‘นพดล’ ถอดบทเรียน Binance ถูกเจาะ 2 แสนล้าน ชี้สัมภาษณ์งานปลอมเปิดทางมัลแวร์ จี้ไทยยกระดับรับมือภัยไซเบอร์

 

เมื่อวันที่ 4 พฤศจิกายน ผศ.ดร.นพดล กรรณิกา อาจารย์ประจำภาควิชาการบริหารจัดการภาครัฐ (การจัดการความขัดแย้ง) คณะรัฐประศาสนศาสตร์ วิทยาลัยเทคโนโลยีสยาม เผยแพร่บทความเรื่องมารู้จัก ไบแนนซ์ (Binance) เขาเจาะเอาเงิน 2 แสนล้านบาทไปได้อย่างไร

เริ่มต้นเรียนรู้

มารู้จัก “ไบแนนซ์” (Binance) กัน ไบแนนซ์เป็นแพลตฟอร์มซื้อขายสินทรัพย์ดิจิทัล หรือตลาดออนไลน์ที่ผู้คนซื้อขายสินทรัพย์ เช่น บิตคอยน์และอีเธอร์ ผ่านเว็บไซต์หรือแอปพลิเคชัน โดยผู้ใช้สามารถฝากสินทรัพย์ไว้กับผู้ให้บริการเพื่อซื้อขายได้ จึงต้องเข้าใจทั้งความเสี่ยงจากราคาที่ผันผวน ความปลอดภัยของระบบ และความสามารถของผู้ให้บริการในการดูแลและคืนสินทรัพย์ ก่อนใช้งานควรตรวจสอบว่าเปิดบัญชีกับบริษัทใด อยู่ภายใต้การกำกับดูแลของประเทศใด และมีเงื่อนไขฝากถอนอย่างไร เพราะการใช้ชื่อแบรนด์เดียวกันไม่ได้หมายความว่าผู้ให้บริการทั้งหมดเป็นนิติบุคคลเดียวกัน สิ่งสำคัญคือเข้าใจสิ่งที่ลงทุน รับรู้ความเสี่ยง รักษาความปลอดภัยของบัญชี และไม่ใช้เงินที่จำเป็นต่อการดำรงชีวิตไปเสี่ยง

ข้อเท็จจริง

เหตุโจมตีไบแนนซ์ (Binance) ปลายเดือนตุลาคม 2569 ซึ่งบริษัทระบุในประกาศวันที่ 30 ตุลาคมว่า เกิดขึ้นประมาณวันที่ 29 ตุลาคม เวลา 20.05 น. UTC หรือตรงกับวันที่ 30 ตุลาคม เวลา 03.05 น. ตามเวลาประเทศไทย ส่งผลกระทบต่อสินทรัพย์ดิจิทัลมูลค่าราว 6.3 พันล้านดอลลาร์สหรัฐ หรือประมาณ 2 แสนล้านบาท หากใช้อัตราแลกเปลี่ยนสมมติ 32 บาทต่อดอลลาร์ เหตุการณ์นี้เป็นบทเรียนสำคัญว่า การรักษาความปลอดภัยของสินทรัพย์ดิจิทัลและระบบไซเบอร์ต้องดูแลทั้ง (1) บุคลากร (2) ฮาร์ดแวร์และซอฟต์แวร์ (3) สิทธิ์เข้าถึง (4) นโยบาย ระเบียบ กฎหมายและกระบวนการอนุมัติ และ (5) การเก็บรักษากุญแจเข้ารหัสให้ปลอดภัย

ผู้โจมตีหลอกพนักงานเข้าถึงระบบได้อย่างไร?

ลองนึกถึงห้องนิรภัยที่คนร้ายไม่จำเป็นต้องขโมยกุญแจ หากสามารถควบคุมระบบส่งคำสั่งเปิดประตูได้ ความเสี่ยงจึงอยู่ทั้งที่กุญแจ สิทธิสั่งการ และกระบวนการอนุมัติ

ไบแนนซ์เปิดเผยผลสอบสวนเบื้องต้นเพิ่มเติมเมื่อวันที่ 3 พฤศจิกายน 2569 ว่า เหตุนี้เป็นการโจมตีหลายขั้นตอน (Multi-Stage Attack) โดยผู้โจมตีใช้การสัมภาษณ์งานปลอมหลอกให้วิศวกรดาวน์โหลดชุดโค้ดที่มีมัลแวร์ลงเครื่องทำงาน จากนั้นใช้เครื่องที่ถูกควบคุมร่วมกับเครื่องมือ AI ภายในองค์กรเป็นทางผ่านเข้าถึงเครื่องของทีมดูแลกระเป๋าสินทรัพย์ดิจิทัล ก่อนใช้ข้อมูลยืนยันตัวตนและสิทธิ์เข้าถึงระบบที่ขโมยมาเพื่อดำเนินการโจมตี ทั้งนี้ รายละเอียดดังกล่าวเป็นคำชี้แจงเบื้องต้นของบริษัท และการสอบสวนยังดำเนินอยู่

ความหมายคือ ผู้โจมตีค่อย ๆ สร้างความเชื่อใจ แล้วใช้การสมัครงานเป็นข้ออ้างให้พนักงานนำโปรแกรมอันตรายเข้าเครื่องทำงาน ตามคำชี้แจงเบื้องต้นของไบแนนซ์ ลำดับสำคัญเป็นดังนี้

1. เข้าหาในบทบาทนายจ้าง ผู้โจมตีติดต่อวิศวกรผ่านแพลตฟอร์มหางาน โดยแอบอ้างเป็นผู้รับสมัครของบริษัทหนึ่ง

2. จัดฉากสัมภาษณ์ให้ดูน่าเชื่อถือ มีการสัมภาษณ์ผ่านวิดีโอ ทั้งผู้ที่อ้างว่าเป็นฝ่ายบุคคลและผู้บริหาร พร้อมใช้บัญชีสื่อสังคมที่มีรูปและวิดีโอส่วนตัวช่วยสร้างความไว้วางใจ

3. มอบแบบทดสอบเขียนโปรแกรม ผู้สมัครได้รับคำสั่งให้ดาวน์โหลดชุดไฟล์โค้ดสำหรับทำงานทดสอบ ซึ่งภายนอกดูเหมือนขั้นตอนสมัครงานตามปกติ แต่มีมัลแวร์ซ่อนอยู่

4. โค้ดอันตรายทำงานระหว่างขั้นตอนเตรียมใช้งานชุดโค้ด จึงไม่จำเป็นต้องรอให้ผู้สมัครเปิดโปรแกรมที่มีหน้าตาน่าสงสัย การเตรียมเครื่องเพื่อทำแบบทดสอบก็อาจทำให้โค้ดอันตรายเริ่มทำงานแล้ว

5. ใช้เครื่องที่ถูกควบคุมเป็นทางผ่าน จากนั้นผู้โจมตีจึงขยายการเข้าถึงไปยังระบบและเครื่องอื่นภายในองค์กร ตามลำดับ

ตามรายงานเบื้องต้นของบริษัท ผู้โจมตีเข้าถึงบริการลงนามธุรกรรมภายในโดยไม่ได้รับอนุญาต และใช้ระบบดังกล่าวเคลื่อนย้ายสินทรัพย์ออกจากกระเป๋าบนหลายเครือข่าย สำหรับ Ethereum ผู้โจมตียังใช้กลไก EIP-7702 ทำให้บัญชีกระเป๋าใช้โค้ดสัญญาอัจฉริยะอันตราย การมอบหมายดังกล่าวยังคงมีผลบนบล็อกเชน ทำให้โค้ดอาจถูกเรียกใช้ต่อได้แม้บริษัทระงับช่องทางถอนตามปกติแล้ว จึงต้องยกเลิกการมอบหมายให้บัญชีใช้โค้ดอันตรายนั้นเพิ่มเติม บทเรียนสำคัญคือ การหยุดบริการของบริษัทไม่ได้ยกเลิกอำนาจที่มอบไว้บนบล็อกเชนโดยอัตโนมัติ

กล่าวอีกนัยหนึ่งคือ การระงับบริการถอนเปรียบเหมือนการปิดเคาน์เตอร์รับคำสั่ง แต่ไม่ได้ยกเลิก “หนังสือมอบอำนาจ” ที่ออกไปก่อนหน้า หากผู้โจมตีทำให้บัญชีกระเป๋าอนุญาตให้โค้ดอันตรายทำงานได้แล้ว การปิดช่องทางถอนตามปกติของบริษัทเพียงอย่างเดียวจึงอาจหยุดการเคลื่อนย้ายสินทรัพย์ไม่ได้ ต้องจัดการสิทธิ์บนบล็อกเชนที่ยังมีผลอยู่ด้วย ทั้งนี้ EIP-7702 เป็นกลไกเพิ่มความสามารถให้บัญชี Ethereum ไม่ใช่มัลแวร์โดยตัวมันเอง ความเสี่ยงเกิดเมื่อบัญชีอนุญาตให้ใช้โค้ดอันตราย บทเรียนสำหรับธุรกิจคือ เมื่อเกิดเหตุ ต้องตรวจทั้งช่องทางรับคำสั่งและอำนาจที่เคยมอบไว้ พร้อมทดสอบว่าผู้โจมตีไม่สามารถใช้สิทธิ์เดิมทำงานต่อได้

จากพื้นฐานการศึกษาด้านความมั่นคงปลอดภัยไซเบอร์และการบริหารความเสี่ยง รวมถึงด้านการบริหารนโยบายและยุทธศาสตร์จากมหาวิทยาลัยจอร์จทาวน์ วอชิงตัน ดีซี ตลอดจนด้านวิทยาศาสตร์ข้อมูลและระเบียบวิธีจากมหาวิทยาลัยมิชิแกน ผมเห็นว่าบทเรียนสำคัญคือ ต้องวิเคราะห์ทั้งพฤติกรรมบุคลากร สิทธิ์เข้าถึง และมาตรการควบคุมของระบบร่วมกัน ไม่มุ่งหาความผิดของพนักงานเพียงคนเดียว

หากเปรียบให้เห็นภาพ คนร้ายปลอมตัวเป็นนายจ้าง ฝาก “กล่องข้อสอบ” ให้พนักงานนำเข้าออฟฟิศ แต่ในกล่องซ่อนเครื่องมือเปิดทางให้คนร้ายเข้ามาภายหลัง การสัมภาษณ์งานเป็นเครื่องมือสร้างความเชื่อใจ ส่วนชุดโค้ดเป็นพาหะนำมัลแวร์เข้าเครื่อง การหลอกให้ผู้ใช้ทำให้โค้ดอันตรายทำงานสอดคล้องกับเทคนิค User Execution ในกรอบ MITRE ATT&CK

ในมุมบริหารความเสี่ยง ผมมองว่าเหตุลักษณะนี้สะท้อนว่า ผู้ก่อภัยคุกคามจากภายนอก (External Threat Actor) สามารถอาศัยพนักงานที่ถูกหลอกเป็นทางผ่านเข้าสู่ระบบได้ จึงควรวิเคราะห์ร่วมกับแนวคิดความเสี่ยงจากบุคลากรภายในโดยไม่เจตนา (Unintentional Insider Threat) ตามแนวทางของสำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานสหรัฐฯ (CISA) ทั้งนี้ เป็นการประยุกต์กรอบวิเคราะห์ของผม ไม่ใช่ข้อสรุปของ CISA ต่อคดีนี้ และไม่ได้หมายความว่าพนักงานจงใจร่วมมือกับผู้โจมตี การป้องกันจึงต้องดูทั้งพฤติกรรมบุคลากรและระบบควบคุมที่ควรหยุดความเสียหายได้ แม้คนคนหนึ่งถูกหลอก

บทเรียนสำหรับองค์กรคือ งานทดสอบสมัครงานและโค้ดจากภายนอกต้องผ่านกระบวนการตรวจสอบ และใช้งานในสภาพแวดล้อมแยกที่ไม่มีข้อมูลลับหรือสิทธิเข้าถึงระบบงานจริง พร้อมเปิดช่องให้พนักงานรายงานสิ่งผิดปกติได้รวดเร็วโดยไม่กลัวถูกตำหนิจนปิดบังเหตุ องค์กรควรทดสอบด้วยว่า หากเครื่องพนักงานถูกควบคุม ผู้โจมตีจะเข้าถึงอะไรต่อได้ และมาตรการใดจะหยุดการขยายความเสียหาย เพราะการอบรมให้ระวังเพียงอย่างเดียวต้องมีระบบจำกัดสิทธิ์ ตรวจจับ และระงับเหตุรองรับด้วย

สำหรับธุรกิจสินทรัพย์ดิจิทัลไทย Binance TH บริษัท กัลฟ์ ไบแนนซ์ จำกัด ยืนยันว่าสินทรัพย์ดิจิทัลของลูกค้ายังคงปลอดภัย โดยประกาศที่อัปเดต ณ วันที่ 3 พฤศจิกายน 2569 เวลา 17.30 น. ระบุว่า เปิดให้ถอนสินทรัพย์ดิจิทัลตามเครือข่ายและรายการที่ประกาศแล้ว และจะทยอยเปิดเพิ่มเติม ส่วนบริการฝากสินทรัพย์ดิจิทัล การซื้อขาย และการฝากถอนเงินบาทให้บริการตามปกติ

อย่างไรก็ตาม ผู้ใช้ควรตรวจสอบสถานะของสินทรัพย์และเครือข่ายที่ต้องการทำรายการผ่านแอปพลิเคชันหรือเว็บไซต์ทางการก่อนใช้งาน ขณะที่ผู้บริหารธุรกิจควรประเมินทั้งความปลอดภัยของสินทรัพย์และความสามารถในการถอนหรือโอนมาใช้ได้จริง พร้อมเตรียมสภาพคล่องสำรองให้เหมาะกับภาระของธุรกิจ

อย่างไรก็ตาม การเตรียมสภาพคล่องสำรองช่วยรองรับภาระของธุรกิจเมื่อเข้าถึงสินทรัพย์ไม่ได้ แต่ไม่ได้ทดแทนมาตรการป้องกันภัยไซเบอร์ หรือรับรองว่าจะติดตามและกู้คืนสินทรัพย์ที่ถูกขโมยได้อย่างทันท่วงที องค์กรจึงต้องเตรียมทั้งเงินทุนรองรับเหตุฉุกเฉิน ระบบป้องกันและระงับเหตุ ตลอดจนแผนประสานผู้ให้บริการและหน่วยงานที่เกี่ยวข้องเพื่อติดตาม อายัด และกู้คืนสินทรัพย์ควบคู่กัน
สำหรับประเทศไทยโดยภาพรวมเตรียมพร้อมรับการถูกโจมตีทางไซเบอร์ ผมเสนอให้รัฐบาลทบทวนช่องว่างของกฎหมาย การบังคับใช้ และมาตรฐานกำกับดูแล ควบคู่กับการยกระดับความปลอดภัยของโครงสร้างพื้นฐานสำคัญ ทั้งคมนาคม ไฟฟ้า ประปา การแพทย์ และพลังงาน

ส่วนผู้บริหารธุรกิจดิจิทัลควรเริ่มตรวจสิทธิ์เข้าถึง ทบทวนการอนุมัติธุรกรรม ควบคุมสิทธิ์ของเครื่องมือ AI และซ้อมรับเหตุร่วมกันทั้งฝ่ายเทคนิคและฝ่ายบริหาร โดยกำหนดให้ชัดว่าใครสั่งหยุดระบบ จะรักษาบริการสำคัญอย่างไร และต้องผ่านเกณฑ์ใดก่อนกลับมาให้บริการ ขอให้เริ่มจากการมอบหมายผู้รับผิดชอบ กำหนดวันซ้อม และนำผลทดสอบพร้อมแผนแก้ไขเข้าสู่การพิจารณาของผู้บริหาร เพราะความเชื่อมั่นของลูกค้าต้องมีหลักฐานว่าระบบป้องกันและแผนฟื้นฟูทำงานได้จริงรองรับสถานการณ์วิกฤตที่อาจเกิดขึ้นได้ตลอดเวลา