การปล้นมูลค่า 6.15 พันล้านดอลลาร์จาก Binance: มันเกิดขึ้นได้อย่างไร

ในช่วงเวลาเพียง 31 นาทีของวันที่ 29 ตุลาคม 2026 เงินประมาณ 6.15 พันล้านดอลลาร์ถูกขโมยจาก Binance — นับเป็นการปล้นที่ใหญ่ที่สุดครั้งหนึ่งในประวัติศาสตร์คริปโต หรืออาจกล่าวได้ว่าในประวัติศาสตร์อินเทอร์เน็ต

ในตอนแรก Binance ประเมินมูลค่าความเสียหายไว้ที่ 6.3 พันล้านดอลลาร์ แต่ BitOK บริษัทวิเคราะห์บล็อคเชน ได้ติดตามธุรกรรมของเงินที่ถูกขโมยไปทีละรายการ และพบว่ามูลค่าที่แท้จริงอยู่ที่ 6.15 พันล้านดอลลาร์ โดยกระจายอยู่ในเก้าบล็อคเชนที่แตกต่างกัน

คีย์ส่วนตัวของกระดานเทรดไม่เคยถูกขโมย กลับกัน ระบบของ Binance เองถูกทำให้อนุมัติการถอนเงิน คำอธิบายด้านล่างจะเล่าถึงการปล้นนี้ตามลำดับเวลา และจะอธิบายคำศัพท์เทคนิคเมื่อปรากฏขึ้น ไทม์สแตมป์ทั้งหมดเป็นเวลา UTC

พื้นฐาน: การย้ายเงินของกระดานเทรด

กระดานเทรดจะเชื่อมต่อกระเป๋าออนไลน์ของมัน หรือที่รู้จักในชื่อฮอตวอลเล็ต เข้าด้วยกัน เพื่อให้การถอนเงินสามารถดำเนินการได้อย่างรวดเร็ว

การเซ็น (Signing). การโอนเงินทุกครั้งจำเป็นต้องได้รับการอนุมัติจากคีย์ส่วนตัวของกระเป๋าเงิน ซึ่งเป็นหมายเลขลับ กระดานเทรดพึ่งพาระบบอัตโนมัติเพื่อเซ็นการจ่ายเงินหลายพันรายการในแต่ละวัน

Nonces คือตัวนับธุรกรรมของกระเป๋าเงินบน Ethereum ในกระเป๋าที่มีการทำธุรกรรมบ่อย ค่า nonce จะเพิ่มขึ้นเรื่อยๆ

เหรียญที่อายัดได้ (Freezable coins). ผู้ออกเหรียญ stablecoin เช่น Tether (USDT) และ Circle (USDC) สามารถอายัดที่อยู่ในกระเป๋าได้ ส่วนเหรียญเนทีฟ เช่น BTC, ETH หรือ TRX ไม่มีใครสามารถอายัดได้

28 ตุลาคม: การเตรียมการก่อนการแฮ็ก

ธุรกรรมบนบล็อคเชนแต่ละรายการมีค่าธรรมเนียมเล็กน้อย เพื่อเติมเงินเข้าในกระเป๋าโดยไม่ทิ้งรอย ในตอนนี้ ผู้โจมตีได้ใช้ Tornado Cash มิกเซอร์ที่รวมเหรียญของผู้ใช้หลายคนเข้าด้วยกัน และทำให้ไม่สามารถเชื่อมโยงการถอนเงินกลับไปยังเงินฝากได้ การถอนเงินจาก Tornado Cash หกรายการเป็นเงินทุนให้กระเป๋าของผู้ควบคุมและกระเป๋าช่วยงานอีกสองใบ

29 ตุลาคม, 02:28–16:47 UTC: การซ้อมใหญ่สองครั้ง

ก่อนเข้าใกล้ Binance ผู้โจมตีได้ซ้อมกับกระเป๋าของตัวเอง เหมือนกับที่ขโมยอาจทดลองไขกุญแจที่ประตูบ้านตัวเอง

เครื่องมือที่ใช้คือสมาร์ทคอนแทรคต์ ซึ่งเป็นโปรแกรมบน Ethereum ที่การทำงานถูกกำหนดโดยโค้ดอย่างสมบูรณ์ สัญญานี้ถูกสร้างขึ้นเพื่อระบายเงินจากกระเป๋าใดๆ ที่ได้อนุญาตให้มันดำเนินการในนามของกระเป๋านั้น (ฟีเจอร์ EIP-7702 ของ Ethereum อนุญาตการมอบหมายสิทธิ์นี้ รายละเอียดจะกล่าวถึงด้านล่าง)

• 02:28 — เวอร์ชันทดสอบของสัญญาแบบระบายเงินถูกเผยแพร่โดยผู้โจมตี
• 13:51–14:24 — ซ้อมครั้งแรก USDT และ USDC จำนวนเล็กน้อยถูกโอนไปยังกระเป๋าสองใบที่เป็นของผู้โจมตี สัญญาทดสอบได้รับสิทธิ์เหนือกระเป๋าเหล่านั้น และมันถูกเรียกใช้งาน กระเป๋าทั้งสองหมดเกลี้ยง พิสูจน์ว่าเครื่องมือใช้ได้ผล
• 15:59 — เวอร์ชันสุดท้าย ซึ่งต่อมาถูกใช้กับ Binance ได้รับการเผยแพร่
• 16:20–16:47 — การทดสอบถูกทำซ้ำกับเวอร์ชันสุดท้าย

เวอร์ชันสุดท้ายมีความสามารถเพิ่มเติมหนึ่งอย่าง: มันสามารถสั่งให้กระเป๋าทำอะไรก็ได้ ไม่ใช่แค่โอนโทเค็น คืนนั้น ความสามารถนี้ถูกใช้เพื่อสั่งให้กระเป๋าเงินของ Binance ปล่อย 823 ล้าน USDC เครื่องมือที่พอดีกันอย่างแม่นยำนี้บ่งชี้ว่าผู้โจมตีเข้าใจแล้วว่ากระเป๋าเงินของ Binance ถูกเชื่อมต่ออย่างไร

“ความแตกต่างระหว่างสองเวอร์ชันนั้นสำคัญมาก สัญญาหมฦต่างรวมฟังกชันที่สามารถเรียกฟังกชันตามอ closeใจในนามของกระเป๋าที่มอบการควบคุมให้มัน ผู้โจมตีใช้ฟังกชันนั้นในภายหลังเพื่อระบาย 823 ล้าน USDC จากสมาร์ตวอลเล็ตของ Binance” BitOK อธิบาย

29 ตุลาคม, 20:04 UTC: การระบายเงิน 31 นาที

ระหว่างเวลา 20:04:52 ถึง 20:35:53 ฮอตวอลเล็ตของ Binance บน XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum และ Avalanche ถูกเทจนเกลี้ยง ของที่ถูกขโมยประกอบด้วย:

• 18,270.2 BTC,
• 197,540 ETH,
• 2.49 พันล้าน USDT,
• 823 ล้าน USDC,
• 233.46 ล้าน XRP,
• 970,522 SOL และโทเค็นอื่น ๆ อีกหลายสิบชนิด

ทุกการเคลื่อนย้ายมีลายเซ็นของกระเป๋าเงินของ Binance เอง BitOK จำมันได้จากพฤติกรรมปกติ: ค่าธรรมเนียมสูงกว่าระดับปกติ 2 ถึง 2.7 เท่า รูปแบบธุรกรรมที่ซอฟต์แวร์จ่ายเงินของ Binance ไม่ได้ใช้ และบน Ethereum การแทรกการโอนปลอมในระหว่างการจ่ายเงินจริงของลูกค้า

ผู้โจมตีสามารถเข้าไปในระบบผ่านแล็ปท็อปของวิศวกร DevOps จากนั้นส่งคำสั่งถอนเงินปลอมโดยใช้เซอร์วิสคอนเทนเนอร์ ซึ่งเป็นโปรแกรมที่บรรจุไว้ ทำงานภายในระบบของ Binance

20:20 UTC: กลลวง 50 กุญแจ

กลยุทธ์ที่ฉลาดที่สุดในคืนนั้นเกิดขึ้นเมื่อเวลา 20:20 เป้าหมายคือฮอตวอลเล็ตบน Ethereum ที่ทำงานหนักซึ่งรู้จักในชื่อ Binance 14

แผนการ ด้วยฟีเจอร์ EIP-7702 กระเป๋าสามารถเซ็นใบอนุญาต ซึ่งเป็นใบยินยอมที่อนุญาตให้สมาร์ทคอนแทรคต์ดำเนินการในนามของมัน หาก Binance 14 ได้เซ็นใบอนุญาตที่ระบุชื่อสัญญาของผู้โจS โวกระเป๋านั้นจะตกอยู่ภายใต้การควบคุมของผู้โจжды

ปัญหา ใบอนุญาตจะใช้ได้ก็ต่อเมื่อมันมีหมายเลขธุรกรรมปัจจุบันของกระเป๋า หรือ nonce Binance 14 ให้บริการลูกค้าตลอดเวลา ดังนั้นหมายเลขนี้จึงเปลี่ยนแปลงเสมอ ใบอนุญาตที่มีหมายเลขล้าสมัยจะถูกมองข้าม

กลลวง เมื่อเวลา 20:20:59 ผู้โจметиทำให้ระบบเซ็นของ Binance สร้างใบอนุญาต 50 ใบพร้อมกัน แต่ละใบมีหมายเลขต่างกัน มันเหมือนกับการลองใส่ 50 ลูกกุญแจในแม่กุญแจเดียวกันในครั้งเดียว: แค่ลูกเดียวที่พอดีก็เพียงพอแล้ว และครั้งนี้มีหนึ่งลูกที่พอดี จากนั้น Binance 14 ก็ปฏิบัติตามคำสั่งจากสัญญาของผู้โПока ьขณะที่ยังทำงานตามปกติ ทำให้เงินเข้ามาอย่างต่อเนื่อง

ผลตอบแทน ไม่กี่นาทีต่อมา ธุรกรรมเดียวระบายโทเค็นที่แตกต่างกัน 65 ชนิดมูลค่ามากกว่า 2.2 พันล้านดอลลาร์ รวมถึง 1.615 พันล้าน USDT และ 167,464 ETH เมื่อเวลา 20:41 และ 20:59 สัญญายังสั่งให้กระเป๋าเงินใบที่สองของ Binance ส่งออก 823 ล้าน USDC

Binance 16 ฮอตวอลเล็ตอีกใบถูกปล้นในลักษณะที่ตรงไปหน้ามากกว่า การโอนปลอมจำนวนเก้าสาชการถูกป้อนเข้าสู่ระบบของ Binance เซ็น แล้วถูกส่งออกไปพร้อมกับการจ่ายเงินของลูกค้าจริง พวกมันย้าย 28,005.6 ETH และ 55.7 ล้าน USDT

20:30–21:14 UTC: การแข่งขันเพื่อเปลี่ยนเป็นเหรียญที่อายัดไม่ได้

บน Ethereum ที่อยู่รับหลักสูญเสีย 500 ล้าน USDT ภายในระยะเวลาหกนาที ระหว่างเวลา 20:34 ถึง 21:09 ผู้โจม正使用 Uniswap ซึ่งเป็นดีเซ็นทรัลไลซ์เอกซ์เช้นจ์ที่ควบคุมโดยโค้ด ในการแลกเปลี่ยน 435 ล้าน USDT เป็น ETH ส่วนอีก 60 ล้าน USDT ถูกส่งเข้าไปยัง Aave โปรโตคอลการให้ยืม ซึ่งใช้เป็นหลักประกันเพื่อกู้ 19,762 ETH โดยทิ้งหลักประกันที่อายัดได้ไว้เบื้องหลัง

บน Tron มี 612.7 ล้าน USDT ออกจากกระเป๋า Binance-Hot 7 ในการเทรด 16 ครั้งบน SunSwap ดีเซ็นทรัลไลซ์เอกซ์เชйнจ์หลักของ Tron 234 ล้าน USDT ถูกแปลงเป็น 638.2 ล้าน TRX

การแข่งขันการอายัด

การอายัด USDT โดย Tether จำเป็นต้องมีการอนุมัติสามรายการจากกระเป๋าลายเซ็นหลายชุดของมัน หมายความว่าต้องมีหลายลายเซ็น การอายัดแต่ละครั้งอาจใช้เวลานานถึง 2 นาที 36 วินาที และคำขอที่รอการดำเนินการนั้นปรากฏให้เห็นบนเชน ผู้โจหัวสามารถเห็นว่าการอายัดกำลังจะเกิดขึ้นและลงมือก่อน: กระเป๋าหนึ่งย้าย 130 ล้าน USDT เพียง 48 วินาทีก่อนถูกอายัด อย่างไรก็ตาม ที่ที่อยู่หนึ่งแห่ง ความลังเลทำให้เสีย USDT มูลค่าเกือบ 175 ล้าน

ธุรกรรมเดียวอายัด USDC จำนวน 823 ล้านทั้งหมดในขณะที่มันยังอยู่ในที่อยู่เดียว

ยอดรวมการอายัดที่เกิดจาก Tether และ Circle:

• Ethereum USDT: 1.38 พันล้านดอลลาร์
• Ethereum USDC: 823 ล้านดอลลาร์
• Tron USDT: 378.7 ล้านดอลลาร์
• Avalanche USDt: 8.4 ล้านดอลลาร์
• รวม: 2.59 พันล้านดอลลาร์

ผู้ออกเหรียญอื่นๆ ได้อายัดเหรียญ USD1, XAUt, PAXG, wBETH และ FDUSD และผู้ออกเหรียญ BEAM ได้เผาทำลายโทเค็นที่ถูกขโมยจำนวน 984 ล้านเหรียญ Security Council ของ Arbitrum ซึ่งเป็นคณะกรรมีการฉุกเฉานของสมาชิก 12 คน ยึด 8,426 ETH และ 74.56 ล้าน ARB

โดยรวมแล้ว มีเงินประมาณ 2.79 พันล้านดอลลาร์ถูกอายัด เผาทำลาย หรือยึด ถึงกระนั้น USDT จำนวน 669 ล้านได้ถูกแปลงเป็น ETH และ TRX ไปแล้ว

21:43–00:10 UTC: กระเป๋าที่ถูกปล้นซ้ำแล้วซ้ำอีก

ผู้โจมตียังคงควบคุม Binance 14 ต่อไป

• 21:43:59 — การเติมเงินตามปกติโดย Binance ส่ง 200 ล้าน USDT ไปยัง Binance 14 สิบสองวินาทีต่อมา สัญญาระบายมันจนเกลี้ยง USDT ไปอยู่ที่ี่ที่ถูกอายัดแล้ว แต่ ETH เกือบ 370 หลุดรอดไป
• 22:39 — การกวาดอีกครั้งเก็บไป 128.49 ETH
• 23:56 — 2,961.91 ETH ถูกเก็บหนึ่งนาทีหลังจากมาถึง
• 00:10:35, 30 ตุลาคม — ในที่สุด การมอบอำนาจถูกยกเลิกโดย Binance

กระเป๋ายังคงอยู่ในมือของผู้โจHNเป็นเวลาเกือบสี่ชั่วโมง

18,270 BTC ไปไหน

การโอน 18,270.2 BTC ออกจากฮอตวอลเล็ตของ Binance ถูกดำเนินการใน 11 ธุรกรรมเมื่อเวลา 20:20:06 โดยมีค่าธรรมเนียมเป็นสองเท่าของปกติ เหรียญถูกแบ่งไปยัง 19 ที่อยู่ โดย 17 ที่อยู่ในแต่ละแห่งถือ 1,000 BTC ณ วันที่ 30 ตุลาคม ยังไม่มีก๊วนใดถูกเคลื่อนย้าย บัญชีแยกประเภทสาธารณะของ Bitcoin ทำให้เหรียญสามารถถูกติดตามได้ แต่ไม่มีใครสามารถอายัดมันได้

30 ตุลาคม, 04:02: การเชื่อมโยงกับ Bitget

การค้นพบที่สำคัญที่สุดของ BitOK คือเงินที่ถูกขโมยจาก Binance ไปถึงที่อยู่ Ethereum เดียวกันที่เคยเก็บผลประโยชน์จากการแฮ็ก Bitget ในเดือนกันยายน 2026

TRX และ USDT ถูกโยกย้ายโดยผู้โจหัวผ่าน THORChain โปรโตคอลสวอปข้ามบล็อคเชน โดย ETH มาถึงที่ 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7

ที่อยู่ดังกล่าวได้รับ ETH ที่เชื่อมโยงกับการแฮ็ก Bitget อยู่แล้ว ETH มาจากที่อยู่ Bitcoin ในรายการกระเป๋าของผู้โจมตีที่ Bitget เผยแพร่ ซึ่งถูกใช้ตั้งแต่วันที่ 23 ตุลาคม และเดิมทีเริ่มต้นจาก ZEC ซึ่งเป็นเหรียญที่ไม่เคยถูกขโมยจาก Binance

เมื่อถึงเวลา 06:20 ที่อยู่ดังกล่าวได้รับการจ่ายเงินที่เชื่อมโยงกับ Bitget แปดครั้ง (349.46 ETH) และการจ่ายเงินที่เชื่อมโยงกับ Binance ห้าครั้ง (13.63 ETH) จากนั้นย้ายเงินที่รวมกันไปยังกระเป๋าใหม่ การมีที่อยู่ร่วมกันเพียงอย่างเดียวไม่ได้ชี้ว่าใครอยู่เบื้องหลังการแฮ็กครั้งใด

เกาหลีเหนืออยู่เบื้องหลังหรือไม่?

การบุกละเมิดทั้งสองครั้งเจาะเข้าสู่ระบบภายในโดยไม่ขโมยคีย์ส่วนตัว และ Bitget ได้โทษว่าเกาหลีเหนือเป็นผู้อยู่เบื้องหลังการแฮ็กของมัน BitOK ยังอ้างถึงลักษณะที่มันเชื่อมโยงกับกลุ่มเกาหลีเหนือ: การซ้อม การใช้เงินทุนจาก Tornado Cash การสลับเหรียญออกจากโทเค็นที่อายัดได้ทันที และการทำงานในช่วงเวลาทำการของโซนเวลา UTC+9

“ที่อยู่ฟอกเงินร่วมที่เพิ่งถูกระบุเป็นหลักฐานที่แข็งแกร่งกว่าของความทับซ้อนในการปฏิบัติการมากกว่าความคล้ายคลึงในกลวิธีเพียงอย่างเดียว BitOK ประเมินว่าการปล้นทั้งสองครั้งอาจเชื่อมโยงกับกลุ่มเกาหลีเหนือกลุ่มเดียวกันและว่าผู้ปฏิบัติการคนหนึ่งควบคุมการไหลของการฟอกเงินที่ถูกสังเกต อย่างไรก็ตาม นี่ยังคงเป็นเพียงการระบุเชิงวิเคราะห์ ไม่ใช่หลักฐานยืนยันตัวตนในโลกแห่งความเป็นจริงของผู้เขร่วมทุกคน” BitOK กล่าว

การตอบสนองของ Binance

เมื่อเวลาประมาณ 20:36 Binance ระงับการถอนเงินจากฮอตวอลเล็ต Bitcoin และ Tron ของมัน ในขณะที่เงินฝากยังคงเข้ามา บริษัทสัญญาว่าจะครอบคลุมความเสียหายของลูกค้าทั้งหมดจากกองทุนฉุกเฉิน SAFU และทรัพยากรของบริษัทเอง

ฉันต้องการพูดกับคุณโดยตรงเกี่ยวกับสิ่งที่เกิดขึ้น

ประเด็นสำคัญ – เงินของคุณปลอดภัย และเราครอบคลุมความเสียหายทุกอย่าง

การสอบสวนเบื้องต้นของเราชี้ว่าอุบกรณ์ด้านความปลอดภัยนี้อาจเริ่มต้นจากแล็ปท็อปของวิศวกร DevOps ที่ถูกบุกรุก ซึ่งทำให้ผู้โจม Floyd สามารถเข้าถึง…

— Richard Teng (@_RichardTeng), 30 ตุลาคม 2026

ในตลาดในวงกว้าง Coinglass บันทึกการชำระบัญชีสถานะเลเวเรจมูลค่า 1.58 พันล้านดอลลาร์ในช่วง 24 ชั่วโมง

ผู้โ关ัติกำลังถืออะไรอยู่ในขณะนี้?

ณ เวลา 06:20 ของวันที่ 30 ตุลาคม BitOK เชื่อมโยงผู้โจRnกับ:

• 197,460 ETH,
• 18,270.2 BTC,
• 233.46 ล้าน XRP,
• ประมาณ 970,500 SOL,
• 675.9 ล้าน TRX,
• และ 1.61 ล้าน AVAX

เพียง ETH, BTC, XRP และ SOL เพียงอย่างเดียวมีมูลค่าประมาณ 2.95 พันล้านดอลลาร์

สิ่งที่ผู้โจมູสามารถเข้าถึงและควบคุมได้อย่างมีประสิทธิผลคือระบบที่ใช้เซ็นการถอนเงินของ Binance BitOK ได้สกัดบทเรียนสำหรับอุตสาหกรรมคริปโตทั้งอุตสาหกรรมจากการแฮ็ก Binance ครั้งนี้

“เหตุการณ์ Binance แสดงให้เห็นว่าทำไมความปลอดภัยของคีย์ส่วนตัวเพียงอย่างเดียวนั้นไม่เพียงพอ กระดานเทรดยังต้องการการควบคุมเหนืออำนาจการเซ็น มาตรการป้องกันต่อคำสั่งถอนเงินที่น่าสงสัย การเพิกถอนสิทธิ์ที่ถูกบุกรุกอย่างทันที และการตรวจสอบการเคลื่อนไหวของสินทรัพย์อย่างต่อเนื่องข้ามเครือข่ายต่างๆ”