การโจมตี Bitget มูลค่า 387.5 ล้านดอลลาร์ ดันยอดโจรกรรมคริปโตที่โยงเกาหลีเหนือเกิน 1 พันล้านดอลลาร์

ยอดความเสียหายทะลุพันล้านดอลลาร์ ขณะที่ระบบอนุมัติธุรกรรมถูกเจาะ

การโจรกรรมเงินมูลค่า 387.5 ล้านดอลลาร์จาก Bitget เมื่อวันที่ 24 กันยายน 2026 ทำให้ยอดความเสียหายในโลกคริปโตที่เชื่อมโยงกับแฮกเกอร์เกาหลีเหนือตลอดปีนี้สูงกว่า 1 พันล้านดอลลาร์ ตามข้อมูลของ Chainalysis เมื่อรวมกับความเสียหาย 643 ล้านดอลลาร์ที่ระบุว่าเกิดจากกลุ่มดังกล่าวในช่วง 6 เดือนแรก ยอดรวมจากเหตุโจมตีครั้งนี้จึงอยู่ที่อย่างน้อย 1.0305 พันล้านดอลลาร์

การโจมตีมุ่งเป้าไปที่ระบบที่ซับซ้อนกว่าการขโมยรหัสผ่านหรือเข้าถึงกุญแจกระเป๋าเงินที่รั่วไหล การสอบสวนเบื้องต้นระบุว่า ผู้บุกรุกเข้าถึงระบบผ่านผลิตภัณฑ์รักษาความปลอดภัยของผู้ให้บริการภายนอก เข้าควบคุมเซิร์ฟเวอร์ที่ประมวลผลกระเป๋าเงิน และปลอมแปลงข้อมูลการอนุมัติ จากนั้นโครงสร้างพื้นฐานของ Bitget เองก็อนุมัติการโอนที่ดูเหมือนถูกต้องตามกฎหมาย

Chainalysis ระบุว่า การสอบสวนเมื่อวันที่ 1 ตุลาคมติดตาม XRP ที่ถูกขโมยไปจนถึง Bitcoin และพบรูปแบบการฟอกเงินที่เชื่อมโยงกับผู้กระทำการชาวเกาหลีเหนือ นักวิจัยใช้ปัญญาประดิษฐ์ทำงานติดตามรายการหนึ่งโดยอัตโนมัติภายในเวลาไม่ถึง 10 นาที เทียบกับการทำด้วยมือที่ใช้เวลามากกว่า 20 ชั่วโมง อย่างไรก็ตาม ความรวดเร็วดังกล่าวไม่ได้หมายความว่าคลี่คลายการโจรกรรมได้ทั้งหมดหรือกู้เงินคืนได้แล้ว

เหตุการณ์นี้ยังเผยให้เห็นเครือข่ายการเงินที่มีผู้เกี่ยวข้องมากกว่าตัวผู้โจมตี การวิจัยธุรกรรมที่เกิดขึ้นภายหลังพบค่าธรรมเนียมที่บริการแลกเปลี่ยนได้รับ ท่าทีที่แตกต่างกันต่อเงินต้องสงสัย และความเชื่อมโยงที่อาจมีไปถึงคนกลางผู้เชี่ยวชาญด้านการฟอกเงิน รายละเอียดเหล่านี้ช่วยอธิบายว่าเหตุใดการระบุคริปโตที่ถูกขโมยบนบล็อกเชนสาธารณะจึงเป็นเพียงจุดเริ่มต้นของการกู้คืน

ข้อค้นพบหลายประการยังเป็นข้อมูลเบื้องต้น Chainalysis ระบุว่าการโจมตีเป็นฝีมือผู้กระทำการชาวเกาหลีเหนือ ขณะที่ Elliptic ประเมินว่าความเชื่อมโยงดังกล่าวมีความเป็นไปได้สูง แต่รายงานสาธารณะยังไม่ได้ยืนยันอย่างชัดเจนว่าเป็นฝีมือกลุ่ม Lazarus โดยเฉพาะ และยังไม่มีการเปิดเผยชื่อผู้ให้บริการด้านความปลอดภัยที่ผลิตภัณฑ์ถูกกล่าวหาว่าเป็นช่องทางให้เข้าถึงระบบ

ความเสียหายเพิ่มขึ้น 35.9 ล้านดอลลาร์ได้อย่างไร

Bitget ประเมินความเสียหายเบื้องต้นไว้ที่ 351.6 ล้านดอลลาร์ ก่อนจะปรับเป็น 387.5 ล้านดอลลาร์เมื่อวันที่ 25 กันยายน หลังพบสินทรัพย์ที่ได้รับผลกระทบเพิ่มเติม รวมถึงธุรกรรมที่เกี่ยวข้องกับ Zcash และ Tron ตลาดแลกเปลี่ยนระบุว่า การเพิ่มขึ้น 35.9 ล้านดอลลาร์เป็นผลจากการตรวจสอบบัญชีเพิ่มเติม ไม่ใช่การโจมตีครั้งที่สอง

ยอดรวมจากการสอบสวนแต่ละครั้งคลาดเคลื่อนกันเล็กน้อย Bitquery ติดตามเงินมูลค่า 386.80 ล้านดอลลาร์ผ่านธุรกรรม 23 รายการบนบล็อกเชน 9 เครือข่าย ส่วนรายงานทางเทคนิคระบุว่ายอดรวมที่ Bitget นับไว้กว้างกว่านั้นอยู่ที่ราว 388 ล้านดอลลาร์บน 11 เครือข่าย Chainalysis ระบุว่าสินทรัพย์กระจายออกไปในช่วงแรกผ่านเครือข่ายหลัก 4 แห่ง ได้แก่ Ethereum 49.7%, XRP 40.8%, Zcash 7.6% และ Tron 1.8% ตัวเลขที่ปัดเศษแล้วรวมกันได้ 99.9%

ตัวเลขเหล่านี้สะท้อนขอบเขตการติดตามที่แตกต่างกัน จึงไม่ควรมองว่าเป็นบัญชีสินทรัพย์ชุดเดียวกันทั้งหมด รายงานทางเทคนิคระบุว่า XRP มีมูลค่า 157.8 ล้านดอลลาร์ และประเมินว่าเงินราว 214 ล้านดอลลาร์มาจากกระเป๋าเงินที่ Bitquery จัดเป็นกระเป๋าเงินแบบ warm กระเป๋าเงิน hot และ warm เป็นแหล่งรวมคริปโตที่ใช้ดำเนินงานเพื่อรองรับธุรกรรมและการถอน ไม่ใช่เงินสำรองที่เก็บแบบออฟไลน์ทั้งหมด

รายงานยังระบุเวลาแจ้งพบปัญหาไม่ตรงกัน หลายฉบับระบุว่าตรวจพบเมื่อเวลา 18:31 UTC วันที่ 24 กันยายน ขณะที่การเรียบเรียงเหตุการณ์โดยละเอียดระบุว่าเวลานั้นเป็นช่วงที่มีการโอนเงินจำนวนเล็กน้อยครั้งแรก และสัญญาณเตือนจากการกระทบยอดบัญชีเกิดขึ้นเมื่อเวลา 19:05 ความแตกต่างนี้สำคัญ เพราะรายงานฉบับหลังประเมินว่าเงินราว 238 ล้านดอลลาร์ หรือประมาณ 61% ของความเสียหาย ถูกโอนออกไปหลังมีสัญญาณเตือน

ลำดับเหตุการณ์ตั้งแต่การบุกรุกจนถึงการกลับมาเปิดบริการ

ข้อค้นพบเบื้องต้นที่ระบุว่าเป็นของ Mandiant และ SlowMist ชี้ว่ากิจกรรมอันตรายที่บันทึกไว้ครั้งแรกเกิดขึ้นตั้งแต่วันที่ 31 สิงหาคม มากกว่า 3 สัปดาห์ก่อนการโจรกรรม ลำดับเหตุการณ์ที่เปิดเผยต่อสาธารณะแยกช่วงการเข้าถึงระบบครั้งแรก การเคลื่อนย้ายเงิน และการตอบสนองของตลาดแลกเปลี่ยนออกจากกัน

• 31 สิงหาคม: กิจกรรมอันตรายที่บันทึกไว้ครั้งแรกถูกกล่าวหาว่าอาศัยช่องโหว่ที่ไม่ทราบมาก่อนในผลิตภัณฑ์รักษาความปลอดภัย
• 24 กันยายน เวลา 17:49 UTC: เครื่องมือถอนเงินที่พัฒนาขึ้นเฉพาะเริ่มทำงานบนโฮสต์ของกระเป๋าเงิน
• 24 กันยายน เวลา 18:31 UTC: การโอนครั้งแรกที่ติดตามได้เริ่มจาก 93 TRX ตามด้วย 0.84 ETH
• 24 กันยายน เวลา 19:05 UTC: การเรียบเรียงเหตุการณ์โดยละเอียดระบุว่า Bitget ได้รับสัญญาณเตือนจากการกระทบยอดบัญชีและจำกัดคำขอถอนเงินของลูกค้าในเวลานี้
• 24 กันยายน เวลา 21:23 UTC: การโอนครั้งสุดท้ายที่ติดตามได้เคลื่อนย้าย 223.20 ETH บริการถอนเงินจากกระเป๋า รวมถึงบริการลงนามธุรกรรม ถูกปิดเมื่อเวลา 21:44
• 25 กันยายน: Bitget ระบุสาเหตุหลักที่สงสัย รายงานเหตุการณ์ต่อหน่วยงานบังคับใช้กฎหมาย และปรับประมาณการความเสียหาย
• 28-30 กันยายน: ทยอยเปิดให้ถอน Bitcoin, Ethereum และ USDT รายงานตรวจสอบทางนิติวิทยาศาสตร์เบื้องต้นเผยแพร่เมื่อวันที่ 30 กันยายน
• 1 ตุลาคม: Chainalysis เผยแพร่ผลการระบุผู้ก่อเหตุและการติดตามธุรกรรม โดยกำหนดให้บริการที่เหลือกลับมาใช้งานภายในวันที่ 2 ตุลาคม

รายงานฉบับละเอียดระบุว่าบริการลงนามธุรกรรมยังทำงานต่ออีก 2 ชั่วโมง 39 นาทีหลังมีสัญญาณเตือนเมื่อเวลา 19:05 การปิดกั้นคำขอปกติของลูกค้าจึงไม่ได้หยุดช่องทางอีกเส้นทางหนึ่งที่ผู้โจมตีใช้เข้าสู่กระบวนการถอนเงินในทันที

ผู้โจมตีใช้ระบบลงนามธุรกรรมโดยไม่ขโมยกุญแจ

Bitget ระบุว่าการบุกรุกไม่ได้ทำให้กุญแจกระเป๋าเงินเย็นของบริษัทถูกเจาะ และไม่ได้อาศัยการปลอมคำขอถอนเงินของลูกค้า ผู้โจมตีถูกกล่าวหาว่าส่งข้อมูลอนุมัติธุรกรรมปลอมจากภายในโครงสร้างพื้นฐานของกระเป๋าเงิน กุญแจส่วนตัวคือข้อมูลลับที่ใช้อนุมัติการโอนคริปโต ในกรณีนี้ ข้อกังวลคือบริการลงนามธุรกรรมที่ถูกต้องตามปกติอาจได้รับคำสั่งให้อนุมัติธุรกรรมที่ไม่ชอบมาพากล

การตรวจสอบทางเทคนิคเบื้องต้นระบุถึงผลิตภัณฑ์รักษาความปลอดภัย 2 รายการที่ไม่ได้เปิดเผยชื่อ กิจกรรมบนผลิตภัณฑ์แรกถูกกล่าวหาว่าเปิดทางให้สคริปต์ที่ซ่อนอยู่เข้าถึงรหัสผ่านฐานข้อมูลซึ่งเก็บไว้ในตัวแปรสภาพแวดล้อม ต่อมาผู้โจมตีใช้แพลตฟอร์มจัดการของผลิตภัณฑ์ที่สองด้วยตัวตนของพนักงานภายใน ก่อนเข้าถึงเซิร์ฟเวอร์กระเป๋าเงินสำหรับระบบจริงและติดตั้งซอฟต์แวร์อันตราย

มีรายงานว่า SlowMist กู้คืนเครื่องมือที่ถูกลบไป ซึ่งออกแบบมาสำหรับระบบถอนเงินของ Bitget โดยเฉพาะ เครื่องมือนี้ปลอมแปลงฟิลด์ควบคุมความเสี่ยงและเรียกใช้กระบวนการถอนเงิน ความเชื่อมโยงที่แน่ชัดระหว่างการเข้าถึงฐานข้อมูลครั้งแรกกับตัวตนที่ใช้ในผลิตภัณฑ์ที่สองยังไม่ได้รับการยืนยัน

Bitget ระบุว่าช่องทางการบุกรุกคือช่องโหว่แบบ zero-day ซึ่งเป็นข้อบกพร่องของซอฟต์แวร์ที่ยังไม่เคยมีผู้ค้นพบ ณ วันที่ 2 ตุลาคม ตามรายงานทางเทคนิค ยังไม่มีการเปิดเผยชื่อผู้ให้บริการทั้งสองราย และไม่มีหมายเลขระบุช่องโหว่หรือประกาศเตือนภัยต่อสาธารณะ Bitget ระบุว่าได้แก้ไขช่องโหว่แล้ว แต่ข้อมูลสาธารณะยังมีรายละเอียดไม่เพียงพอให้ลูกค้ารายอื่นระบุผลิตภัณฑ์ที่ได้รับผลกระทบได้

ผลิตภัณฑ์ Bitget Wallet ซึ่งเป็นบริการแยกต่างหากของตลาดแลกเปลี่ยนไม่ได้รับผลกระทบ บริการนี้ใช้โครงสร้างพื้นฐานคนละชุดและให้ผู้ใช้ควบคุมสินทรัพย์ของตนเอง ความแตกต่างดังกล่าวจำกัดขอบเขตความเสียหายที่ทราบ แต่ไม่ได้ทำให้ความเสียหายจากกระเป๋าเงินเพื่อการดำเนินงานของตลาดแลกเปลี่ยนลดลง

หลักฐานที่สนับสนุนการเชื่อมโยงกับเกาหลีเหนือ

Gracy Chen ประธานเจ้าหน้าที่บริหารของ Bitget กล่าวถึงความเชื่อมโยงที่สงสัยกับเกาหลีเหนือ โดยชี้ไปที่รูปแบบการใช้งานที่อยู่บนอินเทอร์เน็ตและลายเซ็นธุรกรรมบนบล็อกเชน เธออธิบายเทคนิคดังกล่าวว่า:

สอดคล้องกับเทคนิคที่กลุ่มแฮกเกอร์เชื่อมโยงกับเกาหลีเหนือใช้

ต่อมา Chen ระบุว่าการเชื่อมโยงดังกล่าวอ้างอิงจากข้อบ่งชี้เบื้องต้น Chainalysis ระบุอย่างเป็นอิสระว่าการโจรกรรมเป็นฝีมือผู้กระทำการชาวเกาหลีเหนือ ขณะที่ Elliptic ชี้ถึงความเชื่อมโยงกับที่อยู่ฟอกเงินที่เกี่ยวข้องกับการโจรกรรมก่อนหน้านี้ รวมถึงกรณี Bybit ส่วน TRM Labs ก็ประเมินว่ามีความเป็นไปได้ที่จะเชื่อมโยงกับเกาหลีเหนือ ตามรายงานทางเทคนิค

การประเมินเหล่านี้ไม่อาจใช้แทนข้อสรุปทางอาญาที่เปิดเผยต่อสาธารณะได้ งานเบื้องต้นของ Mandiant ไม่ได้ระบุชื่อผู้โจมตี และการสอบสวนยังไม่ได้ยืนยันต่อสาธารณะว่ากลุ่มย่อยใดของ Lazarus เป็นผู้บุกรุก Bitget

ตัวเลขรายปีต้องพิจารณาอย่างระมัดระวังเช่นกัน ความเสียหาย 285 ล้านดอลลาร์จาก Drift Protocol เมื่อวันที่ 1 เมษายน และ 292 ล้านดอลลาร์จาก KelpDAO เมื่อวันที่ 18 เมษายน รวมกันเป็น 577 ล้านดอลลาร์ หรือราว 90% ของยอด 643 ล้านดอลลาร์ที่ระบุว่าเกิดจากผู้กระทำการชาวเกาหลีเหนือในช่วงครึ่งปีแรก นักวิจัยเชื่อมโยงการโจมตี KelpDAO กับ TraderTraitor ซึ่งเป็นกลุ่มที่เกี่ยวข้องกับการโจมตีโครงสร้างพื้นฐานที่เชื่อมต่อบล็อกเชน ส่วน Elliptic นับเหตุการณ์ต้องสงสัยที่เกี่ยวข้องกับเกาหลีเหนือมากกว่า 51 ครั้งในปี 2026 ซึ่งเป็นหมวดหมู่ที่กว้างกว่าความเสียหายที่ยืนยันแล้ว

AI ช่วยเร่งติดตามเส้นทางเงินบางส่วน

Chainalysis ระบุว่าได้ร่วมมือกับ Bitget และหน่วยงานบังคับใช้กฎหมายเพื่อติดตามสินทรัพย์ที่ถูกขโมย ภายในเวลาราว 3 ชั่วโมง เงินถูกโอนผ่านธุรกรรม 23 รายการ ก่อนเคลื่อนผ่านโปรโตคอลสภาพคล่อง บริการส่งข้อความ การแลกเปลี่ยนทันที และบริการฟอกเงิน

งานหลักส่วนหนึ่งคือการจับคู่ XRP ที่ถูกขโมยและฝากเข้าโปรโตคอลแห่งหนึ่งกับ Bitcoin ที่จ่ายออกไปยังอีกแห่ง บริการประเภทนี้ช่วยให้ผู้ใช้แลกเปลี่ยนสินทรัพย์ข้ามบล็อกเชนได้ นักวิจัยต้องเชื่อมโยงธุรกรรมขาเข้ากับขาออก แม้จะใช้สินทรัพย์ ที่อยู่ และบันทึกธุรกรรมคนละชุด

Chainalysis ติดตามเงินหลายสิบล้านดอลลาร์ผ่านเส้นทางดังกล่าวเป็นเวลาราววันครึ่ง จนถึงที่อยู่ Bitcoin ที่ผู้โจมตีควบคุม บริษัทระบุว่าระบบอัตโนมัติที่สร้างด้วย AI ภายในช่วยลดเวลาทำงานตรวจสอบและจับคู่ธุรกรรมจากมากกว่า 20 ชั่วโมงเหลือไม่ถึง 10 นาที โดยนักวิจัยเป็นผู้กำกับงานและตรวจสอบผลลัพธ์ ตามประมาณการดังกล่าว งานนี้ใช้เวลาน้อยกว่าหนึ่งใน 120 ของเวลาเดิม

ธุรกรรมเคลื่อนย้ายเงินส่วนอื่นติดตามได้ยากกว่า ผู้โจมตีเริ่มนำเงินเข้าไปยังพูลแบบปกปิดของ Zcash ซึ่งมีคุณสมบัติด้านความเป็นส่วนตัวที่ซ่อนรายละเอียดธุรกรรม ซึ่งโดยปกติจะช่วยเชื่อมโยงผู้ส่ง ผู้รับ และจำนวนเงิน Chainalysis ระบุว่าจะติดตามที่อยู่ปลายทางต่อไป และแบ่งปันข้อมูลกับตลาดแลกเปลี่ยนและหน่วยงานบังคับใช้กฎหมาย

การติดตามเพียงอย่างเดียวไม่ได้ทำให้ยึดเงินได้ Bitcoin และ ether ไม่มีหน่วยงานกลางที่สามารถอายัดยอดคงเหลือได้ โดยทั่วไปการกู้คืนต้องอาศัยแพลตฟอร์มที่ให้ความร่วมมือ ผู้ออกสินทรัพย์ที่มีอำนาจอายัด หรือเจ้าหน้าที่ที่เข้าควบคุมสินทรัพย์ได้

บริการแลกเปลี่ยนมีท่าทีต่างกันว่าจะเข้าแทรกแซงหรือไม่

NEAR Intents ระบุว่าระบบ SHIELD ของตนสกัดกั้นการโอนที่เกี่ยวข้องกับการโจมตีซึ่งพยายามทำรายการได้มากกว่า 50 ล้านดอลลาร์ และอายัดเงินราว 503,000 ดอลลาร์ระหว่างดำเนินการ Alex Shevchenko ผู้จัดการทั่วไปกล่าวว่า มีเงินราว 166,000 ดอลลาร์ผ่านระบบไปก่อนที่บริการจะหยุดธุรกรรมต้องสงสัยได้

THORChain ยังคงประมวลผลการแลกเปลี่ยนและปฏิเสธคำขอของ Bitget ที่ให้เข้าแทรกแซงเฉพาะกรณี โปรโตคอลแยกการหยุดเครือข่ายฉุกเฉินซึ่งมีเป้าหมายเพื่อปกป้องการดำเนินงานของตนเอง ออกจากการปิดกั้นที่อยู่หรือธุรกรรมรายรายการ โดยยกเหตุโจมตีมูลค่า 10.7 ล้านดอลลาร์ของตนเองในเดือนพฤษภาคม และระบุว่าผู้โจมตีครั้งนั้นก็ไม่ได้ถูกขึ้นบัญชีดำจากการแลกเปลี่ยนเช่นกัน

ภาพรวมธุรกรรมของ BlockSec ณ วันที่ 29 กันยายน ประเมินว่ามีเงินไหลผ่าน THORChain ที่เกี่ยวข้องกับ Bitget ราว 269 ล้านดอลลาร์ ผ่านธุรกรรม 7,804 รายการ ตัวเลขนี้คือมูลค่าการหมุนเวียน ไม่จำเป็นต้องเป็นมูลค่าเงินที่ถูกขโมยซึ่งนับแยกกัน เพราะเงินก้อนเดียวกันอาจถูกนับซ้ำขณะเคลื่อนผ่านบริการ

ตัวเลขการอายัดก็แตกต่างกันเช่นกัน รายงานหนึ่งระบุว่า Circle และ Tether อายัดเหรียญ stablecoin รวมกันราว 318,000 ดอลลาร์ ส่วนประมาณการทางเทคนิคที่ครอบคลุมกว่า ณ วันที่ 1 ตุลาคม ระบุว่าการอายัดที่เกี่ยวข้องกับผู้ออกสินทรัพย์ทั้งสองรายและ NEAR Intents อยู่ที่ราว 1.1 ล้านดอลลาร์ ตัวเลขเหล่านี้มีวันที่และขอบเขตต่างกัน จึงไม่ควรนำมาบวกกันเป็นยอดเงินที่กู้คืนแยกต่างหาก

ธุรกรรมฟอกเงินสร้างค่าธรรมเนียมและทำให้ปริมาณซื้อขายพุ่งสูง

Andrey Sergeenkov นักวิจัยอิสระคำนวณว่า ธุรกรรมที่ตรวจสอบจนถึงวันที่ 2 ตุลาคม เวลา 10:22 UTC สร้างค่าธรรมเนียมจากบริการและโปรโตคอลรวม 761,725 ดอลลาร์ โดยแจกแจงเป็น 573,226 ดอลลาร์ให้ผู้ให้บริการสภาพคล่องของ THORChain, 149,417 ดอลลาร์ให้ MetaMask, 26,751 ดอลลาร์ให้ Chainflip และ 12,332 ดอลลาร์ให้ CoW EthFlow

เขาระบุแยกต่างหากว่า มีค่าธรรมเนียมพันธมิตรของ THORChain จำนวน 259,718 ดอลลาร์จ่ายไปยัง 7 ที่อยู่ ซึ่งมีความเชื่อมโยงทางการเงินเพิ่มเติมกับกระเป๋าเงินที่เกี่ยวข้องกับการแลกเปลี่ยน ส่วนอีก 206,196 ดอลลาร์จ่ายให้ผู้รับที่ยังไม่พบความเชื่อมโยงเพิ่มเติมดังกล่าว ตัวเลขในหมวดค่าธรรมเนียมพันธมิตรเหล่านี้เป็นข้อมูลวิเคราะห์แยกจากกัน ไม่ใช่จำนวนเงินที่กู้คืนได้

การถูกระบุชื่อว่าเป็นผู้รับค่าธรรมเนียมไม่ได้พิสูจน์ว่าบุคคลนั้นเป็นเจ้าของเงินของผู้โจมตี Sergeenkov ติดตามเงินบางส่วนจากผู้รับรายใหญ่ที่สุดที่มีความเชื่อมโยง ซึ่งได้รับ 177,499 ดอลลาร์ ไปเป็น USDT และท้ายที่สุดถึงที่อยู่ที่ระบุป้ายกำกับว่า OKX Hot Wallet 5 เส้นทางดังกล่าวไม่ได้ยืนยันตัวตนของลูกค้าตลาดแลกเปลี่ยนหรือการมีส่วนร่วมในการโจรกรรม

THORChain มีรายได้จากระบบ 3.01 ล้านดอลลาร์ในเดือนกันยายน และมีปริมาณแลกเปลี่ยน 2.40 พันล้านดอลลาร์ ระหว่างวันที่ 25-29 กันยายน เครือข่ายประมวลผลธุรกรรมราว 1.37 พันล้านดอลลาร์ คิดเป็น 57% ของปริมาณทั้งเดือน และสร้างรายได้ราว 1.9 ล้านดอลลาร์ คิดเป็น 63% ของรายได้ทั้งเดือน ยอดรวมตามช่วงเวลาเหล่านี้ยังรวมกิจกรรมอื่นนอกเหนือจากเงินที่ระบุว่าเป็นสินทรัพย์ถูกขโมย

แถลงการณ์ของโปรโตคอลระบุช่วงเวลาที่ปริมาณธุรกรรมพุ่งสูงไว้ว่า:

ระหว่างวันที่ 25-29 กันยายน ปริมาณซื้อขายรายวันอยู่ที่ราว 190-460 ล้านดอลลาร์ ขณะที่เงินที่เชื่อมโยงกับการโจมตี Bitget เคลื่อนผ่านเครือข่าย

จำนวนกระเป๋าเงินที่ใช้งานเพิ่มจาก 23,500 ในเดือนสิงหาคมเป็น 25,000 ในเดือนกันยายน หรือราว 6.4% การเพิ่มขึ้นเพียงเล็กน้อยนี้สวนทางกับปริมาณแลกเปลี่ยนที่พุ่งจาก 613 ล้านดอลลาร์เป็น 2.40 พันล้านดอลลาร์ ตัวเลขชี้ว่ามีธุรกรรมขนาดใหญ่กระจุกตัว แทนที่จะเป็นการขยายตัวของจำนวนผู้ใช้ในระดับใกล้เคียงกัน

คนกลางอาจจ่ายเงินให้ผู้โจมตีก่อนที่เงินจะหายไป

การสอบสวนเหตุโจรกรรม Bybit เมื่อวันที่ 21 กุมภาพันธ์ 2025 แสดงให้เห็นว่าเหตุใดเงินที่ถูกขโมยและยังติดตามได้จึงอาจไม่ได้อยู่ภายใต้การควบคุมของแฮกเกอร์กลุ่มเดิมอีกต่อไป FBI ระบุว่าการโจมตีมูลค่าราว 1.5 พันล้านดอลลาร์เป็นฝีมือกลุ่ม TraderTraitor ของเกาหลีเหนือ นักวิจัยสงสัยว่าคนกลางผู้เชี่ยวชาญรับสินทรัพย์ที่ถูกขโมย จ่ายเงินให้ผู้โจมตีในมูลค่าหักค่าธรรมเนียม แล้วรับความเสี่ยงจากการฟอกเงินในขั้นต่อไป

บริษัทด้านความปลอดภัย zeroShadow ประเมินว่า เงินจาก Bybit มากกว่า 1 พันล้านดอลลาร์ถูกฟอกระหว่างเดือนกุมภาพันธ์ถึงมิถุนายน 2025 แต่ไม่ได้ยืนยันว่าเงินทั้งหมดถูกเปลี่ยนเป็นสกุลเงินทั่วไปหรือเท่ากับรายรับสุทธิของผู้โจมตี Chainalysis ยังระบุว่าเงินหลายสิบล้านดอลลาร์จาก Bybit และ WazirX ไหลผ่านเครือข่ายผู้ค้าของ Xinbi ซึ่งมีข้อกล่าวหาว่าคนกลางแลกสินทรัพย์ที่ติดตามได้เป็น stablecoin จากกิจกรรมอาชญากรรมอื่น

ในการเปิดเผยข้อมูลเมื่อวันที่ 5 ตุลาคม ZachXBT นักสืบที่ใช้นามแฝงระบุว่า เขาวางเงิน stablecoin 349,700 ดอลลาร์ และยอมขาดทุน 5% ในแต่ละคำสั่งซื้อโดยแฝงตัวเป็นลูกค้า เขากล่าวว่าผู้ดำเนินการที่เรียกว่า Jimmy Green ช่วยเปิดโปงกลุ่มที่ถือเงินซึ่งเกี่ยวข้องกับ Bybit มากกว่า 12 ล้านดอลลาร์ และต่อมา Tether อายัดเงิน 442,000 USDT

ZachXBT กล่าวหาว่าเครือข่ายนี้ดำเนินงานในฮ่องกงและจีนแผ่นดินใหญ่ และฟอกเงินให้ Lazarus มากกว่า 1 พันล้านดอลลาร์ ขนาดของเครือข่ายและตัวตนของผู้ดำเนินการยังไม่ได้รับการยืนยันอย่างเป็นอิสระผ่านข้อกล่าวหาทางกฎหมายที่เปิดเผยต่อสาธารณะ เขายังกล่าวหาว่าผู้กระทำการชาวจีนที่ดูแลเงินจาก Bitget ขอความช่วยเหลือในกลุ่ม Discord และ Telegram สาธารณะ และผู้ดำเนินการรายหนึ่งเคยจัดการเงินที่ได้จาก KelpDAO

หลักประกันทางการเงินของ Bitget และข้อจำกัดในการกู้คืน

Bitget ระบุว่ากองทุนคุ้มครองผู้ใช้มีมูลค่าเกิน 464 ล้านดอลลาร์ก่อนการโจมตี และจะนำมาใช้ชดเชยความเสียหายของลูกค้า เงินที่ถูกขโมย 387.5 ล้านดอลลาร์คิดเป็นราว 83.5% ของเงินสำรอง 464 ล้านดอลลาร์ การเปรียบเทียบนี้ใช้วัดภาระที่อาจเกิดขึ้น ไม่ได้ยืนยันว่าจ่ายเงินชดเชยอย่างไรหรือใช้สินทรัพย์ใดเป็นแหล่งเงิน

เมื่อวันที่ 28 กันยายน ตลาดแลกเปลี่ยนให้คำมั่นว่าจะเติมเงินกองทุนให้กลับมาอย่างน้อย 300 ล้านดอลลาร์ภายใน 1 สัปดาห์ และประกาศว่าดำเนินการเสร็จสิ้นเมื่อวันที่ 30 กันยายน นอกจากนี้ยังเสนอรางวัลสูงสุด 5% สำหรับเงินที่อายัดหรือกู้คืนได้สำเร็จ ร่วมมือกับ Mandiant และ SlowMist และเปิดตัวแดชบอร์ดติดตามกระเป๋าเงิน

Bitget ระบุว่าการซื้อขายและฝากเงินยังเปิดให้บริการระหว่างระงับการถอนเงิน การถอน Bitcoin กลับมาให้บริการเมื่อวันที่ 28 กันยายน ตามด้วย Ethereum วันที่ 29 กันยายน และ USDT วันที่ 30 กันยายน ตลาดแลกเปลี่ยนระบุว่าไม่มีความเสียหายเพิ่มเติมระหว่างการระงับบริการ ในภาพรวมการซื้อขายที่มีรายงาน ราคาโทเคน BGB ของบริษัทลดลงเกือบ 7% มาอยู่ที่ 1.93 ดอลลาร์ ก่อนฟื้นกลับไปที่ 1.97 ดอลลาร์

ขอบเขตความเสียหายโดยรวมในเดือนกันยายนยังเป็นที่ถกเถียง PeckShield นับการแฮ็ก 55 ครั้ง มูลค่ารวม 766.5 ล้านดอลลาร์ ส่วน CertiK นับ 97 เหตุการณ์ มูลค่ารวม 768.4 ล้านดอลลาร์ Bitget คิดเป็นราวครึ่งหนึ่งของยอดรวมทั้งสองชุด รายงานระบุความเสียหายอีกกรณีที่แยกต่างหากของ Liquid Network ไว้ที่ 319-320 ล้านดอลลาร์ โดยมีรายงานว่าได้รับคืนมากกว่า 270 ล้านดอลลาร์ ส่วนเหตุการณ์ที่มีรายงานว่าเกี่ยวข้องกับ Coldcard อีกกรณีหนึ่งเกิดขึ้นในเดือนกรกฎาคมและมีมูลค่าราว 116 ล้านดอลลาร์

ความพยายามบังคับใช้กฎหมายยังครอบคลุมเหตุการณ์นอกเหนือจากการโจรกรรมตลาดแลกเปลี่ยน กระทรวงการคลังสหรัฐฯ คว่ำบาตรบุคคล 8 รายและนิติบุคคล 2 แห่งที่ถูกกล่าวหาว่าฟอกเงินจากอาชญากรรมไซเบอร์และรายได้จากแรงงานไอทีในต่างประเทศ ข้อกล่าวหารวมถึงนายธนาคารที่จัดการเงินอย่างน้อย 5.3 ล้านดอลลาร์ผ่าน First Credit Bank และการปกปิดธุรกรรมผ่านคนกลางในจีนและรัสเซีย ส่วนการดำเนินคดีอีกชุดของกระทรวงยุติธรรมเกี่ยวข้องกับเงิน 7.7 ล้านดอลลาร์ที่เชื่อมโยงกับการฉ้อโกงของแรงงานไอทีที่ถูกกล่าวหา และเงินมากกว่า 15 ล้านดอลลาร์ที่เชื่อมโยงกับการโจรกรรม 4 ครั้งซึ่งระบุว่าเป็นฝีมือ APT38

มาตรการเหล่านี้แสดงให้เห็นว่า การอายัด การยึด และการชดใช้เงินเป็นคนละขั้นตอน ยอดเงินที่ Bitget กู้คืนได้ในท้ายที่สุด ตัวตนของผู้ให้บริการที่มีช่องโหว่ และรายงานทางเทคนิคฉบับสมบูรณ์ยังไม่ได้ข้อยุติ ยังไม่มีการประกาศกำหนดเวลาชัดเจนสำหรับการสอบสวนขั้นสุดท้ายหรือการคืนสินทรัพย์ที่ถูกขโมย

ประเด็นสำคัญ

• ความเสียหายที่ Bitget ปรับเพิ่มเป็น 387.5 ล้านดอลลาร์ ทำให้ยอดโจรกรรมคริปโตในปี 2026 ที่ระบุว่าเกี่ยวข้องกับเกาหลีเหนืออยู่ที่อย่างน้อย 1.0305 พันล้านดอลลาร์
• ข้อค้นพบเบื้องต้นระบุว่าการปลอมข้อมูลอนุมัติธุรกรรม ไม่ใช่การขโมยกุญแจส่วนตัว เป็นกลไกที่ทำให้ถอนเงินได้
• Chainalysis ระบุว่าการโจมตีเป็นฝีมือผู้กระทำการชาวเกาหลีเหนือ แต่ยังไม่มีการยืนยันต่อสาธารณะว่าเป็นกลุ่ม Lazarus โดยเฉพาะ
• AI ช่วยลดเวลาทำงานติดตามเงินรายการหนึ่งเหลือไม่ถึง 10 นาที แต่การติดตามไม่ได้ทำให้กู้สินทรัพย์คืนได้
• บริการแลกเปลี่ยนมีท่าทีต่างกันว่าจะเข้าแทรกแซงหรือไม่ ขณะที่ธุรกรรมฟอกเงินที่ตรวจสอบพบสร้างค่าธรรมเนียมจำนวนมาก
• Bitget ประกาศเติมเงินกองทุนคุ้มครองผู้ใช้กลับมาอย่างน้อย 300 ล้านดอลลาร์ และทยอยเปิดให้ถอนเงินอีกครั้ง
• ยอดเงินที่กู้คืนได้ในขั้นสุดท้ายและตัวตนของผู้ให้บริการด้านความปลอดภัยที่ได้รับผลกระทบยังไม่ทราบ