การสัมภาษณ์งานครั้งหนึ่งกลับกลายเป็นช่องโหว่ที่เปิดทางให้เกิดการโจรกรรมคริปโตมูลค่า 2,122,936,320,000 บาท (ราคาเดิม 63,400,000,000 USD) จาก Binance. บริษัท Binance เปิดเผยเมื่อวันที่ 3 พฤศจิกายน 2569 ว่าเหตุการณ์นี้เป็นการโจมตีที่วางแผนและเตรียมการหลายเดือน โดยผู้โจมตีเริ่มจากการนำโปรแกรมติดตั้งที่ถูกแก้ไขและการหลอกสัมภาษณ์งานเข้าหาวิศวกร ก่อนขยายการบุกรุกผ่านเครื่องมือปัญญาประดิษฐ์ภายในจนได้สิทธิ์เข้าถึงบริการเซ็นชื่อธุรกรรมของวอลเล็ต
ติดตั้งเครื่องมือ AI ทำให้ข้อมูลทีมรั่วไหล
ร่องรอยการบุกรุกสามารถย้อนกลับไปถึงเดือนมิถุนายน เมื่อวิศวกรฝ่ายดูแลพัฒนาและบำรุงรักษาโค้ดของวอลเล็ตดาวน์โหลดโปรแกรมติดตั้ง Homebrew ผ่านเครื่องมือค้นหา แต่พบว่าโปรแกรมติดตั้งดังกล่าวถูกดัดแปลงเป็นมัลแวร์. Binance ตรวจพบพฤติกรรมผิดปกติและเปลี่ยนเครื่องคอมพิวเตอร์พร้อมอัปเดตใบรับรองที่เกี่ยวข้อง แต่ตำแหน่งงานและข้อมูลเพื่อนร่วมทีมของวิศวกรคนนั้นได้รั่วไหลสู่กลุ่มผู้โจมตี ทำให้พวกเขากำหนดเป้าหมายไปยังพนักงานรายอื่น
จนถึงเดือนกันยายน อีกหนึ่งวิศวกรได้รับข้อเสนอผ่านแพลตฟอร์มสมัครงานที่ถูกต้องตามระบบ ผู้โจมตีจัดให้มีการสัมภาษณ์แบบวิดีโอโดยอ้างตัวเป็นเจ้าหน้าที่ทรัพยากรบุคคล และส่งให้พบกับผู้ที่แอบอ้างเป็นซีอีโอผ่านการนัดพบ พร้อมสร้างความน่าเชื่อถือด้วยบัญชีโซเชียลที่มีภาพถ่ายส่วนตัว. กระบวนการสรรหาทั้งชุดถูกออกแบบมาอย่างพิถีพิถัน แต่เป้าหมายที่แท้จริงคือโน้มน้าวให้วิศวกรดาวน์โหลดงานทดสอบที่ฝังโค้ดอันตราย
งานสัมภาษณ์ปลอม เปิดช่องทางการบุกรุกจากระยะไกล
เมื่อวิศวกรติดตั้งโค้ดทดสอบลงในเครื่องทำงาน มัลแวร์ก็ถูกเรียกใช้ทันทีและแทนที่องค์ประกอบของเครื่องมือจัดการเวอร์ชัน Python อย่าง pyenv ทำให้ผู้โจมตีสามารถส่งคำสั่งจากระยะไกลไปยังเครื่องที่ติดเชื้อได้
ต่อมาในวันที่ 20 ตุลาคม ผู้โจมตีใช้เครื่องที่ติดเชื้อเป็นจุดเริ่มต้น และผ่านเครื่องมือปัญญาประดิษฐ์ภายในเพื่อควบคุมคอมพิวเตอร์ของวิศวกรอีกสองคน จนได้สิทธิ์เข้าถึงคีย์สำหรับปรับใช้คอนเทนเนอร์ที่จำเป็น อย่างไรก็ดี Binance ยังไม่ได้เปิดเผยรายละเอียดเชิงลึกว่าเครื่องมือ AI ถูกนำไปใช้ในลักษณะใดบ้าง
สี่นาที โอน XRP กว่า 233.46 ล้านเหรียญ
วันที่ 29 ตุลาคม ผู้โจมตีใช้สิทธิ์ที่ขโมยมาเพื่อปรับใช้คอนเทนเนอร์และรันคำสั่งอันตราย ตามเวลาฮ่องกง นัดเช้าวันถัดมาระหว่าง 04:05 น. ถึง 04:09 น. มีการโอนออกจากห้ากระเป๋าเงินร้อนรวมประมาณ 233,460,000 XRP. การเคลื่อนไหวสี่นาทีนี้เป็นการโอน XRP โดยคดีดังกล่าวยังเกี่ยวข้องกับบล็อกเชนและสินทรัพย์อื่นๆ ด้วย
ส่วนในเครือข่ายอีเธอร์เรียม เกี่ยวข้องกับฟังก์ชันการมอบสิทธิ์บัญชีตาม EIP-7702 ผู้โจมตีใช้บริการเซ็นชื่อธุรกรรมเพื่อมอบสิทธิ์บางส่วนของวอลเล็ตให้กับสมาร์ตคอนแทรกต์อันตราย แม้แพลตฟอร์มจะระงับการถอน แต่การอนุญาตที่ถูกบันทึกไว้บนเชนยังต้องถอนแยกต่างหาก ทำให้ไม่สามารถป้องกันการโอนสินทรัพย์ทั้งหมดได้โดยทันที
การชดเชยทรัพย์สินไม่เท่าการยึดคืนของกลาง
Binance ระบุว่า ณ วันที่ 31 ตุลาคม ได้ชดเชยโทเค็นที่ได้รับผลกระทบร้อยละ 98 โดยบริษัทเป็นผู้รับภาระความเสียหาย; ข้อมูลถึงวันที่ 3 พฤศจิกายนระบุว่ามีทรัพย์สินมูลค่าประมาณ 954,316,800,000 บาท (ราคาเดิม 28,500,000,000 USD) ถูกระงับหรือสกัดกั้น ตัวเลขสุดท้ายยังต้องตรวจสอบ และขึ้นอยู่กับราคาตลาดในขณะนั้น การคืนสินทรัพย์ให้ผู้ใช้ไม่เท่ากับการยึดคืนเงินที่เป็นของกลาง และทรัพย์สินที่ถูกระงับไม่สามารถถือเป็นการยึดคืนได้โดยตรง
FBI ชี้สาเหตุการโจมตีว่าเกี่ยวข้องกับเกาหลีเหนือ และระบุว่ากิจกรรมเครือข่ายมุ่งร้ายนี้ใช้ชื่อเรียก TraderTraitor โดยผู้โจมตีมีแนวโน้มจะแปลงเงินได้ที่ได้มาเป็นอีเธอร์; เกาหลีเหนือปฏิเสธข้อกล่าวหา. Binance แจ้งว่าได้สร้างระบบวอลเล็ตที่ได้รับผลกระทบและเครื่องมือ AI ภายในขึ้นมาใหม่ พร้อมว่าจ้างบริษัทความปลอดภัยอิสระมาตรวจสอบ แต่รายละเอียดการบุกรุกทั้งหมดยังรอการชี้แจงเพิ่มเติม