การโจรกรรมจาก Binance เริ่มต้นจากการสัมภาษณ์งาน: สิทธิ์เข้าถึงเป็นตัวกำหนดความเสียหาย

ในเดือนกันยายน วิศวกรซอฟต์แวร์ของ Binance เข้าสัมภาษณ์งานสองรอบกับบริษัทที่ไม่มีอยู่จริง รอบแรกเป็นการสนทนาทางวิดีโอสดกับเจ้าหน้าที่ฝ่ายทรัพยากรบุคคล ซึ่งแชร์บัญชีโซเชียลมีเดียส่วนตัวพร้อมภาพถ่ายและวิดีโอ เพื่อยืนยันว่าตนมีตัวตนจริง ส่วนรอบที่สองจัดขึ้นผ่านแอปแชต โดยมีคนหนึ่งอ้างตัวว่าเป็นซีอีโอ ช่วงท้าย วิศวกรถูกขอให้ดาวน์โหลดโจทย์เขียนโค้ดลงในคอมพิวเตอร์ที่ใช้ทำงาน

เมื่อวันที่ 29 ตุลาคม ผู้โจมตีโอนเงินออกจากกระเป๋าเงินของ Binance ราว 6.34 พันล้านดอลลาร์ โดยส่วนใหญ่ถูกโอนออกไปภายในเวลาประมาณ 20 นาที เอฟบีไอ ระบุว่าการโจรกรรมนี้เป็นฝีมือของ TraderTraitor กลุ่มจากเกาหลีเหนือที่ถูกกล่าวหาว่าอยู่เบื้องหลังการโจรกรรมเงิน 1.5 พันล้านดอลลาร์จาก Bybit ในเดือนกุมภาพันธ์ 2025 นี่คือการโจรกรรมคริปโทเคอร์เรนซีครั้งใหญ่ที่สุดเท่าที่มีการบันทึกไว้

Binance ยอมรับความรับผิดชอบและระบุว่าจะรับภาระความเสียหายเอง ณ วันที่ 3 พฤศจิกายน บริษัทระบุว่าได้ชดเชยสินทรัพย์โทเคนที่ได้รับผลกระทบไปแล้ว 98% และมีสินทรัพย์มูลค่าราว 2.85 พันล้านดอลลาร์ที่ถูกอายัดหรือสกัดกั้นไว้ได้

คำถามที่ควรพิจารณาคือ แล็ปท็อปที่ถูกเจาะระบบเพียงเครื่องเดียวเข้าถึงอะไรได้บ้าง และวันนี้ทุกทีมจะทดสอบเรื่องนี้ในสภาพแวดล้อมของตนเองได้หรือไม่

ช่องทางเข้าถึงสองทางกับปฏิบัติการที่ดำเนินตั้งแต่มิถุนายนถึงตุลาคม

ไม่มีข้อมูลใดในการอัปเดตของ Binance เมื่อวันที่ 3 พฤศจิกายนที่บ่งชี้ว่ามีการใช้ดีปเฟกหรือเทคนิคอื่นที่อาศัย AI ทั้งสองช่องทางล้วนผ่านผู้คน: วิศวกรคนหนึ่งเชื่อผลการค้นหา ส่วนอีกคนเชื่อใจผู้สรรหาบุคลากร

ปฏิบัติการนี้ดำเนินมาอย่างน้อยห้าเดือน ในเดือนมิถุนายน วิศวกร DevOps ที่ดูแลกระเป๋าเงินดิจิทัลและกำลังค้นหาเครื่องมือเขียนโค้ดด้วย AI ดาวน์โหลดตัวติดตั้ง Homebrew ที่ถูกดัดแปลง ทีมรักษาความปลอดภัยของ Binance ตรวจพบความผิดปกติ เปลี่ยนอุปกรณ์ และหมุนเวียนข้อมูลรับรองการเข้าถึง แต่ถึงตอนนั้น ผู้โจมตีก็รู้แล้วว่าใครอยู่ในทีมโครงสร้างพื้นฐานของกระเป๋าเงินดิจิทัล

สามเดือนต่อมา พวกเขากลับมาอีกครั้งโดยใช้ช่องทางอื่น วิศวกรที่ถูกติดต่อในเดือนกันยายนมีโปรไฟล์บนแพลตฟอร์มหางานที่ถูกต้องตามกฎหมาย ซึ่งระบุประสบการณ์ทำงานที่ Binance โจทย์เขียนโค้ดที่เขาได้รับมีมัลแวร์ซึ่งทำงานระหว่างการติดตั้ง สลับส่วนประกอบ pyenv ที่ถูกต้องกับส่วนประกอบอันตราย เชื่อมต่อกับเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม และลบร่องรอยของตน Binance ระบุว่าระบบป้องกันอุปกรณ์ปลายทางตรวจไม่พบมัลแวร์ดังกล่าว

เมื่อวันที่ 20 ตุลาคม ผู้โจมตีใช้แล็ปท็อปเครื่องนั้นและเครื่องมือ AI ภายในเพื่อเข้าควบคุมคอมพิวเตอร์ของวิศวกรอีกสองคน โดยหนึ่งในนั้นเป็นของวิศวกร DevOps ที่ถูกเจาะระบบในเดือนมิถุนายน บนเครื่องดังกล่าว พวกเขาพบโทเคนที่มีสิทธิ์ติดตั้งคอนเทนเนอร์ เมื่อวันที่ 29 ตุลาคม พวกเขาเข้าสู่ระบบคอมพิวเตอร์ของวิศวกรอีกคน ใช้ข้อมูลรับรองที่ขโมยมาเพื่อติดตั้งคอนเทนเนอร์ แล้วเรียกใช้สคริปต์ที่เริ่มการโจรกรรม

เหตุใดกลลวงจากผู้สรรหาบุคลากรจึงยังได้ผล

ผู้สรรหาบุคลากรปลอมและแบบทดสอบเขียนโค้ดที่ฝังมัลแวร์เป็นกลวิธีเก่าที่ใช้กันมานาน หลายปีที่ผ่านมา ปฏิบัติการจากเกาหลีเหนือใช้วิธีนี้โจมตีนักพัฒนา โดยกรณีที่เป็นที่รู้จักมากที่สุดคือปฏิบัติการที่เรียกว่า Contagious Interview Binance ระบุว่าในปี 2026 เพียงปีเดียว บริษัทสกัดกั้นความพยายามโจมตีที่สงสัยว่าเชื่อมโยงกับเกาหลีเหนือได้ 57 ครั้ง

กลลวงนี้ได้ผลเพราะขอให้วิศวกรทำสิ่งที่พวกเขาทำอยู่ทุกวัน การเรียกใช้คลังโค้ดที่ไม่คุ้นเคยเป็นเรื่องปกติในการสัมภาษณ์งานสายเทคนิค ไม่มีที่อยู่อีเมลผู้ส่งที่น่าสงสัยหรือ ลิงก์ให้เลื่อนเมาส์ไปตรวจสอบ มีเพียงนายจ้างที่ดูน่าเชื่อถือ คนที่ปรากฏบนวิดีโอ และงานที่ดูเหมือนงานจริง

ข้อความจากผู้สรรหาบุคลากรยังเป็นหนึ่งในไม่กี่ช่องทางที่ผู้คนยินดีรับการติดต่อโดยไม่ได้ร้องขอ ไม่มีโครงการสร้างความตระหนักรู้ใดรับประกันได้ว่าวิศวกรทุกคนจะจับพิรุธการติดต่อที่แนบเนียนได้ทุกครั้ง ดังนั้นมาตรการควบคุมจึงต้องตั้งอยู่บนสมมติฐานว่าจะมีบางครั้งที่กลลวงหลุดรอดไปได้

แล็ปท็อปเพียงเครื่องเดียวเข้าถึงกระเป๋าเงินได้อย่างไร

คำถามแรกของผมเกี่ยวข้องกับมาตรการรักษาความปลอดภัยในสภาพแวดล้อมการทำงานของวิศวกรคนนั้น การใช้คอมพิวเตอร์ที่ทำงานทำแบบทดสอบเขียนโค้ดจากบุคคลภายนอกเป็นเรื่องที่ควรตรวจสอบอย่างละเอียด แต่ข้อกังวลที่ใหญ่กว่าคือ เหตุใดการเจาะระบบเพียงครั้งเดียวจึงเปิดทางให้เข้าถึงระบบอื่น ๆ และท้ายที่สุดเข้าถึงโครงสร้างพื้นฐานทางการเงินที่มีความอ่อนไหวได้

ทุกขั้นตอนหลังการติดมัลแวร์ครั้งแรกอาศัยความไว้วางใจที่มีอยู่แล้วภายใน Binance เครื่องมือ AI ภายในรับคำสั่งจากเครื่องที่ถูกเจาะระบบ แล้วส่งต่อไปยังอุปกรณ์ของเพื่อนร่วมงาน โทเคนสำหรับติดตั้งระบบอยู่บนแล็ปท็อปของวิศวกร การติดตั้งคอนเทนเนอร์ด้วยข้อมูลรับรองที่ถูกต้องทำให้เงินมูลค่าหลายพันล้านถูกเคลื่อนย้าย ทั้งหมดนี้ไม่จำเป็นต้องใช้กลลวงอีกครั้ง

เครื่องมือ AI ภายในควรได้รับการใส่ใจเป็นพิเศษ เพราะมักมีสิทธิ์เข้าถึงคลังโค้ด อุปกรณ์ปลายทาง และบริการต่าง ๆ อย่างกว้างขวาง ดังนั้นใครก็ตามที่ควบคุมเครื่องซึ่งสั่งการเครื่องมือเหล่านี้ได้ ก็ย่อมเข้าถึงสิ่งต่าง ๆ ได้ตามขอบเขตสิทธิ์ของเครื่องมือ

ปกป้องนักพัฒนาโดยไม่ทำให้งานวิศวกรรมชะงัก

นักพัฒนาจำเป็นต้องดาวน์โหลดแพ็กเกจ เรียกใช้โค้ดที่ไม่คุ้นเคย และทดสอบซอฟต์แวร์ การล็อกแล็ปท็อปของพวกเขาอย่างเข้มงวดเหมือนเครื่องของฝ่ายการเงินจะทำให้งานวิศวกรรมช้าลงจนแทบหยุดชะงัก และผลักดันให้วิศวกรหาทางเลี่ยงมาตรการ นโยบายที่กำหนดไม่ให้ทำกิจกรรมหางานบนอุปกรณ์ของบริษัทเป็นเรื่องสมเหตุสมผล แต่ไม่มีใครปฏิบัติตามนโยบายได้ทุกครั้ง เป้าหมายที่ทำได้จริงคือจำกัดสิ่งที่เครื่องของนักพัฒนาซึ่งถูกเจาะระบบจะทำต่อไปได้

มาตรการควบคุมเพียงไม่กี่ข้อสร้างความแตกต่างได้มากที่สุด ควรเรียกใช้โค้ดที่ไม่น่าเชื่อถือในเครื่องเสมือนที่ทิ้งได้ โดยไม่ให้เข้าถึงข้อมูลรับรองขององค์กร ข้อมูลรับรองสำหรับการนำระบบขึ้นใช้งานควรมีอายุสั้น จำกัดขอบเขตสิทธิ์อย่างแคบ และออกให้แก่เวิร์กโฟลว์การนำระบบขึ้นใช้งานที่มีการควบคุม หากทำได้ กุญแจลงนามของกระเป๋าเงินดิจิทัลหรือส่วนแบ่งกุญแจควรได้รับการปกป้องแยกจากเครื่องของนักพัฒนา พร้อมกำหนดนโยบายการลงนามเพื่อจำกัดว่าธุรกรรมและการอนุมัติใดบ้างที่สามารถอนุมัติได้ การดำเนินการที่เกี่ยวข้องกับกระเป๋าเงิน ระบบชำระเงิน หรือระบบที่ใช้งานจริง ควรต้องได้รับอนุมัติจากบุคคลที่สองผ่านอุปกรณ์อีกเครื่องหนึ่ง เครื่องมือ AI ภายในองค์กรควรทำงานด้วยสิทธิ์ขั้นต่ำเท่าที่จำเป็น และบันทึกการดำเนินการของตน

ระบบตรวจจับต้องทำงานได้แม้ข้อมูลรับรองจะถูกต้องตามปกติ การเฝ้าระวังพฤติกรรมที่แจ้งเตือนเมื่อมีการนำระบบขึ้นใช้งานจากเครื่องที่ไม่คุ้นเคยหรือในเวลาที่ผิดปกติ เปิดโอกาสให้ทีมเข้าแทรกแซงได้ แม้ข้อมูลรับรองทุกชุดจะผ่านการตรวจสอบ Binance ระบุว่า นับตั้งแต่เกิดเหตุ บริษัทได้ขยายการตรวจจับในลักษณะนี้

ข่าวกรองภัยคุกคามมีบทบาทอย่างไร

มีการเผยแพร่คำเตือนต่อสาธารณะก่อนเกิดการโจรกรรมถึงหกสัปดาห์ คำแนะนำร่วมเกี่ยวกับแคมเปญ Contagious Interview ระบุว่า ผู้ปฏิบัติการปลอมตัวเป็นผู้สรรหาบุคลากรให้กับบริษัทด้าน AI คริปโทเคอร์เรนซี และ NFT เพื่อมุ่งเป้าไปที่ผู้เชี่ยวชาญด้านไอทีและขโมยคริปโทเคอร์เรนซี กรณีของ Binance ดำเนินไปตามแผนเดียวกัน

ข่าวกรองภัยคุกคามมีบทบาทที่ชัดเจนในแคมเปญลักษณะนี้ แม้ผู้ก่อเหตุอาจเปลี่ยนไป แต่วิธีการของพวกเขาเป็นที่รู้กันอยู่แล้ว ทีมที่ติดตามผู้ก่อเหตุเหล่านี้สามารถสกัดกั้นโครงสร้างพื้นฐานที่รู้จัก และเตือนวิศวกรเกี่ยวกับกลลวงที่กำลังใช้กันอยู่ในขณะนั้น

ข่าวกรองยังช่วยให้ทีมรู้ด้วยว่าใครต้องได้รับการปกป้องเป็นพิเศษ เมื่อเหตุการณ์หนึ่งเผยให้เห็นว่าใครมีสิทธิ์เข้าถึงข้อมูลสำคัญ เช่น การถูกเจาะระบบของ Binance ในเดือนมิถุนายน บุคคลเหล่านั้นควรถูกมองว่าเป็นเป้าหมายที่มีแนวโน้มจะถูกโจมตีไปอีกหลายเดือน พร้อมเพิ่มการเฝ้าระวังอุปกรณ์ของพวกเขาและวิธีการต่าง ๆ ที่ผู้ไม่หวังดีใช้เข้าหา

สิ่งนี้มีความหมายอย่างไรนอกวงการคริปโท

แพลตฟอร์มซื้อขายคริปโทเป็นเป้าหมายที่เห็นได้ชัด เพราะเงินที่ถูกขโมยเคลื่อนย้ายได้อย่างรวดเร็วและยากต่อการเรียกคืน รูปแบบนี้เกิดขึ้นได้ทุกแห่งที่เครื่องทำงานของนักพัฒนาอยู่ห่างจากระบบสำคัญเพียงไม่กี่ขั้น ไม่ว่าจะเป็นขั้นตอนการชำระเงินของธนาคาร หรือกระบวนการสร้างและเผยแพร่ซอฟต์แวร์ของผู้จำหน่ายซอฟต์แวร์ กลลวงที่อาศัยการสรรหาบุคลากรเข้าถึงวิศวกรในองค์กรเหล่านั้นได้ทั้งหมด

สำหรับผู้นำด้านความปลอดภัยที่กำลังทบทวนสภาพแวดล้อมขององค์กรในสัปดาห์นี้ มีการตรวจสอบสองข้อที่สำคัญที่สุด ข้อแรก ให้ทำแผนที่ว่าขณะนี้ผู้โจมตีจะเข้าถึงสิ่งใดได้บ้าง หากแล็ปท็อปของนักพัฒนาเครื่องเดียวถูกเจาะระบบ ซึ่งรวมถึงโทเคนที่จัดเก็บไว้ กุญแจ SSH ข้อมูลรับรองบนคลาวด์ และเครื่องมือ AI ภายในองค์กร ข้อที่สอง ยืนยันว่าการนำระบบที่ใช้งานจริงขึ้นใช้งานและธุรกรรมมูลค่าสูงต้องได้รับการอนุมัติอย่างเป็นอิสระ ซึ่งบุคคลที่มีตัวตนดิจิทัลถูกเจาะระบบเพียงรายเดียวไม่สามารถให้ได้

Binance สร้างระบบที่ได้รับผลกระทบขึ้นใหม่และว่าจ้างผู้ตรวจสอบอิสระ โดยการตัดสินใจดำเนินการเกิดขึ้นหลังจากเกิดความสูญเสียแล้ว องค์กรที่ทำแบบฝึกหัดเดียวกันนี้ในตอนนี้สามารถตัดสินใจได้ตามกำหนดเวลาของตนเอง