การปฏิเสธของเกาหลีเหนือเป็นบริบททางการทูตที่ไม่ควรมองข้าม แต่เหตุผลที่ Ripple และบริษัทคริปโตอื่น ๆ ต้องขยับตัวอยู่ที่อีกเรื่องหนึ่ง นั่นคือการป้องกันภัยที่อาจเกิดซ้ำได้เร็วกว่าเดิม รายงานระบุว่า Ripple เริ่มแชร์ข่าวกรองภัยคุกคามภายในเกี่ยวกับแคมเปญแฮ็กที่ถูกประเมินว่าเชื่อมโยงกับเกาหลีเหนือผ่าน Crypto ISAC โดยข้อมูลที่แชร์มีทั้งโดเมนที่เกี่ยวข้องกับการฉ้อโกง ที่อยู่กระเป๋าคริปโต และตัวชี้วัดการบุกรุก หรือ indicators of compromise [2]
เป้าหมายจึงไม่ใช่การตัดสินในศาลว่าเกาหลีเหนือมีความผิดถึงที่สุดหรือไม่ แต่เป็นการช่วยให้เว็บเทรด โปรโตคอล DeFi ผู้ให้บริการวอลเล็ต และบริษัทโครงสร้างพื้นฐานคริปโตเห็นรูปแบบการเจาะระบบแบบเดียวกันได้เร็วขึ้น [1][
7]
ประเด็นหลักไม่ใช่ “คำปฏิเสธ” แต่คือ “สัญญาณที่ใช้ป้องกันได้”
หลายสื่อรายงานว่าเกาหลีเหนือปฏิเสธข้อกล่าวหาเรื่องการแฮ็กคริปโต โดยมองว่าเป็นข้อมูลเท็จและการโจมตีทางการเมือง [19][
20] อย่างไรก็ตาม ฝั่งสหรัฐฯ พันธมิตร และหน่วยงานด้านสืบสวน-ข่าวกรองยังคงประเมินว่ากลุ่มที่เชื่อมโยงกับเกาหลีเหนือ เช่น Lazarus Group มีความเกี่ยวข้องกับเหตุขโมยคริปโตขนาดใหญ่หลายกรณี [
17][
25]
ตัวอย่างเช่น จดหมายของวุฒิสมาชิกสหรัฐฯ ถึงกระทรวงการคลังและกระทรวงยุติธรรมระบุว่า ในเหตุแฮ็ก Bybit เมื่อเดือนกุมภาพันธ์ 2025 กลุ่ม Lazarus ซึ่งถูกกล่าวว่าได้รับการสนับสนุนจากรัฐบาลเกาหลีเหนือ ขโมยสินทรัพย์ดิจิทัลไปประมาณ 1.5 พันล้านดอลลาร์สหรัฐ [17] นอกจากนี้ แถลงการณ์ร่วมของเกาหลีใต้ สหรัฐฯ และญี่ปุ่นระบุว่า แฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือถูกชี้ว่าได้ขโมยคริปโตอย่างน้อย 659.1 ล้านดอลลาร์สหรัฐในปี 2024 [
25]
ในมุมของทีมความปลอดภัย สิ่งที่นำไปใช้ได้ทันทีไม่ใช่ถ้อยแถลงทางการเมือง แต่คือสัญญาณเชิงเทคนิคและเชิงปฏิบัติ เช่น โดเมนต้องสงสัย ที่อยู่กระเป๋า อีเมล บัญชีปลอม หรือรูปแบบพฤติกรรมของผู้โจมตี ข้อมูลเหล่านี้สามารถถูกนำไปตั้งค่าเฝ้าระวัง บล็อก ตรวจสอบ หรือไล่ร่องรอยในระบบของบริษัทอื่นได้ [2][
6]
Ripple แชร์อะไรผ่าน Crypto ISAC
Crypto ISAC หรือ Crypto Information Sharing and Analysis Center เป็นองค์กรที่ทำหน้าที่สนับสนุนการแบ่งปันข้อมูลความปลอดภัยในอุตสาหกรรมคริปโต [2][
7] รายงานระบุว่า Ripple กำลังส่งต่อข่าวกรองภัยคุกคามภายในเกี่ยวกับกิจกรรมแฮ็กที่เชื่อมโยงกับเกาหลีเหนือผ่านองค์กรนี้ โดยข้อมูลที่ถูกกล่าวถึงมีทั้งโดเมนที่เกี่ยวข้องกับการฉ้อโกง ที่อยู่กระเป๋า และตัวชี้วัดการบุกรุก [
2]
บางรายงานยังกล่าวถึงข้อมูลระบุตัวตนของผู้ต้องสงสัยหรือโปรไฟล์ที่ถูกประเมินว่าอาจเป็นบุคลากรไอทีของเกาหลีเหนือ เช่น บัญชี LinkedIn อีเมล และข้อมูลติดต่ออื่น ๆ [3][
6]
เหตุผลที่ข้อมูลลักษณะนี้สำคัญ คือผู้โจมตีมักไม่ได้ลองกับบริษัทเดียวแล้วจบ โดเมนหนึ่ง กระเป๋าหนึ่ง หรือโปรไฟล์ปลอมหนึ่งชุด อาจถูกนำกลับไปใช้ซ้ำกับเว็บเทรด โปรเจกต์ DeFi หรือบริษัทโครงสร้างพื้นฐานรายอื่น การแชร์ผ่าน Crypto ISAC จึงเป็นความพยายามเปลี่ยนเบาะแสที่แต่ละบริษัทพบแยกกัน ให้กลายเป็นระบบเตือนภัยล่วงหน้าของทั้งอุตสาหกรรม [2][
7]
ทำไมเรื่องนี้ถึงเร่งด่วน: การโจมตีกำลังขยับจาก “บั๊กในโค้ด” ไปสู่ “คนในองค์กร”
จุดเปลี่ยนที่หลายรายงานพูดตรงกันคือ การโจมตีไม่ได้มุ่งหาเพียงช่องโหว่ของสมาร์ตคอนแทรกต์อีกต่อไป CoinMarketCap ระบุว่าผู้โจมตีกำลังเปลี่ยนจากการใช้ช่องโหว่ทางเทคนิค ไปสู่ปฏิบัติการ social engineering ที่เล็งพนักงานและผู้เกี่ยวข้องในบริษัทคริปโต [2] ส่วน crypto.news รายงานว่าทีมความปลอดภัยเห็นแนวโน้มการแทรกซึมระยะยาว การสร้างความไว้วางใจ การได้สิทธิ์เข้าถึงระบบ แล้วจึงเคลื่อนย้ายเงิน [
10]
กรณี Drift Protocol ถูกยกเป็นตัวอย่างของแนวโน้มนี้ รายงานใน Binance Square ระบุว่าเหตุการณ์มูลค่า 285 ล้านดอลลาร์สหรัฐที่เกี่ยวข้องกับ Drift ไม่ได้เกิดจากช่องโหว่ในสมาร์ตคอนแทรกต์ แต่ถูกอธิบายว่าเป็นการแทรกซึมด้วย social engineering เป็นเวลาหกเดือน มีการติดตั้งมัลแวร์ และขโมย private key หลังจากสร้างความไว้วางใจ [6]
หากรูปแบบนี้ถูกต้อง การตรวจโค้ดอย่างเดียวก็ไม่พอ เพราะจุดอ่อนอาจไม่ได้อยู่ในสัญญาอัจฉริยะ แต่อยู่ที่การหลอกให้คนในระบบเปิดประตูให้ผู้โจมตี
สี่เหตุผลที่วงการคริปโตต้องแชร์ข้อมูลกัน
หนึ่ง: ตัวชี้วัดการบุกรุกช่วยตรวจจับได้เร็วขึ้น
เมื่อข้อมูลอย่างโดเมนหลอกลวง ที่อยู่กระเป๋า และ indicators of compromise ถูกแชร์ผ่าน API บริษัทที่เข้าร่วมสามารถนำไปเทียบกับระบบรักษาความปลอดภัยของตัวเองได้รวดเร็วขึ้น [2]
สอง: social engineering มักข้ามพรมแดนของบริษัท
ถ้าผู้โจมตีใช้ตัวตนปลอม ช่องทางติดต่อ บัญชีแพลตฟอร์ม หรือที่อยู่กระเป๋าชุดเดียวกันกับหลายบริษัท การค้นพบของบริษัทหนึ่งอาจกลายเป็นสัญญาณเตือนให้บริษัทอื่นป้องกันตัวได้ทัน [3][
6]
สาม: การพิสูจน์ความรับผิดใช้เวลานาน แต่การป้องกันต้องทำทันที
เกาหลีเหนือปฏิเสธข้อกล่าวหา แต่สหรัฐฯ และพันธมิตรยังคงเชื่อมโยงกลุ่มที่เกี่ยวข้องกับเกาหลีเหนือ เช่น Lazarus กับเหตุโจมตีขนาดใหญ่หลายกรณี [17][
25] สำหรับภาคธุรกิจ การรอข้อสรุปทางการทูตหรือกระบวนการยุติธรรมขั้นสุดท้ายอาจช้าเกินไปเมื่อสัญญาณโจมตีเริ่มเกิดซ้ำ
สี่: ความปลอดภัยคริปโตไม่ใช่เรื่องของบริษัทเดียว
เว็บเทรด วอลเล็ต โปรโตคอล DeFi บริดจ์ และผู้ให้บริการโครงสร้างพื้นฐานเชื่อมโยงกันอยู่ในระบบนิเวศเดียวกัน เมื่อจุดหนึ่งถูกเจาะ ความเสี่ยงอาจลามไปยังอีกจุดได้ การแชร์ข้อมูลของ Ripple จึงควรถูกมองเป็นมาตรการเพิ่มพื้นที่ป้องกันร่วมของอุตสาหกรรม มากกว่าการจัดการภาพลักษณ์ของบริษัทใดบริษัทหนึ่ง [1][
7]
ต้องระวังการเหมารวม: “เชื่อมโยงกับเกาหลีเหนือ” ไม่เท่ากับ “พิสูจน์แล้วทุกกรณี”
การอ่านข่าวนี้ควรจับคำให้แม่น ประเด็นไม่ใช่การฟันธงแบบง่าย ๆ ว่า “เกาหลีเหนือทำแน่นอน” แต่คือภัยคุกคามที่ “ถูกประเมินว่าเชื่อมโยงกับเกาหลีเหนือ” เกาหลีเหนือยังปฏิเสธข้อกล่าวหา โดยระบุว่าเป็นข้อมูลเท็จและการโจมตีทางการเมือง [19][
20] และจากข้อมูลสาธารณะเพียงอย่างเดียว เราไม่ควรถือว่าหลักฐานของทุกเหตุการณ์มีน้ำหนักเท่ากัน
แต่ในงานไซเบอร์ซีเคียวริตี้ การแชร์สัญญาณอันตรายมักเกิดขึ้นก่อนมีคำพิพากษาหรือข้อสรุปทางกฎหมายขั้นสุดท้าย ข่าวกรองภัยคุกคามไม่ใช่คำตัดสิน แต่คล้ายระบบเตือนภัย เมื่อพบว่ากระเป๋า โดเมน โปรไฟล์ หรือวิธีแทรกซึมบางแบบอาจถูกใช้ซ้ำ การบอกต่อให้เครือข่ายเฝ้าระวังจึงเป็นการลดความเสียหายที่เป็นไปได้ [2][
7]
ดังนั้น เหตุผลที่ Ripple และวงการคริปโตแชร์ข้อมูลเกี่ยวกับแฮกเกอร์ที่ถูกเชื่อมโยงกับเกาหลีเหนือ ไม่ได้อยู่ที่การเอาชนะข้อถกเถียงทางการเมือง แต่อยู่ที่การทำให้บริษัทต่าง ๆ เห็นสัญญาณเดียวกันเร็วขึ้น โดยเฉพาะเมื่อการโจมตีถูกประเมินว่ากำลังพัฒนาไปสู่การหลอกคน สร้างความไว้ใจ และเข้าถึงระบบจากภายในมากขึ้น [2][
10]
