Binance เผยรายละเอียดการสัมภาษณ์งานปลอมและการเจาะเครื่องมือ AI ในเหตุแฮ็ก

Binance ระบุในผลการตรวจสอบเบื้องต้นที่เผยแพร่เมื่อวันที่ 3 พฤศจิกายน 2026 ว่า การสัมภาษณ์รับสมัครงานปลอม ซอฟต์แวร์สำหรับนักพัฒนาที่เป็นอันตราย และเครื่องมือ AI ภายในที่ถูกเจาะระบบ เกิดขึ้นก่อนการโจรกรรมสินทรัพย์ดิจิทัลมูลค่าประมาณ 6.34 พันล้านดอลลาร์ เมื่อวันที่ 29 ตุลาคม 2026

แพลตฟอร์มซื้อขายจะรับผลกระทบทางการเงินไว้เอง แทนที่จะผลักภาระให้ผู้ใช้ Binance รายงานว่าได้กันเงินไว้มากกว่า 100% ของจำนวนที่จำเป็นสำหรับชดเชยความเสียหาย เติมคืนสินทรัพย์โทเคนที่ได้รับผลกระทบแล้ว 98% ณ วันที่ 31 ตุลาคม 2026 และอายัดหรือสกัดกั้นสินทรัพย์ได้ประมาณ 2.85 พันล้านดอลลาร์ ทั้งนี้ ขึ้นอยู่กับการกระทบยอดและความผันผวนของราคาในตลาด บริษัทกำลังซื้อสินทรัพย์ส่วนที่ยังขาดอยู่ซึ่งมีสภาพคล่องต่ำกว่า

หน้าหลักฐานยืนยันสินทรัพย์สำรองที่อ้างถึงในกรณีการเติมคืนสินทรัพย์ ระบุว่าสินทรัพย์ของผู้ใช้ที่อยู่ในความดูแลมีสินทรัพย์หนุนหลังในอัตรา 1:1 โดยใช้บันทึกแบบ Merkle tree และหลักฐาน zk-SNARK เพื่อให้ผู้ใช้ตรวจสอบได้ว่ายอดคงเหลือของตนถูกรวมอยู่ในรายงานหนี้สิน

ผลการตรวจสอบยังเป็นเพียงข้อมูลเบื้องต้น การสอบสวนยังดำเนินอยู่ การตรวจสอบโดยหน่วยงานอิสระยังไม่เสร็จสิ้น และ Binance งดเปิดเผยรายละเอียดทางเทคนิคบางส่วน เพื่อไม่ให้ผู้ไม่หวังดีนำข้อมูลไปใช้วางแผนโจมตี

ผู้โจมตีเข้าถึงระบบได้นานหลายเดือนก่อนโจมตีกระเป๋าเงิน

ในเดือนมิถุนายน 2026 วิศวกร DevOps ด้านกระเป๋าเงินรายหนึ่งดาวน์โหลดตัวติดตั้ง Homebrew ที่ถูกดัดแปลง ขณะพยายามติดตั้งเครื่องมือเขียนโค้ด AI ยอดนิยมที่พบผ่านเครื่องมือค้นหา Binance ตรวจพบความผิดปกติ เปลี่ยนอุปกรณ์ และเปลี่ยนข้อมูลรับรองที่เกี่ยวข้อง แต่ผู้โจมตีได้ล่วงรู้บทบาทของวิศวกรรายนี้และข้อมูลของเพื่อนร่วมงานในทีมโครงสร้างพื้นฐานกระเป๋าเงินไปแล้ว

ในเดือนกันยายน 2026 วิศวกรซอฟต์แวร์อีกรายได้รับการติดต่อผ่านแพลตฟอร์มหางานที่น่าเชื่อถือจากบุคคลที่แอบอ้างว่าเป็นผู้อำนวยการโครงการ หลังการสัมภาษณ์ผ่านวิดีโอสดกับบุคคลที่อ้างว่าเป็นตัวแทนฝ่ายทรัพยากรบุคคล ก็มีการสัมภาษณ์รอบที่สองผ่านแอปแชตยอดนิยม โดยคู่สนทนาอ้างว่าเป็นซีอีโอของบริษัทสมมติ ช่วงท้ายการสัมภาษณ์ วิศวกรได้รับคำสั่งให้ดาวน์โหลดโจทย์งานซึ่งมีคลังโค้ดที่เป็นอันตรายลงในคอมพิวเตอร์ที่ทำงาน โค้ดดังกล่าวทำงานระหว่างการติดตั้ง

มัลแวร์แทนที่องค์ประกอบหนึ่งของ pyenv ที่ถูกต้องด้วยเวอร์ชันอันตราย และติดต่อสื่อสารกับเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม Binance ระบุว่า ในขณะนั้นระบบป้องกันอุปกรณ์ปลายทางตรวจไม่พบมัลแวร์ซีโร่เดย์ ขณะที่ผู้โจมตีดำเนินการปกปิดกิจกรรมและลบร่องรอยการเจาะระบบ

เมื่อวันที่ 20 ตุลาคม 2026 ผู้โจมตีใช้คอมพิวเตอร์ของวิศวกรรายที่สองซึ่งถูกเจาะระบบ และเครื่องมือ AI ภายใน เพื่อขยายการควบคุมไปยังวิศวกร DevOps คนแรกและวิศวกรซอฟต์แวร์กระเป๋าเงินอีกราย จากนั้นพบโทเคนที่มีสิทธิ์อนุญาตให้ติดตั้งคอนเทนเนอร์อยู่ในคอมพิวเตอร์ของวิศวกร DevOps ระหว่างเวลา 17:15 ถึง 19:56 UTC ของวันที่ 29 ตุลาคม ผู้โจมตีเข้าสู่ระบบคอมพิวเตอร์ของวิศวกรรายที่สาม ใช้ข้อมูลรับรองที่ขโมยมาจากวิศวกร DevOps ติดตั้งคอนเทนเนอร์ และสั่งให้สคริปต์อันตรายทำงาน ซึ่งเป็นจุดเริ่มต้นของการโจมตีกระเป๋าเงิน

การอนุญาตบนบล็อกเชนทำให้ควบคุมเหตุการณ์ได้ยากขึ้น

ผู้โจมตีใช้สิทธิ์เข้าถึงบริการลงนามธุรกรรมของกระเป๋าเงินภายในโดยไม่ได้รับอนุญาต เพื่อเริ่มทำธุรกรรมนอกกระบวนการถอนเงินตามปกติของ Binance ระหว่างเวลา 20:05 ถึง 20:09 UTC กระเป๋าเงินฮอตของ Binance จำนวน 5 ใบส่ง XRP จำนวน 233.46 ล้านหน่วยไปยังที่อยู่ซึ่งผู้โจมตีควบคุม ต่อมายังมีสินทรัพย์ไหลออกจากกระเป๋าเงินฮอตของ Solana และ Optimism และกระเป๋าเงินฮอตของ Binance ใบหนึ่งส่ง Bitcoin จำนวน 18,270 หน่วยไปยังที่อยู่ซึ่งผู้โจมตีควบคุม

ผู้โจมตียังใช้ประโยชน์จากกลไกการอนุญาต EIP-7702 ของ Ethereum ซึ่งเปิดให้บัญชีมอบสิทธิ์การดำเนินการบางอย่างแก่สัญญาอัจฉริยะได้โดยไม่ต้องเปิดเผยกุญแจส่วนตัว ธุรกรรมลงนามจำนวน 50 รายการได้เปลี่ยนแปลงค่า nonce ของบัญชีและกำหนดการอนุญาตให้มอบสิทธิ์ที่เป็นอันตราย ส่งผลให้สัญญาที่ผู้โจมตีควบคุมได้รับสิทธิ์ดำเนินการบางส่วนเหนือกระเป๋าเงินฮอตของ Binance การอนุญาตเหล่านั้นทำให้สินทรัพย์ยังคงเคลื่อนย้ายได้โดยไม่ขึ้นกับโครงสร้างพื้นฐานการถอนเงินของแพลตฟอร์ม

ดังนั้น การระงับการถอนเงินและปิดบริการกระเป๋าเงินฮอตจึงไม่ทำให้สิทธิ์ที่มีอยู่บนบล็อกเชนเป็นโมฆะ เนื่องจากกระเป๋าเงินใช้การคำนวณแบบหลายฝ่าย จึงไม่มีกุญแจส่วนตัวเพียงดอกเดียวที่สามารถเพิกถอนสิทธิ์ได้ทันที จำเป็นต้องใช้ขั้นตอนเฉพาะทางซึ่งต้องใช้เวลาเพิ่มเติม การโอนโดยไม่ได้รับอนุญาตครั้งสุดท้ายซึ่งมีจำนวน 2,961.9 Ether ได้รับการยืนยันบนบล็อกเชนเมื่อเวลา 23:56 UTC หลังจากก่อนหน้านั้นยังค้างอยู่ในสถานะรอดำเนินการ และไม่พบการโอนโดยไม่ได้รับอนุญาตเพิ่มเติมหลังจากนั้น เมื่อเวลา 00:10 UTC ของวันที่ 30 ตุลาคม 2026 Binance ได้ดำเนินการอนุญาตรายการใหม่จากกระเป๋าเงินฮอต Binance14 ไปยังที่อยู่ศูนย์ เพื่อเคลียร์โค้ดการมอบสิทธิ์ที่เป็นอันตราย

สร้างระบบขึ้นใหม่และมีการระบุผู้รับผิดชอบโดย FBI แยกต่างหาก

ณ วันที่ 3 พฤศจิกายน Binance ได้สร้างระบบกระเป๋าเงินที่ได้รับผลกระทบขึ้นใหม่ในสภาพแวดล้อมใหม่ รวมถึงสร้างเครื่องมือ AI ภายในที่ได้รับผลกระทบและระบบควบคุมการเข้าถึงขึ้นใหม่ด้วย นอกจากนี้ ยังเปลี่ยนอุปกรณ์ที่ได้รับผลกระทบ ยกเลิกข้อมูลรับรองและโทเคนที่เกี่ยวข้อง สแกนอุปกรณ์ของพนักงานอย่างละเอียดเสร็จสิ้น ขยายการตรวจจับความผิดปกติทางพฤติกรรมด้วย AI และเสริมความเข้มงวดของมาตรการควบคุมความเสี่ยงสำหรับบริการกระเป๋าเงิน

Binance กำลังว่าจ้างผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์อิสระจากภายนอกให้ตรวจสอบความถูกต้องของข้อค้นพบและเสนอแนะมาตรการเพิ่มเติม Binance กำลังเพิ่มการลงทุนในระบบตรวจจับที่ใช้ AI การป้องกันอุปกรณ์ปลายทาง การรักษาความปลอดภัยของสภาพแวดล้อมสำหรับนักพัฒนา และการติดตามพฤติกรรม นอกจากนี้ ยังอยู่ระหว่างดำเนินการจัดตั้งกองทุนวิจัยด้านความปลอดภัย พร้อมริเริ่มโครงการที่มุ่งเป้าไปยังบริษัท AI ผู้มีส่วนร่วมในอุตสาหกรรม และบริษัทรักษาความปลอดภัย ซึ่งเน้นเรื่องความปลอดภัยของ AI ในสภาพแวดล้อมบล็อกเชน

ในประกาศลงวันที่ 31 ตุลาคม 2026อีกฉบับหนึ่ง FBI ระบุว่า กลุ่ม TraderTraitor ของเกาหลีเหนือเป็นผู้รับผิดชอบ และสำนักงานร่วมกับหน่วยงานพันธมิตรอย่าง USSS และ IRS-CI พบว่ากลุ่มดังกล่าวแปลงสินทรัพย์ที่ขโมยมาเป็น Ether เป็นหลัก พร้อมคาดว่าจะมีการฟอกเงินเพิ่มเติมผ่าน DeFi และบริการแลกเปลี่ยนสินทรัพย์ทันที หน่วยงานเหล่านี้เรียกร้องให้ผู้ดำเนินการโหนด แพลตฟอร์มแลกเปลี่ยน บริการ DeFi บริษัทวิเคราะห์บล็อกเชน และผู้ให้บริการสินทรัพย์เสมือนรายอื่น ๆ ระงับธุรกรรมที่เกี่ยวข้องกับหรือมีที่มาจากที่อยู่ที่ระบุไว้

รายงานดังกล่าวชี้ให้เห็นถึงปัญหาในการควบคุมสถานการณ์ที่ไม่ได้จำกัดอยู่แค่การตรวจจับมัลแวร์ กล่าวคือ การเปลี่ยนอุปกรณ์เครื่องแรกที่ถูกเจาะระบบไม่ได้ตัดการเข้าถึงทีมดูแลกระเป๋าเงินของผู้โจมตี และการระงับการถอนเงินก็ไม่ได้เพิกถอนอำนาจบนบล็อกเชน การตรวจสอบโดยหน่วยงานอิสระจึงเป็นขั้นตอนสำคัญในการตรวจสอบทั้งการสร้างห่วงโซ่เหตุการณ์ดังกล่าวขึ้นใหม่ของ Binance และการพิจารณาว่าระบบควบคุมที่สร้างขึ้นใหม่สามารถจัดการกับปัญหานี้ได้หรือไม่