ในการขโมยสกุลเงินดิจิทัลที่ใหญ่ที่สุดจนถึงปัจจุบัน, การแลกเปลี่ยนในเซเชลส์ Bybit สูญเสีย Ethereum (ETH) ไปประมาณ $1.5 พันล้านในวันที่ 21 กุมภาพันธ์ 2025, เนื่องจากการแฮ็กที่ซับซ้อนโดยแฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือ.

การละเมิดนี้ยืนยันโดยซีอีโอของ Bybit, Ben Zhou, ประกาศการยกระดับที่สำคัญของอาชญากรรมไซเบอร์ ที่มุ่งเป้าไปที่อุตสาหกรรมคริปโตและก่อให้เกิดคำถามสำคัญเกี่ยวกับความปลอดภัยของสินทรัพย์ดิจิทัล.

มาลองวิเคราะห์เรื่องการแฮ็กในเชิงลึก, วิธีการทางเทคนิคที่ใช้, บทบาทของการวิเคราะห์บล็อกเชน, การมีส่วนร่วมของกลุ่ม Lazarus, และผลกระทบที่กว้างขึ้นต่อระบบนิเวศสกุลเงินดิจิทัล.

Bybit: ผู้เล่นสำคัญในตลาดคริปโต

Bybit, ก่อตั้งขึ้นในปี 2018 และมีสำนักงานใหญ่ในเซเชลส์, ได้สร้างตัวเองให้เป็นการแลกเปลี่ยน สกุลเงินดิจิทัลชั้นนำ, รู้จักจากปริมาณการซื้อขายที่สูงและข้อเสนอที่หลากหลาย, รวมถึงการซื้อและขายสกุลเงินดิจิทัลในราคาตลาดปัจจุบัน, การคาดการณ์การเคลื่อนไหวของราคา อนาคตด้วยเลเวอเรจ, การได้รับรางวัลโดยการล็อกเงินเพื่อสนับสนุนการดำเนินงานบล็อกเชน.

อินเทอร์เฟซที่ใช้งานง่ายของการแลกเปลี่ยนและชื่อเสียงในมาตรการรักษาความปลอดภัยที่แข็งแกร่ง, เช่น กระเป๋าเงินเย็นที่ใช้หลายลายเซ็น (multi-sig) และการตรวจสอบความปลอดภัยอย่างสม่ำเสมอ, ดึงดูดฐานผู้ใช้ทั่วโลก. ชื่อเสียงนี้ทำให้การแฮ็กเป็นสิ่งที่น่าตกใจเป็นพิเศษ, เนื่องจากมันเปิดเผยช่องโหว่ในแพลตฟอร์มที่ไว้ใจได้มากที่สุด.

การค้นพบการแฮ็ก

การแฮ็กถูกตรวจพบครั้งแรกโดยนักวิเคราะห์ออนเชน ZachXBT, ซึ่งชี้ให้เห็นถึงการไหลออกที่น่าสงสัยรวมทั้งสิ้น $1.46 พันล้านจากกระเป๋าเงินของ Bybit ในเวลา 10:20 น. ET วันที่ 21 กุมภาพันธ์ 2025.

การไหลออกเหล่านี้, เกี่ยวข้องกับ 401,347 ETH, ทำให้เกิดความกังวลในทันทีเกี่ยวกับความเป็นไปได้ของการละเมิดความปลอดภัย. ภายใน 30 นาที, ซีอีโอของ Bybit Ben Zhou ยืนยันการละเมิดในโพสต์บน X (เดิมคือ Twitter) โดยเฉพาะทำให้โจมตีจากเทคนิคการ “ปิดบัง” การทำธุรกรรมที่เอาเปรียบ การตั้งค่ากระเป๋าเงินเย็นที่ใช้หลายลายเซ็นของการแลกเปลี่ยนระหว่างการโอนไปที่กระเป๋าเงินอุ่น.

การทำความเข้าใจกระเป๋าเงินเย็นที่ใช้หลายลายเซ็นและความปลอดภัยของมัน

กระเป๋าเงินเย็นที่ใช้หลายลายเซ็นคืออะไร?

กระเป๋าเงินเย็นที่ใช้หลายลายเซ็น (multi-sig) เป็นรูปแบบหนึ่งของการเก็บสกุลเงินดิจิทัล ที่ออกแบบมาเพื่อเพิ่มความปลอดภัยโดยต้องใช้คีย์ส่วนตัวหลายคีย์เพื่ออนุญาตการทำธุรกรรม.

แตกต่างจากกระเป๋าเงินที่ใช้คีย์เดี่ยว, ที่พึ่งพาคีย์เดียวและมีความเสี่ยงต่อการโจรกรรมมากกว่า, กระเป๋าเงิน multi-sig จะแบ่งความควบคุมระหว่างฝ่ายหรืออุปกรณ์หลายฝ่าย. ตัวอย่างเช่น, กระเป๋า multi-sig 2 ใน 3 จะต้องการให้มีการอนุญาตจากผู้เซ็นสองในสาม ในการทำธุรกรรม.

กระเป๋าเงินเย็น, อีกด้านหนึ่ง, เป็นวิธีการเก็บรักษาแบบออฟไลน์, หมายความว่ามันไม่เชื่อมต่อกับ อินเทอร์เน็ต, ลดความเสี่ยงจากการโจมตีออนไลน์เช่นการแฮ็กหรือการหลอกลวงด้วยฟิชชิง.

การตั้งค่ากระเป๋าเงินเย็นที่ใช้หลายลายเซ็นของ Bybit ต้องการการอนุมัติจากผู้เซ็นหลายคน, ซึ่งเป็นการปฏิบัติมาตรฐานสำหรับการปกป้องปริมาณสกุลเงินดิจิทัลขนาดใหญ่.

การใช้กระเป๋าเงินเย็นที่ใช้หลายลายเซ็นของ Bybit ถูกตั้งใจเพื่อปกป้องสินทรัพย์ ETH ขนาดใหญ่, ทำให้การละเมิดเป็นสิ่งที่น่าประหลาดใจเป็นพิเศษและเน้นถึงความซับซ้อนของการโจมตี.

วิธีการดำเนินการแฮ็ก: รายละเอียดทางเทคนิค

ผู้โจมตีข้ามผ่านระบบรักษาความปลอดภัยของ Bybit ที่ใช้หลายลายเซ็นโดยการรวมกันของการ วิศวกรรมสังคมและการควบคุมทางเทคนิคขั้นสูง.

นี่คือลำดับขั้นตอนของการโจมตี:

1. การเข้าถึงภัยคุกคามเริ่มต้นผ่านวิศวกรรมสังคม

แฮกเกอร์, ที่เชื่อว่าเป็นส่วนหนึ่งของกลุ่ม Lazarus ในเกาหลีเหนือ, น่าจะได้รับการเข้าถึงเริ่มต้นผ่านทางเทคนิคการหลอกลวงขั้นสูง, เช่น:

• อีเมลฟิชชิงเจาะกลุ่ม: อีเมลที่ตั้งเป้าหมายเพื่อหลอกลวงพนักงานหรือนักเซ็นให้เผยข้อมูล รับรองหรือคลิกที่ลิงก์อันตราย.
• เว็บไซต์ปลอม: เว็บไซต์ฟิชชิงที่ทำลักษณะให้เหมือนกับอินเตอร์เฟซที่แท้จริงของ Bybit เพื่อจับคีย์ส่วนตัวหรือวลีคีย์.
• การติดเชื้อมัลแวร์: การวางมัลแวร์เพื่อเจาะระบบหรืออุปกรณ์ที่ใช้โดยนักเซ็น.

วิธีวิศวกรรมสังคมเหล่านี้ใช้ประโยชน์จากความผิดพลาดของมนุษย์, เป็นช่องโหว่ที่สำคัญใน ระบบที่ปลอดภัยที่สุด.

2. การควบคุมธุรกรรมผ่านอินเตอร์เฟซปิดบัง

ระหว่างการโอนจากกระเป๋าเงินเย็นที่ใช้หลายลายเซ็นของ Bybit ETH ไปที่กระเป๋าเงินอุ่น (กระเป๋าออนไลน์ที่ใช้สำหรับการทำธุรกรรมที่รวดเร็วขึ้น), ผู้โจมตีทำการแฝงตัวประทุษร้าย.

แฮกเกอร์ปรับเปลี่ยนอินเตอร์เฟซการเซ็น, ส่วนประกอบที่แสดงให้เห็นถึงผู้ใช้ที่นักเซ็น อนุมัติธุรกรรม. อินเตอร์เฟซนี้ถูกปรับเปลี่ยนให้แสดงที่อยู่การทำธุรกรรมที่ถูกต้อง, ในขณะที่ฝังขอบเขตของ malicious code ในตรรกะของสัญญาอัจฉริยะเฉพาะ.

นักเซ็น, ไม่รู้ถึงการปรับเปลี่ยน, อนุมัติการโอนที่ดูเหมือนทั่วไป. อย่างไรก็ตาม, ธุรกรรมที่ได้รับการอนุมัติได้แฝงไปด้วย malicious code ที่เปลี่ยนวิธีการควบคุม ของกระเป๋าเงิน.

3. การปรับเปลี่ยนตรรกะสัญญาอัจฉริยะ

การปล่อย malicious code ในธุรกรรมใช้ประโยชน์จากช่องโหว่ในกระบวนการอนุมัติ ธุรกรรม.

ธุรกรรมที่ได้รับการอนุมัติเปลี่ยนตรรกะของสัญญาอัจฉริยะ, ให้การควบคุมแก่ผู้โจมตีเหนือกระเป๋าเงิน. ซึ่งทำให้พวกเขาสามารถโอน 401,347 ETH ไปที่ที่อยู่ที่ไม่ระบุไร้ผู้บริหาร.

การโจมตีไม่ได้ทำให้เชนสัญญาอีเธอเรียมหรือสัญญาอัจฉริยะถูกประนีประนอม, แต่ใช้ประโยชน์จาก กระบวนการภายในของ Bybit สำหรับการตรวจสอบและอนุมัติการทำธุรกรรม.

4. การฟอกเงินและการกระจาย

หลังจากรับการควบคุมกองทุน, ผู้โจมตีแยก ETH ที่ถูกโจรกรรมออกเป็นกระบวนการหลายกระบวนการ เพื่อให้ยากต่อการติดตามเส้นทาง.

ETH ถูกแบ่งออกเป็นข้อร้อนของ 1,000 ETH และส่งไปยังกระเป๋าเงินเกินกว่า 40 ใบ.

ผู้โจมตีแปลง ETH ให้เป็นสกุลเงินดิจิทัลอื่น ๆ หรือเงินสดผ่านการแลกเปลี่ยนแบบกระจาย ศูนย์กลาง (DEXs), ซึ่งขาดการบังคับให้รู้จักลูกค้า (KYC) เช่นการแลกเปลี่ยนที่มีการระบบการควบคุมศูนย์กลาง, ทำให้ยากขึ้นสำหรับการปิดกั้นหรือ การกู้คืนกองทุน.

การวิเคราะห์บล็อกเชนและการติดตามกองทุน

บริษัทวิเคราะห์บล็อกเชนมีบทบาทสำคัญในการติดตามกองทุนที่ถูกโจรกรรม, ถึงแม้ว่าผู้โจมตีจะ พยายามปกปิดการเคลื่อนไหวของพวกเขา.

บริษัทและเครื่องมือที่สำคัญที่เกี่ยวข้องประกอบด้วย:

• Elliptic: บริษัทวิเคราะห์บล็อกเชนที่ติดตาม ETH ที่ถูกโจรกรรมในขณะที่ถูกกระจาย และถูกทำลาย. ซอฟต์แวร์ของ Elliptic วิเคราะห์รูปแบบการทำธุรกรรมและที่อยู่กระเป๋าเงินเพื่อ ระบุพฤติกรรมที่น่าสงสัย.
• Arkham Intelligence: บริษัทวิเคราะห์อื่นที่ให้การติดตามแบบเรียลไทม์ของกองทุน, แยก รายการกระเป๋าเงินที่เกี่ยวข้องและการไหลของธุรกรรม.
• MistTrack โดย Slow Mist: เครื่องมือฟอเรนสิกของบล็อกเชนที่ใช้ในการแผนที่การเคลื่อนที่ ของ ETH ที่ถูกโจรกรรมผ่านเครือข่าย Ethereum. MistTrack ตั้งธงสัญญาณการทำธุรกรรมทดสอบ และรูปแบบกระเป๋าเงินที่บ่งชี้ถึงเทคนิคของกลุ่ม Lazarus.

แม้ความพยายามเหล่านี้, ความรวดเร็วและขนาดใหญ่ของการทำลายทำให้การกู้คืนเป็นสิ่งที่ท้าทาย.

การใช้ DEXs ของผู้โจมตีและ mixers (เครื่องมือที่ผสมสกุลเงินดิจิทัลเพื่อซ่อนต้นกำเนิด) ส่งเสริมกระบวนการให้ซับซ้อนมากขึ้น.

กลุ่ม Lazarus: ผู้กระทำผิดเบื้องหลังการแฮ็ก

กลุ่ม Lazarus คือใคร?

กลุ่ม Lazarus เป็นกลุ่มแฮ็กที่สนับสนุนโดยรัฐเกาหลีเหนือ, ทราบถึงการมีส่วนร่วมในการก่ออาชญากรรมไซเบอร์ที่มีโปรไฟล์สูง, รวมถึงการขโมยสกุลเงินดิจิทัล, การโจมตีด้วยแรนซัมแวร์, และการจารกรรม.

เชื่อว่ากลุ่มนี้ปฏิบัติการภายใต้การกำ� The exchange processed over 580,000 withdrawal requests post-hack, ensuring users could access their funds.

Bybit also secured bridge loans to cover losses, reassuring users of its solvency. The exchange launched a program offering up to 10% of recovered funds to ethical hackers who assist in retrieving the stolen ETH.

These measures, while proactive, highlight the challenges of recovering funds in such large-scale hacks, especially given the attackers’ laundering techniques.

มาตรการป้องกันสำหรับอนาคต

เพื่อหลีกเลี่ยงการโจมตีในแบบเดียวกัน ผู้เชี่ยวชาญแนะนำชุดมาตรการความปลอดภัยที่ครอบคลุม โดยอิงจากวิธีปฏิบัติที่ดีที่สุดของอุตสาหกรรมและข้อมูลจากกรณี Bybit

1. การตรวจสอบหลายขั้นตอน (Multi-Factor Authentication - MFA)

จำเป็นต้องมีหลายชั้นของการยืนยันสำหรับการอนุมัติธุรกรรม เช่น:

• การตรวจสอบผ่านไบโอเมตริกซ์: ลายนิ้วมือหรือการจดจำใบหน้า
• อุปกรณ์โทเคนฮาร์ดแวร์: อุปกรณ์ทางกายภาพที่สร้างโค้ดแบบใช้ครั้งเดียว
• รหัสผ่านชั่วคราวตามเวลา (TOTP): แอปเช่น Google Authenticator สำหรับรหัสชั่วคราว

2. ช่องทางการสื่อสารที่ปลอดภัย

ใช้ช่องทางที่เข้ารหัสและตรวจสอบแล้วสำหรับการสื่อสารที่เกี่ยวข้องกับธุรกรรมทั้งหมด เช่น:

• อีเมลเข้ารหัสปลายทางถึงปลายทาง: เครื่องมือเช่น ProtonMail หรือ Signal สำหรับการส่งข้อความอย่างปลอดภัย
• พอร์ทัลที่ปลอดภัยเฉพาะทาง: ระบบภายในสำหรับการอนุมัติธุรกรรม แยกจากภัยคุกคามภายนอก

3. การตรวจสอบความปลอดภัยเป็นประจำ

ดำเนินการประเมินและทดสอบเจาะระบบบ่อยๆ เพื่อค้นหาช่องโหว่:

• การตรวจสอบจากบุคคลที่สาม: ว่าจ้างบริษัทที่มีชื่อเสียงในการตรวจสอบโปรโตคอลความปลอดภัย
• การโจมตีจำลอง: ทดสอบระบบต่อภัยคุกคามเช่นฟิชชิ่ง มัลแวร์ และวิศวกรรมสังคม

4. การฝึกอบรมพนักงาน

ให้ความรู้แก่พนักงานเรื่องการจดจำภัยคุกคามจากวิศวกรรมสังคม เช่น:

• การตระหนักรู้เกี่ยวกับสเปียร์ฟิชชิ่ง: ฝึกพนักงานให้จดจำอีเมลหรือลิงก์ที่น่าสงสัย
• การรักษาความสะอาดของข้อมูลประจำตัว: หลีกเลี่ยงการใช้รหัสผ่านซ้ำหรือจัดเก็บคีย์ในที่ที่ไม่ปลอดภัย

5. การจัดการทรัพย์สินที่หลากหลาย

กระจายเงินไปตามกระเป๋าหลายใบเพื่อลดความเสี่ยง:

• การแบ่งสมดุลระหว่างกระเป๋าเย็นและร้อน: เก็บเงินส่วนใหญ่ในพื้นที่จัดเก็บข้อมูลเย็น และเก็บเงินจำนวนน้อยในกระเป๋าร้อนสำหรับการดำเนินการประจำวัน
• การกระจายแบบหลายลายเซ็น (Multi-sig): ใช้การกำหนดค่าต่างกันของลายเซ็นหลายอันสำหรับกลองทรัพย์สินต่างๆ

6. ระบบตรวจจับความผิดปกติ

นำเครื่องมือมาตรวจจับและแจ้งเตือนเกี่ยวกับรูปแบบธุรกรรมที่ผิดปกติ เช่น:

• โมเดลการเรียนรู้ของเครื่อง (Machine learning models): ระบุการเบี่ยงเบนจากกิจกรรมปกติ เช่น การโอนเงินจำนวนมากในช่วงเวลาที่ไม่ปกติ
• การแจ้งเตือนแบบเรียลไทม์: แจ้งให้ทีมความปลอดภัยทราบเกี่ยวกับการธนาคารที่น่าสงสัย

7. การอัปเดตข้อมูลภัยคุกคามอย่างต่อเนื่อง

อัปเดตมาตรการความปลอดภัยอย่างต่อเนื่องเพื่อต่อต้านภัยคุกคามทางไซเบอร์ที่เกิดขึ้นใหม่:

• ฟีดข่าวกรองภัยคุกคาม: สมัครรับบริการที่ติดตามช่องโหว่ใหม่ในการโจมตี
• การป้องกันการใช้ช่องโหว่ใหม่ (Zero-day exploit defenses): ทำการอัปเดตและแพทช์อย่างทันท่วงทีเพื่อจัดการกับช่องโหว่ที่ค้นพบใหม่

มาตรการเหล่านี้มีความสำคัญอย่างยิ่ง โดยเฉพาะเมื่อคำนึงถึงเทคนิคขั้นสูงของกลุ่ม Lazarus ซึ่งรวมถึงการใช้ช่องโหว่ใหม่ วิศวกรรมสังคมที่ซับซ้อน และการฟอกเงินอย่างรวดเร็ว

บทสรุป: บทเรียนสำหรับอุตสาหกรรมคริปโต

การแฮก Bybit ซึ่งเป็นการโจรกรรมเงินดิจิทัลที่ใหญ่ที่สุดในประวัติศาสตร์ แสดงถึงความท้าทายด้านความปลอดภัยที่ไม่มีวันสิ้นสุดสำหรับอุตสาหกรรมนี้ โดยเฉพาะจากกลุ่มที่กรัฐมนตรีด้านความปลอดภัย เช่น กลุ่ม Lazarus

แม้ว่า Ethereum จะยังคงปลอดภัย แต่เหตุการณ์นี้เน้นถึงความจำเป็นในการมีขั้นตอนภายในที่แข็งแกร่ง มาตรการความปลอดภัยทางไซเบอร์ขั้นสูง และการตรวจสอบอย่างต่อเนื่องเพื่อปกป้องทรัพย์สินดิจิทัล

ขณะที่ระบบนิเวศของสกุลเงินดิจิทัลมีการพัฒนา การแลกเปลี่ยนต้องให้ความสำคัญกับความไว้วางใจของผู้ใช้และความยืดหยุ่นในการดำเนินงานเพื่อรับมือกับวิกฤติในลักษณะนี้อย่างมีประสิทธิภาพ

การโจมตี Bybit เป็นการเตือนอย่างชัดเจนว่าแม้แต่แพลตฟอร์มที่ปลอดภัยที่สุดก็ยังเสี่ยงต่อข้อผิดพลาดของมนุษย์และการโจมตีที่ซับซ้อน ย้ำถึงความสำคัญของการมีมาตรการรักษาความปลอดภัยหลายชั้นและความร่วมมือระหว่างอุตสาหกรรมเพื่อจัดการกับอาชญากรรมไซเบอร์