Binance เผชิญเหตุโจรกรรมสินทรัพย์คริปโตครั้งใหญ่ที่สุดเท่าที่เคยเกิดขึ้นเมื่อวันพฤหัสบดี โดยหน่วยงานวิเคราะห์บล็อกเชนประเมินมูลค่าความเสียหายไว้ที่มากกว่า 6 พันล้านดอลลาร์ ขณะที่ Binance ระบุว่าสินทรัพย์ที่ได้รับผลกระทบมีมูลค่าราว 5 พันล้านดอลลาร์ และกำลังระดมเงินอีก 1.3 พันล้านดอลลาร์จากตลาดและธุรกรรมนอกตลาด เพื่อชดเชยความเสียหายตามที่ให้คำมั่นไว้ เหตุการณ์นี้ทำให้ตลาดจับตาทั้งการคุ้มครองเงินทุนและการกลับมาเปิดถอนสินทรัพย์ของแพลตฟอร์ม รวมถึงความเสี่ยงด้านความปลอดภัยของระบบ Hot Wallet และการอนุมัติธุรกรรมในศูนย์ซื้อขายที่ดูแลสินทรัพย์ลูกค้าจำนวนมาก
สัญญาณการเตรียมโจมตีอาจเริ่มล่วงหน้าอย่างน้อย 36 ชั่วโมง
ผลสอบสวนเบื้องต้นของ Binance ระบุว่า การโจมตีอาจเกี่ยวข้องกับแล็ปท็อปของวิศวกร DevOps ที่ถูกเจาะระบบ และการเข้าถึงคอนเทนเนอร์บริการโดยไม่ได้รับอนุญาต อย่างไรก็ตาม บริษัทระบุว่ายังไม่พบหลักฐานว่ากุญแจส่วนตัวรั่วไหล Richard Teng ประธานเจ้าหน้าที่บริหารร่วมของ Binance กล่าวว่า การโจมตีครั้งนี้มีความซับซ้อนมากกว่าการขโมยสิทธิ์เข้าถึงของพนักงานเพียงคนเดียว
TRM Labs วิเคราะห์ว่า ผู้โจมตีเริ่มเตรียมการล่วงหน้าอย่างน้อย 36 ชั่วโมง โดยเติมเงินเข้ากระเป๋าที่ใช้ปฏิบัติการผ่านการถอนยอดเล็กจาก Tornado Cash จากนั้นติดตั้งและทดสอบโค้ดประสงค์ร้ายที่เกี่ยวข้องกับกระเป๋า 3 ใบ เมื่อเริ่มโจมตี ผู้ก่อเหตุใช้ EIP-7702 บนเครือข่าย Ethereum เปลี่ยน Hot Wallet ของ Binance ให้เป็นเครื่องมือรวบรวมเงินที่ควบคุมได้ พร้อมเตรียมลายเซ็นอนุมัติไว้ 50 ชุด เพื่อให้มีอย่างน้อยหนึ่งชุดที่ยังใช้ได้ในเวลาปฏิบัติการ
ผู้โจมตียังประสานการโอนสินทรัพย์บนบล็อกเชนอีก 9 เครือข่าย TRM มองว่าการเคลื่อนไหวข้ามเครือข่ายบ่งชี้ว่าเป้าหมายอาจไม่ได้จำกัดอยู่ที่กระเป๋าใบเดียว แต่อาจเกี่ยวข้องกับโครงสร้างพื้นฐานการลงนามธุรกรรมของ Hot Wallet ในวงกว้าง Elliptic ระบุว่า ผู้โจมตีอาจยังคงเข้าถึงระบบได้หลังใช้ช่องโหว่ครั้งแรก และใช้สิทธิ์เจ้าของกระเป๋าที่ควบคุมอยู่ถอนเงินจากกระเป๋า Binance อีกใบ รวมถึงโอนสินทรัพย์ที่ถูกส่งเข้ามาใหม่ออกไปอย่างต่อเนื่อง นอกจากนี้ Hot Wallet บน Ethereum อีกใบยังโอนสินทรัพย์มูลค่า 174 ล้านดอลลาร์ไปยังผู้โจมตีโดยตรง ทำให้เกิดคำถามเพิ่มเติมเกี่ยวกับขอบเขตการเข้าถึงระบบลงนามธุรกรรม
จุดเสี่ยงอาจอยู่ที่สิทธิ์อนุมัติ ไม่ใช่โค้ดบนบล็อกเชน
Simone Imbrescia รองประธานของ Immunefi ระบุว่า ความซับซ้อนของการโจมตีอาจไม่ได้อยู่ที่โค้ดบนบล็อกเชน แต่อยู่ที่วิธีเข้าถึงระบบซึ่งมีอำนาจอนุมัติธุรกรรม สัญญารวบรวมเงินที่เกี่ยวข้องมีโค้ดราว 130 บรรทัด แต่ประเด็นสำคัญคือผู้โจมตีได้สิทธิ์ระดับใดในระบบ จนทำให้โค้ดที่ไม่ซับซ้อนสร้างความเสียหายได้มาก
Chainalysis, Elliptic และ TRM ต่างระบุว่าการโจมตีเชื่อมโยงกับกลุ่มแฮ็กเกอร์เกาหลีเหนือ โดย TRM กล่าวว่าแผนปฏิบัติการมีความเกี่ยวข้องกับกลุ่มที่อยู่เบื้องหลังเหตุโจมตี Bybit มูลค่าราว 1.5 พันล้านดอลลาร์ในปี 2025 ด้วย Chainalysis พบความเชื่อมโยงบนบล็อกเชนระหว่างเงินที่ถูกขโมยจาก Binance กับเงินจากเหตุการณ์ Bitget เมื่อเดือนก่อน ซึ่งถูกระบุว่าเกี่ยวข้องกับแฮ็กเกอร์เกาหลีเหนือเช่นกัน อย่างไรก็ตาม Elliptic เตือนว่ารายการธุรกรรมที่ทับซ้อนกันมีสัดส่วนเพียงเล็กน้อยเมื่อเทียบกับเงินที่ถูกขโมยจาก Binance จึงยังไม่เพียงพอที่จะยืนยันว่าเป็นผู้โจมตีรายเดียวกัน
การตรวจสอบยังพบว่าผู้โจมตีส่งธุรกรรมหลายพันรายการในช่วงเวลาสั้น ๆ ทำให้เงินเคลื่อนผ่านหลายที่อยู่ซ้ำไปมา และเพื่อจำกัดโอกาสที่ผู้ออก Stablecoin จะอายัดสินทรัพย์ ผู้โจมตีแลก Stablecoin มูลค่า 325 ล้านดอลลาร์เป็น ETH ราว 285 ล้านดอลลาร์ภายในเวลาเกือบ 20 นาที
เงินที่ถูกขโมยบางส่วนถูกนำไปใช้ใน Aave
Elliptic ระบุว่าผู้โจมตีนำ USDT ที่ถูกขโมยมูลค่า 59.9 ล้านดอลลาร์ไปวางเป็นหลักประกันใน Aave เพื่อกู้ ETH จำนวน 19,762 เหรียญ ณ การอัปเดตล่าสุดของ Elliptic เงินกู้ดังกล่าวยังไม่ได้ชำระคืนและอยู่ใกล้ระดับถูกบังคับชำระบัญชี นอกจากนี้ ผู้โจมตียังแลก USDT มูลค่าหลายร้อยล้านดอลลาร์เป็น ETH ผ่านกระดานซื้อขายแบบกระจายศูนย์และผู้ดูแลสภาพคล่อง โดยบางรายการต้องยอมรับราคาต่ำกว่าตลาดสูงสุดราว 26% เพื่อเปลี่ยนเป็นสินทรัพย์ที่ผู้ออกไม่สามารถอายัดได้
Aave ระบุเมื่อวันศุกร์ว่าได้ยกเลิกการระงับตลาดทั้งหมดในโปรโตคอล V3 และ V4 แล้ว พร้อมยืนยันว่า Smart Contract ไม่ได้รับผลกระทบ และสถานะของผู้ใช้ยังมีหลักประกันเพียงพอ ประเด็นระบบลงนามของ Binance กับคำถามว่า Smart Contract ของ Aave เสียหายหรือไม่ เป็นคนละเรื่องกัน โดยประกาศของ Aave กล่าวถึงสถานะโปรโตคอลและหลักประกันของผู้ใช้
Binance ระดมทุน 1.3 พันล้านดอลลาร์ เตรียมเปิดเผยหลักฐานเงินสำรอง
Binance ระบุว่าสินทรัพย์มูลค่าราว 5 พันล้านดอลลาร์ได้รับผลกระทบจากเหตุการณ์ และกำลังจัดหาเงินอีก 1.3 พันล้านดอลลาร์ผ่านช่องทางตลาดและธุรกรรมนอกตลาดเพื่อชดเชยความเสียหาย Teng กล่าวว่าแพลตฟอร์มมีแผนเผยแพร่รายงานหลักฐานเงินสำรองฉบับเบื้องต้นในวันจันทร์ และกำลังเร่งให้ผู้ใช้กลับมาถอนสินทรัพย์ได้ ในวิดีโอที่เผยแพร่เมื่อวันศุกร์ เขากล่าวว่าหวังให้ผู้ใช้ถอนเงินได้ก่อนกำหนดเวลาในวันอาทิตย์ และในเวลานั้นตั้งเป้าฟื้นฟูบริการที่เกี่ยวข้องภายในราว 40 ชั่วโมง
นักวิเคราะห์ของ TD Cowen มองว่าหลักฐานในขณะนี้ชี้ไปที่การเจาะโครงสร้างพื้นฐานของตัวกลางแบบรวมศูนย์ ไม่ได้หมายความว่า Bitcoin หรือเครือข่ายพื้นฐานมีปัญหา ผลกระทบโดยตรงจึงยังอยู่ที่การจัดการสินทรัพย์ การกลับมาเปิดถอนเงิน และการเปิดเผยข้อมูลเงินสำรองของ Binance ส่วนวิธีที่ผู้โจมตีเข้าถึงระบบภายใน ขอบเขตที่กระบวนการอนุมัติธุรกรรมได้รับผลกระทบ และโอกาสในการเรียกคืนเงิน ยังต้องรอการสอบสวนและการเปิดเผยข้อมูลเพิ่มเติม
Imbrescia กล่าวว่าแนวทางรักษาความปลอดภัยของสินทรัพย์คริปโตไม่ควรจำกัดอยู่แค่การเก็บกุญแจส่วนตัวและการตรวจสอบ Smart Contract แต่ต้องครอบคลุมบุคลากร โครงสร้างพื้นฐาน และขั้นตอนปฏิบัติงานที่เรียกใช้กุญแจด้วย หากผู้โจมตีควบคุมชั้นปฏิบัติการได้ ก็อาจไม่จำเป็นต้องขโมยกุญแจส่วนตัวโดยตรงหรือใช้ช่องโหว่สัญญาที่ซับซ้อน สำหรับผู้ใช้ ความคืบหน้าในการเปิดถอนเงิน รายงานหลักฐานเงินสำรอง และการชดเชยความเสียหายของ Binance จะเป็นข้อมูลสำคัญในการประเมินการรับมือของแพลตฟอร์ม