สรุปแฮก Binance เสียหาย 6.3 พันล้านดอลลาร์สหรัฐ เปิดเส้นทางโจมตีระบบ

วันที่ 30 ตุลาคม 2569 Binance แพลตฟอร์มซื้อขายสินทรัพย์ดิจิทัล เปิดเผยความคืบหน้าเหตุโจมตีระบบ โดยประเมินผลกระทบเบื้องต้นประมาณ 6.3 พันล้านดอลลาร์สหรัฐ (ประมาณ 204,750 ล้านบาท) ขณะที่การประสานงานกับพันธมิตรบล็อกเชนช่วยอายัดสินทรัพย์ได้แล้วประมาณ 3 พันล้านดอลลาร์สหรัฐ (ประมาณ 97,500 ล้านบาท) ทั้งนี้ ตัวเลขอาจเปลี่ยนแปลงตามผลสอบสวนและการติดตามสินทรัพย์เพิ่มเติม

เร่งสอบแล็ปท็อปวิศวกรถูกเจาะ

Binance ระบุว่า ผลสอบสวนเบื้องต้นชี้ว่า คนร้ายอาจเข้าถึงระบบผ่านแล็ปท็อปของวิศวกร DevOps ก่อนเข้าควบคุมบริการภายในและส่งคำสั่งถอนสินทรัพย์โดยไม่ได้รับอนุญาต อย่างไรก็ตาม บริษัทยังไม่พบหลักฐานว่า Private Key หรือกุญแจส่วนตัวของกระเป๋าสินทรัพย์ดิจิทัลรั่วไหล และอยู่ระหว่างตรวจสอบเส้นทางการโจมตีทั้งหมด

ข้อมูลดังกล่าวทำให้ประเด็นสำคัญของการสอบสวนอยู่ที่คนร้ายสามารถผ่านกระบวนการอนุมัติและสั่งให้ระบบลงนามธุรกรรมได้อย่างไร เพราะการพบธุรกรรมที่มีลายเซ็นถูกต้อง ไม่ได้ยืนยันในตัวเองว่าคนร้ายขโมยกุญแจส่วนตัวออกไปโดยตรง

ใช้ EIP-7702 ควบคุมกระเป๋า Ethereum

Blockaid บริษัทด้านความปลอดภัยบล็อกเชน วิเคราะห์ว่า การโจมตีส่วนหนึ่งเกิดขึ้นกับกระเป๋า Ethereum ชื่อ “Binance 14” ซึ่งเป็นกระเป๋าออนไลน์ที่ใช้ดำเนินธุรกรรม โดยคนร้ายใช้การอนุมัติตามมาตรฐาน EIP-7702 เพื่อให้กระเป๋าเรียกใช้โค้ดสัญญาอัจฉริยะที่เตรียมไว้สำหรับกวาดสินทรัพย์ออกไป

EIP-7702 เป็นมาตรฐานของ Ethereum ที่เปิดให้กระเป๋าปกติมอบหมายการทำงานให้โค้ดสัญญาอัจฉริยะผ่านลายเซ็นอนุมัติ ช่วยรองรับการใช้งานที่ซับซ้อนขึ้น เช่น การรวมหลายคำสั่งไว้ในธุรกรรมเดียว แต่หากอนุมัติให้โค้ดอันตราย ก็อาจเปิดทางให้โค้ดนั้นเข้าถึงสินทรัพย์ในกระเป๋าได้ การโจมตีลักษณะนี้จึงยังไม่ใช่ข้อยืนยันว่าตัวมาตรฐาน Ethereum มีช่องโหว่

ส่งการอนุมัติ 50 ชุด ก่อนกวาดสินทรัพย์

Blockaid พบว่า คนร้ายส่งการอนุมัติ 50 รายการรวมอยู่ในธุรกรรมเดียว ครอบคลุมค่า Nonce หรือตัวนับธุรกรรมหลายค่าต่อเนื่องกัน เนื่องจากกระเป๋า Binance 14 ยังทำธุรกรรมอยู่ตลอดเวลา ทำให้ค่าดังกล่าวเปลี่ยนแปลงอยู่เสมอ

การอนุมัติหนึ่งรายการตรงกับค่า Nonce ขณะนั้นและมีผลสำเร็จ ก่อนที่คนร้ายจะเรียกใช้โค้ดกวาดสินทรัพย์ในอีกประมาณ 3 นาที 24 วินาทีต่อมา ส่งผลให้ 167,464 ETH, ประมาณ 1.615 พันล้าน USDT และโทเคนอื่นอีกราว 60 รายการ ถูกโอนไปยังกระเป๋ารับเงินตามการตรวจพบของ Blockaid

การโจมตีครอบคลุมหลายเครือข่าย

เหตุการณ์ไม่ได้จำกัดอยู่เพียง Ethereum โดย Bitquery บริษัทวิเคราะห์ข้อมูลบล็อกเชน พบการเคลื่อนย้ายสินทรัพย์จากกระเป๋า Binance หลายแห่งบนหลายเครือข่าย รวมถึง Bitcoin และ Tron

สำหรับกระเป๋าส่วนใหญ่ที่ตรวจสอบ Bitquery พบการโอนผ่านธุรกรรมปกติที่มีลายเซ็นจากกระเป๋าต้นทาง แตกต่างจากกรณี Binance 14 ที่มีการมอบหมายให้เรียกใช้โค้ดผ่าน EIP-7702 ข้อมูลนี้สอดคล้องกับแนวทางสอบสวนที่ต้องตรวจสอบระบบสั่งถอนและกระบวนการลงนามในภาพรวม ขณะที่รายละเอียดต้นเหตุยังต้องรอการยืนยันเพิ่มเติม

อายัด Stablecoin ยังไม่เท่ากับได้เงินคืน

อีกประเด็นสำคัญคือ การติดตามสินทรัพย์หลังถูกโอนออกจากระบบ แม้ผู้ออก Stablecoin เช่น USDT และ USDC จะสามารถระงับการเคลื่อนย้ายโทเคนในที่อยู่ที่เกี่ยวข้องได้ แต่การอายัดไม่ได้ย้อนธุรกรรมก่อนหน้า หรือดึงสินทรัพย์ประเภทอื่นกลับคืนโดยอัตโนมัติ

Bitquery วิเคราะห์ว่า คนร้ายแลก Stablecoin บางส่วนเป็นสินทรัพย์อื่นก่อนถูกอายัด และนำบางส่วนเข้าแพลตฟอร์มสินเชื่อกระจายศูนย์ Aave เพื่อใช้เป็นหลักประกันกู้ ETH ทำให้เส้นทางเงินซับซ้อนขึ้น การติดตามคืนจึงต้องแยกระหว่างสินทรัพย์ที่ถูกระงับไว้ สินทรัพย์ที่แลกเปลี่ยนแล้ว และสินทรัพย์ที่ถูกโอนไปยังกระเป๋าอื่น

ดังนั้น ยอดสินทรัพย์ที่อายัดได้จึงยังไม่ใช่ยอดที่นำกลับมาชดเชยความเสียหายแล้วทั้งหมด โดยเฉพาะ ETH หรือ BTC ที่ไม่มีกลไกให้ผู้ออกเหรียญสั่งอายัดในลักษณะเดียวกับ Stablecoin

Binance ประกาศรับผิดชอบความเสียหาย

Binance ประกาศว่าจะใช้กองทุน SAFU และเงินของบริษัทรับผิดชอบความเสียหายทั้งหมด พร้อมยืนยันว่าเงินของผู้ใช้ปลอดภัย โดยระงับการฝากและถอนชั่วคราวระหว่างตรวจสอบความปลอดภัย รวมถึงยกเลิกการอนุมัติของที่อยู่ที่ได้รับผลกระทบ และประสานหน่วยงานบังคับใช้กฎหมายเพื่อติดตามสินทรัพย์คืน

บริษัทยังระบุว่าจะเปิดเผยรายงานทางเทคนิคหลังสอบสวนเสร็จสิ้น และเผยแพร่ข้อมูลหลักฐานสินทรัพย์สำรอง หรือ Proof of Reserves ฉบับปรับปรุงเมื่อดำเนินการแก้ไขแล้วเสร็จ

เรียบเรียงจาก Binance — Security Incident Update  และ  Blockaid