Binance เปิดเผยรายละเอียดเหตุการณ์โจมตีระบบเมื่อวันที่ 29 ตุลาคม 2026

เมื่อวันที่ 3 พฤศจิกายน 2026 Binance ได้ออกเอกสารรายงานเบื้องต้น (Initial Findings and Response Update) เกี่ยวกับเหตุการณ์ความปลอดภัยร้ายแรงเมื่อวันที่ 29 ตุลาคม 2026 ซึ่งส่งผลกระทบต่อสินทรัพย์ดิจิทัลมูลค่าราว 6.34 พันล้านดอลลาร์สหรัฐ นับเป็นหนึ่งในเหตุการณ์โจมตีแพลตฟอร์มคริปโตที่ใหญ่ที่สุดในประวัติศาสตร์จนถึงขณะนี้

Binance ยืนยันว่าจะรับผิดชอบผลกระทบทางการเงินทั้งหมดด้วยเงินทุนของบริษัทเอง ผู้ใช้ไม่ต้องรับภาระใด ๆ บริษัทได้จัดสรรเงินทุนมากกว่า 100% ของมูลค่าที่เสียหายแล้ว และจนถึงวันที่ 31 ตุลาคม 2026 ได้เติมสินทรัพย์ที่ได้รับผลกระทบกลับคืนไปแล้วประมาณ 98% ซึ่งตรวจสอบได้ผ่านหน้า Proof of Reserves ของบริษัท ส่วนที่เหลือกำลังดำเนินการซื้อเพิ่ม อีกทั้งได้ระงับหรือยึดสินทรัพย์ของผู้โจมตีไว้แล้วราว 2.85 พันล้านดอลลาร์สหรัฐ (ตัวเลขอาจเปลี่ยนแปลงตามราคาตลาด)

ไทม์ไลน์และวิธีการโจมตี (Multi-stage Campaign)

เหตุการณ์นี้ไม่ใช่การโจมตีครั้งเดียว แต่เป็นแคมเปญที่วางแผนมาอย่างละเอียดยาวนานหลายเดือน โดยใช้เทคนิคผสมผสาน ได้แก่ การวิศวกรรมสังคม (Social Engineering) ผ่านสัมภาษณ์งานปลอม, การดาวน์โหลดซอฟต์แวร์มัลแวร์, การใช้เครื่องมือ AI ภายในบริษัท และการเข้าถึงระบบลงนามธุรกรรมวอลเล็ต

• มิถุนายน 2026: วิศวกรฝ่าย Wallet DevOps (เรียกว่า Engineer A) ดาวน์โหลดตัวติดตั้ง Homebrew ที่ถูกดัดแปลง เพื่อติดตั้งเครื่องมือ AI coding ยอดนิยม ทีมรักษาความปลอดภัยของ Binance ตรวจพบและเปลี่ยนเครื่องคอมพิวเตอร์ รวมถึงหมุนเวียนข้อมูลรับรอง (credentials) ทั้งหมด แต่ข้อมูลบทบาทและเพื่อนร่วมทีมที่เกี่ยวข้องถูกเปิดเผยไปแล้ว
  
• กันยายน 2026: วิศวกรอีกคน (Engineer B) ถูกติดต่อผ่านแพลตฟอร์มหางานที่ถูกต้องตามกฎหมาย โดยบุคคลที่แอบอ้างเป็น “Project Director” จากบริษัทปลอม มีการสัมภาษณ์วิดีโอสดกับ “HR” ปลอมที่แสดงโซเชียลมีเดียส่วนตัวเพื่อสร้างความน่าเชื่อถือ จากนั้นรอบสองคุยกับ “CEO” ปลอมผ่านแอปแชท และถูกสั่งให้ดาวน์โหลด “coding assignment” (take-home) ลงบนคอมพิวเตอร์ที่ทำงาน ซึ่งจริง ๆ แล้วเป็นมัลแวร์ 0-day ที่หลบเลี่ยงการตรวจจับของ endpoint security โดยแอบแทนที่ส่วนประกอบของ pyenv ด้วยเวอร์ชันที่เป็นอันตราย
  
• 20 ตุลาคม 2026: ผู้โจมตีใช้เครื่องของ Engineer B ที่ถูกบุกรุกแล้ว และเครื่องมือ AI ภายในของ Binance เป็นสะพานเพื่อเข้าถึงเครื่องของ Engineer A และวิศวกรวอลเล็ตอีกคน (Engineer C) จนพบ token สำหรับ deploy container
  
• 29 ตุลาคม 2026 (ช่วง 17:15–19:56 UTC): ผู้โจมตีล็อกอินเข้าเครื่องของ Engineer C ใช้ credentials ที่ขโมยมา deploy container และสั่งรันสคริปต์โจมตี จากนั้นช่วง 20:05–20:09 UTC เริ่มโอนสินทรัพย์จำนวนมหาศาลออกจาก hot wallets หลายเครือข่าย (รวมถึง XRP กว่า 233 ล้านเหรียญ, SOL ประมาณ 970,500 เหรียญ, OP ราว 44.2 ล้านเหรียญ, BTC 18,270 เหรียญ และอื่น ๆ) โดยใช้ช่องโหว่ EIP-7702 บน Ethereum เพื่อมอบสิทธิ์การดำเนินการบางส่วนให้ smart contract ของผู้โจมตีโดยไม่ต้องเปิดเผย private key การโอนครั้งสุดท้าย (ETH ประมาณ 2,961.9 เหรียญ) สำเร็จเมื่อ 23:56 UTC และ Binance สามารถเคลียร์การมอบสิทธิ์ได้ในเวลา 00:10 UTC ของวันที่ 30 ตุลาคม

Binance ระบุว่าตลอดปี 2026 ทีมรักษาความปลอดภัยสามารถป้องกันเคสที่สงสัยว่าเกี่ยวข้องกับเกาหลีเหนือได้แล้ว 57 เคส ซึ่งมักใช้เทคนิคลวงคล้ายกัน (สัมภาษณ์งานปลอม, เครื่องมือนักพัฒนาที่เป็นอันตราย ฯลฯ)

การระบุผู้ก่อเหตุและการตอบสนอง

ข้อมูลล่าสุดจาก Federal Bureau of Investigation (FBI) ระบุว่าเกาหลีเหนือ (Democratic People’s Republic of Korea หรือ DPRK) เป็นผู้รับผิดชอบ โดยกลุ่มที่เกี่ยวข้องถูกเรียกในวงการวิเคราะห์บล็อกเชนว่า TraderTraitor (เชื่อมโยงกับกลุ่ม Lazarus ในอดีต) ฝ่ายเกาหลีเหนือปฏิเสธข้อกล่าวหาดังกล่าว

Binance ได้ดำเนินการทันที เช่น ปิดจุดเข้าถึงที่ใช้ในการโจมตี, สร้างระบบวอลเล็ตและเครื่องมือ AI ใหม่ทั้งหมด, เปลี่ยนเครื่องและยกเลิก credentials ที่เกี่ยวข้อง, เสริมการควบคุมความเสี่ยงของวอลเล็ตเซอร์วิส, ขยายระบบตรวจจับพฤติกรรมผิดปกติด้วย AI และร่วมมือกับหน่วยงานบังคับใช้กฎหมาย รวมถึงบริษัทวิเคราะห์บล็อกเชนเพื่อติดตามและระงับสินทรัพย์

บริษัทจะจ้างผู้เชี่ยวชาญด้านไซเบอร์ซีเคียวริตี้จากภายนอกมาตรวจสอบเพิ่มเติม เพิ่มการลงทุนด้าน AI security และวางแผนจัดตั้งกองทุนวิจัยด้านความปลอดภัย AI ในสภาพแวดล้อมบล็อกเชน

แหล่งอ้างอิงหลัก:

รายงานอย่างเป็นทางการของ Binance: 29 October 2026 Binance Security Incident: Initial Findings and Response Update และโพสต์บน X ของ@binance

สรุปข่าวจาก Bitcoin Magazine, BBC, The Verge, WIRED, Reuters และรายงานของ TRM Labs / Chainalysis ที่เชื่อมโยงกับกลุ่ม DPRK

สถานการณ์ยังอยู่ระหว่างการสอบสวนเพิ่มเติม และ Binance สัญญาว่าจะเปิดเผยข้อมูลเพิ่มเติมเมื่อมีความคืบหน้า เพื่อให้วงการเรียนรู้ร่วมกันและยกระดับความปลอดภัยโดยรวม