การรับสมัครงานปลอมเพื่อฟิชชิ่ง? Binance เปิดเผยห่วงโซ่การโจมตีทั้งหมดที่เชื่อมโยงกับเกาหลีเหนือ

เนื้อหาต้นฉบับจาก币安官方

เมื่อวันที่ 29 ตุลาคม 2026 Binance ประสบเหตุการณ์ด้านความปลอดภัยที่ร้ายแรงและซับซ้อนสูง ซึ่งไม่ควรเกิดขึ้นเลย เราขออภัยอย่างสุดซึ้งต่อความกังวล ผลกระทบ และความไม่แน่นอนที่เหตุการณ์นี้ก่อให้เกิดแก่ผู้ใช้ พันธมิตร และอุตสาหกรรมทั้งหมด

การปกป้องผู้ใช้คือความรับผิดชอบอันดับแรกของเรา ผลกระทบทางการเงินจากเงินที่ถูกขโมยจะรับผิดชอบโดย Binance และจะไม่ถูกผลักภาระให้ผู้ใช้ เราได้สำรองเงินไว้เกินกว่า 100% ของมูลค่าความเสียหายเพื่อชดเชยการสูญเสีย ณ วันที่ 31 ตุลาคม 2026 สินทรัพย์โทเค็นที่ได้รับผลกระทบ 98% ได้รับการเติมเต็มแล้ว และสามารถตรวจสอบได้บนหน้าการพิสูจน์เงินสำรองของเรา เรากำลังจัดซื้อสินทรัพย์ที่มีสภาพคล่องต่ำซึ่งยังไม่ได้รับการเติมเต็ม

เหตุการณ์นี้ส่งผลกระทบต่อสินทรัพย์ดิจิทัลมูลค่าประมาณ 6.34 พันล้านดอลลาร์สหรัฐ ณ เวลาที่อัปเดตนี้ สินทรัพย์ดิจิทัลมูลค่าประมาณ 2.85 พันล้านดอลลาร์สหรัฐถูกอายัดหรือสกัดกั้นแล้ว โดยจำนวนที่แน่นอนยังต้องตรวจสอบและอาจได้รับผลกระทบจากความผันผวนของราคาตลาด

เราได้ดำเนินการทันทีเพื่อควบคุมเหตุการณ์และเสริมความแข็งแกร่งให้กับระบบที่เกี่ยวข้อง ช่องทางเข้าที่ได้รับการยืนยันว่าถูกใช้ประโยชน์ในการโจมตีครั้งนี้ได้ถูกปิดแล้ว ระบบที่เกี่ยวข้องในเส้นทางการโจมตีได้รับการสร้างใหม่หรือเปลี่ยนทดแทนแล้ว นอกจากนี้เรายังได้ใช้การควบคุมอุปกรณ์ที่เข้มงวดยิ่งขึ้น เสริมการควบคุมความเสี่ยงของบริการกระเป๋าเงิน และขยายการตรวจจับพฤติกรรมผิดปกติที่ขับเคลื่อนด้วย AI

นี่คือรายงานเบื้องต้นของเรา ซึ่งนำเสนอข้อมูลที่เรามีอยู่ในปัจจุบันและการปรับปรุงที่已完成 การสอบสวนยังคงดำเนินอยู่ และผลการสอบสวนของเราจะต้องผ่านการตรวจสอบอิสระเพิ่มเติม เพื่อป้องกันไม่ให้ผู้ไม่ประสงค์ดีใช้ข้อมูลที่เกี่ยวข้องในการวางแผนโจมตี รายละเอียดทางเทคนิคบางส่วนจะยังคงเป็นความลับ เรากำลังเชิญบริษัทความปลอดภัยอิสระมาดำเนินการตรวจสอบเพิ่มเติม

ข้อมูลล่าสุดที่เผยแพร่โดย FBI ระบุว่า สาธารณรัฐประชาธิปไตยประชาชนเกาหลีต้องรับผิดชอบต่อเหตุการณ์นี้

เราเผยแพร่รายงานเบื้องต้นนี้เพราะการเรียนรู้ร่วมกันของอุตสาหกรรมช่วยยกระดับมาตรฐานความปลอดภัย

สิ่งที่เกิดขึ้นเมื่อวันที่ 29 ตุลาคม

การโจมตีลุกลามอย่างรวดเร็วไปยังหลายเครือข่าย

ผู้โจมตีใช้การเข้าถึงบริการลงนามกระเป๋าเงินภายในโดยไม่ได้รับอนุญาต เพื่อ发起ธุรกรรมนอกเหนือจากขั้นตอนการถอนปกติ

ระหว่างเวลา 20:05 ถึง 20:09 UTC กระเป๋าเงินร้อน 5 แห่งของ Binance ได้โอน 233.46 ล้าน XRP ไปยังที่อยู่ที่ผู้โจมตีควบคุม

กระเป๋าเงินร้อนของ Binance บน Solana และ Optimism ได้โอนประมาณ 970,500 SOL และ 44.2 ล้าน OP ไปยังที่อยู่ที่ผู้โจมตีควบคุม

จากนั้น Binance ได้รับการแจ้งเตือนภายในเกี่ยวกับการโอนเงินจำนวนมาก และได้เริ่มการสอบสวนทันที

กระเป๋าเงินร้อนของ Binance ได้โอน 18,270 BTC ไปยังที่อยู่ที่ผู้โจมตีควบคุม

จากนั้นผู้โจมตีได้ใช้บริการลงนามในทางที่ผิดเพื่อใช้กลไกการอนุญาต EIP-7702 ของ Ethereum EIP-7702 อนุญาตให้บัญชีมอบอำนาจการดำเนินการบางอย่างให้กับสัญญาอัจฉริยะโดยไม่ต้องเปิดเผยคีย์ส่วนตัว ในกรณีนี้ ผู้โจมตีใช้กลไกนี้เพื่อมอบสิทธิ์การดำเนินการบางส่วนเหนือกระเป๋าเงินร้อนของ Binance ให้กับสัญญาอัจฉริยะที่ตนควบคุม

Binance ได้เปิดใช้มาตรการควบคุมหลายประการทันที รวมถึงการระงับการถอนเพื่อจำกัดการไหลออกของสินทรัพย์เพิ่มเติม การประสานงานกับพันธมิตรเพื่ออายัดโทเค็นที่ได้รับผลกระทบ และการดำเนินการเพื่อเพิกถอนสิทธิ์ที่ไม่ได้รับอนุญาต ความพยายามเหล่านี้สามารถอายัดสินทรัพย์มูลค่า 2.85 พันล้านดอลลาร์สหรัฐได้รวมกัน

อย่างไรก็ตาม การระงับการถอนเพียงอย่างเดียวไม่สามารถหยุดยั้งการโอนสินทรัพย์ที่ไม่ได้รับอนุญาตทั้งหมดได้ การอนุญาต EIP-7702 ที่เป็นอันตรายมีอยู่บนเชนแล้ว และดำเนินการแยกจากโครงสร้างพื้นฐานการถอนปกติของ Binance ผู้โจมตีได้ส่งธุรกรรมที่ลงนามแล้ว 50 รายการเพื่อจัดการ nonce ของบัญชีและสร้างการมอบอำนาจที่เป็นอันตราย เมื่อการมอบอำนาจถูกสร้างขึ้น ผู้โจมตีก็สามารถโอนสินทรัพย์ต่อไปได้อย่างอิสระจากโครงสร้างพื้นฐานการถอนปกติของ Binance Binance จำเป็นต้องเพิกถอนการอนุญาตบนเชนเหล่านี้ผ่านธุรกรรมเพิ่มเติม

กระบวนการควบคุมยังเกี่ยวข้องกับความซับซ้อนทางเทคนิคอื่นๆ เนื่องจากกระเป๋าเงินร้อนนี้ใช้การคำนวณแบบหลายฝ่าย (MPC) จึงไม่มีคีย์ส่วนตัวเดียวที่สามารถใช้เพิกถอนการอนุญาต EIP-7702 ที่เป็นอันตรายได้ทันที ดังนั้นทีมงานจึงได้พัฒนาและดำเนินการกระบวนการเพิกถอนเฉพาะ ซึ่งต้องใช้เวลาเพิ่มเติม นอกจากนี้ การระงับการถอนและการปิดบริการกระเป๋าเงินร้อนไม่ได้ทำให้การอนุญาตบนเชนที่มีอยู่เป็นโมฆะโดยอัตโนมัติ

ความท้าทายเหล่านี้ทำให้เวลาที่จำเป็นในการควบคุมการโอนสินทรัพย์ที่ไม่ได้รับอนุญาตอย่างเต็มที่ยาวนานขึ้น เรากำลังทบทวนกระบวนการตอบสนองต่อเหตุการณ์ ขอบเขตการครอบคลุมของนโยบายการลงนาม และมาตรการควบคุมกระเป๋าเงินร้อน และมองหาโอกาสในการเสริมสร้างความสามารถในการตอบสนองต่อภัยคุกคามอย่างรวดเร็วในอนาคต

การโอนที่ไม่ได้รับอนุญาตครั้งสุดท้ายเกี่ยวข้องกับ 2,961.9 ETH ซึ่งเสร็จสิ้นบนเชนเมื่อเวลา 23:56 UTC ธุรกรรมดังกล่าวได้ถูกกระจายและอยู่ในสถานะรอดำเนินการก่อนที่จะได้รับการยืนยันในที่สุด หลังจากนั้นไม่พบการโอนที่ไม่ได้รับอนุญาตอื่นใด

เมื่อวันที่ 30 ตุลาคม 2026 เวลา 00:10 UTC Binance ได้ดำเนินการอนุญาตใหม่จากกระเป๋าเงินร้อน Binance14 ไปยังที่อยู่ศูนย์ เพื่อล้างโค้ดการมอบอำนาจ EIP-7702

การเตรียมการโจมตี

การสอบสวนของเราในปัจจุบันบ่งชี้ว่านี่คือปฏิบัติการหลายขั้นตอนที่ซับซ้อน ไม่ใช่ช่องโหว่ด้านความปลอดภัยแบบแยกเดี่ยวหรือเหตุการณ์ฟิชชิงง่ายๆ ผู้โจมตีใช้เทคนิคหลายอย่างร่วมกัน รวมถึงการโจมตีทางวิศวกรรมสังคมผ่านการสัมภาษณ์งานปลอม การดาวน์โหลดมัลแวร์ การบุกรุกเครื่องมือ AI ภายใน การบุกรุกเครื่องปลายทาง และการใช้วิธีการอนุญาตธุรกรรมขั้นสูง

• มิถุนายน 2026 — การโจมตีห่วงโซ่อุปทาน วิศวกร A ของ Wallet DevOps ค้นหาเครื่องมือเขียนโปรแกรม AI ยอดนิยมบน搜索引擎 แล้วดาวน์โหลดตัวติดตั้ง Homebrew ที่ถูกดัดแปลงเพื่อติดตั้งเครื่องมือนั้น หลังจากทีมความปลอดภัยของเราตรวจพบความผิดปกติ เราได้เปลี่ยนอุปกรณ์และหมุนเวียนข้อมูลรับรองที่เกี่ยวข้องทั้งหมดเป็นมาตรการเชิงรุก อย่างไรก็ตาม ตัวตนของวิศวกร A และข้อมูลของเพื่อนร่วมงานที่เกี่ยวข้องในทีมโครงสร้างพื้นฐานกระเป๋าเงินได้ถูกเปิดเผยต่อแฮกเกอร์แล้ว
• ตลอดปี 2026 ทีมความปลอดภัยของ Binance ตรวจพบและสกัดกั้นเหตุการณ์ภัยคุกคามทางไซเบอร์ที่ต้องสงสัยว่าเกี่ยวข้องกับเกาหลีเหนือ 57 ครั้ง การโจมตีเหล่านี้สะท้อนให้เห็นว่าผู้กระทำการที่ได้รับการสนับสนุนจากรัฐเป็นภัยคุกคามต่อเนื่องต่ออุตสาหกรรมคริปโตเคอร์เรนซี วิธีการที่พวกเขาใช้รวมถึงการสัมภาษณ์งานปลอม มัลแวร์ที่ปลอมตัวเป็นเครื่องมือพัฒนายอดนิยม แพ็กเกจซอฟต์แวร์และส่วนขยายเบราว์เซอร์ที่ถูกบุกรุก แอปประชุมวิดีโอปลอม และแคมเปญวิศวกรรมสังคมที่ออกแบบมาเพื่อขโมยข้อมูลรับรองหรือติดตั้งมัลแวร์เข้าถึงระยะไกล
• กันยายน 2026 — การโจมตีทางวิศวกรรมสังคม วิศวกรซอฟต์แวร์ B ได้รับการติดต่อผ่านแพลตฟอร์มหางานที่ถูกต้องตามกฎหมายจากบุคคลที่อ้างตนเป็นผู้อำนวยการโครงการ โปรไฟล์ของวิศวกรซอฟต์แวร์ B บนแพลตฟอร์มนั้นระบุถึงประสบการณ์การทำงานที่ Binance บุคคลที่อ้างตนเป็นผู้อำนวยการโครงการได้นัดสัมภาษณ์รอบแรกโดยมีตัวแทนฝ่ายทรัพยากรบุคคลเป็นผู้ดำเนินการ จากนั้นได้นัดสัมภาษณ์รอบที่สองโดยมีผู้ที่อ้างตนเป็นซีอีโอของบริษัทสมมติ
• ในการสัมภาษณ์รอบแรก ผู้ที่อ้างตนเป็นตัวแทนฝ่ายทรัพยากรบุคคลได้สัมภาษณ์วิดีโอแบบเรียลไทม์กับวิศวกรซอฟต์แวร์ B เพื่อสร้างความไว้วางใจ ผู้สัมภาษณ์ได้แชร์บัญชีโซเชียลมีเดียของตนซึ่งมีรูปภาพและวิดีโอส่วนตัวที่โพสต์บนแพลตฟอร์มดังกล่าว วิธีนี้ล้ำหน้าและหลอกลวงกว่าการโจมตีทางวิศวกรรมสังคมที่เคยพบเห็นมาก่อน
• การสัมภาษณ์รอบที่สองจัดขึ้นในแอปแชทโซเชียลยอดนิยม เมื่อใกล้สิ้นสุดการสัมภาษณ์ วิศวกร B ถูกขอให้ดาวน์โหลด "การบ้าน" ที่มีที่เก็บโค้ดอันตรายลงบนคอมพิวเตอร์ทำงาน โค้ดอันตรายในที่เก็บโค้ดนั้นทำงานระหว่างการตั้งค่าและเริ่มดำเนินกิจกรรมที่ไม่ได้รับอนุญาตหลายอย่าง
• มัลแวร์นี้ใช้เทคนิคการทำให้สับสนและการหลบเลี่ยงที่ซับซ้อน รวมถึงการแทนที่ส่วนประกอบเครื่องมือพัฒนาที่ถูกต้องด้วยเวอร์ชันอันตรายเพื่อรันคำสั่งและสร้างการสื่อสารกับเซิร์ฟเวอร์ภายนอกที่ผู้โจมตีควบคุม ในขณะนั้น เครื่องมือป้องกันความปลอดภัยปลายทางไม่สามารถตรวจพบมัลแวร์ zero-day นี้ได้ ผู้โจมตียังได้ดำเนินการเพื่อปกปิดกิจกรรมอันตรายและลบร่องรอยการบุกรุก ทำให้การตรวจจับและการสอบสวนในภายหลังมีความท้าทายมากขึ้น
• สคริปต์ใช้เทคนิคการทำให้สับสนเพื่อหลบเลี่ยงการตรวจจับด้านความปลอดภัย และดำเนินการตามขั้นตอนต่อไปนี้

สร้าง /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

แก้ไข pyenv_ → 3,414 B

ลบ .../libexec/pyenv (3,344 B) ← ลบ pyenv ที่ถูกต้อง

เปลี่ยนชื่อ pyenv_ → pyenv (3,414 B) ← แทนที่ด้วยเวอร์ชันอันตราย

ลบ /opt/homebrew/bin/pyenv (3,414 B)

ln (สร้าง symlink ใหม่) + เริ่ม zsh

• 20 ตุลาคม 2026 — ใช้เครื่องมือ AI ภายในเป็นฐานปฏิบัติการ ผู้โจมตีใช้คอมพิวเตอร์ที่ถูกบุกรุกของวิศวกร B ควบคุมวิศวกร A ของ Wallet DevOps และวิศวกรซอฟต์แวร์กระเป๋าเงิน C อีกคนผ่านเครื่องมือ AI ภายใน ผู้โจมตีค้นพบอย่างรวดเร็วว่าคอมพิวเตอร์ของวิศวกร A ของ Wallet DevOps มีโทเค็นสิทธิ์การปรับใช้คอนเทนเนอร์
• 29 ตุลาคม 2026 — บุกรุกการดำเนินการลงนามกระเป๋าเงิน ระหว่างเวลา 17:15 ถึง 19:56 ของวันที่ 29 ตุลาคม ผู้โจมตีเข้าสู่ระบบคอมพิวเตอร์ของวิศวกรซอฟต์แวร์ C ใช้ข้อมูลรับรองที่ขโมยมาจากวิศวกร A ของ Wallet DevOps เพื่อปรับใช้คอนเทนเนอร์ และเรียกใช้สคริปต์อันตรายเพื่อ发起การโจมตี

มาตรการที่เราได้ดำเนินการ

ณ วันที่ 3 พฤศจิกายน 2026 เราได้ดำเนินมาตรการดังต่อไปนี้:

• สร้างระบบกระเป๋าเงินที่ได้รับผลกระทบใหม่ในสภาพแวดล้อมใหม่
• สร้างเครื่องมือ AI ภายในที่ได้รับผลกระทบใหม่และเสริมการควบคุมการเข้าถึง
• เปลี่ยนอุปกรณ์ที่ได้รับผลกระทบ
• ปิดใช้งานข้อมูลรับรองและโทเค็นที่เกี่ยวข้องของวิศวกรที่ได้รับผลกระทบ
• สแกนความปลอดภัยที่เสริมความแข็งแกร่งให้กับอุปกรณ์ของพนักงานทุกคนเสร็จสิ้น
• เสริมการตรวจจับพฤติกรรมผิดปกติที่ขับเคลื่อนด้วย AI
• เสริมการควบคุมความเสี่ยงของบริการกระเป๋าเงิน
• ติดตามและอายัดสินทรัพย์ที่ได้รับผลกระทบร่วมกับหน่วยงานบังคับใช้กฎหมาย บริษัทข่าวกรองบล็อกเชน และพันธมิตรในอุตสาหกรรม

ในขณะที่การสอบสวนดำเนินไป เราจะยังคงเสริมความแข็งแกร่งให้กับมาตรการต่างๆ เราได้ดำเนินการและกำลังดำเนินมาตรการด้านความปลอดภัยหลายประการ เพื่อป้องกันไม่ให้ผู้ไม่ประสงค์ดีใช้ข้อมูลที่เกี่ยวข้องมาทำลายความปลอดภัยของเรา มาตรการบางส่วนจะยังคงเป็นความลับต่อไป

มาตรการในอนาคต

เรากำลังดำเนินมาตรการดังต่อไปนี้ทันที

1. การตรวจสอบความปลอดภัยทางไซเบอร์โดยอิสระ

เรากำลังเชิญผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์อิสระจากบุคคลที่สามเพื่อทำการตรวจสอบเหตุการณ์นี้อย่างครอบคลุม ตรวจสอบผลการสอบสวนของเรา และเสนอมาตรการเพิ่มเติม ขอบเขตและผลลัพธ์ของการตรวจสอบจะเป็นพื้นฐานสำหรับงานแก้ไขที่ดำเนินอยู่อย่างต่อเนื่องของเรา

2. เพิ่มการลงทุนในความปลอดภัยและการป้องกันด้วย AI

เรากำลังเพิ่มการลงทุนในการตรวจจับที่ขับเคลื่อนด้วย AI การป้องกันปลายทาง ความปลอดภัยของสภาพแวดล้อมการพัฒนา และการตรวจสอบพฤติกรรมผิดปกติ

3. กองทุนวิจัยด้านความปลอดภัยและโครงการริเริ่มในอุตสาหกรรม

เรากำลังร่วมมือกับบริษัท AI ชั้นนำ ผู้มีส่วนร่วมในอุตสาหกรรม และบริษัทด้านความปลอดภัย เพื่อจัดตั้งกองทุนวิจัยด้านความปลอดภัยและดำเนินโครงการริเริ่มที่มุ่งเน้นความ