แฮกเกอร์เกาหลีเหนือขโมยคริปโตมูลค่า 7.61 พันล้านดอลลาร์โดยโจมตีระบบการเซ็น

ระหว่างเดือนมกราคมถึงตุลาคม 2026 ปฏิบัติการของเกาหลีเหนือได้ดูดทรัพย์สินดิจิทัลประมาณ 7.61 พันล้านดอลลาร์ผ่านเหตุการณ์แยกกัน 38 ครั้ง ตามรายงานของบริษัทข่าวกรองบล็อคเชน BitOK แทนที่จะใช้ประโยชน์จากช่องโหว่ของซอฟต์แวร์ การละเมิดที่ใหญ่ที่สุด 6 ครั้งเกี่ยวข้องกับการควบคุมบุคคลและโครงสร้างพื้นฐานที่รับผิดชอบในการอนุมัติการถอน

การอายัดและการยึดทรัพย์สินกู้คืนได้ 2.86 พันล้านดอลลาร์ ทำให้ 4.75 พันล้านดอลลาร์ไม่สามารถเข้าถึงได้โดยเจ้าหน้าที่ Binance คิดเป็น 6.41 พันล้านดอลลาร์ของจำนวนทั้งหมด ในขณะที่การโจรกรรมเล็กๆ 32 ครั้งที่มุ่งเป้าไปที่บุคคลและบริษัทมีมูลค่ารวม 178.4 ล้านดอลลาร์

ทำไมการตรวจสอบโค้ดจึงไม่สามารถหยุดแฮกเกอร์เกาหลีเหนือได้

รายงานของ BitOK ระบุว่าการถอนทุกครั้งในเหตุการณ์ใหญ่ที่สุด 6 ครั้งมีการเซ็นที่ถูกต้องตามกฎหมายหรือผ่านการตรวจสอบความถูกต้องมาตรฐาน ที่ Binance การละเมิดเกิดจากแล็ปท็อปของวิศวกร DevOps และคอนเทนเนอร์ที่ใช้สำหรับบริการเซ็น

การค้นพบนี้สอดคล้องกับข้อมูลเชิงลึกก่อนหน้านี้เกี่ยวกับ วิธีการที่การแฮ็กเกิดขึ้น ในเดือนตุลาคม ในกรณีอื่นๆ ผู้โจมตีทำลายผู้เซ็นแบบหลายลายเซ็นที่ Drift ซึ่งเป็นแพลตฟอร์มเทรดบน Solana, ผู้ตรวจสอบความถูกต้องเดี่ยวที่บริดจ์ของ KelpDAO, และระบบกระเป๋าเงินที่ Bitget

ก่อนการปล้นแต่ละครั้ง ผู้กระทำได้ทดสอบวิธีการที่แน่นอนโดยใช้จำนวนเงินเล็กน้อย สัญญาการโจมตีของ Binance ตัวอย่างเช่น ทำงานต่อสาธารณะสี่ชั่วโมงก่อนการขโมย

ช่วงเวลาของกิจกรรมบ่งบอกถึงวันทำงานมาตรฐาน ในตัวอย่างธุรกรรม 540 รายการ 48% เกิดขึ้นระหว่างเวลา 16.00 น. ถึง 21.00 น. ตามเวลาเปียงยาง

ผู้ปฏิบัติงานยังหยุดในวันหยุดสาธารณะของเกาหลีเหนือ โดยไม่มีธุรกรรมบันทึกในวันเหล่านั้น กิจกรรมในวันเสาร์ อาทิตย์ และจันทร์รวมกันคิดเป็นเพียง 10% ของธุรกรรมทั้งหมด

อย่างไรก็ตาม เมื่อการโจมตีเริ่มขึ้น รูปแบบก็เปลี่ยนไป สคริปต์อัตโนมัติเข้ามาควบคุม และการเคลื่อนย้ายเงินทุนดำเนินต่อไปตลอด 24 ชั่วโมง

นาทีในการสลับ วันในการหายไป

ความเร็วเป็นตัวกำหนดว่าสิ่งใดยังคงถูกอายัดได้ ภายในไม่กี่นาที แฮกเกอร์เกาหลีเหนือแปลง stablecoins เป็น ETH หรือยืม ETH โดยใช้หลักประกันที่ถูกขโมย เนื่องจากไม่มีผู้ออกที่สามารถอายัด ETH ได้

หลังจากการ แฮ็กบริดจ์ rsETH ในเดือนเมษายน ETH 52,440 ตัวแรกออกจากโปรโตคอลการให้ยืมในเวลาเพียงแปดนาทีเศษ เงินเหล่านั้นยังคงนิ่งอยู่เป็นเวลา 2.5 ถึง 5 วันก่อนที่สคริปต์จะย้ายผ่าน THORChain ซึ่งเป็นโปรโตคอลสลับข้ามเชน

การฟอกเงินมีราคาถูก ในการสลับที่เชื่อมโยงกับ Binance 2,257 รายการมูลค่ารวม 55.8 ล้านดอลลาร์ ค่าใช้จ่ายรวมสูงถึงเพียง 0.50%

การอายัดมีผลเฉพาะในกรณีที่ stablecoins ยังไม่ได้ถูกย้าย ที่ Binance 43% ของทรัพย์สินที่ถูกขโมยถูกอายัดหรือยึด เทียบกับ 6% จากการโจมตีหลักอื่นๆ ทั้งหมดรวมกัน

แม้แต่ที่ Binance ช่วงเวลาก็สร้างปัญหา Tether ได้รับคำขออายัดครั้งแรก 34 นาทีหลังจากการถอนของ Binance ณ จุดนั้น USDT 345 ล้านได้ออกจากที่อยู่เดิมไปแล้ว

ETH 0.27 ตัวที่หลุดมาเชื่อมโยงการโจมตี 5 ครั้งเข้าด้วยกัน

ลิงก์ที่แข็งแกร่งที่สุดมาจากความผิดพลาดในการทำความสะอาด หลังจากย้าย ETH 5,047 ตัวผ่าน Umbra ซึ่งเป็นเครื่องมือความเป็นส่วนตัวแบบซ่อนที่อยู่ และบริดจ์ Stargate ผู้ปฏิบัติงานได้รวบรวมเศษเงินที่เหลือเข้าไปในกระเป๋าเงินเดียว

ในวันที่ 31 สิงหาคม ที่อยู่ 150 แห่งเทเงินเข้าไปในตัวรวบรวมนั้นภายใน 3 นาที 36 วินาที การกวาดนั้นเชื่อมโยงการขโมยของ AFX และวันที่ 28 สิงหาคม และที่อยู่ของ Bitget ตามมาในเดือนกันยายน โดยรวมแล้ว กระเป๋าเงินได้รับเพียง 0.27 ETH

ที่อยู่การชำระเงินร่วมกันในขณะนี้เชื่อมโยงการโจมตีห้าครั้งโดยแฮกเกอร์เกาหลีเหนือ ตั้งแต่ KelpDAO ในเดือนเมษายนถึง Binance ในเดือนตุลาคม BitOK กล่าวว่าสิ่งนี้บ่งชี้ถึงผู้ปฏิบัติการฟอกเงินรายเดียว แม้ว่าทีมต่างๆ อาจเป็นผู้ดำเนินการแฮ็ก

“ยอดคงเหลือเล็กน้อยที่เหลือกลายเป็นร่องรอยที่ชัดเจนที่สุดของผู้ปฏิบัติงานในปีนี้” BitOK กล่าว

คีย์การเซ็นเป็นพื้นผิวการโจมตีใหม่

Chainalysis ได้ เชื่อมโยงการขโมยของ Bitget กับเกาหลีเหนือในเดือนตุลาคมแล้ว ข้อมูลของ BitOK เปิดเผยว่าแฮกเกอร์เกาหลีเหนือทำซ้ำแผนเดียวข้ามกระดานเทรดและโปรโตคอล DeFi

ช่องโหว่ได้เปลี่ยนจากสัญญาอัจฉริยะไปยังพนักงาน อุปกรณ์ และบริการเซ็น การอายัดของผู้ออกช่วยได้เฉพาะในนาทีแรกเท่านั้น และ Binance ได้ ครอบคลุมความเสียหายของผู้ใช้ส่วนใหญ่ จากทุนสำรองของตนเองแล้ว