ผีหลังจอ: เปิดโลกเร้นลับของ Lazarus แฮกเกอร์เกาหลีเหนือ

เขียนโดย: ChandlerZ, Foresight News

หมายเหตุบรรณาธิการ: ในโลกคริปโต ทรัพย์สินสามารถเคลื่อนย้ายได้ในไม่กี่นาที การรับสมัครงานที่ดูธรรมดา หรือการอัปเดตซอฟต์แวร์ครั้งหนึ่ง อาจซ่อนประตูสู่ทรัพย์สินมหาศาล คอลัมน์ "Crypto Story Club" ของ Foresight News ติดตามบุคคลเบื้องหลังเหตุการณ์ประหลาดเหล่านี้ โดยใช้ข้อมูลสาธารณะและร่องรอยทางการเงิน เพื่อค้นหาส่วนที่ยังไม่ถูกเปิดเผยของเรื่องราว

ตอนที่สอง เราจะพาไปรู้จัก Lazarus Group องค์กรแฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งถูกกล่าวหาว่าอยู่เบื้องหลังการโจมตี Sony Pictures การโจรกรรมธนาคารกลางบังกลาเทศ และการขโมยสินทรัพย์คริปโตหลายครั้ง หลังจากการโจมตี Binance มันก็กลับมาปรากฏตัวต่อสาธารณะอีกครั้ง คนเหล่านี้ที่ซ่อนตัวอยู่หลังจอมาจากไหน? พวกเขาเข้าถึงเป้าหมายได้อย่างไร และยักย้ายทรัพย์สินที่ขโมยมาได้อย่างไร?

ในเดือนตุลาคม 2026 สินทรัพย์ดิจิทัลมูลค่า 6.34 พันล้านดอลลาร์ของ Binance ถูกขโมย สร้างสถิติใหม่ในประวัติศาสตร์อุตสาหกรรมคริปโต

เพียงหนึ่งเดือนก่อนหน้านั้น วิศวกรของ Binance คนหนึ่งได้รับคำเชิญสัมภาษณ์งานที่ดูเหมือนปกติบนแพลตฟอร์มหางาน ผู้ว่าจ้างได้นัดสัมภาษณ์ผ่านวิดีโอคอลก่อน แล้วจึงให้บุคคลที่อ้างตัวเป็น CEO ของบริษัทสัมภาษณ์รอบที่สอง เมื่อใกล้จบการสัมภาษณ์ พวกเขาส่งแบบฝึกหัดเขียนโปรแกรมมาให้วิศวกรดาวน์โหลดลงคอมพิวเตอร์ที่ทำงาน

ตามรายงานการสอบสวนเบื้องต้นที่เผยแพร่เมื่อวันที่ 3 พฤศจิกายน บริษัทจัดหางานนั้นถูกสร้างขึ้นโดยผู้โจมตีทั้งหมด และแบบฝึกหัดมีโค้ดอันตรายซ่อนอยู่ ผู้โจมตีใช้ช่องทางนี้แทรกซึมเข้าสู่คอมพิวเตอร์ของวิศวกร และในวันที่ 20 ตุลาคม ได้ใช้เครื่องมือ AI ภายในของ Binance เคลื่อนที่ในแนวราบเพื่อเข้าถึงโทเคนสิทธิ์ของระบบการปรับใช้ และในที่สุดก็เจาะระบบลายเซ็นกระเป๋าเงินได้สำเร็จ แม้ว่า Binance จะสกัดกั้นและอายัดทรัพย์สินไว้ได้ประมาณ 2.85 พันล้านดอลลาร์ แต่การบุกรุกที่เริ่มต้นจาก "การรับสมัครงานปลอม" นี้ก็ยังคงสร้างสถิติการโจรกรรมในอุตสาหกรรมคริปโต

สำนักงานสอบสวนกลางสหรัฐ (FBI) ระบุว่าคดีนี้เป็นฝีมือของกิจกรรมแฮกเกอร์เกาหลีเหนือ TraderTraitor ซึ่งเป็นแกนหลักของ Lazarus Group ที่มีชื่อเสียงฉาวโฉ่ ในวันเดียวกับที่ Binance ถูกโจมตี รายงานการสอบสวนของ Microsoft เผยให้เห็นวิวัฒนาการที่อันตรายยิ่งกว่า: แฮกเกอร์เกาหลีเหนือกลุ่มนี้ได้นำ AI เชิงกำเนิดมาใช้ในปฏิบัติการประจำวันอย่างเต็มรูปแบบ ไม่เพียงแต่ใช้ AI สร้างบริษัทจัดหางานปลอมจำนวนมากและปรับบทสนทนาสัมภาษณ์ให้เหมาะสม แต่ยังใช้เครื่องมือ AI โอเพนซอร์สช่วยในการเจาะช่องโหว่โดยตรงอีกด้วย

หลังจากการวิวัฒนาการหลายปี หน่วยลับนี้ได้เปลี่ยนอุตสาหกรรมคริปโตให้กลายเป็นเครื่องจักรหารายได้มหาศาล จากข้อมูลของ Chainalysis และองค์การส่งเสริมการค้าและการลงทุนแห่งเกาหลี (KOTRA) ในปี 2025 แฮกเกอร์เกาหลีเหนือขโมยสินทรัพย์คริปโตไปอย่างน้อย 2.02 พันล้านดอลลาร์ ซึ่งมากกว่ามูลค่าการส่งออกสินค้าทั้งประเทศของเกาหลีเหนือในปีนั้น (469 ล้านดอลลาร์) ถึง 4.3 เท่า ขณะที่การประเมินของ TRM Labs แสดงให้เห็นว่า ณ เดือนตุลาคม 2026 แฮกเกอร์เกาหลีเหนือได้ขโมยสินทรัพย์ไปแล้วประมาณ 12.8 พันล้านดอลลาร์สะสม ในบรรดาความเสียหายจากการแฮกคริปโตทั่วโลกมูลค่า 8.7 พันล้านดอลลาร์ในปี 2026 เกาหลีเหนือเพียงประเทศเดียวครองส่วนแบ่งถึง 85% ขณะที่ในปี 2020 สัดส่วนนี้มีเพียง 7%

เหตุใดภายใต้การติดตามอย่างต่อเนื่องและการคว่ำบาตรที่เข้มงวดของหน่วยงานบังคับใช้กฎหมายทั่วโลก Lazarus กลับยิ่งขโมยได้มากขึ้น และครอบครองการโจรกรรมบนบล็อกเชนขนาดใหญ่กว่าร้อยละ 80 ของโลก? คนเหล่านี้ที่ซ่อนตัวอยู่หลังจอคือใครกันแน่ พวกเขาฝึกฝนอย่างไร แฝงตัวอย่างไร และฟอกเงินหลายหมื่นล้านได้อย่างไร?

คำถามเหล่านี้อาจเริ่มต้นจากแฮกเกอร์เกาหลีเหนือที่ถูกเปิดเผย

แฮกเกอร์เกาหลีเหนือที่ถูกเปิดเผย

การมองเห็นใบหน้าที่แท้จริงของ "นักพัฒนาผี" เหล่านี้ไม่ใช่เรื่องง่าย แต่ในเกมแมวไล่หนูที่ยาวนานกว่าทศวรรษ ก็ยังมีรอยร้าวหลายจุดที่ทำให้โลกภายนอกได้เห็นภาพหลังจอ

รอยร้าวแรกปรากฏในเรซูเม่ที่ส่งไปยังต้าเหลียน ประเทศจีน เมื่อ 15 ปีก่อน

ในเดือนมกราคม 2011 บริษัทเกาหลีเหนือ Chosun Expo ได้แนะนำชายหนุ่มชื่อ Pak Jin Hek (หรือ Park Jin Hyok, พัค จินฮยอก) ซึ่งจบการศึกษาจากมหาวิทยาลัยเทคโนโลยีคิมแชคในเปียงยาง ให้กับบริษัทต่างชาติแห่งหนึ่ง เพื่อรับช่วงงานพัฒนาต่อจากทีมในต้าเหลียน ในเรซูเม่ Park ระบุว่ารู้ทั้งภาษาอังกฤษและจีน เชี่ยวชาญ Java และเคยพัฒนาเกมออนไลน์ ในตอนนั้นเขาดูเหมือนเป็นโปรแกรมเมอร์ธรรมดาที่ทำงานในต่างประเทศ

ในเดือนพฤษภาคม 2011 เขาเขียนอีเมลคุยเล่นว่าภายในเดือนกันยายนเขาจะอยู่ต้าเหลียนครบหนึ่งปีแล้ว และเตรียมกลับเกาหลีเหนือเพื่อแต่งงาน โดยหวังว่าจะได้อยู่ที่ประเทศในระยะยาว ไม่กี่เดือนต่อมา เขาแจ้งอีกฝ่ายว่าเขาจะกลับประเทศในสัปดาห์ถัดไป

ภาพหมายจับ Park Jin Hyok ที่ใช้ในรายงานของ CBS

อย่างไรก็ตาม หลายปีต่อมา เมื่อ FBI สืบสวนย้อนกลับจากคดีโจมตี Sony Pictures การโจรกรรม 81 ล้านดอลลาร์จากธนาคารกลางบังกลาเทศ และคดีแรนซัมแวร์ WannaCry ก็พบอีเมลทำงานเก่าของ Park โดยบังเอิญ เขาลืมตัดขาดอย่างสิ้นเชิง: ในรายชื่อผู้ติดต่อของอีเมลส่วนตัวมีที่อยู่ของบัญชีปฏิบัติการแฮกเกอร์ "Kim Hyon Woo" เก็บไว้อย่างชัดเจน ส่วนบัญชีทำงานอีกบัญชีหนึ่งมีสิทธิ์เปิดไฟล์เข้ารหัสบนคลาวด์ของแฮกเกอร์ และยังเคยใช้อุปกรณ์และที่อยู่เครือข่ายเดียวกัน

ร่องรอยชีวิตที่ไขว้กับเครือข่ายปฏิบัติการนี้ ทำให้ Park กลายเป็นใบหน้าสัญลักษณ์บนหมายจับของ FBI ตามการสัมภาษณ์ผู้แปรพักตร์ที่มีความรู้ด้านคอมพิวเตอร์โดย Reuters เกาหลีเหนือจะคัดกรองนักเรียนสายวิทยาศาสตร์ที่มีพรสวรรค์เป็นชั้น ๆ แล้วส่งเข้าหน่วยงานไซเบอร์ของกองทัพหรือส่งไปต่างประเทศ

กลางวัน พวกเขาเป็นโปรแกรมเมอร์รับจ้างที่หารายได้เข้าประเทศ กลางคืน พวกเขาคือนักล่าในดาร์กเว็บที่รับคำสั่งจากรัฐ

หาก Park เมื่อสิบปีก่อนยังต้องไปประจำการในต่างประเทศด้วยตัวเอง ผู้แฝงตัวคนที่สองที่ถูกเปิดเผยก็แสดงให้เห็นถึงความน่ากลัวของ "การปลอมตัวที่สมบูรณ์แบบ" ในยุค AI

ในเดือนกรกฎาคม 2024 บริษัทความปลอดภัยไซเบอร์สหรัฐ KnowBe4 ได้จ้างวิศวกรอาวุโสระยะไกลคนหนึ่ง ผู้สมัครขโมยข้อมูลประจำตัวพลเมืองอเมริกันที่ถูกต้อง ใช้รูปโปรไฟล์ที่แต่งด้วย AI ผ่านการสัมภาษณ์วิดีโอสี่รอบและการตรวจสอบประวัติทั้งหมด จุดแตกหักปรากฏเมื่อบริษัทส่งคอมพิวเตอร์ Mac สำหรับทำงานไปให้ ที่อยู่จัดส่งจริง ๆ แล้วเป็นฟาร์มโน้ตบุ๊กในสหรัฐฯ ที่รับจ้างโฮสต์คอมพิวเตอร์ให้แฮกเกอร์ต่างประเทศเพื่อปลอม IP อเมริกัน คอมพิวเตอร์เปิดเครื่องได้ไม่ถึง 25 นาที "พนักงานใหม่" คนนี้ก็รีบติดตั้งมัลแวร์ผ่าน Raspberry Pi ทันที ทำให้เกิดสัญญาณเตือนที่เทอร์มินัล เมื่อทีมความปลอดภัยโทรมาตรวจสอบ อีกฝ่ายก็รีบพูดอ้ำอึ้งและตัดสายไป ในที่สุด Mandiant และ FBI ยืนยันว่าเป็นสายลับเกาหลีเหนือ

ในปี 2025 ถึง 2026 เมื่อการปลอมใบหน้าด้วย AI และตัวตนปลอมทำให้การตรวจสอบประวัติแบบเดิมใช้ไม่ได้ผล วิธีจับแฮกเกอร์เกาหลีเหนือคนที่สามในวงการคริปโตกลับเต็มไปด้วยอารมณ์ขันแบบดำมืด

เมื่อบุคลากรไอทีเกาหลีเหนือจำนวนมากที่ปลอมตัวเป็นนักพัฒนาญี่ปุ่นหรืออเมริกันหลั่งไหลเข้าสู่อุตสาหกรรม Web3 โปรเจกต์คริปโตบางแห่งที่ทนไม่ไหวก็คิดค้นคำถามสัมภาษณ์สุดท้ายที่ได้ผลเสมอ "การทดสอบคิมจองอึน" (Kim Jong-un test) ในเดือนเมษายน 2026 นักสืบความปลอดภัยบล็อกเชน Tanuki42 เผยแพร่คลิปสัมภาษณ์ระยะไกลความยาว 82 วินาที: ผู้สมัครที่ใช้นามแฝง Taro Aikuchi อ้างว่าอาศัยอยู่ในย่านเมงุโระ โตเกียว ตอบคำถามทางเทคนิคได้อย่างคล่องแคล่ว แต่เมื่อผู้สัมภาษณ์ขอให้เขาพูดคำหยาบที่ดูหมิ่นคิมจองอึนตามเพื่อคัดกรองสายลับเกาหลีเหนือ "วิศวกรญี่ปุ่น" คนนี้ก็หน้าถอดสีทันที

เขาแกล้งทำเป็นสัญญาณไม่ดีก่อน แล้วเมื่อผู้สัมภาษณ์ถามซ้ำอีกครั้งก็เงียบสนิท จากนั้นก็รีบตัดการเชื่อมต่อ ภายในไม่กี่นาที เขารีบเปลี่ยนบัญชี Telegram ลบประวัติทั้งหมด และลบบัญชี LinkedIn

แม้ว่าบุคลากรทางเทคนิคเหล่านี้จะเชี่ยวชาญโค้ดบล็อกเชนล่าสุดและเทคโนโลยีดีปเฟก AI แต่ภายใต้ระบบการเฝ้าระวังที่เข้มงวดและระบบการลงโทษแบบเหมารวม การดูหมิ่นผู้นำสูงสุดในที่สาธารณะยังคงเป็นเส้นแดงความเป็นความตายที่พวกเขาไม่กล้าข้ามเด็ดขาด

จากพัค จินฮยอกที่แชร์อีเมลในห้องเช่าต้าเหลียน ไปจนถึงวิศวกรอเมริกันปลอมที่ใช้ AI หลอกผ่านการสัมภาษณ์สี่รอบ และ "นักพัฒนาโตเกียว" ที่ตัดเน็ตทันทีเพราะคำต้องห้ามทางการเมือง ช่วงเวลาที่ถูกเปิดเผยทั้งสามนี้ซึ่งกินเวลากว่า 15 ปี ปะติดปะต่อกันเป็นเพียงส่วนเล็ก ๆ ของภูเขาน้ำแข็งมหึมาของ Lazarus

Lazarus ไม่ใช่แค่ "การปล้นเงินทางไซเบอร์"

ในเดือนพฤศจิกายน 2014 ระบบคอมพิวเตอร์ของ Sony Pictures ถูกทำลาย ข้อมูลภายในที่ไม่เปิดเผยและอีเมลผู้บริหารจำนวนมากรั่วไหล กลุ่มที่เรียกตัวเองว่า "Guardians of Peace" ประกาศความรับผิดชอบ ในตอนนั้น Sony กำลังเตรียมฉายภาพยนตร์เรื่อง The Interview ซึ่งมีเนื้อเรื่องลอบสังหารผู้นำเกาหลีเหนือ กระทรวงยุติธรรมสหรัฐระบุในคำฟ้องภายหลังว่า ผู้โจมตีที่ได้รับการสนับสนุนจากเกาหลีเหนือไม่เพียงแต่ขโมยข้อมูลและทำให้คอมพิวเตอร์เป็นอัมพาต แต่ยังส่งคำขู่ระเบิดไปยังพนักงานด้วย

ไม่กี่เดือนต่อมา บริษัทความปลอดภัย Novetta นำทีมสืบสวนมัลแวร์ที่ใช้ในการโจมตีข้ามคดี นักวิจัยพบว่าโค้ดบางส่วนในเหตุการณ์ Sony มีที่มาเดียวกับเครื่องมือที่ทิ้งไว้ในการโจมตีทางไซเบอร์หลายครั้งก่อนหน้านี้ รายงาน "Operation Blockbuster" ที่เผยแพร่ในปี 2016 เรียกกองกำลังโจมตีที่ซ่อนอยู่ในเงามืดนี้รวม ๆ ว่า "Lazarus Group"

เมื่อการสืบสวนลึกขึ้น โลกภายนอกก็ค่อย ๆ ตระหนักว่า Lazarus ไม่ใช่แก๊งปล้นเงินธรรมดา แต่เป็นส่วนหนึ่งของกลไกรัฐที่มีการแบ่งงานอย่างเข้มงวด ในปี 2019 กระทรวงการคลังสหรัฐคว่ำบาตร Lazarus, BlueNoroff และ Andariel โดยระบุชัดเจนว่าพวกเขาอยู่ภายใต้สำนักข่าวกรองทหารสูงสุดของเกาหลีเหนือ (RGB)

Unit 42 ในสังกัดบริษัทความปลอดภัย Palo Alto Networks ได้วาดแผนผังความสัมพันธ์แบบพาโนรามาในปี 2024 ภายใต้ร่มบัญชาการของสำนักข่าวกรองทหารสูงสุด กลุ่มกิจกรรมไซเบอร์หลายกลุ่มต่างทำหน้าที่ของตนเอง และพื้นที่ล่าเหยื่อได้ขยายออกไปไกลเกินอุตสาหกรรมคริปโต ครอบคลุมการเงินโลก กลาโหมและอุตสาหกรรมทหาร และข่าวกรองสื่อ

แผนผังความสัมพันธ์กลุ่มกิจกรรมไซเบอร์ที่เกี่ยวข้องกับสำนักข่าวกรองทหารสูงสุดเกาหลีเหนือ วาดโดย Unit 42 ในปี 2024

ในเครือข่ายนี้ กลุ่มที่มุ่งเป้าไปที่บล็อกเชนและอุตสาหกรรมคริปโตเป็นเพียงส่วนหนึ่งเท่านั้น เช่น Slow Pisces (หรือ Jade Sleet) ที่ซ้อนทับกับ TraderTraitor ในคดี Binance และ Gleaming Pisces (หรือ Citrine Sleet) ที่แพร่กระจายม้าโทรจัน AppleJeus ผ่านซอฟต์แวร์ซื้อขายปลอม

นอกวงการคริปโต ปฏิบัติการของสาขาอื่น ๆ ก็น่าตกใจไม่แพ้กัน ในด้านการเงินแบบดั้งเดิม Alluring Pisces (หรือ BlueNoroff/APT38) ใช้ระบบธนาคารทั่วโลกเป็นตู้เอทีเอ็มตั้งแต่ก่อนตลาดคริปโตจะเฟื่องฟู ผลงานที่โด่งดังที่สุดคือการปล้นธนาคารกลางบังกลาเทศครั้งใหญ่ในปี 2016

ในด้านกลาโหมและอุตสาหกรรมทหาร Jumpy Pisces (หรือ Andariel) รับบทเป็นผู้ขโมยเทคโนโลยีเพื่อ "ใช้สงครามหล่อเลี้ยงสงคราม" ตามคำฟ้องที่กระทรวงยุติธรรมสหรัฐเผยแพร่ในเดือนกรกฎาคม 2024 สาขานี้สร้างวงจรปิดที่ไม่เหมือนใคร พวกเขาใช้แรนซัมแวร์ Maui โจมตีโรงพยาบาลและสถานพยาบาลหลายแห่งในสหรัฐฯ เพื่อรีดค่าไถ่เป็นทุนปฏิบัติการ ขณะเดียวกันก็ใช้เงินนี้ซื้อเซิร์ฟเวอร์เพื่อแทรกซึมผู้รับเหมาด้านกลาโหม ฐานทัพอากาศ และสถาบันวิจัยและพัฒนาด้านกลาโหมของเกาหลีใต้ เพื่อขโมยพิมพ์เขียวลับของเครื่องยนต์เครื่องบินรบ F-15 ดาวเทียมสอดแนมทางทหาร เรือดำน้ำ และโรงงานเชื้อเพลิงนิวเคลียร์และเสริมสมรรถนะยูเรเนียม

ในด้านสื่อและข่าวกรองเชิงกลยุทธ์ Selective Pisces (Diamond Sleet) และ Sparkling Pisces (Kimsuky) ทุ่มเทไปที่การขโมยความลับและสร้างบรรยากาศแห่งความหวาดกลัว นอกจากการทำให้ยักษ์ใหญ่ด้านบันเทิงอย่าง Sony Pictures เป็นอัมพาตในช่วงแรกแล้ว ในช่วงไม่กี่ปีที่ผ่านมาพวกเขาปลอมตัวเป็นนักข่าวสื่อกระแสหลักตะวันตกและนักวิชาการคลังสมองหลายครั้ง ส่ง "โครงคำถามสัมภาษณ์" หรือคำเชิญประชุมที่มีม้าโทรจันซ่อนอยู่ให้กับนักข่าวตะวันตก นักการทูต และคลังสมองด้านกลาโหมที่รายงานข่าวเกาหลีเหนือ พวกเขายังเคยลงทะเบียนบัญชีปลอมเลียนแบบจำนวนมากบนโซเชียลมีเดีย ปลอมเป็นนักวิจัยความปลอดภัยชั้นนำเพื่อ "หลอกล่อ" ผู้เชี่ยวชาญด้านความปลอดภัยของ Google และบริษัทอื่น ๆ เพื่อขโมยช่องโหว่ซีโร่เดย์และไพ่ตายนโยบายต่อเกาหลีเหนือของประเทศต่าง ๆ

นักวิจัยแบ่งกลุ่มตามเป้าหมายการโจมตี ลักษณะมัลแวร์ และโครงสร้างพื้นฐานเซิร์ฟเวอร์เป็นหลัก แต่เมื่อทีมต่าง ๆ แชร์คลังโค้ดหรือเซิร์ฟเวอร์กระโดดระหว่างปฏิบัติการ การแยกแยะว่าปฏิบัติการแต่ละครั้งทำโดยกลุ่มใดเหมือนการหั่นเต้าหู้ให้เป็นชิ้น ๆ แทบจะเป็นไปไม่ได้

แต่ที่แน่ชัดคือ "การปล้นเงิน" และ "การขโมยความลับ" ในเครื่องจักรนี้ประสานกันอย่างแน่นแฟ้นมานานแล้ว

จากบัญชีธนาคารกลางสู่กระเป๋าเงินของเว็บเทรด

ก่อนที่เว็บเทรดคริปโตจะกลายเป็นเป้าหมายหลัก ธนาคารก็เข้าสู่สายตาของผู้สืบสวนแล้ว

ในเดือนกุมภาพันธ์ 2016 คอมพิวเตอร์ของธนาคารกลางบังกลาเทศที่เชื่อมต่อกับระบบข้อความธนาคารระหว่างประเทศ SWIFT ถูกบุกรุก เอกสารทางกฎหมายของสหรัฐระบุว่า ผู้โจมตีส่งคำสั่งโอนเงินในนามธนาคารกลาง สั่งให้ธนาคารกลางสหรัฐ สาขานิวยอร์ก โอนดอลลาร์จากบัญชีของธนาคารกลางไปยังต่างประเทศ

ผู้โจมตีพยายามโอนเงินเกือบ 1 พันล้านดอลลาร์ โดย 81 ล้านดอลลาร์ไปถึงบัญชีในฟิลิปปินส์ แล้วผ่านช่องทางธนาคาร บริษัทโอนเงิน และคาสิโน ส่วนอีก 20 ล้านดอลลาร์ถูกธนาคารผู้รับในศรีลังกาสกัดไว้ ผู้สืบสวนพบว่าบัญชีผู้รับในฟิลิปปินส์เปิดไว้ล่วงหน้าตั้งแต่ปีก่อนหน้าโดยใช้ชื่อปลอม

นอกเหนือจากบัญชีผู้รับแล้ว ผู้โจมตียังต้องเข้าใจว่าธนาคารจัดการการโอนเงินอย่างไร หลังจากการวิจัยการโจมตีสถาบันการเงินของ APT38 Mandiant พบว่าหลังจากเข้าสู่เครือข่ายขององค์กรเหยื่อ พวกเขาจะรวบรวมข้อมูลประจำตัวบัญชี ค้นหาคอมพิวเตอร์ที่ประมวลผลธุรกรรม SWIFT แล้วหาโอกาสส่งคำสั่งโอนเงิน ในคดีที่บริษัทสังเกตเห็น ผู้โจมตีอยู่ในเครือข่ายเหยื่อเฉลี่ยประมาณ 155 วัน นานที่สุดเกือบสองปี

ขั้นตอนการโจมตีของ APT38 ที่ Mandiant สรุป

หลายปีต่อมา เงินทุนในอุตสาหกรรมคริปโตก็ค่อย ๆ กลายเป็นเป้าหมาย ในปี 2022 สะพานข้ามบล็อกเชน Ronin ที่ใช้โดยเกมบล็อกเชน Axie Infinity ถูกขโมย สูญเสียมากกว่า 600 ล้านดอลลาร์ FBI ระบุว่าเป็นฝีมือของ Lazarus สองปีต่อมา เว็บเทรดญี่ปุ่น DMM Bitcoin สูญเสีย Bitcoin 4,502.9 เหรียญ มูลค่าประมาณ 308 ล้านดอลลาร์ในขณะเกิดเหตุ หน่วยงานบังคับใช้กฎหมายของสหรัฐและญี่ปุ่นระบุว่าเป็นฝีมือของ TraderTraitor

ผู้สืบสวนย้อนรอยทางเข้าของคดี DMM ได้ ในเดือนมีนาคม 2024 ผู้โจมตีที่ปลอมตัวเป็นผู้สรรหาบุคลากรติดต่อพนักงานของบริษัทซอฟต์แวร์กระเป๋าเงิน Ginco ผ่าน LinkedIn ส่งแบบทดสอบหางานที่มีโค้ดอันตรายซ่อนอยู่ หลังจากได้สิทธิ์เข้าถึง ผู้โจมตีก็ปลอมตัวเป็นพนักงานคนนั้น แล้วใช้ระบบสื่อสารของบริษัท เชื่อว่าแก้ไขคำขอธุรกรรมปกติของ DMM รายการหนึ่ง

ในเดือนกุมภาพันธ์ 2025 เว็บเทรดคริปโต Bybit กำลังเตรียมโอน Ethereum จากกระเป๋าเงินแบบเย็นไปยังกระเป๋าเงินที่ใช้ประจำวัน กระเป๋าเงินแบบเย็นใช้เก็บทรัพย์สิน การโอนนี้ต้องผ่านอินเทอร์เฟซของผู้ให้บริการกระเป๋าเงิน Safe และต้องมีลายเซ็นร่วมจากผู้มีอำนาจหลายคน บริษัทความปลอดภัย Sygnia ที่รับผิดชอบการสืบสวนได้สรุปขั้นตอนการโจมตีในภายหลัง ตั้งแต่วันที่ 4 กุมภาพันธ์ คอมพิวเตอร์ของนักพัฒนา Safe คนหนึ่งมีกิจกรรมที่เป็นอันตราย วันรุ่งขึ้น ผู้โจมตีใช้โทเคนการเข้าถึงของนักพัฒนาคนนั้นเข้าสู่สภาพแวดล้อมคลาวด์ของ Safe

ในวันที่ 19 กุมภาพันธ์ ผู้โจมตีฝังเนื้อหาที่เป็นอันตรายในโค้ดที่หน้าเว็บ Safe เรียกใช้ และตั้งเงื่อนไขทริกเกอร์ รอให้กระเป๋าเงินเป้าหมายของ Bybit เริ่มดำเนินการ สองวันต่อมา ผู้มีอำนาจของ Bybit จัดการโอนผ่านอินเทอร์เฟซ Safe เห็นคำขอโอนภายในที่ดูเหมือนปกติ

แต่ตามการวิเคราะห์ย้อนหลังของบริษัทความปลอดภัย NCC Group ธุรกรรมที่ผู้ลงนามอนุมัติจริง ๆ มีการดำเนินการที่เป็นอันตรายแฝงอยู่ เรียกใช้สัญญาที่ผู้โจมตีติดตั้งไว้ล่วงหน้า เปลี่ยนตรรกะการควบคุมกระเป๋าเงินแบบเย็น หลังจากธุรกรรม被执行 ผู้โจมตีสามารถโอนทรัพย์สินในกระเป๋าเงินออกไปได้โดยไม่ต้องมีลายเซ็นหลายฝ่ายเดิมอีก ทรัพย์สินประมาณ 1.5 พันล้านดอลลาร์ไหลออกไปในเวลาต่อมา

แผนภาพกระบวนการขโมยของ Bybit วาดโดย Curvegrid

จากการสืบสวนของ Sygnia โค้ดอันตรายถูกนำออกประมาณสองนาทีหลังธุรกรรมเกิดขึ้น การสืบสวนเชื่อว่าการบุกรุกคอมพิวเตอร์ของนักพัฒนา Safe ในตอนแรกอาจเกี่ยวข้องกับวิศวกรรมสังคม แต่ยังไม่ยืนยันวิธีการติดต่อที่แน่ชัด

การตั้งค่าลายเซ็นหลายฝ่ายของ Bybit กำหนดให้ผู้มีอำนาจหลายคนอนุมัติธุรกรรมร่วมกัน ซึ่งเดิมสามารถลดความเสี่ยงจากการที่บัญชีเดียวถูกเจาะได้ หลังจากผู้โจมตีเข้าสู่สภาพแวดล้อมคลาวด์ของ Safe พวกเขาแก้ไขหน้าเว็บที่ผู้ลงนามเหล่านี้ใช้ร่วมกัน จนทำให้ธุรกรรมอันตรายได้รับการอนุมัติในที่สุด

นอกจากการบุกรุกผู้ให้บริการซอฟต์แวร์แล้ว บุคลากรเกาหลีเหนือบางคนยังถูกกล่าวหาว่าใช้ตัวตนปลอมเข้าทำงานในบริษัทคริปโต กระทรวงยุติธรรมสหรัฐฟ้องพลเมืองเกาหลีเหนือสี่คนในปี 2025 ว่ามีส่วนร่วมในแผนการขโมย โดยสองคนทำงานเป็นนักพัฒนาให้กับบริษัทบล็อกเชนและบริษัทโทเคนเสมือน อัยการระบุว่าพวกเขาใช้โอกาสในการทำงานขโมยและโอนทรัพย์สินเสมือนมากกว่า 900,000 ดอลลาร์

ที่น่าสังเกตคือ ปลายทางอีกด้านของกระบวนการสรรหาบุคลากรก็อาจมีกับดักซ่อนอยู่เช่นกัน หลังจากการสืบสวนกลุ่มกิจกรรมที่ Microsoft เรียกว่า Sapphire Sleet พบว่าผู้โจมตีจะปลอมตัวเป็นผู้สรรหาบุคลากรบนแพลตฟอร์มโซเชียล พูดคุยเรื่องโอกาสในการทำงานกับเป้าหมายก่อน แล้วจึงนัดสัมภาษณ์ทางเทคนิค โดยขอให้ติดตั้งมัลแวร์ที่ปลอมตัวเป็นการอัปเดตเครื่องมือประชุมหรือเครื่องมือพัฒนา แบบทดสอบหางานที่พนักงาน Ginco ได้รับในคดี DMM ก็ปรากฏในกระบวนการติดต่อที่คล้ายกัน

แม้แต่วิธีการเหล่านี้ยังคงอัปเดตอยู่เรื่อย ๆ Microsoft ระบุในรายงานเดือนตุลาคม 2026 ว่าผู้โจมตีที่เกี่ยวข้องกับเกาหลีเหนือได้นำ AI เชิงกำเนิดมาใช้ในการวิจัยเป้าหมาย เขียนเนื้อหาติดต่อ และสร้างตัวตนปลอม คำเชิญที่ดูเหมือนเตรียมมาอย่างดีสำหรับประสบการณ์ของผู้สมัคร อาจผ่านการรวบรวมข้อมูลภูมิหลังการทำงานและความสัมพันธ์ทางสังคมของเป้าหมายมาก่อน

เงินที่ขโมยมาไปไหน?

หลังจากโอนทรัพย์สินออกไปแล้ว ผู้โจมตีมักจะแยกเงินไปยังกระเป๋าเงินใหม่หลายใบก่อน บางที่อยู่ได้รับเงินแล้วก็โอนต่อไปเรื่อย ๆ ทิ้งร่องรอยบนเชนที่กระจัดกระจาย จากนั้นเงินอาจผ่านเว็บเทรดแบบกระจายศูนย์หรือบริการข้ามเชน ถูกแลกเปลี่ยนเป็นโทเคนอื่น หรือโอนไปยังบล็อกเชนอื่น ยิ่งผ่านการแปลงมากเท่าไหร่ ผู้สืบสวนก็ต้องติดตามที่อยู่ใหม่และคู่สัญญาของมันต่อไป

เส้นทางเงินหลังการขโมยของ Bybit ให้เบาะแสหนึ่ง ในเดือนกุมภาพันธ์ 2025 Ethereum ที่ถูกขโมยจาก Bybit เริ่มไหลไปยังที่อยู่หลายพันแห่ง ผู้โจมตีแยกเงิน แลกเปลี่ยน แล้วโอนผ่านบริการข้ามเชน TRM Labs ระบุว่าภายใน 48 ชั่วโมง อย่างน้อย 160 ล้านดอลลาร์ถูกโอนและเข้าสู่ช่องทางฟอกเงิน

ในการติดตามการโอนเหล่านี้ นักสืบบนเชน ZachXBT สังเกตเห็นคนอีกกลุ่มหนึ่ง ตามการสืบสวนที่เขาเผยแพร่ในเดือนตุลาคม 2026 หลังจากการโจมตี Bybit มีบัญชีมากกว่าสิบบัญชีปรากฏในกลุ่มสาธารณะ Telegram และ Discord เพื่อหาคนจัดการคำสั่งที่เกี่ยวข้องกับเงินที่ถูกขโมย หนึ่งในนั้นคือเทรดเดอร์ที่ใช้ชื่อออนไลน์ว่า Jimmy Green ซึ่งดึงดูดความสนใจของเขา

ZachXBT ตัดสินใจเข้าหาในฐานะลูกค้า ในวันที่ 6 มีนาคม 2025 เขาโอน USDC 349,700 เหรียญไปยังที่อยู่ใหม่ เพื่อเตรียมทำธุรกรรมหลายรายการกับ Jimmy Jimmy ให้ที่อยู่รับเงินหนึ่งแห่ง ให้เขาโอน USDC บนเชน Ethereum แล้วแลกเป็น USDT บนเชน Tron ZachXBT ติดตามพบว่ากระเป๋าเงินที่จ่ายค่าธรรมเนียมบนเชนให้กับที่อยู่รับเงินนี้ สามารถย้อนกลับไปยังเงินที่ถูกขโมยจาก Bybit และปรากฏในรายชื่อที่อยู่ที่เกี่ยวข้องกับคดีที่เปิดเผยต่อสาธารณะ

เพื่อติดต่อกับ Jimmy ต่อไป ZachXBT ทำธุรกรรมกับเขาอีกหลายรายการ แต่ละรายการรับภาระขาดทุนประมาณ 5% ทั้งคู่คุยกันเรื่องการซื้อขาย และยังคุยเรื่องไพ่นกกระจอก อาหาร และครอบครัว เมื่อการติดต่อมากขึ้น Jimmy เริ่มเล่าให้คนที่คิดว่าเป็นลูกค้าฟังเกี่ยวกับธุรกิจของทีม รวมถึงการโอนเงิน Bybit ให้ลูกค้าเกาหลีเหนือ และการดำเนินงานของทีมในฮ่องกงและจีนแผ่นดินใหญ่

ZachXBT กล่าวว่า Jimmy เคยบอกล่วงหน้าหนึ่งวันว่าเงินก้อนหนึ่งจะถูกโอนไปยัง Solana วันรุ่งขึ้นก็มีการโอนที่สอดคล้องกันปรากฏบนเชน ในวันที่ 12 มีนาคม Jimmy ส่งภาพหน้าจอธุรกรรมข้ามเชนมาให้ ZachXBT ใช้จำนวนเงินและเวลา ค้นหาคำสั่งที่ตรงกันบน THORChain ที่อยู่ Solana สามแห่งที่อีกฝ่ายให้มาในเวลาต่อมา ช่วยให้เขาติดตามกลุ่มเงินที่ถูกขโมยจาก Bybit มูลค่ากว่า 12 ล้านดอลลาร์ ตามคำกล่าวของเขา Tether แช่แข็ง USDT 442,000 เหรียญที่เกี่ยวข้องกับกลุ่มที่อยู่นี้ในภายหลัง

Jimmy ยังอ้างกับ ZachXBT ว่าทีมของเขาจัดการทรัพย์สินที่ถูกขโมยจาก Bybit ส่วนใหญ่ ZachXBT เชื่อว่ารูปแบบการฟอกเงินที่เขาสังเกตเห็นสอดคล้องกับคำกล่าวนี้ เขาส่งผลการสืบสวนให้เจ้าหน้าที่บังคับใช้กฎหมายและนักสืบภาคเอกชนที่เกี่ยวข้องกับคดี จนกระทั่งเดือนตุลาคม 2026 จึงเปิดเผยประสบการณ์นี้ต่อสาธารณะ

หลังจากเหตุการณ์ความปลอดภัย Binance ประกาศว่าทรัพย์สินประมาณ 3 พันล้านดอลลาร์ที่เกี่ยวข้องกับเหตุการณ์ถูกแช่แข็งบนเชนแล้ว TRM Labs สังเกตว่าผู้โจมตีขายทรัพย์สินบางส่วนผ่านเว็บเทรดแบบกระจายศูนย์และผู้ดูแลสภาพคล่อง และยังนำทรัพย์สินที่ถูกขโมยบางส่วนไปค้ำประกันในโปรโตคอลให้กู้ยืม เช่น Aave และ JustLend เพื่อยืมทรัพย์สินอื่น

ในขณะเดียวกัน Binance เริ่มเติมเต็มทรัพย์สินที่ได้รับผลกระทบ แพลตฟอร์มระบุเมื่อวันที่ 2 พฤศจิกายนว่าทรัพย์สินที่เกี่ยวข้องประมาณ 95% ได้รับการเติมเต็มแล้ว และเผยแพร่หลักฐานการสำรองของทรัพย์สินหลักบางส่วน ในวันที่ 3 พฤศจิกายน Binance ประกาศเปิดการถอนเงินสำหรับทรัพย์สินและเครือข่ายเพิ่มเติม การสืบสวนความปลอดภัยยังคงดำเนินอยู่