เบื้องหลังปล้น Binance สองแสนล้าน อาจเป็น ‘แฮกเกอร์เกาหลีเหนือ’

กลุ่มแฮกเกอร์ที่เชื่อมโยงกับ “รัฐบาลเกาหลีเหนือ” ถูกระบุว่า อาจอยู่เบื้องหลังการโจรกรรมสินทรัพย์ดิจิทัลครั้งใหญ่ที่สุดในประวัติศาสตร์ หลังเงินมูลค่าสูงถึง 6,300 ล้านดอลลาร์ หรือราว 2 แสนล้านบาท ถูกขโมยจาก Binance แพลตฟอร์มซื้อขายคริปโตรายใหญ่ของโลก โดยผู้เชี่ยวชาญด้านความมั่นคงไซเบอร์เตือนว่า เงินที่ได้จากการโจรกรรมเหล่านี้ไม่ได้จบลงเพียงในเครือข่ายอาชญากรรม แต่ยังถูกนำไปสนับสนุนโครงการอาวุธนิวเคลียร์ ขีปนาวุธ และการพัฒนาเทคโนโลยีทางทหารของเกาหลีเหนือ

บริษัทวิเคราะห์บล็อกเชน TRM Labs และ Chainalysis ระบุว่า กลุ่มแฮกเกอร์ที่อยู่เบื้องหลังเหตุการณ์นี้คือ “TraderTraitor” ซึ่งเป็นหนึ่งในกลุ่มปฏิบัติการไซเบอร์ที่มีความสามารถสูงที่สุดของเกาหลีเหนือ โดยเชี่ยวชาญการเจาะระบบสถาบันการเงินและบริษัทสินทรัพย์ดิจิทัลโดยเฉพาะ

ชื่อของ TraderTraitor เคยปรากฏในคำเตือนร่วมของสำนักงานสอบสวนกลางสหรัฐ (FBI) สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน (CISA) และกระทรวงการคลังสหรัฐ ตั้งแต่ปี 2022 หลังพบว่า กลุ่มดังกล่าวใช้มัลแวร์และกลวิธีหลอกลวงทางสังคม เพื่อโจมตีนักพัฒนาซอฟต์แวร์และพนักงานไอทีของบริษัทคริปโต

ข้อมูลจาก Chainalysis ระบุว่า เกาหลีเหนือขโมยสินทรัพย์ดิจิทัลไปแล้วอย่างน้อย 6,750 ล้านดอลลาร์จนถึงสิ้นปี 2025 รวมถึงเหตุการณ์แฮ็กแพลตฟอร์ม Bybit มูลค่า 1,500 ล้านดอลลาร์ในเดือนกุมภาพันธ์ 2025

นอกจากนี้ ยังมีเหตุโจมตี Bitget ในเดือนกันยายน 2026 ซึ่งสร้างความเสียหายอีก 387 ล้านดอลลาร์ ทำให้ไมเคิล บาร์นฮาร์ต นักวิจัยจากบริษัทความมั่นคงไซเบอร์ DTEX ประเมินว่า มูลค่าสินทรัพย์ดิจิทัลที่เกาหลีเหนือขโมยไปสะสมแล้ว อาจสูงถึง 13,500 ล้านดอลลาร์ หรือราว 4.5 แสนล้านบาท

สำหรับวิธีการโจมตี TraderTraitor มักใช้กลยุทธ์ที่เรียกว่า การหลอกสมัครงาน (Fake Job Recruitment) โดยสร้างข้อเสนองานปลอมและจัดสัมภาษณ์งานออนไลน์ เพื่อล่อลวงนักพัฒนาซอฟต์แวร์หรือพนักงานไอทีให้ดาวน์โหลด “ไฟล์ที่แฝงมัลแวร์”

เมื่อเหยื่อติดตั้งซอฟต์แวร์ดังกล่าว แฮกเกอร์จะสามารถขโมยข้อมูลเข้าสู่ระบบ รหัสผ่าน และข้อมูลสำคัญภายในองค์กร ก่อนใช้เป็นช่องทางเจาะเข้าสู่ระบบการเงินและศึกษากระบวนการอนุมัติธุรกรรม เพื่อหาจังหวะโอนสินทรัพย์ดิจิทัลออกไป

ราเฟ พิลลิง ผู้อำนวยการอาวุโสฝ่ายวิจัยภัยคุกคามจาก Sophos ระบุว่า รูปแบบการโจมตี Binance ที่มีรายงานเบื้องต้น สอดคล้องกับวิธีปฏิบัติของกลุ่มแฮกเกอร์เกาหลีเหนือ ซึ่งมีความเชี่ยวชาญอย่างมากในการศึกษาระบบภายในองค์กร โดยเฉพาะขั้นตอนการอนุมัติการโอนเงินของพนักงาน

ขณะที่บาร์นฮาร์ตระบุว่า TraderTraitor มีสมาชิกที่สั่งสมประสบการณ์จากหน่วยปฏิบัติการไซเบอร์ APT38 ซึ่งเป็นกลุ่มแฮกเกอร์ที่มุ่งโจมตีเป้าหมายทางการเงินมาอย่างยาวนาน

หลังโจรกรรมสำเร็จ เงินคริปโตที่ถูกขโมยจะถูกส่งต่อไปยังเครือข่ายฟอกเงินของกลุ่มอาชญากรรมในจีน เพื่อปกปิดเส้นทางการเงินและทำให้การติดตามสินทรัพย์เป็นไปได้ยากขึ้น

ด้าน Binance เปิดเผยว่า บริษัทกำลังร่วมมือกับหน่วยงานและผู้เกี่ยวข้องเพื่ออายัดสินทรัพย์ที่ถูกขโมย โดยสามารถติดตามพบเงินแล้วประมาณ 3,000 ล้านดอลลาร์ แต่ไม่ได้หมายความว่าเงินทั้งหมดถูกกู้คืนมาแล้ว

อีกหนึ่งกลยุทธ์สำคัญของเกาหลีเหนือคือ การส่งพลเมืองเข้าไปทำงานในบริษัทเทคโนโลยีและสถาบันการเงินในสหรัฐและประเทศอื่น ๆ โดยปกปิดตัวตนที่แท้จริง เพื่อหารายได้ส่งกลับรัฐบาลและขโมยข้อมูลสำคัญขององค์กร

FBI เปิดเผยในประกาศเตือนเมื่อวันที่ 13 ตุลาคมว่า รายได้จากเครือข่ายแรงงานไอทีและการโจมตีทางไซเบอร์เหล่านี้ มีส่วนสนับสนุนโครงการนิวเคลียร์และการทหารของเกาหลีเหนือ

บาร์นฮาร์ตยังชี้ว่า รายได้จากระบบดังกล่าว เชื่อมโยงกับความก้าวหน้าด้านเทคโนโลยีโดรนของเกาหลีเหนือ ซึ่งคิม จองอึน ผู้นำประเทศ เคยประกาศเป้าหมายที่จะสร้างความเหนือกว่าทางเทคโนโลยีการทหารอย่างเด็ดขาด

อ้างอิง: reuters