เรียบเรียง & เขียนโดย：KarenZ，Foresight News

ในเดือนมิถุนายน วิศวกรคนหนึ่งของกระเป๋าเงิน Binance ได้ค้นหาเครื่องมือเขียนโปรแกรม AI บน搜索引擎 และดาวน์โหลดแพ็กเกจซอฟต์แวร์ที่ถูกดัดแปลง；หลายเดือนต่อมา วิศวกรอีกคนหนึ่งได้เข้าร่วมการสัมภาษณ์ออนไลน์ และดาวน์โหลดโค้ดแบบฝึกหัดตามคำขอของผู้สัมภาษณ์；อีกหนึ่งเดือนถัดมา ผู้โจมตีสามารถควบคุมคอมพิวเตอร์ของทั้งสองคนผ่านเครื่องมือ AI ภายในองค์กร และค้นพบข้อมูลรับรองสิทธิ์เข้าถึงโครงสร้างพื้นฐานหลัก

นี่ไม่ใช่ภาพยนตร์เกี่ยวกับความปลอดภัยไซเบอร์ แต่เป็นเส้นทางการโจมตีที่ Binance ได้เปิดเผยในรายงานการสอบสวนเบื้องต้นเกี่ยวกับเหตุการณ์ด้านความปลอดภัยเมื่อวันที่ 29 ตุลาคม ซึ่งเผยแพร่เมื่อวันที่ 3 พฤศจิกายน

เหตุการณ์ครั้งนี้เกี่ยวข้องกับสินทรัพย์ดิจิทัลมูลค่าประมาณ 6.34 พันล้านดอลลาร์สหรัฐ Binance ระบุว่าผู้โจมตีใช้การเข้าถึงบริการลงนามกระเป๋าเงินภายในโดยไม่ได้รับอนุญาต เพื่อ发起ธุรกรรมนอกกระบวนการถอนเงินปกติ สำนักงานสอบสวนกลางสหรัฐ (FBI) ได้ระบุว่าเหตุการณ์ครั้งนี้เกี่ยวข้องกับเกาหลีเหนือ

แต่หากให้ความสนใจเพียงการโอนสินทรัพย์ที่เกิดขึ้นในที่สุด ก็อาจมองข้ามส่วนที่น่ากังวลที่สุดของการโจมตีครั้งนี้ นั่นคือ ผู้โจมตีไม่ได้บุกเข้า Binance อย่างกระทันหันในวันที่ 29 ตุลาคม แต่เริ่มค้นหาจุดเข้าตั้งแต่หลายเดือนก่อนหน้า ค่อยๆ ติดเชื้ออุปกรณ์ของพนักงาน ได้รับความสามารถในการเข้าถึงภายใน แล้วใช้เครื่องมือภายในองค์กรเข้าใกล้โครงสร้างพื้นฐานกระเป๋าเงิน

Binance เรียกกระบวนการนี้ว่า การโจมตีหลายขั้นตอน (Multi-stage Campaign) และระบุชัดเจนว่าไม่ใช่การบุกรุกระบบแบบโดดเดี่ยว และไม่ใช่การโจมตีแบบฟิชชิงง่ายๆ

จากการโจมตีห่วงโซ่อุปทานในเดือนมิถุนายน ไปจนถึงการรับสมัครงานปลอมในเดือนกันยายน และการใช้เครื่องมือ AI ภายในเพื่อขยายขอบเขตการเข้าถึงในเดือนตุลาคม ผู้โจมตีได้ดำเนินการแทรกซึมแบบผสมผสานที่มุ่งเป้าบุคลากร อุปกรณ์ ซอฟต์แวร์ และระบบสิทธิ์

ห่วงโซ่การโจมตีนี้ยังเป็นสัญญาณเตือนสำหรับอุตสาหกรรมคริปโตทั้งหมด เมื่อความปลอดภัยของสินทรัพย์หลักของ-exchange เชื่อมโยงกับเครื่องมือพัฒนาที่พนักงานใช้ในชีวิตประจำวัน แอปพลิเคชัน AI และระบบสิทธิ์ภายใน ผู้โจมตีอาจไม่จำเป็นต้องเจาะประตูที่แข็งแกร่งที่สุดก่อน

บางครั้งเพียงแค่ให้พนักงานคนหนึ่งดาวน์โหลดแพ็กเกจซอฟต์แวร์ที่ดูปกติก็เพียงพอ

มิถุนายน：เริ่มจากแพ็กเกจติดตั้ง Homebrew ที่ถูกดัดแปลง

กระบวนการเตรียมการโจมตีที่ Binance เปิดเผยนั้น ย้อนกลับไปได้ถึงเดือนมิถุนายน 2026

ในขณะนั้น วิศวกรคนหนึ่งในทีม Wallet DevOps (วิศวกร A) ค้นหาเครื่องมือเขียนโปรแกรม AI ยอดนิยมบน搜索引擎 และดาวน์โหลดแพ็กเกจติดตั้ง Homebrew ที่ถูกดัดแปลง

Homebrew เป็นเครื่องมือจัดการแพ็กเกจซอฟต์แวร์ที่พบได้ทั่วไป นักพัฒนาสามารถใช้ติดตั้งซอฟต์แวร์และเครื่องมือพัฒนาต่างๆ ได้อย่างรวดเร็ว

แต่หากแพ็กเกจติดตั้งถูกดัดแปลงโดยไม่ชอบ กระบวนการติดตั้งซอฟต์แวร์ที่ปกติอาจกลายเป็นช่องทางให้โค้ดอันตรายเข้าสู่คอมพิวเตอร์ การโจมตีลักษณะนี้เรียกว่า การโจมตีห่วงโซ่อุปทาน (Supply Chain Attack)

แตกต่างจากการโจมตีแบบฟิชชิงทั่วไป การโจมตีห่วงโซ่อุปทานไม่จำเป็นต้องหลอกรหัสผ่านผู้ใช้โดยตรง แต่ซ่อนโค้ดอันตรายไว้ในซอฟต์แวร์ เครื่องมือ หรือกระบวนการอัปเดตที่ผู้ใช้ไว้วางใจ ทำให้ผู้ใช้รันโปรแกรมอันตรายwhileใช้งานซอฟต์แวร์ปกติ

สำหรับนักพัฒนา ความเสี่ยงประเภทนี้ควรได้รับการระมัดระวังเป็นพิเศษ คอมพิวเตอร์ทำงานของพวกเขามักติดตั้งเครื่องมือบุคคลที่สามจำนวนมาก และอาจเก็บข้อมูลรับรองการเข้าถึงที่เก็บโค้ด บริการคลาวด์ และโครงสร้างพื้นฐานภายใน

Binance ระบุว่าทีมความปลอดภัยของบริษัทตรวจพบความผิดปกติในขณะนั้น และได้เปลี่ยนอุปกรณ์ของวิศวกร A พร้อมหมุนเวียนข้อมูลรับรองที่เกี่ยวข้องทั้งหมด

แต่ผู้โจมตีได้เข้าถึงบทบาทการทำงานของวิศวกรคนนี้และบุคลากรที่เกี่ยวข้องในทีมโครงสร้างพื้นฐานกระเป๋าเงินแล้ว

กล่าวอีกนัยหนึ่ง แม้อุปกรณ์จะถูกเปลี่ยนและข้อมูลรับรองจะถูกหมุนเวียน ผู้โจมตีก็ยังอาจค้นหาจุดเข้าอื่นๆ ต่อไป เพื่อพยายามเข้าใกล้ทีมเดียวกัน

กันยายน：การรับสมัครงานปลอมทำให้โค้ดอันตรายเข้าสู่คอมพิวเตอร์ทำงาน

ในเดือนกันยายน ผู้โจมตีเปลี่ยนเป้าหมายไปที่วิศวกรซอฟต์แวร์อีกคนหนึ่ง (วิศวกร B) โดยใช้การโจมตีทางวิศวกรรมสังคมที่หลอกลวงกว่าเดิม

วิศวกร B ได้เปิดเผยประสบการณ์การทำงานของตนบนแพลตฟอร์มหางานที่ถูกต้องตามกฎหมาย รวมถึงประสบการณ์ทำงานที่ Binance จากนั้นมีบุคคลที่อ้างตนเป็นผู้อำนวยการโครงการ (Project Director) ของบริษัทแห่งหนึ่งติดต่อเขาเพื่อเชิญเข้าร่วมการสัมภาษณ์

กระบวนการรับสมัครทั้งหมดถูกออกแบบมาอย่างครบถ้วน

การสัมภาษณ์รอบแรกดำเนินการโดยบุคคลที่อ้างตนเป็น HR ทั้งสองฝ่ายสื่อสารผ่านวิดีโอแบบเรียลไทม์ เพื่อสร้างความไว้วางใจ อีกฝ่ายยังแชร์บัญชีโซเชียลมีเดียซึ่งมีรูปภาพและวิดีโอส่วนตัว

หลังจบรอบแรก ผู้โจมตียังคงดำเนินกระบวนการต่อ

การสัมภาษณ์รอบที่สองย้ายไปยังแอปแชทโซเชียลยอดนิยม ใกล้สิ้นสุด อีกฝ่ายขอให้วิศวกร B ดาวน์โหลดที่เก็บโค้ดชื่อ "Assignment" (แบบฝึกหัด) และรันบนคอมพิวเตอร์ทำงานของเขา

สำหรับวิศวกรซอฟต์แวร์ การดาวน์โหลดโค้ด ตั้งค่าสภาพแวดล้อมการพัฒนา และทำแบบทดสอบทางเทคนิค ถือเป็นขั้นตอนปกติของการรับสมัครงาน

แต่ที่เก็บโค้ดนี้มีโค้ดอันตรายอยู่จริง ตามที่ Binance เปิดเผย ผู้โจมตีใช้เทคนิคการทำให้โค้ดสับสนและการหลบเลี่ยงการตรวจจับ รวมถึงการแทนที่คอมโพเนนต์ของเครื่องมือพัฒนาที่ถูกต้องตามกฎหมายด้วยเวอร์ชันอันตราย ทำให้สามารถรันคำสั่งและสร้างการสื่อสารกับเซิร์ฟเวอร์ภายนอกที่ผู้โจมตีควบคุม

Binance อธิบายว่าเป็นมัลแวร์ zero-day (0-day malware) ซึ่งในขณะนั้นไม่ถูกตรวจพบโดยเครื่องมือป้องกันความปลอดภัยปลายทาง ผู้โจมตียังพยายามซ่อนกิจกรรมอันตรายและลบร่องรอยที่เกี่ยวข้อง เพื่อเพิ่มความยากในการตรวจจับและสอบสวนในภายหลัง

• Binance ยังเปิดเผยการดำเนินการเฉพาะของสคริปต์อันตรายต่อเครื่องมือ pyenv ในคอมพิวเตอร์ของวิศวกร B：
• สร้างไฟล์ pyenv_ ใหม่；
• แทนที่คอมโพเนนต์ pyenv ที่ถูกต้องตามกฎหมายด้วยเวอร์ชันอันตราย；
• ลบไฟล์ที่ถูกต้องตามกฎหมายเดิม；
• เปลี่ยนชื่อไฟล์อันตรายเป็น pyenv；
• ลบจุดเข้าคำสั่งเดิม สร้าง symlink ใหม่ และเริ่ม zsh

pyenv เป็นเครื่องมือจัดการเวอร์ชัน Python ที่พบได้ทั่วไป ผู้โจมตีแทนที่คอมโพเนนต์ที่ถูกต้องตามกฎหมาย ทำให้โปรแกรมอันตรายปลอมตัวเป็นเครื่องมือพัฒนาปกติ เพื่อรันคำสั่งและเชื่อมต่อเซิร์ฟเวอร์ภายนอก

ความ隐蔽ของการโจมตีประเภทนี้อยู่ที่ผู้ใช้อาจยังใช้คำสั่งพัฒนาที่คุ้นเคยได้ตามปกติ แต่ไม่รู้ว่าโปรแกรมเบื้องหลังถูกแทนที่แล้ว

การสัมภาษณ์ทางเทคนิคที่ดูปกติ จึงกลายเป็นช่องทางให้ผู้โจมตีเข้าสู่คอมพิวเตอร์ทำงานของพนักงาน

20 ตุลาคม：เครื่องมือ AI ภายในถูกดึงเข้าสู่ห่วงโซ่การโจมตี

หากสองระยะแรกแก้ปัญหาการเข้าสู่设备的พนักงาน สิ่งที่เกิดขึ้นในวันที่ 20 ตุลาคมหมายความว่าผู้โจมตีเริ่มขยายเข้าสู่ภายในทีมกระเป๋าเงินของ Binance

Binance เปิดเผยว่าผู้โจมตีใช้คอมพิวเตอร์ของวิศวกร B ที่ถูกบุกรุกแล้ว และเครื่องมือ AI ภายในของ Binance ควบคุมคอมพิวเตอร์ของวิศวกร A และวิศวกรซอฟต์แวร์กระเป๋าเงินอีกคน (วิศวกร C) เพิ่มเติม

Binance ไม่ได้เปิดเผยชื่อเฉพาะของเครื่องมือ AI นี้ และไม่ได้ระบุว่าผู้โจมตีใช้ฟังก์ชันใดของมัน ดังนั้นจึงไม่สามารถสรุปได้ว่าโมเดล AI เองมีช่องโหว่ หรือลดทอนเป็นเพียงการโจมตีแบบ prompt injection

แต่สามารถยืนยันได้ว่าเครื่องมือ AI ภายในถูกนำไปใช้ในเส้นทางการขยายขอบเขตการเข้าถึงของผู้โจมตี

เมื่อเครื่องมือ AI เข้าสู่องค์กร พวกมันอาจเชื่อมต่อกับที่เก็บโค้ด ฐานความรู้ สภาพแวดล้อมการพัฒนา และบริการภายในอื่นๆ สิทธิ์การเข้าถึง กลไกการพิสูจน์ตัวตน และบันทึกการดำเนินการที่เครื่องมือมีอยู่ จึงกลายเป็นส่วนหนึ่งของระบบความปลอดภัยขององค์กร

เหตุการณ์ครั้งนี้ยังเปิดเผยปัญหาสำคัญอีกประการหนึ่ง

Binance ระบุว่าผู้โจมตีค้นพบอย่างรวดเร็วว่าคอมพิวเตอร์ของวิศวกร A เก็บโทเค็นสิทธิ์การปรับใช้คอนเทนเนอร์ (Container Deployment Permission Token) ไว้

คอนเทนเนอร์ (Container) คือสภาพแวดล้อมการรันซอฟต์แวร์ที่ค่อนข้างแยกจากกัน ทีมพัฒนาสามารถแพ็กแอปพลิเคชันและ dependencies แล้วปรับใช้กับเซิร์ฟเวอร์หรือคลาวด์

ส่วนโทเค็นสิทธิ์การปรับใช้คอนเทนเนอร์สามารถเข้าใจได้ว่าเป็นบัตรผ่านสำหรับเรียกใช้ความสามารถในการปรับใช้ที่เกี่ยวข้อง ไม่ใช่กุญแจส่วนตัวของกระเป๋าเงิน แต่หากมีสิทธิ์เข้าถึงสภาพแวดล้อมภายในที่สำคัญ ก็อาจกลายเป็นจุดเข้าสู่ระบบหลักต่อไป

ถึงจุดนี้ ผู้โจมตีไม่ได้เพียงควบคุมอุปกรณ์ของพนักงาน แต่ยังค้นพบข้อมูลรับรองสิทธิ์ที่สามารถเชื่อมต่อกับระบบปรับใช้ภายในได้

29 ตุลาคม：จากคอมพิวเตอร์พนักงานถึงบริการลงนามกระเป๋าเงิน

ในวันที่ 29 ตุลาคม การโจมตีเข้าสู่ระยะสุดท้าย

ตามที่ Binance เปิดเผย ในวันนั้นระหว่างเวลา 17:15 ถึง 19:56 (UTC) ผู้โจมตีเข้าสู่ระบบคอมพิวเตอร์ของวิศวกร C ใช้ข้อมูลรับรองที่ขโมยมาจากวิศวกร A ก่อนหน้านี้เพื่อปรับใช้คอนเทนเนอร์ และเรียกใช้สคริปต์อันตราย เริ่มการโจมตีอย่างเป็นทางการ

จากนั้นผู้โจมตีใช้การเข้าถึงบริการลงนามกระเป๋าเงินภายในของ Binance โดยไม่ได้รับอนุญาต เพื่อ发起ธุรกรรมนอกกระบวนการถอนเงินปกติ

Binance ระบุว่าเหตุการณ์ครั้งนี้เกี่ยวข้องกับสินทรัพย์ดิจิทัลมูลค่าประมาณ 6.34 พันล้านดอลลาร์สหรัฐ ผู้โจมตียังใช้กลไกการอนุญาต EIP-7702 ของ Ethereum ทำให้สัญญาอัจฉริยะที่ผู้โจมตีควบคุมได้รับสิทธิ์ดำเนินการบางส่วนต่อกระเป๋าเงินร้อนของ Binance

57 ครั้งของการพยายามโจมตีที่ต้องสงสัยว่าเกี่ยวข้องกับเกาหลีเหนือ：อุตสาหกรรมคริปโตต้องทบทวนขอบเขตความปลอดภัยภายในใหม่

Binance ยังเปิดเผยในรายงานว่าตั้งแต่ปี 2026 ทีมความปลอดภัยของบริษัทได้ตรวจพบและป้องกันเหตุคุกคามทางไซเบอร์ที่ต้องสงสัยว่าเกี่ยวข้องกับเกาหลีเหนือแล้ว 57 ครั้ง

การพยายามโจมตีเหล่านี้เกี่ยวข้องกับการสัมภาษณ์งานปลอม มัลแวร์ที่ปลอมตัวเป็นเครื่องมือพัฒนายอดนิยม แพ็กเกจซอฟต์แวร์และส่วนขยายเบราว์เซอร์ที่ถูกดัดแปลง แอปประชุมวิดีโอปลอม และการขโมยข้อมูลรับรองหรือปรับใช้มัลแวร์เข้าถึงระยะไกลผ่านวิศวกรรมสังคม FBI ยังได้ระบุในประกาศก่อนหน้านี้ว่าเหตุการณ์ของ Binance เกี่ยวข้องกับเกาหลีเหนือ และเรียกกิจกรรมไซเบอร์อันตรายที่เกี่ยวข้องว่า TraderTraitor

นี่หมายความว่าการโจมตีที่มุ่งเป้าองค์กรคริปโตไม่ได้เป็นเพียงการค้นหาช่องโหว่ในสัญญาอัจฉริยะหรือขโมยกุญแจส่วนตัวของผู้ใช้ ผู้โจมตียังคงศึกษาบุคลากรภายในองค์กร สภาพแวดล้อมซอฟต์แวร์ และระบบสิทธิ์อย่างต่อเนื่อง

สำหรับ-exchange เส้นป้องกันความปลอดภัยแบบดั้งเดิมจำเป็นต้องขยายเข้าสู่ภายในเพิ่มเติม

อุปกรณ์ของพนักงานต้องการการแยกและการตรวจสอบที่เข้มงวดขึ้น；เครื่องมือพัฒนาและแพ็กเกจซอฟต์แวร์ต้องตรวจสอบแหล่งที่มา；เครื่องมือ AI ภายในควรปฏิบัติตามหลักสิทธิ์น้อยที่สุด；โทเค็นการปรับใช้คอนเทนเนอร์และข้อมูลรับรองอื่นๆ ไม่ควรเก็บไว้ในอุปกรณ์พนักงานทั่วไปในระยะยาว

ที่สำคัญกว่านั้น แม้บัญชีและอุปกรณ์ของพนักงานจะถูกบุกรุก ก็ไม่ควรปล่อยให้ผู้โจมตีเคลื่อนที่ laterally จากสภาพแวดล้อมการทำงานหนึ่งไปยังระบบลงนามกระเป๋าเงินได้อย่างง่ายดาย

เหตุการณ์ครั้งนี้ไม่ใช่เรื่องง่ายๆ ที่ EIP-7702 หรือเครื่องมือ AI เองมีช่องโหว่ แต่เป็นการโจมตีแบบผสมผสานที่围绕บุคลากร อุปกรณ์ ซอฟต์แวร์ และสิทธิ์

ในอดีต อุตสาหกรรมคริปโตกังวลที่สุดเรื่องการขโมยกุญแจส่วนตัว；ตอนนี้ คำถามที่น่ากังวลกว่าคือ แม้กุญแจส่วนตัวจะไม่รั่วไหล ผู้โจมตีสามารถควบคุมกระบวนการภายในเพื่อให้ระบบดำเนินการที่ไม่ควรทำด้วยตัวเองได้หรือไม่?

นี่อาจเป็นบทเรียนด้านความปลอดภัยที่สำคัญที่สุดที่เหตุการณ์ของ Binance ครั้งนี้ฝากไว้ให้กับอุ