แฮกเกอร์เกาหลีเหนือขโมยเหรียญแล้ว เงินไปไหน? จาก Bybit ถึง Binance เจาะเส้นทางฟอกเงินของ Lazarus

ผู้เขียน: SoSoValue Research

คืนวันที่ 29 ตุลาคม Binance เผชิญการโจมตีจากแฮกเกอร์ครั้งใหญ่ที่สุดเท่าที่เคยมีมา Chainalysis ประเมินมูลค่าที่ถูกขโมยประมาณ 5.9 พันล้านดอลลาร์ นักสืบบนเชน ZachXBT มองว่ามีความเป็นไปได้สูงว่าเป็นฝีมือของ Lazarus จากเกาหลีเหนือ

หลายคนสงสัยว่า แฮกเกอร์จะจัดการเหรียญเหล่านี้อย่างไร? จะเทขายหรือไม่? คำตอบที่ดีที่สุดคือดูจากคดี Bybit ในเดือนกุมภาพันธ์ 2025 ที่เป็นฝีมือของกลุ่มเดียวกัน

1. ย้อนรอย Bybit: 5 แสน ETH เปลี่ยนเป็น BTC หมดใน 10 วัน

วันที่ 21 กุมภาพันธ์ 2025 Bybit ถูกขโมย ETH ประมาณ 5 แสนเหรียญ มูลค่าขณะนั้นประมาณ 1.4 พันล้านดอลลาร์ นับเป็นการโจรกรรมคริปโตครั้งใหญ่ที่สุดในประวัติศาสตร์ขณะนั้น

แฮกเกอร์จัดการอย่างรวดเร็วมาก:

● วันที่ 1: เริ่มจากแปลงอนุพันธ์ staking เช่น stETH, mETH เป็น ETH ดั้งเดิม แล้วกระจายไปยังที่อยู่จำนวนมาก

● วันที่ 5: โอนข้ามเชนผ่าน THORChain ไปแล้วอย่างน้อย 1.6 แสน ETH

● วันที่ 9: โอนเพิ่มอีก 6.22 หมื่น ETH ในวันเดียว รวมแล้วประมาณ 3.43 แสน ETH ถูกโอนออกไป

● วันที่ 10–12: Arkham ยืนยันว่า ETH ประมาณ 5 แสนเหรียญถูกแปลงเป็น BTC ดั้งเดิมทั้งหมดจาก Ethereum

ใช้ช่องทางใดบ้าง?

● THORChain (โปรโตคอลข้ามเชนแบบกระจายศูนย์): ประมาณ 72% หรือ 3.61 แสน ETH

● eXch (แพลตฟอร์มแลกเปลี่ยนแบบไม่ต้อง KYC): ประมาณ 16% หรือ 7.97 หมื่น ETH

● กระเป๋า OKX Web3: ประมาณ 8% หรือ 4 หมื่น ETH

THORChain ได้ค่าธรรมเนียมประมาณ 5.5 ล้านดอลลาร์จากเหตุการณ์นี้ ทำให้ชุมชนวิจารณ์อย่างหนัก ต่อมา eXch ประกาศปิดตัวในวันที่ 1 พฤษภาคม 2025

สุดท้ายกู้คืนได้เท่าไร? สองเดือนต่อมา ซีอีโอ Bybit เปิดเผยข้อมูลว่า 68.6% ยังติดตามได้ 27.6% "หายไป" แล้ว และมีเพียง 3.8% ที่ถูกอายัด

สรุป: ETH ที่ถูกขโมยเกือบทั้งหมดถูกแปลงเป็น BTC และกู้คืนได้จริงไม่ถึง 4%

2. ทำไมแฮกเกอร์ต้องแปลงเป็น BTC?

ไม่มีใครอายัดได้

USDT และ USDC มีผู้ออกที่สามารถขึ้นบัญชีดำที่อยู่ได้ตลอดเวลา ในเหตุการณ์ Binance ครั้งนี้ Tether และ Circle อายัด stablecoin อย่างรวดเร็วประมาณ 2.4 พันล้านดอลลาร์ ส่วน ETH เองอายัดไม่ได้ แต่ DEX, โปรโตคอล lending และสะพานข้ามเชนในระบบนิเวศ Ethereum อาจสกัดกั้นได้ บนบล็อกเชน Bitcoin ไม่มี "ด่าน" เหล่านี้

สภาพคล่องลึกที่สุด เป็นที่ยอมรับสูงสุด

ร้านรับซื้อขายคริปโตนอกตลาดทั่วโลกรับ BTC ทั้งหมด MIT Technology Review ชี้ตั้งแต่ปี 2020 ว่าแฮกเกอร์สุดท้ายมักต้องกลับมาที่ Bitcoin เพราะไม่มีเหรียญอื่นที่ยอมรับกว้างและแปลงเป็นเงินสดง่ายเท่านี้

เหมาะสำหรับเก็บระยะยาว

Lazarus เป็นองค์กรแฮกเกอร์ระดับรัฐ ไม่รีบใช้เงิน BTC เก็บได้หลายเดือนหรือหลายปี รอให้เรื่องซาก่อนค่อยแปลงเป็นเงินสดเป็นงวด ๆ

3. หลังจากแปลงเป็น BTC แล้วถอนเงินอย่างไร?

คำตอบคือ: ถอนผ่านโบรกเกอร์ OTC (ซื้อขายนอกตลาด) ใต้ดิน

กระทรวงการคลังสหรัฐฯ ระบุว่าเกาหลีเหนือมักแปลงสินทรัพย์คริปโตที่ขโมยมาเป็นเงินสกุลดั้งเดิมผ่านโบรกเกอร์ OTC ซึ่งส่วนใหญ่อยู่ในจีน เพื่อหลบเลี่ยงสายตาสถาบันการเงินและหน่วยงานกำกับดูแล

เส้นทางคร่าว ๆ:

ETH ที่ถูกขโมย → แปลงข้ามเชนเป็น BTC → แยกกระจาย, ผสมเหรียญ → มักแปลงเป็น USDT บนเชน Tron → โบรกเกอร์ใต้ดิน → เงิน fiat หรือมูลค่าสิ่งของ

โบรกเกอร์ตัด "ห่วงโซ่" อย่างไร? ใช้วิธี "จับคู่ซื้อขาย"

โบรกเกอร์มีผู้ซื้ออีกกลุ่มที่ต้องการคริปโตแต่ไม่สนใจที่มา เช่น คนที่ต้องการย้ายเงินออกนอกประเทศ แพลตฟอร์มพนันออนไลน์และหลอกลวง การค้าข้ามพรมแดนสีเทา โบรกเกอร์ขายเหรียญของแฮกเกอร์ให้คนเหล่านี้ แล้วนำเงิน fiat ท้องถิ่นที่คนเหล่านี้จ่ายให้ส่งต่อให้คนที่แฮกเกอร์กำหนด การติดตามบนเชนสิ้นสุดที่โบรกเกอร์ ส่วนเงินนอกเชนมาจากคนที่ไม่เกี่ยวข้องกันโดยสิ้นเชิง

เงิน fiat สุดท้ายไปอยู่ที่ไหน? ตัวอย่างคดีสาธารณะ ได้แก่:

● บัญชีธนาคาร, บัตร UnionPay รายงานของ Multilateral Sanctions Monitoring Team (MSMT) ระบุว่าหน่วยไซเบอร์เกาหลีเหนือเคยใช้ระบบการเงินจีน รวมถึงบัตรเครดิต UnionPay และธนาคารพาณิชย์ในการแปลงสินทรัพย์คริปโตที่ขโมยมาเป็นเงินสด

● บัตรของขวัญ กระทรวงยุติธรรมสหรัฐฯ ฟ้องบุคคลสัญชาติจีนสองคนในปี 2020 โดยกล่าวหาว่าแปลงเหรียญของเกาหลีเหนือเป็นเงินหยวนหรือบัตรของขวัญ Apple เพื่อถอนเงิน

● แพลตฟอร์มการเงินสีเทาในเอเชียตะวันออกเฉียงใต้ เช่น กลุ่ม Huione ในกัมพูชา

● พื้นที่เกี่ยวข้องรวมถึงจีน รัสเซีย อาร์เจนตินา กัมพูชา เวียดนาม สหรัฐอาหรับเอมิเรตส์ เป็นต้น

4. "BTC ที่ถูกติดแท็กแล้วเข้า exchange ไม่ได้ไม่ใช่หรือ?"

นี่คือคำถามที่พบบ่อยที่สุด คำตอบมีสามประเด็น:

เหรียญสกปรกไม่จำเป็นต้องเข้า exchange ที่ถูกกฎหมาย มันถูกขายให้ผู้ซื้อในเศรษฐกิจสีเทา คนเหล่านี้ใช้เหรียญเพื่อหมุนเวียนและชำระบัญชีต่อ ไม่ได้ฝากเข้า Binance หรือ Coinbase

การติดแท็กไม่ใช่ป้าย "ขาวดำ" ถาวร แต่เป็นคะแนนความเสี่ยง หลังผ่านการโอนหลายชั้น ผสมเหรียญ และผสมกับเงินอื่น การติดตามจะเปลี่ยนจาก "แน่นอน" เป็น "ความน่าจะเป็น" เงิน 27.6% ในคดี Bybit ที่ "หายไป" ก็เพราะเหตุนี้

โบรกเกอร์คิดค่าธรรมเนียมสูงเพื่อครอบคลุมความเสี่ยง โบรกเกอร์รู้ว่าเป็นเงินสกปรก จึงคิดค่าธรรมเนียมสูงกว่าระดับปกติมาก กระเป๋า บัตรธนาคาร บริษัทนอมินีใช้แล้วทิ้ง ความเสี่ยงถูกคว่ำบาตรหรืออายัดรวมอยู่ในราคาแล้ว

แน่นอนว่าเส้นทางนี้มีต้นทุน: ค่าผสมเหรียญ ค่าข้ามเชน ส่วนลดจากโบรกเกอร์ ส่วนที่ถูกอายัด ความสูญเสียอาจมากพอสมควร แต่สำหรับประเทศที่ถูกคว่ำบาตรและแทบไม่มีแหล่งเงินตราต่างประเทศอื่น การได้คืนครึ่งหนึ่งก็เป็นผลกำไรมหาศาล รายงาน MSMT ประเมินว่าเกาหลีเหนือขโมยสินทรัพย์คริปโตประมาณ 2.84 พันล้านดอลลาร์ระหว่างมกราคม 2024 ถึงกันยายน 2025

5. มีความหมายอย่างไรต่อตลาด?

● แรงขาย ETH กระจุกตัวช่วงแรก กระบวนการที่แฮกเกอร์แปลง ETH เป็น BTC คือการขายบนเชนจริง คดี Bybit ใช้เวลาประมาณ 10 วัน เป็นข้อมูลอ้างอิงได้

● แรงขาย BTC น้อยและกระจายตัว หลังแปลงเป็น BTC แล้ว การถอนเงินส่วนใหญ่ผ่านการจับคู่ซื้อขายนอกตลาด อาจกินเวลาหลายเดือนหรือหลายปี ส่วนใหญ่ไม่ผ่าน order book ของ exchange จึงกระทบราคาโดยตรงน้อยมาก

● แฮกเกอร์ไม่ใช่สาเหตุหลักของการร่วงหนัก วันที่ Bybit ถูกขโมย ETH ลดลงประมาณ 8% หลังจากนั้นการร่วงหนักมาจากปัจจัยมหภาคเช่นภาษีนำเข้าและการล้าง leveraged positions

เหตุการณ์ Binance ครั้งนี้ต่างอย่างไร? สินทรัพย์ที่ถูกขโมยส่วนใหญ่เป็น stablecoin ซึ่งถูกอายัดไปมากแล้ว ส่วน ETH ที่อายัดไม่ได้โดยตรงประมาณ 1.95 แสนเหรียญ มูลค่าประมาณ 440 ล้านดอลลาร์ เล็กกว่าคดี Bybit นอกจากนี้ แฮกเกอร์กำลังใช้โปรโตคอลเช่น Uniswap, Aave เพื่อแปลง stablecoin เป็น ETH ดังนั้น ETH ที่ถือครองสุดท้ายอาจเพิ่มขึ้น

สิ่งที่น่าจับตาต่อไป: การเปลี่ยนแปลงปริมาณธุรกรรมของโปรโตคอลข้ามเชนเช่น THORChain, Chainflip ซึ่งเป็นสัญญาณโดยตรงของความเร็วในการแปลง ETH เป็น BTC ของแฮกเกอร์

บทความนี้เป็นเพียงการให้ความรู้ ไม่ใช่คำแนะนำการลงทุน เหตุการณ์ Binance ยังคงพัฒนาต่อไป ข้อมูลที่เกี่ยวข้องอาจมีการอัปเดต