เกาหลีเหนือกวาดเงินคริปโทถูกแฮ็กระดับโลก เกือบสองในสาม สร้างสถิติใหม่การโจรกรรมโดยรัฐชาติ

ในช่วงครึ่งแรกของปี 2026 ประเทศหนึ่งสามารถกอบโกยเงินจากการโจรกรรมคริปโททั่วโลกไปได้ราวสองในสามของทุกดอลลาร์ที่ถูกขโมยออกจากระบบ

ตัวเลขนี้ไม่ใช่ความคลาดเคลื่อนทางสถิติ และไม่ใช่ผลจาก “การปล้นครั้งเดียว” ที่หวือหวา

แต่มาจากปฏิบัติการเจาะระบบขนาดอุตสาหกรรมที่ดำเนินมายาวนานเกือบสิบปี ผ่านการปรับแต่งวิธีการโจมตีอย่างต่อเนื่อง จนปัจจุบันเหนือกว่ากลุ่มอาชญากรรมไซเบอร์รายอื่นในตลาดคริปโทรวมกัน

แม้มาตรฐานของอาชญากรรมคริปโทจะเต็มไปด้วยตัวเลขมหาศาลอยู่แล้ว แต่มิติของรอบนี้ยังน่าตกใจเป็นพิเศษ

กลุ่มที่เชื่อมโยงกับเกาหลีเหนือถูกระบุว่าเป็นผู้ก่อเหตุคิดเป็น 66.2% ของมูลค่าความเสียหายจากการแฮ็กสินทรัพย์ดิจิทัลทั่วโลกในครึ่งแรกปี 2026 ตามข้อมูลจากนักวิจัยด้านความปลอดภัยบล็อกเชนที่ถูกเผยแพร่ในสัปดาห์นี้ และมีรายงานว่า accounted สัดส่วนการสูญเสียดังกล่าวไว้

การที่ความเสียหายกระจุกตัวอยู่ใน “กลุ่มผู้โจมตีเดียว” ถือเป็นการเปลี่ยนระดับคุณภาพความเสี่ยงของทั้งอุตสาหกรรม ขณะเดียวกันก็เกิดในจังหวะที่เงินทุนสถาบันไหลกลับเข้าสู่ตลาดคริปโทเร็วที่สุดนับจากปี 2021

สรุปย่อ

• กลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับเกาหลีเหนือฉกฉวยมูลค่าความเสียหายจากการแฮ็กคริปโท 66.2% ในครึ่งแรกปี 2026 สร้างสถิติการกระจุกตัวสูงสุดของการปล้นคริปโทโดยรัฐชาติ
• กลุ่ม Lazarus และหน่วยงาน DPRK ที่เกี่ยวข้องยกระดับจากการแฮ็กเว็บเทรดแบบฉวยโอกาส สู่ปฏิบัติการเป็นระบบ โจมตีโปรโตคอล DeFi สะพานข้ามเชน และใช้วิศวกรรมสังคมล่อลวงนักพัฒนา
• เงินที่ขโมยไปถูกใช้หนุนโครงการอาวุธของเกาหลีเหนือโดยตรง ทำให้ประเด็น “ความปลอดภัยคริปโท” กลายเป็นเรื่องภูมิรัฐศาสตร์ที่หน่วยงานกำกับในวอชิงตัน บรัสเซลส์ และโซลเร่งให้ความสำคัญ

ตัวเลข 66% คืออะไร วัดจากอะไร

ก่อนจะมองภาพเชิงยุทธศาสตร์ วิธีคำนวณตัวเลขนี้จำเป็นต้องถูกพิจารณาอย่างรอบคอบ

ตัวเลข 66.2% หมายถึง “สัดส่วน” ของมูลค่าความสูญเสียจากการแฮ็กคริปโทที่ได้รับการยืนยันแล้วทั่วโลกในครึ่งแรกปี 2026 ซึ่งถูกเชื่อมโยงย้อนกลับไปยังวอลเล็ตของฝ่ายเกาหลีเหนือ ผ่านการสืบสวนธุรกรรมบนบล็อกเชน ตั้งแต่จุดถูกขโมย การผ่านมิกเซอร์ ไปจนถึงขั้นตอนถอนออกสู่ระบบการเงินจริง

Chainalysis ผู้จัดทำฐานข้อมูลอาชญากรรมคริปโทระยะยาวที่ได้รับการอ้างอิงมากที่สุด reported ไว้ในรายงาน Crime Report 2024 ว่า กลุ่มที่เชื่อมโยงกับเกาหลีเหนือขโมยคริปโทรวมราว 1.34 พันล้านดอลลาร์ จาก 47 เหตุการณ์ในปี 2023 คิดเป็น 61% ของมูลค่าการโจรกรรมทั้งหมดในปีนั้น

ตัวเลขครึ่งแรกปี 2026 สะท้อนการ “ยิ่งรวมศูนย์” หนักขึ้นไปอีก ช่องว่างด้านศักยภาพระหว่างเกาหลีเหนือกับกลุ่มผู้โจมตีอื่นจึงกำลังขยายกว้าง ไม่ใช่หดตัว

สัดส่วน 66.2% นี้ถือเป็นระดับการครอบงำของการปล้นสินทรัพย์ดิจิทัลโดยรัฐชาติที่สูงที่สุดเท่าที่เคยมีการบันทึกในช่วงเวลา 6 เดือน

สิ่งสำคัญคือ ตัวเลข 66% นี้ “ไม่ได้นับ” อะไรบ้าง

ตัวเลขดังกล่าว “ไม่รวม” กรณีหลอกเชิดเงินออกโปรเจกต์ (exit scam) โปรเจกต์ดึงพรม (rug pull) หรือการฉ้อโกงทุกรูปแบบ ซึ่ง Chainalysis จัดเป็นหมวดแยกจาก “การแฮ็ก” ตัวส่วนของสมการจึงจำกัดอยู่ที่ “มูลค่าความเสียหายจากการเจาะระบบที่ยืนยันได้” เท่านั้น

หากรวมอาชญากรรมคริปโททุกประเภท สัดส่วนเปอร์เซ็นต์ของ DPRK ย่อมลดลง แต่ “ยอดเงินจริงที่ถูกขโมย” จะไม่ได้ลดลงตาม

อ่านเพิ่มเติม: ดีมานด์สปอต XRP พุ่ง ขณะอนุพันธ์ Binance ส่งสัญญาณเตือน 783 ล้านดอลลาร์

Lazarus Group ผงาดสู่ “มหาอำนาจ” อาชญากรรมคริปโทได้อย่างไร

Lazarus Group ชื่อเรียกรวมที่หน่วยข่าวกรองสหรัฐและนักวิจัยเอกชนใช้เรียกหน่วยไซเบอร์ที่ทรงศักยภาพที่สุดของ DPRK เดิมทีไม่ได้เริ่มจากการโจมตีคริปโทเป็นหลัก

โปรไฟล์ยุคแรกของกลุ่มนี้เน้นการโจมตีทำลายระบบ การปล้นธนาคารผ่านการเจาะเครือข่าย SWIFT และแรนซัมแวร์

การหันมาจับคริปโทเกิดขึ้นอย่างค่อยเป็นค่อยไป เริ่มเด่นชัดราวปี 2017 เมื่อกลุ่มเริ่ม targeted เว็บเทรดคริปโทในเกาหลีใต้ ก่อนจะยกระดับรุนแรงหลังเหตุแฮ็ก Ronin Network ในปี 2022

เหตุแฮ็ก Ronin ซึ่ง Lazarus Group stole เงินจากไซด์เชนของ Axie Infinity ไปราว 625 ล้านดอลลาร์ คือจุดเปลี่ยนเชิงยุทธศาสตร์

เหตุการณ์นั้นพิสูจน์ว่าโครงสร้างพื้นฐาน DeFi ที่ซับซ้อนด้วยสมาร์ตคอนแทรกต์ เต็มไปด้วยสะพานข้ามเชน และมีช่องโหว่วิศวกรรมสังคมต่อเหล่านักพัฒนา เป็น “พื้นโจมตี” ที่ทำกำไรได้มากกว่าการโจมตีเว็บเทรดแบบรวมศูนย์ ซึ่งฝ่ายหลังได้ยกระดับระบบป้องกันอย่างหนักตลอดทศวรรษที่ผ่านมา

การปล้น 625 ล้านดอลลาร์ในเดือนมีนาคม 2022 ยังคงเป็นการแฮ็ก DeFi ที่ใหญ่ที่สุดเท่าที่เคยมี และถูกใช้เป็น “ต้นแบบเชิงปฏิบัติการ” ให้กับแคมเปญโจมตีคริปโทชุดถัดมาของ DPRK

นับจากปี 2022 กลุ่มได้ขัดเกลาช่องทางโจมตีหลัก 3 แบบอย่างเป็นระบบ

แนวทางแรกคือ “เจาะบัญชีและสิทธิ์นักพัฒนา” ที่ถูกยึดครองผ่านการหลอกให้ติดมัลแวร์ โดยมากเริ่มจากข้อเสนอรับเข้าทำงานปลอมใน LinkedIn เมื่อเหยื่อเปิดไฟล์หรือรันโค้ดที่แนบมา

แนวทางที่สองคือการโจมตีสะพานข้ามเชน เจาะตรรกะสมาร์ตคอนแทรกต์ที่ใช้ยืนยันการโอนสินทรัพย์ข้ามเครือข่าย

แนวทางที่สามคือ “ซัพพลายเชนแอทแท็ก” เจาะส่วนพึ่งพาซอฟต์แวร์ของโปรโตคอลคริปโท เทคนิคที่เคยเป็นกระแสหลักในโลกไซเบอร์ดั้งเดิมและถูกปรับใช้กับเป้าหมายบนบล็อกเชนในภายหลัง

อ่านเพิ่มเติม: ศึก Eng Vs Ind ไม่ใช่แค่คริกเก็ตสำหรับเทรดเดอร์ตลาดทำนายอีกต่อไป

เป้าหมายย้ายจากเว็บเทรดสู่โปรโตคอล DeFi

ประวัติยุคแรกของ “การแฮ็กครั้งใหญ่” ในวงการคริปโทถูกเขียนขึ้นโดยการเจาะเว็บเทรดแบบรวมศูนย์ เช่น Mt. Gox ในปี 2014, Bitfinex ปี 2016, Coincheck ปี 2018 ที่โจมตีผ่านระบบฮอตวอลเล็ต ช่องโหว่ API หรือการปล่อยให้คนในองค์กรทุจริต ฝ่ายก่อเหตุมักเป็นแก๊งอาชญากรรมฉวยโอกาสมากกว่าจะเป็นหน่วยงานรัฐที่มีระบบสนับสนุน

พิมพ์เขียวของ DPRK ยุคปัจจุบันแตกต่างไปอย่างสิ้นเชิง รายงาน 2024 Crypto Threat Intelligence ของ TRM Labs 2024 Crypto Threat Intelligence พบว่าสัดส่วนมูลค่าการโจรกรรมคริปโทโดย DPRK ที่มาจาก “การเจาะโปรโตคอล DeFi” แซง “การเจาะเว็บเทรดแบบรวมศูนย์” จากประมาณ 30% ในปี 2021 ขึ้นมาเกิน 70% ภายในปี 2024 เคลื่อนไปในทิศทางเดียวกับการเติบโตของสภาพคล่องบนเชน

มูลค่าทรัพย์สินรวมที่ถูกล็อก (TVL) ในโปรโตคอล DeFi ทั่วโลกเคยทำจุดสูงสุดเหนือ 180,000 ล้านดอลลาร์ปลายปี 2021 ก่อนจะร่วงแรงตามตลาดหมีปี 2022 และไต่กลับขึ้นมาสู่ระดับที่ “น่าดึงดูด” สำหรับการโจมตีอีกครั้ง ข้อมูลจาก DefiLlama data ณ ช่วงกลางปี 2026 ชี้ว่า TVL รวมของ DeFi ทุกเชนกลับมายืนเหนือ 110,000 ล้านดอลลาร์ โดยสะพานข้ามเชนครอบครองสัดส่วนมูลค่ารวมในพูลสูงกว่าค่าเฉลี่ย

สัญญา DeFi สำหรับสะพานข้ามเชนเป็นเป้าหมายที่ดึงดูดแฮ็กเกอร์ระดับสูง เพราะเป็นจุดรวมสภาพคล่องจำนวนมากไว้ในสมาร์ตคอนแทรกต์เพียงไม่กี่ฉบับ ขณะเดียวกันต้องพึ่งพากลไกยืนยันข้ามเชนที่มีความซับซ้อนและยากต่อการตรวจสอบอย่างครอบคลุม

สะพานข้ามเชนจึงกลายเป็น “หมุดหมายพิเศษ” ของหน่วย DPRK ด้วยโครงสร้างความเสี่ยงที่แปลกต่าง สัญญาสะพานต้อง “เชื่อ” ข้อมูลยืนยันจากเชนปลายทางซึ่งตนเองไม่สามารถตรวจสอบได้โดยตรง ตรรกะการยืนยันจึงซับซ้อน มักพึ่งพาคณะผู้ลงนามหลายลายเซ็น หรือใช้ระบบ light client proof ซึ่งทั้งสองแบบต่างมีสมมติฐานที่อาจถูกโจมตีได้

Ronin bridge ใช้กลไกมัลติซิก 9 จาก 9 ลายเซ็น แต่ถูกลดทอนความปลอดภัยเชิงปฏิบัติให้กลายเป็น “5 จาก 9” ผ่านการวิศวกรรมสังคม สุดท้ายผู้โจมตีสามารถควบคุม 5 ลายเซ็นได้สำเร็จ และอนุมัติการถอนที่ดูถูกต้องตามระบบแต่กลับดูดสภาพคล่องในสะพานออกหมด

อ่านเพิ่มเติม: Fable 5 คุ้มไหมในราคาพรีเมียมสองเท่า เมื่อตลาดยังมองว่า Opus 4.8 “ยังเอาอยู่”

มิติ “ข้อเสนองานปลอม” และการล่านักพัฒนา

องค์ประกอบที่สม่ำเสมอและมักถูกประเมินต่ำในแคมเปญของ DPRK ช่วงครึ่งแรกปี 2026 คือโครงสร้างวิศวกรรมสังคมที่มุ่งเป้าตัวบุคคล โดยเฉพาะนักพัฒนาและพนักงานโปรโตคอล นี่ไม่ใช่การแฮ็กเชิงเทคนิคตรง ๆ หากแต่เป็น “ปฏิบัติการข่าวกรอง” แบบสร้างความสัมพันธ์ยาวนานซึ่งลงเอยด้วยการรันโค้ดอันตราย

สคริปต์มาตรฐานซึ่งถูกลงรายละเอียดโดย Mandiant ในรายงาน APT38 financial threat analysis และโดยหน่วยงาน Cybersecurity and Infrastructure Security Agency ของสหรัฐใน CISA Alert AA22-108A ระบุว่า ผู้ปฏิบัติการ DPRK สร้างโปรไฟล์มืออาชีพบน LinkedIn ที่น่าเชื่อถือ โดยมักใช้ภาพจาก AI จากนั้นเข้าหาเหล่านักพัฒนาที่ทำงานกับโปรโตคอลคริปโท เสนอรับงานนอกเวลา นัดสัมภาษณ์งาน หรือขอรีวิวโค้ด

ในหลายเคสที่ถูกบันทึก ผู้ปฏิบัติการ DPRK ใช้เวลาหลายสัปดาห์หรือหลายเดือนสร้างความสัมพันธ์กับนักพัฒนาบน LinkedIn สนทนาแลกเปลี่ยนเชิงเทคนิคเกี่ยวกับโค้ดของเหยื่ออย่างน่าเชื่อถือ ก่อนจะส่งเพย์โหลดมัลแวร์ในจังหวะที่เหยื่อ “ไว้ใจแล้ว”

เมื่อเหยื่อตอบรับ ขั้นต่อไปคือการส่งไฟล์ที่ต้องรันหรือเปิดใช้เอง อาจมาในรูป PDF ที่ฝังเพย์โหลด รีโพ GitHub ที่มี dependency แฝงมัลแวร์ หรือแบบทดสอบเชิงเทคนิคปลอมที่ติดตั้ง backdoor

เมื่อผู้โจมตีฝังตัวในเครื่องนักพัฒนาได้แล้ว ก็สามารถดูด private key, โทเคนเซสชันสำหรับระบบภายใน และข้อมูลล็อกอินโครงสร้างคลาวด์ที่ใช้ดีพลอยโปรโตคอล

ความซับซ้อนของยุทธวิธีเหล่านี้สะท้อน “การลงทุนระดับองค์กร” ที่เหนือว่ากลุ่มอาชญากรรมเอกชนทั่วไป หน่วยไซเบอร์ DPRK คือข้าราชการเต็มเวลา มีการฝึกฝนสม่ำเสมอ ปฏิบัติตามวินัยด้านความปลอดภัยเชิงปฏิบัติการ และสะสมองค์ความรู้มายาวนานว่าควรเล็งโจมตีโปรโตคอลไหน นักพัฒนากลุ่มใดที่เข้าถึงง่ายที่สุด

อ่านเพิ่มเติม: หุ้น TeraWulf พุ่ง หลังดีลกับ Anthropic พลิกโฉมบริษัทขุดบิตคอยน์สู่เกม AI มูลค่า 1.9 หมื่นล้านดอลลาร์

โครงข่ายฟอกเงินเบื้องหลังตัวเลขการโจรกรรม

การขโมยคริปโทเป็นเพียง “จุดเริ่มต้น” การเปลี่ยนเหรียญเหล่านั้นให้กลายเป็นรายได้ที่ระบบปกครองสามารถใช้จ่ายได้จริง ต้องอาศัยห่วงโซ่การฟอกเงินที่ซับซ้อน ซึ่งกำลังกลายเป็นเป้าการวิจัยเชิง on-chain ที่เข้มข้นไม่แพ้กัน

การเคลื่อนย้ายเงินหลังการโจรกรรมคือจุดที่นักสืบมักใช้อ้างอิงระบุตัว DPRK ได้มั่นใจที่สุด เพราะกลุ่มนี้มี “ลายเซ็นพฤติกรรม” ที่ตรวจจับได้บนบล็อกเชนและบนแพลตฟอร์มแลกเปลี่ยน ทั้งในตลาดมืดและตลาดที่มีใบอนุญาต (ช่วงต่อจากนี้ในรายงานดั้งเดิมยังลงลึกถึงโหนดมิกเซอร์ OTC เอเชียตะวันออก และเว็บเทรดที่มีการกำกับดูแลหลวม ซึ่งถูกใช้เป็นฟันเฟืองสำคัญในกระบวนการฟอกเงิน) รูปแบบและแพทเทิร์นในการเคลื่อนย้ายและพรางร่องรอยของเงิน

Chainalysis ได้จัดทำรายงาน โฟลว์การฟอกเงินมาตรฐานของเกาหลีเหนือ (DPRK) ว่าเป็นกระบวนการหลายขั้นตอน ทรัพย์สินดิจิทัลที่ถูกขโมยจะถูกแปลงเป็น อีเธอเรียม (ETH) หรือ บิตคอยน์ (BTC) ผ่านดีแฟกระจายศูนย์บนเชน เพื่อเปลี่ยนโทเคนเฉพาะโปรโตคอลที่สภาพคล่องต่ำให้กลายเป็นสินทรัพย์สภาพคล่องสูง จากนั้นสินทรัพย์เหล่านี้จะถูกส่งต่อผ่านมิกเซอร์ โดยในอดีตกลุ่มนี้ใช้ Tornado Cash เป็นหลัก กระทั่งถูก OFAC ขึ้นบัญชีคว่ำบาตรในเดือนสิงหาคม 2022 ทำให้ต้องหันไปใช้เครื่องมือพรางธุรกรรมอื่น เช่น Sinbad และ Yomix ซึ่งต่อมาก็ถูกทางการสหรัฐฯ คว่ำบาตรเช่นกัน

OFAC ขึ้นบัญชีมิกเซอร์ Sinbad ในเดือนพฤศจิกายน 2023 และมิกเซอร์ Yomix ในเดือนเมษายน 2025 สะท้อนเกมไล่จับที่ทุกเครื่องมือฟอกเงินของ DPRK จะจบลงที่การถูก制裁 และผลักให้กลุ่มต้องย้ายไปใช้โครงสร้างพื้นฐานใหม่อย่างต่อเนื่อง

หลังผ่านมิกเซอร์ เงินจะไหลต่อผ่านเครือข่ายบัญชีซ้อนในศูนย์ซื้อขาย (nested accounts) โบรกเกอร์ OTC ในเขตอำนาจศาลที่การบังคับใช้กฎหมาย AML ไม่เข้มแข็ง และแพลตฟอร์มแบบ peer-to-peer ช่องทางแปลงกลับเป็นเงินปกติ (off-ramp) ที่ถูกใช้บ่อยที่สุดในอดีตคือศูนย์ซื้อขายคริปโตในเอเชียตะวันออกและเอเชียตะวันออกเฉียงใต้ที่บังคับใช้ KYC จำกัด รายงานของ คณะผู้เชี่ยวชาญสหประชาชาติ ปี 2024 ระบุ ชัดว่า เงินจากการขโมยคริปโตเป็นแหล่งทุนหลักของโครงการขีปนาวุธของ DPRK โดยประเมินว่ารายได้คริปโตคิดเป็นราว 40% ของความต้องการเงินตราต่างประเทศเพื่อพัฒนาอาวุธทำลายล้างสูง

อ่านเพิ่มเติม: อีเธอเรียมอาจเข้าสู่สถานะ Near-Zero ภายใต้แผน Lean Chain ที่สุดโต่งของบิวเทอริน

การตอบโต้เชิงกำกับดูแล และข้อจำกัดเชิงโครงสร้าง

รัฐบาลสหรัฐฯ ระดมใช้ “เครื่องมือครบชุด” เพื่อต่อกรกับปฏิบัติการคริปโตของ DPRK ทั้งการที่ OFAC ขึ้นบัญชีกระเป๋าและบริการมิกซ์ การประกาศของ FBI ที่ชี้ตัวแฮ็กเฉพาะเคส ไปจนถึงคำเตือนร่วมกับหน่วยข่าวกรองชาติพันธมิตร กระทรวงยุติธรรมสหรัฐฯ (Department of Justice) ได้ยื่นฟ้อง ตัวบุคคลชาว DPRK หลายราย แต่ในทางปฏิบัติแทบไม่มีโอกาสนำตัวขึ้นศาล เพราะไร้ช่องทางส่งผู้ร้ายข้ามแดน

ข้อจำกัดของการตอบโต้จากสหรัฐฯ อยู่ที่โครงสร้างของระบบ制裁เอง การคว่ำบาตรที่อยู่กระเป๋า จะมีประสิทธิผลเฉพาะต่อผู้เล่นที่ต้องพึ่งพาโครงสร้างพื้นฐานทางการเงินที่ถูกกำกับเพื่อเป็น off-ramp เท่านั้น แทบไม่มีผลต่อผู้เล่นชั้นสูงที่สามารถวิ่งอ้อมผ่านเขตอำนาจศาลนอกเหนือการเข้าถึงของกฎหมาย AML สหรัฐฯ การเล่นงาน Tornado Cash ของ OFAC แม้จะมีนัยสำคัญและถูกโต้แย้งอย่างกว้างขวาง แต่ DPRK ก็ปรับตัวได้ภายในไม่กี่เดือนด้วยการย้ายไปใช้โครงสร้างพื้นฐานใหม่

กระทรวงยุติธรรมสหรัฐฯ ตั้งข้อหาทหารแฮ็กเกอร์ DPRK แล้ว 7 รายในคดีขโมยคริปโต แต่ไม่มีใครถูกนำขึ้นพิจารณาคดี หมายฟ้องจึงทำหน้าที่หลักเป็นกลไก “ชี้ตัวและตั้งชื่อ” และเป็นเครื่องมือข่มให้ผู้ให้บริการบุคคลที่สามหลีกเลี่ยงการมีส่วนร่วมเคลื่อนย้ายเงิน

ด้าน Financial Action Task Force (FATF) องค์กรวางมาตรฐาน AML ระดับระหว่างรัฐบาล ได้ยกระดับ เกาหลีเหนือไปสู่กลุ่มความเสี่ยงสูงสุด พร้อมออกคำเรียกร้องถาวรให้ประเทศสมาชิกใช้มาตรการตรวจสอบเข้มงวดพิเศษกับธุรกรรมที่มีจุดเชื่อมโยงกับ DPRK แต่ข้อเสนอของ FATF ไม่มีผลผูกพันทางกฎหมาย และเขตอำนาจศาลที่ DPRK ใช้ประโยชน์ได้ดีที่สุดในฐานะ off-ramp มักไม่ใช่สมาชิก FATF หรือเป็นสมาชิกที่มีประวัติการบังคับใช้อ่อนแอ

กฎระเบียบ Markets in Crypto-Assets Regulation (MiCA) ของสหภาพยุโรป ซึ่งมีผลบังคับใช้อย่างเต็มรูปแบบตั้งแต่ปลายปี 2024 กำหนด “travel rule” ที่บังคับให้ต้องระบุตัวคู่สัญญาในการโอนคริปโตที่เกินเกณฑ์วงเงินหนึ่ง ผู้สนับสนุนมองว่ากติกานี้จะอุดช่องทาง off-ramp แบบ OTC บางส่วน ขณะที่ฝ่ายวิจารณ์ชี้ว่า ปฏิบัติการของ DPRK ซับซ้อนเพียงพอที่จะเลี่ยง KYC ได้อยู่ดีผ่านกระเป๋าไร้ผู้ดูแล (unhosted wallets) และเขตอำนาจศาลนอกเหนือขอบเขตสหภาพยุโรป

อ่านเพิ่มเติม: Meta เปิดตัว Muse Image เปลี่ยน Instagram ให้เป็นวัตถุดิบดิบสำหรับงานศิลปะ AI

สิ่งที่หลักฐานออนเชนบอกเรา

การชี้ว่าเกาหลีเหนืออยู่เบื้องหลังการขโมยคริปโต ไม่ใช่เพียงถ้อยแถลงเชิงการเมือง แต่ตั้งอยู่บนหลักฐานออนเชนที่ตรวจสอบได้ และนักวิจัยคนใดก็สามารถจำลองการวิเคราะห์ซ้ำได้ตราบใดที่เข้าถึงข้อมูลบล็อกเชนสาธารณะและเครื่องมือ clustering กระเป๋า การเข้าใจว่ากระบวนการระบุตัวผู้กระทำทำงานอย่างไร เป็นหัวใจของการประเมินความน่าเชื่อถือของข้อกล่าวหา

เมื่อ DPRK เจาะโปรโตคอลสำเร็จ ธุรกรรมแรกจะปรากฏบนเชนทันที ทรัพย์สินที่ถูกขโมยจะไหลเข้าสู่กระเป๋าที่แฮ็กเกอร์ควบคุม ก่อนดำเนินการสลับโทเคน ข้ามบริดจ์ และผ่านมิกเซอร์ตามลำดับ Elliptic บริษัทวิเคราะห์บล็อกเชนอีกรายได้เผยแพร่ วิธีวิทยาละเอียดที่ชี้ว่า กระเป๋าของ DPRK มีลักษณะพฤติกรรมเฉพาะ เช่น รูปแบบเวลาในการเคลื่อนย้าย เส้นทาง swap ที่ชอบใช้ ปริมาณ “เศษเหรียญ” เล็กน้อยที่เหลือในกระเป๋ากลาง และแนวโน้มถือเหรียญที่ขโมยมานานในคลัสเตอร์เดียวกันก่อนจะย้ายต่อ

การวิเคราะห์ clustering กระเป๋าของ Elliptic ระบุที่อยู่มากกว่า 15,000 แอดเดรสที่เชื่อมโยงกับปฏิบัติการขโมยคริปโตของ DPRK สร้างเป็นกราฟเครือข่ายกระเป๋าเชื่อมต่อกัน ซึ่งนักพิสูจน์หลักฐานใช้ติดตามเส้นทางเงินแม้จะผ่านมิกเซอร์แล้วก็ตาม

หนังสือแจ้งการระบุตัวแฮ็กของ FBI สำหรับเคสสำคัญ เช่น การเจาะ Alphapo และช่องโหว่ของ Atomic Wallet ในปี 2023 อ้างอิงวิธีวิทยานิติวิทยาออนเชนเหล่านี้ร่วมกับข่าวกรองสัญญาณที่เป็นความลับของรัฐ

การผสานข้อมูลบล็อกเชนสาธารณะเข้ากับข่าวกรองภาครัฐ ทำให้ระดับความมั่นใจในการระบุตัวสูงกว่ามาตรฐานปกติของคดีอาชญากรรมไซเบอร์ทั่วไป ซึ่งไม่มี “หลักฐานออนเชน” ให้ติดตาม

อ่านเพิ่มเติม: เซย์เลอร์ชี้ การเติบโตของบิตคอยน์เพียง 3.3% ก็เพียงพอรักษากลยุทธ์จ่ายปันผล

โครงการ “แรงงานไอที” อีกหนึ่งท่อรายได้คู่ขนาน

แยกจากปฏิบัติการแฮ็กโดยตรง DPRK ยังดำเนินโครงการหารายได้คริปโตคู่ขนานที่ได้รับความสนใจจากหน่วยงานบังคับใช้กฎหมายอย่างมากในช่วงปี 2024–2025 ชาวเกาหลีเหนือหลายพันคนภายใต้นามแฝง ใช้เอกสารราชการปลอมจาก AI และวิดีโอดีปเฟก สมัครงานระยะไกลกับบริษัทคริปโตและสตาร์ทอัป Web3 ทั่วยุโรปและอเมริกาเหนือ

กระทรวงยุติธรรมสหรัฐฯ (Department of Justice) ได้ยื่นฟ้อง บุคคล 14 รายในเดือนพฤษภาคม 2024 จากการจัดตั้งเครือข่ายที่ป้อนแรงงานไอที DPRK เข้าทำงานในบริษัทสหรัฐฯ มากกว่า 300 แห่ง โดยรายได้ถูกส่งกลับไปยังรัฐบาลเกาหลีเหนือ

ในคำฟ้องระบุว่าแรงงานแต่ละรายทำรายได้ต่อปีราว 250,000–300,000 ดอลลาร์ ขณะที่ทั้งโครงการสร้างรายได้รวมกันระดับ “หลายสิบล้านดอลลาร์” ตลอดช่วงหลายปี

เอกสารฟ้องของ DOJ เดือนพฤษภาคม 2024 บันทึกกรณีแรงงานไอที DPRK รับค่าจ้างสูงสุดปีละ 300,000 ดอลลาร์ จากบริษัทคริปโตและเทคในสหรัฐฯ โดยเงินถูกส่งกลับ DPRK ผ่านเครือข่ายคนกลางในสหรัฐฯ สหราชอาณาจักร และจีน

โครงการแรงงานไอทีนี้น่ากังวลเป็นพิเศษสำหรับอุตสาหกรรมคริปโต เพราะฝัง “คนวงใน” เข้าไปในทีมพัฒนาโดยตรง แรงงานที่ถือข้อมูลยืนยันตัวครบถ้วนและเข้าถึงรีโพซิทอรีซอร์สโค้ด ย่อมอันตรายกว่าผู้โจมตีภายนอกที่พยายามเจาะผ่านปราการระบบ

นักวิจัยด้านความปลอดภัยหลายรายตั้งข้อสังเกต ว่า รูปแบบการคอมมิตโค้ดที่ผิดสังเกต การเข้าถึงรีโพซิทอรีโดยไร้เหตุผลชัดเจน และเวลาทำงานที่แปลกไปจากปกติ กำลังถูกบริษัทคริปโตที่ตื่นตัวใช้เป็น “สัญญาณเตือน” ว่าอาจมีแรงงานไอที DPRK แฝงตัวอยู่

การตัดกันของโครงการแรงงานไอทีและแคมเปญ social engineering ที่ล่อลวงนักพัฒนาด้วยข้อเสนอเงินเดือนสูง หมายความว่า “พื้นผิวโจมตี” ของ DPRK ต่ออุตสาหกรรมคริปโตมีหลายมิติพร้อมกัน ทั้งแฮ็กเกอร์ภายนอก นักพัฒนาที่ถูกเจาะผ่านข้อเสนองานปลอม และคนวงในที่ถูกปลูกฝังเข้าทีม

อ่านเพิ่มเติม: OpenAI ได้ไฟเขียว GPT-5.6 หลังทรัมป์อนุมัติการขยายการใช้งาน AI วงกว้าง

การตอบสนองด้านความปลอดภัยของอุตสาหกรรม

การตอบสนองของภาคเอกชนต่อภัยคุกคามจาก DPRK มีน้ำหนักมากขึ้น แต่ยังไม่ทั่วถึง

โปรโตคอลที่มีเงินทุนหนาเริ่มทำรีวิวด้านความปลอดภัยเชิงลึกก่อนดีพลอย ใช้โปรแกรม bug bounty ที่ให้รางวัลระดับหกหลัก และตั้งทีมรักษาความปลอดภัยภายในที่มีพื้นฐานจากสายวิจัยโจมตีเชิงรุก (offensive security)

ความเข้มข้นของงบความปลอดภัยในกลุ่มโปรโตคอลหัวแถว สะท้อน “กฎพาวเวอร์ลอว์” แบบเดียวกับที่ครอบงำตลาดคริปโตโดยรวม

Immunefi แพลตฟอร์ม bug bounty ชั้นนำในโลก Web3 รายงาน ว่า มูลค่ารางวัลรวมทะลุ 100 ล้านดอลลาร์ภายในกลางปี 2025 จากการช่วยค้นพบช่องโหว่ที่อาจนำไปสู่ความเสียหายระดับพันล้านดอลลาร์หากถูกใช้โจมตีจริง

บันทึกการจ่ายรางวัลสูงสุดครั้งเดียวของ Immunefi อยู่ที่ 10 ล้านดอลลาร์ ให้กับไวท์แฮ็กเกอร์ที่ค้นพบช่องโหว่วิกฤตในโปรโตคอล DeFi รายใหญ่ ก่อนที่ผู้โจมตีจะลงมือ

แต่การทุ่มเงินด้านความปลอดภัยในโปรโตคอลชั้นนำทิ้งห่างโครงการ DeFi ขนาดเล็ก ที่แม้ต่างคนต่างถือ TVL ไม่มาก ทว่ารวมกันแล้วยังมีเงินผู้ใช้ระดับหลายพันล้านดอลลาร์ ซึ่งยัง “กันชน” ด้านความปลอดภัยบางกว่ามาก

ปัญหาบริดจ์ข้ามเชนซึ่งเป็นจุดศูนย์กลางของแฮ็กมูลค่ามหาศาลหลายเคส กำลังผลักให้เกิดการออกแบบสถาปัตยกรรมใหม่โดยเฉพาะ

หนึ่งในทิศทางหลัก คือการย้ายไปสู่บริดจ์แบบ trust-minimized ที่ใช้ zero-knowledge proofs ในการยืนยันสถานะบนเชนต้นทาง แทนการพึ่งพาคณะผู้ตรวจสอบ (validator committee) แบบเดิม

โปรเจกต์อย่าง Succinct Labs และ Polyhedra Network พัฒนาโครงสร้างพื้นฐาน ZK light client โดยมุ่งล้มเลิก “สมมติฐานคณะผู้ดูแลที่ต้องเชื่อใจได้” ซึ่งทำให้บริดจ์อย่าง Ronin กลายเป็นเป้าโจมตีในอดีต

Whetherโครงสร้างพื้นฐานด้านความมั่นคงปลอดภัยในระบบคริปโตจะพัฒนาเร็วพอจะแซงหน้าขีดความสามารถด้านไซเบอร์ของเกาหลีเหนือได้จริงหรือไม่นั้น ยังเป็นคำถามที่ไม่มีใครตอบได้ชัดเจน

สัดส่วน 66% ในช่วงครึ่งปีแรก 2026 สะท้อนว่า แม้อุตสาหกรรมจะอัดงบด้านความปลอดภัยมากเพียงใด ฝั่งผู้โจมตียังคงเร่งสปีดตามทันได้อย่างต่อเนื่อง

อ่านเพิ่มเติม: SpaceXAI เล็งสร้าง “Cursor เวอร์ชันโค่น Claude” ให้เสร็จก่อนดีล 6 หมื่นล้านดอลลาร์ปิดดีล

นัยภูมิรัฐศาสตร์ และสิ่งที่จะตามมา

การขโมยคริปโตคือแหล่งเงินตราต่างประเทศที่สำคัญที่สุดของเกาหลีเหนือ

นี่ไม่ใช่คำพูดโอ้อวด แต่เป็นข้อเท็จจริงเชิงปฏิบัติการที่ถูกบันทึกไว้อย่างเป็นทางการ และได้รับการยอมรับจากกระทรวงการคลังสหรัฐฯ สหประชาชาติ และหน่วยข่าวกรองของชาติพันธมิตร

คณะผู้เชี่ยวชาญของสหประชาชาติ ประเมิน ว่า เกาหลีเหนือยักยอกคริปโตไปได้ราว 3 พันล้านดอลลาร์ ระหว่างปี 2017–2023 และความถี่ของการโจมตีก็เร่งตัวขึ้นในช่วงหลังจากนั้น

เงินเหล่านี้ไม่ได้ถูกส่งเข้าคลังรัฐในความหมายปกติ

แต่ถูกนำไปต่อเชื้อให้โครงการอาวุธโดยตรง — โดยเฉพาะโครงการขีปนาวุธและการย่อส่วนหัวรบนิวเคลียร์ ซึ่งเป็นแกนกลางของยุทธศาสตร์ทหารเปียงยาง

ทุกดอลลาร์ที่ถูกดูดออกจากโปรโตคอล DeFi อาจถูกแปลงร่างไปเป็นสมรรถนะเชิงวัตถุและเทคโนโลยีของระบบอาวุธ ที่กองทัพสหรัฐฯ เกาหลีใต้ และญี่ปุ่นต้องเอาไปใส่ไว้ในแบบจำลองภัยคุกคามของตน

คณะผู้เชี่ยวชาญ UN ชี้ชัดว่า เงิน 3 พันล้านดอลลาร์ที่ถูกขโมยระหว่างปี 2017–2023 นั้นมีความเชื่อมโยงโดยตรงกับการจัดหาเงินทุนให้โครงการอาวุธ ทำให้ “ความมั่นคงบนบล็อกเชน” กลายเป็นตัวแปรสด ๆ ร้อน ๆ ในสมการด้านความมั่นคงของเอเชียตะวันออกเฉียงเหนือ

อ่านต่อ: 5 ตัวเลือกแทน Fable 5 ที่ถูกกว่า: อย่าจ่ายแพงเกินไปเพื่อการทำงานกับ AI รายวัน

มุมมองสุดท้าย

ตัวเลขสัดส่วน 66.2% ในครึ่งปีแรก 2026 ไม่ใช่สถิติขำขันไว้ดูเล่น

แต่มันคือสัญญาณถึงภาพรวมของ “ศึกชิงความได้เปรียบ” ระหว่างหนึ่งในหน่วยไซเบอร์ของรัฐที่แข็งแกร่งที่สุดในโลก กับอุตสาหกรรมคริปโตที่มักให้ความสำคัญกับการรีบออกผลิตภัณฑ์สู่ตลาด มากกว่าความเข้มแข็งของระบบป้องกัน

เส้นทางวิวัฒน์ของสมรภูมินี้ — จากการแฮ็กเว็บเทรดคริปโตแบบฉวยโอกาสในปี 2017 ผ่านคดีเจาะสะพาน Ronin ในปี 2022 มาจนถึง “แคมเปญหลายแนวรบ” ในปัจจุบันที่ไล่โจมตีทั้งนักพัฒนา สะพานข้ามเชน และคนในองค์กรไปพร้อมกัน — สะท้อนให้เห็นคู่ต่อสู้ที่เรียนรู้ไว ปรับตัวเร็ว และขยายขีดความสามารถได้รวดเร็วกว่าการลงทุนด้านป้องกันของอุตสาหกรรมจะรับไหว

ปัจจัยเชิงโครงสร้างที่เข้าข้างเกาหลีเหนือไม่ใช่สิ่งที่จะหายไปในระยะสั้น

เปียงยางมีบุคลากรไซเบอร์ในระดับสถาบัน ไม่มีแรงดึงดูดจากภาคเอกชน ไม่มีแรงกดดันด้านความโปร่งใสสาธารณะ และได้รับมอบหมายโดยตรงจากรัฐให้ “หาเงินให้มากที่สุดด้วยทุกวิธีที่ทำได้”

ในทางกลับกัน อุตสาหกรรมคริปโตกลับมีภูมิทัศน์ด้านความปลอดภัยที่แตกกระจาย โปรโตคอลรายใหญ่ที่มีมูลค่าสูงเริ่มมีเกราะป้องกันเข้มแข็งขึ้นเรื่อย ๆ แต่ “ปลายหางยาว” ของโปรเจกต์ DeFi ขนาดเล็กจำนวนมากยังขาดทรัพยากรอย่างเป็นระบบ

ส่วนสะพานข้ามเชน ซึ่งเป็นโครงสร้างพื้นฐานเชื่อมเกาะสภาพคล่องต่าง ๆ ของระบบนิเวศเข้าด้วยกัน ก็ยังมีสถาปัตยกรรมที่ซับซ้อนในระดับที่เปิดช่องให้ “สมมติฐานที่ผิดพลาด” กลายเป็นจุดอ่อนให้โจมตีได้อยู่เรื่อย ๆ