มนี้จะพยายามถอนเงินผ่านโต๊ะ OTC ก่อนที่ร่องรอยจะหายไป