แฮ็กเกอร์จากเกาหลีเหนือขโมยคริปโตมูลค่าประมาณ 7.61 พันล้าน USD จากเหตุการณ์ 38 กรณี ระหว่างเดือนมกราคมถึงตุลาคม 2026 ตามรายงานของบริษัทวิเคราะห์บล็อกเชน BitOK โดยในการโจมตีครั้งใหญ่ 6 ครั้ง พวกเขาเข้ายึดคนและระบบที่ใช้ลงนามการถอนเงินแทนที่จะโจมตีช่องโหว่ของโค้ด
การอายัดและยึดคริปโตสามารถจับเงินไว้ได้ 2.86 พันล้าน USD จึงเหลือ 4.75 พันล้าน USD ที่ไม่สามารถกู้คืนได้ Binance เพียงเจ้าเดียวมีมูลค่าถึง 6.41 พันล้าน USD ของยอดทั้งหมด ในขณะที่การขโมยย่อย 32 ครั้งต่อบุคคลและบริษัทต่างๆ รวมกันได้ 178.4 ล้าน USD
ทำไมการตรวจสอบโค้ดจึงหยุดแฮ็กเกอร์เกาหลีเหนือไม่ได้
ตามรายงานของ BitOK การถอนเงินทุกครั้งในการโจมตีครั้งใหญ่ทั้งหกนั้นมีลายเซ็นต์ที่ถูกต้องหรือผ่านการตรวจสอบมาตรฐาน ที่ Binance จุดเริ่มต้นคือแล็ปท็อปของวิศวกร DevOps และคอนเทนเนอร์เซอร์วิสสำหรับการลงนาม
เรื่องนี้สอดคล้องกับข้อค้นพบก่อนหน้านี้เกี่ยวกับ วิธีการที่แฮ็ก Binance เกิดขึ้น ในเดือนตุลาคม ในที่อื่นๆ ผู้โจมตีเข้าควบคุม multisig signers ที่ Drift ซึ่งเป็นแพลตฟอร์มการซื้อขายที่ใช้ Solana, ตัวตรวจสอบ bridge เดี่ยวที่ KelpDAO และระบบวอลเล็ตที่ Bitget
ก่อนจะเริ่มโจรกรรมในแต่ละครั้ง ผู้ดำเนินการได้ทดสอบเส้นทางที่แน่นอนด้วยจำนวนเล็กน้อย ตัวอย่างเช่น สัญญาโจมตี Binance ได้เปิดการทำงานแบบสาธารณะก่อนการขโมยถึง 4 ชั่วโมง
ตารางการทำงานดูคล้ายงานออฟฟิศ ในตัวอย่างของธุรกรรม 540 รายการ พบว่ากิจกรรม 48% เกิดขึ้นระหว่าง 16.00 ถึง 21.00 น. ตามเวลาเปียงยาง
ผู้ดำเนินการยังหยุดทำงานในวันหยุดนักขัตฤกษ์ของเกาหลีเหนือด้วย เพราะไม่พบกิจกรรมใดในวันนั้น วันเสาร์ อาทิตย์ และจันทร์ รวมกันคิดเป็นเพียง 10% ของธุรกรรมทั้งหมด
อย่างไรก็ตาม เมื่อการโจมตีเริ่มต้นขึ้น รูปแบบการทำงานก็เปลี่ยนไป โดยกลายเป็นการใช้สคริปต์และการเคลื่อนย้ายเงินตลอด 24 ชั่วโมงไม่มีหยุด
เปลี่ยนเหรียญในไม่กี่นาที ซ่อนได้หลายวัน
ความเร็วคือปัจจัยชี้ชะตาว่าสามารถอายัดเงินได้หรือไม่ ภายในไม่กี่นาที แฮ็กเกอร์เกาหลีเหนือจะเปลี่ยน stablecoin เป็น ETH หรือกู้ ETH โดยใช้หลักประกันที่ขโมยมา เพราะไม่มีผู้ออกเหรียญไหนอายัด ETH ได้
หลังจากเหตุการณ์ rsETH bridge exploit ในเดือนเมษายน ETH จำนวน 52,440 เหรียญแรกได้ออกจากโปรโตคอลให้กู้ในเวลาสั้นกว่าเก้านาที เงินก้อนนี้ไม่ถูกขยับอีกเป็นเวลา 2.5 ถึง 5 วัน ก่อนที่สคริปต์จะนำเงินไปยัง THORChain ซึ่งเป็นโปรโตคอลสำหรับ cross-chain swap
การฟอกเงินนั้นมีต้นทุนต่ำ โดยจากการแลก 2,257 ครั้งที่เกี่ยวข้องกับ Binance ซึ่งมีมูลค่ารวม 55.8 ล้าน USD มีค่าธรรมเนียมรวมเพียง 0.50%
ดังนั้น การอายัดจึงสำเร็จเฉพาะจุดที่ stablecoin ยังไม่ถูกเปลี่ยน ที่ Binance เงินที่ขโมยมา 43% ถูกอายัดหรือยึดคืน ในขณะที่เหตุการณ์โจมตีใหญ่ทั้งหมดที่เหลือร่วมกันทำได้เพียง 6% เท่านั้น
อย่างไรก็ตาม แม้กระทั่งที่นั่น เวลาก็ส่งผลเสีย Tether ได้รับคำขออายัดครั้งแรก ช้ากว่าการถอนจาก Binance ถึง 34 นาที ขณะนั้น USDT จำนวน 345 ล้านก็ออกจากที่อยู่ต้นทางไปแล้ว
การโอน 0.27 ETH เชื่อมโยงการโจมตีทั้ง 5 ครั้งเข้าด้วยกัน
หลักฐานที่ชัดเจนที่สุดมาจากข้อผิดพลาดในขั้นตอนการล้างบัญชี หลังจากที่มีการโอน 5,047 ETH ผ่าน Umbra ซึ่งเป็นเครื่องมือความเป็นส่วนตัวสำหรับที่อยู่ล่องหน และสะพาน Stargate ผู้ปฏิบัติงานได้นำเศษเหรียญที่เหลือไปกวาดใส่กระเป๋าเงินใบเดียว
เมื่อวันที่ 31 สิงหาคม มีที่อยู่ 150 รายการที่โอนเงินเข้าสู่กระเป๋าสะสมนี้ภายในเวลา 3 นาที 36 วินาที การกวาดเศษเหรียญนี้เชื่อมโยงการขโมยของ AFX และเหตุการณ์วันที่ 28 สิงหาคมเข้าด้วยกัน และตามมาด้วยที่อยู่ของ Bitget ในเดือนกันยายน โดยรวมแล้ว กระเป๋านี้ได้รับเพียง 0.27 ETH เท่านั้น
ขณะนี้ ที่อยู่ในการชำระเงินที่ใช้ร่วมกันนี้เชื่อมโยงการโจมตี 5 ครั้งโดยแฮกเกอร์เกาหลีเหนือ ตั้งแต่ KelpDAO ในเดือนเมษายน ไปจนถึง Binance ในเดือนตุลาคม BitOK กล่าวว่าสิ่งนี้ชี้ให้เห็นถึงผู้ปฏิบัติงานฟอกเงินรายเดียว ถึงแม้จะเป็นไปได้ว่าทีมที่แตกต่างกันเป็นผู้ก่อเหตุแต่ละเหตุการณ์
บิทโอเคกล่าวว่า เศษยอดเงินจำนวนน้อยกลายเป็นร่องรอยที่ชัดเจนที่สุดของผู้ปฏิบัติงานในปีนี้
Signing Keys กลายเป็นเป้าหมายโจมตีใหม่
Chainalysis ได้ เชื่อมโยงการขโมย Bitget กับเกาหลีเหนือแล้วตั้งแต่เดือนตุลาคม ข้อมูลล่าสุดของ BitOK แสดงให้เห็นว่าแฮกเกอร์เกาหลีเหนือใช้รูปแบบเดียวกันนี้ซ้ำแล้วซ้ำอีกในทั้งแพลตฟอร์มแลกเปลี่ยนและโปรโตคอล DeFi
จุดอ่อนสำคัญได้เปลี่ยนจากสมาร์ทคอนแทรกต์ไปยังพนักงาน อุปกรณ์ และบริการ Signing Key การอายัดจากผู้ออกช่วยได้เฉพาะในนาทีแรก ๆ เท่านั้น และ Binance ได้ ชดเชยความเสียหายของผู้ใช้ส่วนใหญ่ ด้วยทุนสำรองของตนเองแล้ว
