เกาหลีเหนือปฏิเสธว่าไม่มีส่วนเกี่ยวข้องกับเหตุโจมตี Binance และเรียกข้อกล่าวหาของสหรัฐฯ ว่ากลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับประเทศเป็นผู้ก่อเหตุว่าเป็น “การยั่วยุทางการเมืองอย่างร้ายแรง” ขณะเดียวกัน Elliptic บริษัทวิเคราะห์บล็อกเชน ประเมินว่า จากสินทรัพย์มูลค่าราว 6.43 พันล้านดอลลาร์ที่ถูกขโมย มีประมาณ 2.85 พันล้านดอลลาร์ถูกอายัดหรือกู้คืนแล้ว ส่วนอีกราว 3.24 พันล้านดอลลาร์ยังอยู่ในกระเป๋าที่เกี่ยวข้องกับการโจมตี การเคลื่อนย้ายเงินผ่านหลายบล็อกเชนและกระเป๋าหลายพันใบยังเป็นอุปสรรคต่อการติดตามและจัดการสินทรัพย์
คิม โย จองโต้ข้อกล่าวหาของ FBI
คิม โย จอง น้องสาวของคิม จอง อึน ผู้นำเกาหลีเหนือ วิจารณ์สำนักงานสอบสวนกลางสหรัฐฯ (FBI) ที่ระบุว่ากลุ่ม TraderTraitor ซึ่งเชื่อมโยงกับเกาหลีเหนืออยู่เบื้องหลังการโจมตี สื่อทางการเกาหลีเหนืออ้างคำพูดของเธอว่า FBI พยายามทำให้ประเทศถูกมองว่าเป็น “รัฐอาชญากรรมไซเบอร์” และกล่าวหาว่าวอชิงตันใช้ข้อกล่าวหานี้ชี้นำความคิดเห็นของประชาคมระหว่างประเทศ
เกาหลีเหนือปฏิเสธข้อกล่าวหา ขณะที่สหรัฐฯ ยังคงยืนยันการระบุแหล่งที่มาของการโจมตี นอกเหนือจากประเด็นว่าใครเป็นผู้ก่อเหตุ ผู้ใช้ Binance และตลาดสินทรัพย์ดิจิทัลยังจับตาว่าเงินถูกเคลื่อนย้ายไปที่ใด และจะกู้คืนได้มากน้อยเพียงใด
ใช้กระเป๋าราว 12,000 ใบในสี่วันแรก
Elliptic ระบุในบทวิเคราะห์ที่เผยแพร่เมื่อวันจันทร์ว่า ในช่วงสี่วันแรกหลังการโจมตี ผู้ที่เกี่ยวข้องใช้กระเป๋าประมาณ 12,000 ใบบนบล็อกเชน 11 เครือข่าย และทำธุรกรรมรวมกว่า 40,000 รายการ โดยเฉลี่ยมีการเปิดใช้กระเป๋าใหม่ทุก 25 วินาที บริษัทประเมินว่ารูปแบบดังกล่าวสะท้อนการเคลื่อนย้ายเงินที่ซับซ้อนและเป็นระบบอัตโนมัติสูง
ช่วงแรกเงินจำนวนมากเคลื่อนผ่านเครือข่าย Tron ก่อนกระจายไปยังที่อยู่ราว 7,700 แห่ง แล้วใช้บริดจ์ข้ามเชนโอนไปยัง Ethereum Elliptic ระบุว่าเงินอย่างน้อย 147 ล้านดอลลาร์ถูกโอนออกจาก Tron ผ่านบริดจ์เหล่านี้ การย้ายข้ามเชนทำให้การติดตามต้องตรวจสอบที่อยู่และธุรกรรมบนหลายเครือข่ายควบคู่กัน
อายัดสเตเบิลคอยน์ควบคู่กับการแปลงข้ามเชน
บริษัทวิเคราะห์ระบุว่า ผู้โจมตีใช้แพลตฟอร์มซื้อขายแบบกระจายศูนย์แลกสเตเบิลคอยน์ที่ขโมยมาเป็นสินทรัพย์ดิจิทัลที่ผู้ออกไม่สามารถอายัดได้ เช่น Ether Elliptic ประเมินว่า สเตเบิลคอยน์มูลค่าราว 786 ล้านดอลลาร์ถูกแปลงไปแล้ว ก่อนที่ผู้ออกอย่าง Tether และ Circle จะอายัดสินทรัพย์ที่เหลือ
Chainalysis ระบุว่า กลุ่มปฏิบัติการที่เชื่อมโยงกับเกาหลีเหนือเริ่มกระบวนการฟอกเงินระยะใหม่ หลังโอนเงินกว่า 500 ล้านดอลลาร์ผ่านกระเป๋าตัวกลางบน Tron และขยายการเคลื่อนย้ายไปยังบล็อกเชนอื่น เช่น Solana
Elliptic ยังพบสัญญาณระยะแรกของการใช้บริการผสมธุรกรรมบิตคอยน์ โดยจนถึงช่วงต้นวันจันทร์ มีการนำบิตคอยน์ราว 28 BTC มูลค่าประมาณ 2.2 ล้านดอลลาร์ ผ่านธุรกรรมลักษณะนี้ 18 รายการ การผสมธุรกรรมทำให้ติดตามเส้นทางเงินได้ยากขึ้น แต่ข้อมูลที่เปิดเผยในขณะนี้ยังไม่ได้ระบุว่าสินทรัพย์ดังกล่าวถูกแลกเป็นเงินตราแล้ว
อายัดหรือกู้คืนแล้วราว 44% ของเงินที่ถูกขโมย
จากยอดสินทรัพย์ที่ถูกขโมย 6.43 พันล้านดอลลาร์ตามการประเมินของ Elliptic มีราว 2.85 พันล้านดอลลาร์ หรือ 44% ที่ถูกอายัดหรือกู้คืนแล้ว ส่วนประมาณ 3.24 พันล้านดอลลาร์ยังอยู่ในกระเป๋าที่เกี่ยวข้อง โดยส่วนใหญ่เป็นบิตคอยน์และ Ether บริษัทระบุว่าในขณะนี้มีเงินเพียงส่วนน้อยมากที่ดูเหมือนถูกแปลงเป็นเงินสด กิจกรรมส่วนใหญ่ยังเป็นการโอนหรือแลกเปลี่ยนระหว่างสินทรัพย์ดิจิทัล
Elliptic ระบุว่าการเคลื่อนย้ายเงินในกรณีนี้ช้ากว่าเหตุโจมตี Bybit มูลค่า 1.5 พันล้านดอลลาร์เมื่อเดือนกุมภาพันธ์ 2025 ซึ่งครั้งนั้นแฮ็กเกอร์ที่เชื่อมโยงกับเกาหลีเหนือโอน Ether ที่ขโมยมาทั้งหมดภายใน 10 วัน บริษัทคาดว่าเงินที่เหลือในกรณี Binance อาจทยอยเปลี่ยนเป็นบิตคอยน์ในช่วงหลายเดือนข้างหน้า และอาจถูกนำไปขึ้นเงินผ่านนายหน้าซื้อขายนอกตลาดหรือแพลตฟอร์มซื้อขาย นี่เป็นการประเมินเส้นทางที่อาจเกิดขึ้น ไม่ใช่การยืนยันว่าเงินถูกเคลื่อนย้ายตามเส้นทางดังกล่าวแล้ว
Binance ทยอยเปิดให้ถอนเงิน
Binance ระบุว่ากำลังทยอยกลับมาเปิดให้ถอนเงิน พร้อมเตือนผู้ใช้ให้ระวังมิจฉาชีพที่อ้างว่าสามารถเร่งธุรกรรมหรือช่วยยื่นขอชดเชยได้ แพลตฟอร์มกล่าวด้วยว่าได้จัดหาสินทรัพย์ครอบคลุมประมาณ 95% ของมูลค่าที่ได้รับผลกระทบ ส่วนที่เหลืออีก 5% เป็นโทเคนที่มีสภาพคล่องต่ำและต้องใช้เวลานานกว่าในการจัดหา โดย Binance กำลังประสานงานกับพันธมิตรในอุตสาหกรรมเพื่อให้ได้สินทรัพย์เหล่านี้
ผู้ใช้ยังติดตามความคืบหน้าในการเปิดถอนเงินและการจัดหาสินทรัพย์ส่วนที่เหลือ ขณะที่บริษัทวิเคราะห์ยังต้องรับมือกับความซับซ้อนจากการโอนข้ามเชนและการแลกเปลี่ยนสินทรัพย์ ตัวเลขการครอบคลุมสินทรัพย์ที่ Binance เปิดเผยสะท้อนการจัดการของแพลตฟอร์ม ส่วนสถานะเงินบนบล็อกเชนที่บริษัทวิเคราะห์รายงานสะท้อนเส้นทางของสินทรัพย์ที่ถูกขโมย ทั้งสองตัวเลขเป็นคนละมิติและไม่ควรนำมาเทียบเป็นสถิติเดียวกัน