เหตุการณ์ความปลอดภัยของ Binance ในภาพรวม: เส้นทางของ 6.3 พันล้านดอลลาร์ ข้อเท็จจริงที่ยืนยันแล้ว และสถานะการถอนเงิน

ภาพรวม

Binance เผชิญเหตุการณ์ความปลอดภัยที่เงินใน hot wallet ถูกโอนออกเมื่อวันที่ 29 ตุลาคม 2026 โดยทางบริษัทประเมินว่ามูลค่าที่ได้รับผลกระทบอยู่ที่ประมาณ 6.3 พันล้านดอลลาร์สหรัฐ ซึ่งถือเป็นการโจรกรรมสินทรัพย์คริปโตครั้งใหญ่ที่สุดเท่าที่มีการบันทึกต่อสาธารณะ ณ เวลา 07:00 UTC ของวันที่ 30 ตุลาคม การถอนเงินยังคงถูกระงับ โดย Binance ระบุว่าคาดว่าจะเริ่มกลับมาให้บริการได้ภายใน 48 ชั่วโมง ส่วนการฝากเงินตามข้อมูลอัปเดตบริการล่าสุดได้กลับมาดำเนินการตามปกติแล้ว สินทรัพย์ที่ถูกอายัดบนเชนมีมูลค่าประมาณ 3 พันล้านดอลลาร์สหรัฐ และยังไม่มีบันทึกสาธารณะว่ามีสินทรัพย์ใดถูกติดตามคืนและส่งกลับให้แก่ตลาดหลักทรัพย์ได้ Binance ระบุว่าจะรับผิดชอบความเสียหายทั้งหมดด้วยกองทุน SAFU และเงินทุนของบริษัท

เส้นทางการโจมตีทางเทคนิคแตกต่างจากคดีการถูกโจรกรรมของตลาดหลักทรัพย์ส่วนใหญ่ การโอนออกบน Ethereum เกิดขึ้นผ่านการมอบอำนาจแบบ EIP-7702 เพียงรายการเดียว โดยผู้โจมตีไม่ได้เข้าถึง private key ของกระเป๋าเงิน แต่ทำให้ hot wallet ดำเนินการเคลียร์สินทรัพย์ตามสัญญาที่ผู้โจมตี déploy Binance ระบุในการสอบสวนเบื้องต้นว่าไม่พบหลักฐานการรั่วไหลของ private key ของกระเป๋าเงิน และชี้จุดเข้าเหตุไปที่แล็ปท็อปของวิศวกร DevOps ที่ถูกบุกรุก

ประเด็นสำคัญ

ลำดับเหตุการณ์

บันทึกบนเชน การประเมินของสถาบันวิจัย และถ้อยแถลงอย่างเป็นทางการ มีความคืบหน้าในอัตราที่ต่างกันในเหตุการณ์นี้ ตารางด้านล่างจัดเรียงตามเขตเวลาที่เป็นมาตรฐานเดียวกัน พร้อมระบุลักษณะของแต่ละรายการ เวลาทั้งหมดเป็น UTC ซึ่งเทียบเท่าเวลาสิงคโปร์บวกแปดชั่วโมง

มีสองประเด็นที่ควรให้ความสนใจเป็นพิเศษ ประการแรก การอายัดของผู้ออกสินทรัพย์เกิดขึ้นก่อนที่ตลาดหลักทรัพย์จะระงับบริการ โดย Tether และ Circle ดำเนินการอายัดรอบแรกเสร็จสิ้นภายในเวลาประมาณสี่สิบนาทีหลังการเคลียร์สินทรัพย์ครั้งใหญ่ครั้งแรก ขณะที่การระงับการถอนเงินเกิดขึ้นเมื่อเวลา 22:15 UTC ประการที่สอง ถ้อยแถลงของผู้บริหาร Binance มีการเปลี่ยนแปลงอย่างค่อยเป็นค่อยไป โดย He Yi ประธานเจ้าหน้าที่บริหารร่วม ใช้คำว่า "การโจมตี" เป็นครั้งแรกในโพสต์เมื่อวันที่ 30 ตุลาคม เวลา 00:24 UTC ขณะที่บัญชีหลักของบริษัทใช้คำว่า "ปัญหาความปลอดภัยที่อาจเกิดขึ้น" ในประกาศก่อนหน้านั้น

ความหมายของตัวเลข: ความแตกต่างระหว่างการโอนออก การอายัด การไม่อายัด และการติดตามคืน

ตัวเลขที่เผยแพร่ต่อสาธารณะแตกต่างกันไปตั้งแต่ 3.3 พันล้านดอลลาร์สหรัฐไปจนถึง 6.36 พันล้านดอลลาร์สหรัฐ ความแตกต่างนี้เกิดจากสามสาเหตุ ได้แก่ ชุดของเชนที่ครอบคลุมในการนับต่างกัน จุดเวลาที่ใช้ในการคิดราคาต่างกัน และการนับว่าวัตถุที่วัดคือมูลค่าที่โอนออกหรือยอดคงเหลือในกระเป๋าเงินของผู้โจมตี

การกระจายของสินทรัพย์ที่ถูกอายัด

สถิติของ TRM Labs ณ เวลา 00:30 UTC ของวันที่ 30 ตุลาคม แบ่งมูลค่าที่ถูกอายัดออกเป็น Tether ประมาณ 1.77 พันล้าน USDT, Circle ประมาณ 825 ล้าน USDC, Ripple 40.5 ล้าน RLUSD, World Liberty Financial 27.8 ล้าน USD1 และ ETH 8,426 เหรียญกับ ARB 74.6 ล้านเหรียญที่คณะกรรมการความปลอดภัย Arbitrum ดำเนินการ รวมทั้งสิ้นประมาณ 2.7 พันล้านดอลลาร์สหรัฐ ขณะที่ Binance ประกาศยืนยันมูลค่าที่ถูกอายัดได้ประมาณ 3 พันล้านดอลลาร์สหรัฐเมื่อยี่สิบสองนาทีถัดมา ความแตกต่างระหว่างทั้งสองเกิดจากจุดเวลาที่ใช้ในการนับ มิใช่ความขัดแย้งของหลักเกณฑ์ First Digital อายัด FDUSD ที่เกี่ยวข้องเมื่อเวลา 02:21 UTC โดยไม่ได้เปิดเผยมูลค่าที่แน่ชัด ส่วนนี้ไม่ได้รับการนับรวมในการแบ่งข้างต้น

การอายัดไม่เท่ากับการติดตามคืน

สินทรัพย์ที่ถูกอายัดอยู่ในสถานะที่ผู้ออกสินทรัพย์ขึ้นบัญชีดำในสัญญา ไม่ได้อยู่ในมือของผู้โจมตีและไม่ได้กลับเข้าบัญชีของตลาดหลักทรัพย์ การที่สินทรัพย์จะกลับไปยัง Binance จำเป็นต้องให้ผู้ออกสินทรัพย์ทำการสร้างใหม่หรือโอนย้ายภายใต้กระบวนการทางกฎหมาย ขั้นตอนนี้ใช้เวลาหลายเดือนในเหตุการณ์ Bybit เมื่อเดือนกุมภาพันธ์ 2025 และในครั้งนั้นการโจรกรรมมูลค่า 1.5 พันล้านดอลลาร์สหรัฐมีการติดตามคืนสำเร็จเพียง 48.4 ล้านดอลลาร์สหรัฐ ตามหลักเกณฑ์ของ Binance มูลค่าที่ถูกอายัดในปัจจุบันคิดเป็นประมาณ 48% ของมูลค่าที่ได้รับผลกระทบ ส่วนที่เหลือกระจุกตัวอยู่ในบิตคอยน์และอีเธอเรียมซึ่งเป็นสินทรัพย์ที่ไม่มีผู้ออกแบบรวมศูนย์ จึงไม่มีช่องทางการอายัดในลักษณะเดียวกัน

การแปลงสินทรัพย์เป็นเงินสดของผู้โจมตีก่อนการอายัดมีผล

TRM Labs บันทึกว่าผู้โจมตีก่อนที่การอายัดของผู้ออกสินทรัพย์จะมีผล ได้ขาย USDT ประมาณ 325 ล้านเหรียญให้แก่ market maker ในราคาส่วนลดเกินกว่า 10% แลกเป็น ETH ประมาณ 122,300 เหรียญ และกู้ยืม ETH โดยใช้ USDT เป็นหลักประกันบน Aave พร้อมทั้งโอนย้ายสินทรัพย์ผ่านโปรโตคอลการกู้ยืมบนเชน TRON และการแลกเปลี่ยนบน Uniswap ลำดับการดำเนินการนี้เปลี่ยน stablecoin แบบรวมศูนย์ที่สามารถถูกอายัดได้ให้เป็นสินทรัพย์ดั้งเดิมที่ไม่สามารถถูกอายัดได้ ซึ่งเป็นสาเหตุโดยตรงที่ทำให้ส่วนที่เหลือ 2.4 พันล้านดอลลาร์สหรัฐกระจุกตัวอยู่ใน BTC และ ETH

เส้นทางการโจมตี

การมอบอำนาจแบบ EIP-7702 บน Ethereum

EIP-7702 เปิดตัวพร้อมการอัปเกรด Pectra ของ Ethereum ในเดือนพฤษภาคม 2025 โดยอนุญาตให้บัญชีทั่วไปมอบอำนาจให้สัญญาอัจฉริยะดำเนินการแทนตนเองได้ ตามการวิเคราะห์ของ TRM Labs และ Blockaid ธุรกรรมมอบอำนาจที่ผู้โจมตีส่งเข้ามาประกอบด้วยการมอบอำนาจที่ลงนามล่วงหน้า 50 รายการ ซึ่งสอดคล้องกับหมายเลขลำดับธุรกรรมต่อเนื่อง 50 รายการ เพื่อให้แน่ใจว่าหนึ่งในนั้นอยู่ในสถานะที่ใช้ได้เมื่อถูกดำเนินการ หลังจากที่การมอบอำนาจมีผล hot wallet ของ Binance ได้ดำเนินการเคลียร์ตามตรรกะของสัญญาที่ผู้โจมตี déploy โดยกระบวนการทั้งหมดสิ้นสุดภายในเวลาประมาณสามนาทีครึ่งหลังจากที่การมอบอำนาจมีผล สัญญาที่เกี่ยวข้องถูก déploy ในช่วงเช้าของวันเดียวกัน และเงินทุนเริ่มต้นของที่อยู่ที่เกี่ยวข้องมาจากการถอนเงินจำนวนเล็กน้อยจากบริการผสมเหรียญ

กลไกนี้อธิบายได้ว่าทำไม "ไม่พบการรั่วไหลของ private key" และ "กระเป๋าเงินถูกเทออกจนหมด" จึงเกิดขึ้นพร้อมกันได้ การมอบอำนาจเองจำเป็นต้องมีลายเซ็นที่ถูกต้องจากกระเป๋าเงินหนึ่งรายการ แต่ผู้โจมตีเพียงต้องการให้คำขอลงนามได้รับการอนุมัติ โดยไม่จำเป็นต้องเข้าถึง private key เอง Blockaid จึงตัดสินลักษณะของเหตุการณ์ว่าเป็นการใช้คีย์ผิดวัตถุประสงค์ของโครงสร้างพื้นฐานการลงนาม

การโอนออกบนอีกเก้าเชนไม่สามารถอธิบายได้ด้วยกลไกเดียวกัน

การโอนออกที่ TRM Labs นับ统计ครอบคลุมสิบเชน โดย Ethereum ประมาณ 3.79 พันล้านดอลลาร์สหรัฐ ประกอบด้วย ETH 200,630 เหรียญและ USDT ประมาณ 1.875 พันล้านเหรียญ; บิตคอยน์ 18,270 เหรียญ ประมาณ 1.47 พันล้านดอลลาร์สหรัฐ; TRON ประมาณ 628 ล้านดอลลาร์สหรัฐ; XRP 2,334,600 เหรียญบน XRP Ledger ประมาณ 296 ล้านดอลลาร์สหรัฐ; SOL 970,500 เหรียญบน Solana ประมาณ 96 ล้านดอลลาร์สหรัฐ; Arbitrum, Optimism และ Base รวมกันประมาณ 39 ล้านดอลลาร์สหรัฐ; Avalanche ประมาณ 28 ล้านดอลลาร์สหรัฐ; Polygon ประมาณ 10 ล้านดอลลาร์สหรัฐ นอกเหนือจาก Ethereum การโอนออกบนเชนอื่นๆ ล้วนเป็นการโอนเงินด้วยลายเซ็นปกติ ซึ่ง EIP-7702 ไม่สามารถใช้ได้บนเชนเหล่านี้ TRM Labs จึงประเมินว่าเป็นไปได้มากกว่าว่าโครงสร้างพื้นฐานการลงนามของ hot wallet ถูกควบคุมทั้งหมด

ข้อสรุปเบื้องต้นอย่างเป็นทางการ

Binance ระบุในแถลงการณ์เมื่อวันที่ 30 ตุลาคม เวลา 02:25 UTC ว่าการสอบสวนเบื้องต้นบ่งชี้ว่าเหตุการณ์อาจเกี่ยวข้องกับแล็ปท็อปของวิศวกร DevOps ที่ถูกบุกรุก ซึ่งทำให้ผู้โจมตีเข้าสู่คอนเทนเนอร์บริการและส่งธุรกรรมการถอนเงินที่ไม่ได้รับอนุญาต พร้อมระบุว่าไม่พบหลักฐานการรั่วไหลของ private key ของกระเป๋าเงินใดๆ Binance ระบุว่าได้เพิกถอนการมอบอำนาจของที่อยู่ที่เกี่ยวข้องแล้ว และจะอัปเดตข้อมูล Proof of Reserve หลังจากซ่อมแซมเสร็จสิ้น พร้อมทั้งจะเผยแพร่รายงานการวิเคราะห์ทางเทคนิคฉบับสมบูรณ์แยกต่างหาก ณ เวลา 07:00 UTC ของวันที่ 30 ตุลาคม รายงานการวิเคราะห์ดังกล่าวยังไม่ได้รับการเผยแพร่

การระบุผู้กระทำ

TRM Labs ระบุผู้กระทำด้วยความมั่นใจสูงว่าเป็นกลุ่มแฮกเกอร์เกาหลีเหนือ TraderTraitor โดยอ้างอิงจากข่าวกรองบนเชนและนอกเชน รวมถึงความคล้ายคลึงกับเหตุการณ์ Bybit เมื่อเดือนกุมภาพันธ์ 2025 และเหตุการณ์ KelpDAO เมื่อเดือนเมษายน 2026 ในด้านการเติมเงินจำนวนเล็กน้อยผ่านบริการผสมเหรียญและเทคนิคการลงนามล่วงหน้า นักสืบสวนบนเชน ZachXBT และ Blockaid ก็ชี้ไปในทิศทางเกาหลีเหนือเช่นกัน ปัจจุบันยังไม่มีการยืนยันอย่างเป็นทางการจากหน่วยงานบังคับใช้กฎหมาย

ผลกระทบที่แท้จริงต่อผู้ใช้

สถานะการให้บริการ

Binance ระงับการถอนเงินเมื่อวันที่ 29 ตุลาคม เวลา 22:15 UTC และระงับการฝากเงินเมื่อวันที่ 30 ตุลาคม เวลา 00:07 UTC He Yi ประธานเจ้าหน้าที่บริหารร่วม ระบุในข้อมูลอัปเดตบริการเมื่อวันที่ 30 ตุลาคม เวลา 04:17 UTC ว่าการถอนเงินจะยังคงถูกระงับจนกว่าทีมจะดำเนินการปรับปรุงความปลอดภัยของบริการถอนเงินและที่อยู่ที่เกี่ยวข้องเสร็จสิ้น โดยคาดว่าจะเริ่มกลับมาให้บริการได้ภายใน 48 ชั่วโมง ซึ่งหน้าต่างเวลานี้ตรงกับช่วงเวลาประมาณ 04:17 UTC ของวันที่ 1 พฤศจิกายน ข้อมูลอัปเดตเดียวกันระบุว่าการฝากเงินไม่ได้รับผลกระทบและดำเนินการตามปกติ Binance ระบุในการประกาศเมื่อเวลา 00:07 UTC และ 02:25 UTC ว่าการฝากเงินอยู่ในสถานะถูกระงับ ซึ่งแตกต่างจากถ้อยแถลงเมื่อเวลา 04:17 UTC และบริษัทไม่ได้ชี้แจงถึงความแตกต่างนี้ ณ เวลา 07:00 UTC ของวันที่ 30 ตุลาคม การหยุดชะงักของการถอนเงินได้ดำเนินมาแล้วประมาณเก้าชั่วโมง หากการฟื้นฟูเสร็จสิ้นตามหน้าต่าง 48 ชั่วโมง ระยะเวลาหยุดชะงักทั้งหมดนับจากเริ่มระงับจะอยู่ที่ประมาณ 54 ชั่วโมง ไม่มีประกาศระงับการซื้อขาย spot และฟิวเจอร์สในช่วงเวลานี้

การรับผิดชอบความเสียหาย

Binance ระบุในประกาศว่าจะรับผิดชอบความเสียหายทั้งหมดด้วยกองทุน SAFU และเงินทุนของบริษัท พร้อมยืนยันว่าสินทรัพย์ของผู้ใช้ปลอดภัย Changpeng Zhao ผู้ก่อตั้ง ระบุบนแพลตฟอร์มโซเชียลว่าในฐานะผู้ถือหุ้นเขาคาดว่าเงินทุนของผู้ใช้จะได้รับการคุ้มครองทั้งหมด และกล่าวว่าขนาดความเสียหายอาจสูงกว่าที่รายงานไว้ในเบื้องต้นเล็กน้อย ตามข้อมูลของ DefiLlama สินทรัพย์บนแพลตฟอร์ม Binance ก่อนเกิดเหตุการณ์อยู่ที่ประมาณ 1.44 แสนล้านดอลลาร์สหรัฐ โดยมูลค่าที่ได้รับผลกระทบคิดเป็นประมาณ 4.4% ของจำนวนดังกล่าว Evgeny Gaevoy ประธานเจ้าหน้าที่บริหารของ Wintermute ซึ่งเป็น market maker กล่าวว่าหากคิดเป็นสามถึงสี่เท่าของขนาดปัจจุบัน Binance ยังคงสามารถรองรับได้ ทั้ง Wintermute และ GSR เปิดเผยว่ามี exposure อยู่บน Binance โดย GSR ระบุว่าต่ำกว่า 5% ของส่วนได้เสียสุทธิของตน และ Wintermute ระบุว่าต่ำกว่า 20% ทั้งสองแห่งไม่ได้เปิดเผยมูลค่าที่แน่ชัด

ปฏิกิริยาของตลาด

ในคืนเกิดเหตุการณ์ ตลาดปรับตัวลงแตะระดับต่ำสุดในรอบหกสัปดาห์ ณ เวลา 01:19 UTC ของวันที่ 30 ตุลาคม บิตคอยน์ซื้อขายอยู่ที่ประมาณ 76,937 ดอลลาร์สหรัฐ ลดลง 4.9% ภายในยี่สิบสี่ชั่วโมง; อีเธอเรียมลดลง 5.7% มาอยู่ที่ประมาณ 2,211 ดอลลาร์สหรัฐ; BNB ลดลงประมาณ 8% มาอยู่ที่ประมาณ 693 ดอลลาร์สหรัฐ; AAVE ลดลง 11.3% และ UNI ลดลง 10.7% บิตคอยน์แตะระดับต่ำสุดระหว่างวันที่ประมาณ 76,650 ดอลลาร์สหรัฐ หลังจากนั้นตลาดได้ฟื้นตัวบางส่วน ตามข้อมูลของ CoinGecko ณ เวลา