Richard Teng ซีอีโอร่วมของ Binance ออกมาเปิดเผยว่า ผู้โจมตีใช้กลไกทำลายตัวเอง ทำให้การติดตามการแฮ็กทำได้ยากขึ้น

Binance Co-CEO: Attackers Used Self-Destruct Mechanisms, Making the Hack Harder to Trace Binance Co-CEO Richard Teng @_RichardTeng updated the investigation into the roughly $6.3 billion hack on October 30, saying multiple people were involved. Investigators initially suspected a compromised laptop but later found other entry points. Attackers used self-destruct mechanisms to erase tools and traces, complicating the investigation. Teng said they used EIP-7702 to gain on-chain execution authority over a hot wallet without passing Binance's normal approval controls. Binance paused withdrawals to rebuild and test its systems, targeting restoration within 40 hours. It is also working with law enforcement to trace and recover stolen funds.

— Wu Blockchain (@WuBlockchain) October 31, 2026

https://x.com/WuBlockchain/status/2116470243337949313
.....

ริชาร์ด เทง ซีอีโอร่วมของ Binance
@_RichardTeng

ได้อัปเดตการสอบสวนการแฮ็กมูลค่าประมาณ 6.3 พันล้านดอลลาร์เมื่อวันที่ 30 ตุลาคม โดยระบุว่ามีผู้เกี่ยวข้องหลายคน ในตอนแรกผู้สอบสวนสงสัยว่าแล็ปท็อปถูกเจาะระบบ แต่ต่อมาพบจุดเข้าถึงอื่นๆ ผู้โจมตีใช้กลไกทำลายตัวเองเพื่อลบเครื่องมือและร่องรอย ทำให้การสอบสวนซับซ้อนขึ้น

เทงกล่าวว่าพวกเขาใช้ EIP-7702 เพื่อให้ได้สิทธิ์ในการดำเนินการบนบล็อกเชนเหนือกระเป๋าเงินร้อนโดยไม่ต้องผ่านการตรวจสอบอนุมัติตามปกติของ Binance Binance ได้ระงับการถอนเงินเพื่อสร้างและทดสอบระบบใหม่ โดยตั้งเป้าที่จะกู้คืนภายใน 40 ชั่วโมง นอกจากนี้ยังทำงานร่วมกับหน่วยงานบังคับใช้กฎหมายเพื่อติดตามและกู้คืนเงินที่ถูกขโมยไป

.....

ประเด็นสำคัญจากการสืบสวนที่กำลังดำเนินอยู่:

ช่องทางโจมตี (Vector) ผ่าน EIP-7702: แทนที่จะเป็นการรั่วไหลของคีย์ส่วนตัว (Private Key) โดยตรง ผู้โจมตีได้ใช้ประโยชน์จากมาตรฐาน EIP-7702 บนเครือข่าย Ethereum ซึ่งเปิดช่องให้สามารถมอบอำนาจการดำเนินการชั่วคราวให้กับโค้ดของสัญญาอัจฉริยะ (Smart Contract) บนกระเป๋าเงินออนไลน์ (Hot Wallet) หลักของ Binance ได้ ส่งผลให้สามารถหลีกเลี่ยงกระบวนการอนุมัติภายในตามปกติ และทำให้กระเป๋าเงินดังกล่าวทำงานเสมือนเป็นระบบโอนสินทรัพย์อัตโนมัติ (Automated Sweeper)

จุดเข้าถึงหลายช่องทาง: แม้ข้อสรุปเบื้องต้นจะชี้ไปที่แล็ปท็อปของนักพัฒนาที่ถูกบุกรุก แต่การตรวจสอบทางนิติวิทยาศาสตร์ดิจิทัลในเชิงลึกกลับพบจุดเข้าถึงหลายช่องทาง ซึ่งยืนยันได้ว่าเหตุการณ์นี้เป็นการปฏิบัติการที่วางแผนมาเป็นอย่างดีและมีหลายขั้นตอน ไม่ใช่ฝีมือของบุคคลเพียงคนเดียวหรือเกิดจากจุดอ่อนเพียงจุดเดียว

กลยุทธ์เพื่อป้องกันการตรวจสอบ (Anti-Forensic Tactics): การใช้ "กลไกทำลายตัวเอง" (Self-destruct mechanisms) เพื่อลบเครื่องมือที่ใช้โจมตีและลบร่องรอยทางดิจิทัลในระหว่างที่การโจมตีกำลังดำเนินอยู่ ทำให้กระบวนการตรวจสอบย้อนหลังมีความซับซ้อนยิ่งขึ้น ทั้งสำหรับทีมรักษาความปลอดภัยภายในของ Binance และหน่วยงานบังคับใช้กฎหมายภายนอก

การรับมือและการกู้คืน: Binance ได้ให้คำมั่นว่าจะรับผิดชอบความสูญเสียทั้งหมดโดยใช้เงินทุนของบริษัท (ซึ่งได้สำรองเงินไว้กว่า 6.34 พันล้านดอลลาร์ โดยส่วนใหญ่เป็นสินทรัพย์ประเภทเดียวกับที่ถูกขโมยไป) ในขณะเดียวกัน ผู้ออกเหรียญ Stablecoin รายใหญ่และสภาความปลอดภัยข้ามเครือข่าย (Cross-chain Security Councils) ก็ได้ดำเนินการอายัดเงินที่ถูกขโมยไปบนเครือข่ายบล็อกเชนได้ทันท่วงที คิดเป็นมูลค่าประมาณ 2.7 ถึง 3 พันล้านดอลลาร์

เพิ่มเติมเกี่ยวกับกลยุทธ์เพื่อป้องกันการตรวจสอบ (Anti-Forensic Tactics): การใช้ "กลไกทำลายตัวเอง" เพื่อลบเครื่องมือและร่องรอยทางดิจิทัลระหว่างการโจมตีนั้น ส่งผลให้การตรวจสอบหลังเกิดเหตุมีความซับซ้อนอย่างมากสำหรับทั้งทีมรักษาความปลอดภัยภายในและหน่วยงานบังคับใช้กฎหมาย

ในการโจมตีทางไซเบอร์ที่มีความซับซ้อนสูง เช่น เหตุการณ์การบุกรุก Binance ครั้งประวัติศาสตร์เมื่อเดือนตุลาคม 2026 กลุ่มผู้โจมตีระดับสูง (เช่น กลุ่ม APT ที่ได้รับการสนับสนุนจากรัฐ) ไม่เพียงแค่ใช้เครื่องมือที่เป็นอันตรายเท่านั้น แต่ยังจงใจลบร่องรอยของตนเองเพื่อถ่วงเวลาและขัดขวางกระบวนการสืบสวนอีกด้วย เมื่อ Richard Teng ซีอีโอร่วมของ Binance กล่าวว่าผู้โจมตีใช้กลไกทำลายตัวเอง เขาหมายถึงเทคนิคต่อต้านการตรวจสอบทางนิติวิทยาศาสตร์ที่ออกแบบมาเพื่อทำลายหลักฐานดิจิทัล บันทึก และเครื่องมือเตรียมการอย่างเป็นระบบทันทีที่การปฏิบัติการสิ้นสุดลงหรือพบกับการต่อต้าน

วิธีการทำงานของ "กลไกทำลายตัวเอง" ในการโจมตีทางไซเบอร์

ในการโจมตีที่มีความเสี่ยงสูง ผู้โจมตีจะมองโครงสร้างพื้นฐานในการปฏิบัติงานของตนว่าเป็นสิ่งที่ใช้แล้วทิ้งได้ การทำลายตัวเองแบบต่อต้านการตรวจสอบทางนิติวิทยาศาสตร์มักปรากฏผ่านหลายชั้นที่เชื่อมต่อกัน:

1. การลบและเขียนทับบันทึกด้วยสคริปต์

กลไก: ผู้โจมตีมักใช้สคริปต์อัตโนมัติหรือ cron job ที่กำหนดเวลาไว้เพื่อกำหนดเป้าหมายบันทึกระบบ (เช่น syslog ของ Linux บันทึกการตรวจสอบแอปพลิเคชัน และบันทึกการเข้าถึงเว็บเซิร์ฟเวอร์)

การทำงาน: แทนที่จะลบไฟล์โดยตรง—ซึ่งมักจะสามารถกู้คืนได้โดยใช้เทคนิคการดึงข้อมูลจากฮาร์ดไดรฟ์—สคริปต์เหล่านี้มักจะเขียนทับเซกเตอร์บันทึกด้วยข้อมูลไบนารีแบบสุ่มหลายครั้ง (ทำให้เป็นศูนย์) ก่อนที่จะลบ เพื่อให้แน่ใจว่าจะไม่มีร่องรอยทางนิติวิทยาศาสตร์ใด ๆ หลงเหลืออยู่ของคำสั่งที่พวกมันรันหรือระบบภายในที่พวกมันเข้าถึง

2. เครื่องมือและไฟล์ไบนารีมัลแวร์ที่ลบตัวเองได้

กลไก: สคริปต์เฉพาะ โปรแกรมดัมพ์ข้อมูลประจำตัว หรือยูทิลิตี้พร็อกซีที่ใช้ในการบุกรุกคอนเทนเนอร์บริการภายในและเวิร์กสเตชันของวิศวกรนั้นถูกออกแบบมาให้มีอายุสั้น

การทำงาน: เมื่อผู้โจมตีเสร็จสิ้นการโต้ตอบกับโฮสต์ที่ถูกบุกรุกหรือส่งเพย์โหลดการลงนามปลอมสำเร็จแล้ว ขั้นตอนการทำลายตัวเองจะทำงาน ไฟล์ปฏิบัติการจะลบตัวเองออกจากดิสก์และล้างพื้นที่หน่วยความจำทันที (การป้องกันการขูด RAM) ทำให้ทีมรักษาความปลอดภัยแทบไม่มีตัวอย่างไบนารีใด ๆ ให้ทำการวิศวกรรมย้อนกลับ

3. โครงสร้างพื้นฐานชั่วคราวและคอนเทนเนอร์บนคลาวด์

กลไก: ผู้โจมตีขั้นสูงมักใช้โครงสร้างพื้นฐานบนคลาวด์ที่ถูกบุกรุก คอนเทนเนอร์ Docker ชั่วคราว หรือ jump box

การดำเนินการ: แทนที่จะปล่อยให้เครื่องเสมือนทำงานต่อไปเพื่อให้สามารถบันทึกข้อมูลหน่วยความจำเพื่อการตรวจสอบได้ ผู้โจมตีจะปิดคอนเทนเนอร์ ทำลายอินสแตนซ์บนคลาวด์ หรือลบโทเค็นการเข้าถึง API ทันทีหลังจากดำเนินการเสร็จสิ้น ซึ่งจะทำลายระบบไฟล์ชั่วคราวและหน่วยความจำที่ไม่เสถียรซึ่งจะใช้เก็บการเชื่อมต่อเครือข่ายหรือร่องรอย IP ภายใน

4. การป้องกันการตรวจสอบทางนิติวิทยาศาสตร์บนสัญญาอัจฉริยะ / การโต้ตอบบนบล็อกเชน

กลไก: ในฝั่งบล็อกเชน การป้องกันการตรวจสอบทางนิติวิทยาศาสตร์จะอยู่ในรูปแบบของสัญญาอัจฉริยะที่ไม่ได้รับการตรวจสอบและถูกทำให้คลุมเครือโดยเจตนา

การดำเนินการ: โค้ดของสัญญาอัจฉริยะที่เป็นอันตราย ซึ่งถูกปรับใช้ผ่าน EIP-7702 เพื่อดูดสินทรัพย์ออกจาก Hot Wallet นั้น ถูกอำพรางไว้อย่างแน่นหนา (และไม่ได้ผ่านการยืนยันบนเครื่องมือสำรวจบล็อกเชนอย่าง Etherscan) ผู้โจมตีได้ออกแบบตรรกะของสัญญาให้สามารถทำลายตัวเองได้ (Self-destruct) หรือทำงานผ่านพร็อกซีที่มีเส้นทางซับซ้อน (เช่น Tornado Cash หรือบริดจ์ข้ามเครือข่ายแบบหลายขั้นตอน) ซึ่งทำให้การแกะรอยตรรกะเบื้องหลังและเส้นทางปลายทางของสินทรัพย์เป็นไปได้ยากยิ่งขึ้นในแบบเรียลไทม์

เหตุใดจึงทำให้การวิเคราะห์หลังเกิดเหตุซับซ้อนขึ้น

สำหรับทีมรับมือเหตุการณ์และหน่วยงานบังคับใช้กฎหมาย (เช่น หน่วยงานสืบราชการลับของสหรัฐฯ และบริษัทวิเคราะห์บล็อกเชนอย่าง Chainalysis และ TRM Labs) การใช้กลยุทธ์เหล่านี้สร้างอุปสรรคมากมาย:

จุดบอดในการระบุแหล่งที่มา: หากไม่มีไฟล์ไบนารีของมัลแวร์หรือบันทึกเซิร์ฟเวอร์ที่สมบูรณ์ การพิสูจน์เส้นทางที่แน่นอนจากการเจาะระบบแล็ปท็อปของนักพัฒนาในขั้นต้นไปจนถึงการอนุญาตระบบลงนามภายในกลายเป็นเรื่องยากลำบากในการรวบรวมข้อมูลการวัดระยะทางที่กระจัดกระจาย

ช่องว่างของไทม์ไลน์: เมื่อบันทึกถูกลบ การกำหนดระยะเวลาที่แน่นอน (ระยะเวลาที่ผู้โจมตีอยู่ในเครือข่ายก่อนการโจมตี) จำเป็นต้องวิเคราะห์ร่องรอยทางอ้อม เช่น บันทึกการไหลของเครือข่ายหรือบันทึกการตรวจสอบของผู้ให้บริการคลาวด์

การประเมินขอบเขตที่ไม่สมบูรณ์: ทีมรักษาความปลอดภัยประสบปัญหาในการตอบคำถามที่ชัดเจน เช่น พวกเขาได้ติดตั้งแบ็กดอร์เพื่อการเข้าถึงในอนาคตหรือไม่ พวกเขาดูหรือขโมยข้อมูลประจำตัวอะไรบ้าง

แม้จะมีอุปสรรคด้านการตรวจสอบทางนิติวิทยาศาสตร์ที่รุนแรงเหล่านี้ แต่ความร่วมมืออย่างรวดเร็วระหว่างบริษัทวิเคราะห์บล็อกเชน ผู้ออกเหรียญ Stablecoin (ซึ่งสามารถระงับเงินได้ประมาณ 3 พันล้านดอลลาร์ภายในหนึ่งชั่วโมง) และหน่วยงานบังคับใช้กฎหมาย ทำให้นักสืบสามารถระบุเส้นทางการไหลเวียนของเงินทุนหลักและแยกโครงสร้างพื้นฐานในการปฏิบัติงานของแฮ็กเกอร์ได้

(Gemini ช่วยรวบรวม)