Binance เปิดเผยว่าในปี 2026 บริษัทตรวจพบและสกัดภัยไซเบอร์ที่ต้องสงสัยว่าเชื่อมโยงกับเกาหลีเหนือ 57 ครั้ง อย่างไรก็ตาม การหลอกลวงที่แฝงมาในรูปแบบการสัมภาษณ์งานปลอมยังทำให้ผู้โจมตีเข้าควบคุมเครื่องของวิศวกร ขยายสิทธิ์เข้าถึงระบบภายใน และเข้าถึงโครงสร้างพื้นฐานสำหรับลงนามธุรกรรมของกระเป๋าเงินได้ รายงานความปลอดภัยที่ Binance เผยแพร่เมื่อวันที่ 3 พฤศจิกายนแจกแจงลำดับการโจมตี ขณะที่สำนักงานสอบสวนกลางสหรัฐฯ (FBI) ระบุเมื่อวันที่ 31 ตุลาคมว่า เหตุขโมยสินทรัพย์คริปโตราว 6.34 พันล้านดอลลาร์ที่เกิดขึ้นเมื่อวันที่ 29 ตุลาคมเป็นฝีมือปฏิบัติการ TraderTraitor ของเกาหลีเหนือ เหตุการณ์นี้ชี้ให้เห็นว่า แม้จะระบุภัยคุกคามได้หลายครั้ง แต่กระบวนการรับสมัครงานและสภาพแวดล้อมการพัฒนายังคงเป็นช่องทางเข้าสู่ระบบภายในของแพลตฟอร์มคริปโตได้
จากตัวติดตั้งปลอมสู่ระบบลงนามกระเป๋าเงิน
Binance ระบุว่า พบกิจกรรมที่เกี่ยวข้องครั้งแรกในเดือนมิถุนายน วิศวกรที่ดูแลโครงสร้างพื้นฐานกระเป๋าเงินดาวน์โหลดตัวติดตั้ง Homebrew ที่ถูกดัดแปลง ขณะติดตั้งเครื่องมือเขียนโค้ด AI ยอดนิยม หลังทีมรักษาความปลอดภัยพบความผิดปกติ บริษัทเปลี่ยนอุปกรณ์ของพนักงานรายดังกล่าวและเปลี่ยนข้อมูลรับรองที่เกี่ยวข้อง แต่ผู้โจมตีได้เข้าถึงข้อมูลเกี่ยวกับหน้าที่ของพนักงานและเพื่อนร่วมงานไปแล้ว
ในเดือนกันยายน ผู้โจมตีติดต่อวิศวกรซอฟต์แวร์อีกรายผ่านแพลตฟอร์มสมัครงานที่ถูกต้อง โดยแอบอ้างเป็นผู้จัดการโครงการของบริษัทสมมติ จากนั้นบุคคลที่อ้างว่าเป็นเจ้าหน้าที่ฝ่ายทรัพยากรบุคคลได้สัมภาษณ์ผ่านวิดีโอคอลแบบสด พร้อมแสดงบัญชีโซเชียลมีเดียที่มีรูปถ่ายและวิดีโอส่วนตัวเพื่อสร้างความน่าเชื่อถือ ในการสัมภาษณ์รอบสอง อีกคนหนึ่งอ้างว่าเป็นซีอีโอของบริษัทดังกล่าว
ช่วงท้ายของการสัมภาษณ์ วิศวกรถูกขอให้ดาวน์โหลดแบบทดสอบเขียนโปรแกรมลงในคอมพิวเตอร์ที่ใช้ทำงาน ที่เก็บโค้ดดูคล้ายโครงการพัฒนาซอฟต์แวร์ทั่วไป แต่ระหว่างติดตั้งมีการเรียกใช้โปรแกรมประสงค์ร้าย ซึ่งเข้าแทนที่ส่วนประกอบของเครื่องมือพัฒนาที่ถูกต้องและเชื่อมต่อกับเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม Binance ระบุว่าไม่เคยพบมัลแวร์ชนิดนี้มาก่อน และมันหลบเลี่ยงซอฟต์แวร์รักษาความปลอดภัยปลายทาง พร้อมซ่อนร่องรอยการบุกรุก
ภายในวันที่ 20 ตุลาคม ผู้โจมตีใช้คอมพิวเตอร์ที่ถูกเจาะและเครื่องมือ AI ภายใน เพื่อเข้าควบคุมอุปกรณ์ของวิศวกรสองคนเพิ่มเติม หนึ่งในนั้นคือพนักงานที่ตกเป็นเป้าหมายในเหตุการณ์เดือนมิถุนายน ต่อมาผู้โจมตีได้โทเคนที่ใช้กำหนดสิทธิ์การติดตั้งคอนเทนเนอร์ และอีก 9 วันถัดมาก็นำข้อมูลรับรองที่ขโมยมาใช้ติดตั้งคอนเทนเนอร์ประสงค์ร้าย เพื่อเข้าสู่ระบบลงนามธุรกรรมของกระเป๋าเงิน Binance
Binance ระบุว่าผู้โจมตีหลีกเลี่ยงขั้นตอนถอนเงินตามปกติและเริ่มโอนสินทรัพย์โดยไม่ได้รับอนุญาต โดยเกี่ยวข้องกับบล็อกเชนหลายเครือข่าย บริษัทไม่ได้ระบุว่าในภัยคุกคาม 57 ครั้งที่สกัดได้ มีกรณีใดบ้างที่ใช้การสัมภาษณ์งานปลอม หรือกรณีใดเชื่อมโยงโดยตรงกับผู้โจมตีในเหตุการณ์เดือนตุลาคม
Binance ระบุมาตรการหลังเกิดเหตุ
เหอ อี้ ประธานเจ้าหน้าที่บริหารร่วมของ Binance กล่าวว่า ทีมรักษาความปลอดภัยของบริษัทตรวจพบและสกัดภัยไซเบอร์ที่ต้องสงสัยว่าเชื่อมโยงกับเกาหลีเหนือได้ 57 ครั้งในปี 2026 วิธีการที่พบมีทั้งการสัมภาษณ์งานปลอม มัลแวร์ที่ปลอมเป็นเครื่องมือพัฒนาที่ใช้กันทั่วไป แพ็กเกจซอฟต์แวร์และส่วนขยายเบราว์เซอร์ที่ถูกดัดแปลง แอปประชุมวิดีโอปลอม ตลอดจนการโจมตีแบบวิศวกรรมสังคมเพื่อขโมยข้อมูลรับรองหรือติดตั้งมัลแวร์ควบคุมระยะไกล
เหอ อี้ยอมรับว่า แม้บริษัทสกัดการโจมตีได้หลายครั้ง แต่การป้องกันไม่สำเร็จในครั้งหนึ่งส่งผลร้ายแรง และไม่ควรเกิดขึ้น หลังเหตุการณ์ Binance เปลี่ยนอุปกรณ์ของพนักงานที่ได้รับผลกระทบ เพิกถอนข้อมูลรับรองที่ถูกเปิดเผย และสร้างโครงสร้างพื้นฐานกระเป๋าเงินที่ได้รับผลกระทบขึ้นใหม่ บริษัทยังระบุว่าจะเพิ่มการป้องกันในสภาพแวดล้อมการพัฒนาและขยายการติดตามพฤติกรรมด้วย AI อย่างไรก็ตาม รายงานไม่ได้อธิบายว่ามาตรการเหล่านี้จะรับมือกับช่องโหว่ในขั้นตอนสัมภาษณ์งานที่ถูกใช้โจมตีครั้งนี้อย่างไร
รูปแบบหลอกสมัครงานสอดคล้องกับปฏิบัติการที่เคยพบ
การโจมตีครั้งนี้มีลักษณะคล้ายกับปฏิบัติการทางไซเบอร์ของเกาหลีเหนือที่นักวิจัยด้านความปลอดภัยและหน่วยงานบังคับใช้กฎหมายสหรัฐฯ ติดตามมาหลายปี FBI เคยเตือนเมื่อเดือนกันยายน 2024 ว่าแฮกเกอร์เกาหลีเหนือใช้ข้อเสนองานที่ปรับให้ตรงกับเป้าหมาย สร้างตัวตนปลอมอย่างแนบเนียน และสื่อสารต่อเนื่อง เพื่อแทรกซึมบริษัทคริปโต แม้แต่พนักงานที่มีความเชี่ยวชาญด้านเทคนิคก็อาจตกเป็นเป้าของกลโกงที่ออกแบบตามประวัติการทำงานของตน
ในเดือนมิถุนายน 2026 นักวิจัยจาก Kudelski Security บันทึกปฏิบัติการชื่อ “Contagious Interview” ซึ่งผู้โจมตีแอบอ้างเป็นผู้สรรหาบุคลากรบน LinkedIn, WhatsApp และ Discord ก่อนชักจูงให้นักพัฒนารันโค้ดประสงค์ร้าย ส่วนในเดือนกันยายน นักวิจัยจาก Atlassian พบการทดสอบทักษะทางเทคนิคปลอมที่ฝากไว้บนแพลตฟอร์มพัฒนาซอฟต์แวร์ซึ่งเป็นที่รู้จัก โดยซ่อนคำสั่งประสงค์ร้ายไว้ในโครงการที่ดูปกติ
กรณีเหล่านี้แสดงให้เห็นว่าผู้โจมตียังคงใช้กระบวนการรับสมัครงานและเครื่องมือของนักพัฒนาเพื่อสร้างความไว้วางใจ ก่อนขยายสิทธิ์เข้าถึงระบบภายในองค์กร รายละเอียดของ Binance ยังชี้ว่า การติดมัลแวร์บนอุปกรณ์ในเดือนมิถุนายนไม่ได้ขัดขวางผู้โจมตีในเวลาต่อมาจากการอาศัยความเชื่อมโยงระหว่างพนักงานและเครื่องมือภายในเพื่อขยายการควบคุม บริษัทไม่ได้เปิดเผยรายละเอียดของภัยคุกคาม 57 ครั้งที่สกัดได้ หรือระบุว่าจุดใดของมาตรการป้องกันล้มเหลวในเหตุการณ์นี้ แต่ข้อมูลที่เปิดเผยยืนยันว่าการโจมตีเข้าถึงระบบลงนามธุรกรรมของกระเป๋าเงิน และทำให้เกิดการโอนสินทรัพย์โดยไม่ได้รับอนุญาตบนบล็อกเชนหลายเครือข่าย