เจาะลึกแฮกเกอร์ปล้น Binance 6.3 พันล้านดอลลาร์ใน 20 นาที

จุดเริ่มต้นอาจอยู่ที่คอมพิวเตอร์ของวิศวกร

บริษัท Binance เปิดเผยว่า การตรวจสอบเบื้องต้นพบความเป็นไปได้ที่คอมพิวเตอร์แล็ปท็อปของวิศวกรฝ่ายเดฟออปส์ (DevOps) ซึ่งรับผิดชอบระบบซอฟต์แวร์และโครงสร้างพื้นฐาน อาจถูกเจาะระบบจนผู้โจมตีเข้าถึงส่วนหนึ่งของบริการภายในบริษัทได้ ก่อนพบช่องทางการบุกรุกเพิ่มเติมในเวลาต่อมา

ประเด็นนี้สำคัญเพราะการขโมยเงินคริปโตไม่จำเป็นต้องเริ่มจากการรู้รหัสผ่านของลูกค้าเสมอไป หากแฮกเกอร์เข้าควบคุมระบบที่มีสิทธิ์ออกคำสั่งโอนเงิน ก็อาจทำให้ธุรกรรมที่ไม่ถูกต้องถูกส่งออกไปได้ เปรียบเสมือนคนร้ายไม่ได้ขโมยกุญแจห้องนิรภัย แต่สามารถเข้าควบคุมระบบคอมพิวเตอร์ที่สั่งให้ห้องนิรภัยเปิดและจ่ายเงินออกมาเองได้นั่นเอง

เจาะระบบ Hot Wallet และคำสั่งอนุมัติธุรกรรม

หัวใจของการโจมตีอยู่ที่กระเป๋าคริปโตแบบฮอตวอลเล็ต (Hot Wallet) ซึ่งเป็นกระเป๋าที่เชื่อมต่อกับระบบออนไลน์เพื่อรองรับการฝากและถอนเงินของผู้ใช้งาน ต่างจากกระเป๋าแบบโคลด์วอลเล็ต (Cold Wallet) ที่แยกกุญแจควบคุมสินทรัพย์ออกจากระบบออนไลน์เป็นหลัก ฮอตวอลเล็ตจึงช่วยให้การโอนเงินทำได้รวดเร็ว แต่หากระบบอนุมัติธุรกรรมถูกบุกรุกก็อาจกลายเป็นจุดเสี่ยงสำคัญ

บริษัทวิเคราะห์ความปลอดภัยบล็อกเชนระบุว่า ผู้โจมตีสามารถทำให้ระบบลงนามธุรกรรม (Signing Infrastructure) ของ Binance ส่งคำสั่งโอนเงินออกจากกระเป๋าเงินเป้าหมายได้บนเครือข่ายอีเธอเรียม (Ethereum)

ซึ่งมีหลักฐานการใช้กลไก EIP-7702 เพื่อมอบหมายการทำงานของกระเป๋าให้กับโปรแกรมอัจฉริยะที่ผู้โจมตีควบคุม สำหรับโปรแกรมดังกล่าวทำหน้าที่รวบรวมและโอนสินทรัพย์ออก

อย่างรวดเร็ว อย่างไรก็ตาม ยังไม่สามารถยืนยันได้ว่าผู้โจมตีเข้าถึงสิทธิ์ลงนามเหล่านี้ด้วยวิธีใด และการโจมตีบนบล็อกเชนอื่นอาจใช้กลไกแตกต่างกัน

เตรียมการล่วงหน้า 36 ชั่วโมง ก่อนโอนเงินข้าม 10 บล็อกเชน

สิ่งที่ทำให้การโจมตีครั้งนี้แตกต่างจากการแฮกทั่วไปคือการเตรียมการอย่างเป็นระบบ TRM Labs พบว่าผู้โจมตีเริ่มเตรียมกระเป๋าและทดสอบโปรแกรมอย่างน้อย 36 ชั่วโมงก่อนลงมือจริง โดยมีการทดลองกับกระเป๋าหลายใบเพื่อให้มั่นใจว่าคำสั่งทำงานได้ ก่อนเริ่มโอนสินทรัพย์จำนวนมหาศาลออกจากกระเป๋าของ Binance ในคืนวันที่ 29 ตุลาคม

ข้อมูลบล็อกเชนแสดงให้เห็นการเคลื่อนย้ายสินทรัพย์บนเครือข่ายอย่าง Bitcoin, Ethereum, Tron, Solana และเครือข่ายอื่นรวมอย่างน้อย 10 บล็อกเชน โดยเงินส่วนใหญ่ถูกโอนออกภายในประมาณ 20 นาที

บางธุรกรรมบน Ethereum มีมูลค่าสูงถึงประมาณ 2.53 พันล้านดอลลาร์ หรือกว่า 8 หมื่นล้านบาทในการทำธุรกรรมครั้งเดียว ความรวดเร็วนี้เกิดจากการใช้ระบบอัตโนมัติส่งคำสั่งจำนวนมาก ไม่ใช่การที่คนร้ายนั่งกดโอนเงินทีละรายการด้วยมือ

แล้วทำไมเงินบางส่วนถูกอายัด แต่บางส่วนหยุดไม่ได้?

หลังเกิดเหตุ บริษัทผู้ออกเหรียญสเตเบิลคอยน์ (Stablecoin) อย่างเทเธอร์ (Tether) และเซอร์เคิล (Circle) เร่งระงับการเคลื่อนย้ายเหรียญที่เกี่ยวข้องกับการโจมตี โดยมีรายงานว่าสามารถอายัดสินทรัพย์ได้ราว 2.8-3 พันล้านดอลลาร์ หรือเกือบครึ่งหนึ่งของมูลค่าที่ถูกขโมย

เนื่องจากเงินดิจิทัลแบบสเตเบิลคอยน์บางประเภทมีระบบควบคุมที่อนุญาตให้ผู้ออกเหรียญระงับการใช้งานสินทรัพย์ในที่อยู่ที่กำหนดได้ ในขณะที่สินทรัพย์บนเครือข่ายอย่าง Bitcoin หรือ Ethereum การใช้งานทำได้อิสระแบบไร้ตัวกลางควบคุม ไม่มีหน่วยงานกลางที่สามารถสั่งอายัดเหรียญบนเครือข่ายได้โดยตรง

นอกจากนี้ ผู้โจมตียังพยายามแลกเปลี่ยนสินทรัพย์และกระจายเงินผ่านหลายกระเป๋า เพื่อทำให้การติดตามและอายัดซับซ้อนขึ้น แม้ทุกธุรกรรมบนบล็อกเชนสาธารณะจะยังสามารถตรวจสอบย้อนหลังได้ก็ตาม

บทเรียนจากการแฮกครั้งใหญ่

เหตุการณ์นี้แสดงให้เห็นว่า ความปลอดภัยของแพลตฟอร์มคริปโตไม่ได้ขึ้นอยู่กับความแข็งแกร่งของเทคโนโลยีบล็อกเชนเพียงอย่างเดียว แต่ยังขึ้นอยู่กับระบบคอมพิวเตอร์ภายใน

การจัดการสิทธิ์พนักงาน และกระบวนการอนุมัติธุรกรรม หากผู้โจมตีสามารถเข้าควบคุมระบบที่ได้รับความไว้วางใจ แม้บล็อกเชนจะทำงานตามปกติ เงินก็อาจถูกโอนไปยังปลายทางที่ไม่ถูกต้องได้

ล่าสุด Binance ระบุเมื่อวันที่ 31 ตุลาคมว่า บริษัทได้จัดหาสินทรัพย์กลับมาทดแทนแล้วประมาณ 90% ของมูลค่าที่สูญเสีย และยืนยันว่าลูกค้าจะไม่ต้องรับภาระความเสียหาย

ในขณะที่การสอบสวนยังดำเนินต่อไปเพื่อระบุจุดเริ่มต้นของการบุกรุกและผู้รับผิดชอบ เหตุการณ์นี้จึงเป็นกรณีศึกษาสำคัญว่า ในโลกการเงินดิจิทัล การป้องกันระบบที่มีอำนาจอนุมัติธุรกรรมอาจสำคัญไม่แพ้การปกป้องเงินที่เก็บอยู่ในกระเป๋าเสียอีก