เบื้องหลังการโจรกรรมคริปโต $2.02 พันล้านของแฮกเกอร์เกาหลีเหนือในปี 2025

การแฮก Bybit: เหตุการณ์ศูนย์กลางของปี 2025

เหตุการณ์สำคัญที่สุดเกิดขึ้นเมื่อวันที่ 21 กุมภาพันธ์ 2025 เมื่อเว็บเทรดคริปโต Bybit ซึ่งมีสำนักงานใหญ่ในดูไบ ถูกเจาะระบบและสูญเสียสินทรัพย์ดิจิทัลประมาณ 1.46 พันล้านดอลลาร์

หน่วยงานสหรัฐระบุว่าปฏิบัติการนี้เชื่อมโยงกับกลุ่มแฮกเกอร์ของเกาหลีเหนือที่ถูกติดตามในชื่อ “TraderTraitor”

รายงานข่าวกรองด้านความปลอดภัยไซเบอร์ยังชี้ว่าเหตุการณ์นี้เกี่ยวข้องกับ การโจมตีแบบ supply‑chain ซึ่งผู้โจมตีได้แทรกซอฟต์แวร์ที่ถูกดัดแปลง (trojanized software) เข้าไปในกระบวนการพัฒนาซอฟต์แวร์ ทำให้สามารถเข้าถึงระบบขององค์กรที่เชื่อถือซอฟต์แวร์นั้นได้

CrowdStrike ระบุว่ากลุ่มที่ติดตามในชื่อ PRESSURE CHOLLIMA มีบทบาทในการโจมตีครั้งนี้ โดยใช้ซอฟต์แวร์ที่ถูกฝังมัลแวร์ผ่านซัพพลายเชนเพื่อเปิดทางเข้าสู่ระบบของแพลตฟอร์มคริปโต

หลังจากเข้าถึงระบบได้ แฮกเกอร์ได้โอนสินทรัพย์ดิจิทัลออกจากโครงสร้างพื้นฐานของเว็บเทรด และกระจายเงินไปยัง กระเป๋าคริปโตหลายพันที่อยู่บนหลายบล็อกเชน เพื่อทำให้การติดตามเส้นทางเงินยากขึ้น

การโจมตีน้อยลง แต่ความเสียหายสูงขึ้น

ข้อมูลจากบริษัทวิเคราะห์บล็อกเชนระบุว่า แม้จำนวนเหตุการณ์โจมตีในปี 2025 จะลดลง แต่ มูลค่าที่ถูกขโมยกลับเพิ่มขึ้นถึง 51% เมื่อเทียบกับปีก่อนหน้า

นักวิจัยด้านความปลอดภัยมองว่านี่คือการเปลี่ยนกลยุทธ์สำคัญ โดยกลุ่มแฮกเกอร์หันไปเน้น การโจมตีเป้าหมายใหญ่ เช่น เว็บเทรดคริปโตหรือโครงสร้างพื้นฐานการเงิน แทนการแฮกหลายครั้งที่มีมูลค่าเล็กกว่า

CertiK เรียกแนวโน้มนี้ว่า “industrialized cybercrime” หรืออาชญากรรมไซเบอร์แบบอุตสาหกรรม ซึ่งมีทั้งทีมโจมตี โครงสร้างพื้นฐาน และระบบฟอกเงินทำงานร่วมกันอย่างเป็นระบบ

เทคนิคสำคัญที่ใช้ในคลื่นการแฮกปี 2025

1. การโจมตีซัพพลายเชน (Supply‑chain attacks)

กรณีของ Bybit แสดงให้เห็นแนวโน้มที่แฮกเกอร์ ไม่จำเป็นต้องโจมตีเป้าหมายโดยตรง แต่เลือกเจาะระบบบริษัทหรือเครื่องมือซอฟต์แวร์ที่องค์กรเป้าหมายใช้แทน

เมื่อซอฟต์แวร์หรือเครื่องมือพัฒนาถูกฝังโค้ดอันตราย ผู้ใช้ปลายทางจะติดตั้งมัลแวร์โดยไม่รู้ตัว ทำให้ผู้โจมตีได้สิทธิ์เข้าถึงระบบในระดับที่เชื่อถือได้

2. Social engineering ที่ใช้ AI

รายงานข่าวกรองภัยคุกคามพบว่าแฮกเกอร์เริ่มใช้ เครื่องมือ AI ช่วยสร้างข้อความหลอกลวง ฟิชชิง และตัวตนปลอม เพื่อให้การโจมตีดูน่าเชื่อถือมากขึ้น

AI สามารถช่วย

• สร้างอีเมลฟิชชิงที่เหมือนจริง
• วิเคราะห์ข้อมูลเป้าหมาย
• สร้างตัวตนออนไลน์ปลอม

สิ่งเหล่านี้ช่วยให้แฮกเกอร์สามารถขยายการโจมตี social engineering ได้ในระดับที่ใหญ่กว่าเดิม

3. เครือข่าย “พนักงานไอทีปลอม”

อีกหนึ่งกลยุทธ์สำคัญคือการ แฝงตัวเป็นพนักงานไอทีระยะไกล

หน่วยงานสหรัฐระบุว่าเกาหลีเหนือมีเครือข่ายบุคคลที่ใช้ตัวตนปลอมหรือขโมยตัวตน เพื่อสมัครงานรีโมตในบริษัทเทคโนโลยี รวมถึงบริษัทที่เกี่ยวข้องกับคริปโต

เมื่อได้งานแล้ว บุคคลเหล่านี้สามารถ

• เข้าถึงระบบภายในองค์กร
• รวบรวมข้อมูลสำคัญหรือรหัสผ่าน
• ช่วยอำนวยความสะดวกในการโจมตีหรือฟอกเงิน

บริษัทเทคโนโลยีขนาดใหญ่หลายแห่งรายงานว่าพบและบล็อกความพยายามสมัครงานลักษณะนี้จำนวนมาก ซึ่งสะท้อนถึงขนาดของเครือข่ายดังกล่าว

4. การแฝงตัวผ่านบุคคลภายใน

นักวิจัยยังพบแนวโน้มที่เรียกว่า “offline infiltration” คือการเข้าถึงระบบผ่านความสัมพันธ์กับมนุษย์ เช่น พนักงาน ผู้รับจ้าง หรือพันธมิตรทางธุรกิจ แทนการใช้ช่องโหว่ทางเทคนิคเพียงอย่างเดียว

โมเดลแบบผสมนี้ช่วยให้ผู้โจมตีสามารถหลบเลี่ยงระบบรักษาความปลอดภัยแบบดั้งเดิมได้ง่ายขึ้น

กลุ่มแฮกเกอร์ที่ถูกติดตาม

บริษัทด้านความปลอดภัยไซเบอร์ติดตามปฏิบัติการของเกาหลีเหนือผ่านชื่อคลัสเตอร์ของกลุ่มแฮกเกอร์หลายกลุ่ม เช่น

• PRESSURE CHOLLIMA – เชื่อมโยงกับการโจมตีซัพพลายเชนที่นำไปสู่การขโมยคริปโต $1.46 พันล้านจาก Bybit
• กลุ่มอื่นในเครือ DPRK – หลายกลุ่มที่มักเชื่อมโยงกับเครือข่าย Lazarus ทำหน้าที่ทั้งจารกรรมไซเบอร์ การโจรกรรมทางการเงิน และการเจาะโครงสร้างพื้นฐานคริปโต

รายงานสาธารณะยังมีข้อมูลจำกัดเกี่ยวกับบทบาทเฉพาะของคลัสเตอร์บางกลุ่ม เช่น FAMOUS CHOLLIMA หรือ STARDUST CHOLLIMA ในเหตุการณ์ปี 2025 แต่ทั้งสองถูกติดตามว่าเป็นส่วนหนึ่งของระบบปฏิบัติการไซเบอร์ของเกาหลีเหนือ

วิธีฟอกเงินคริปโตที่ถูกขโมย

หลังการโจรกรรมครั้งใหญ่ แฮกเกอร์มักจะ กระจายเงินผ่านกระเป๋าคริปโตจำนวนมากและหลายเครือข่ายบล็อกเชน เพื่อทำให้การติดตามซับซ้อนขึ้น

ผู้สืบสวนพบว่าพวกเขายังใช้

• บริการผสมเหรียญ (crypto mixers)
• decentralized exchanges (DEX)
• cross‑chain bridges

เพื่อซ่อนเส้นทางเงินเพิ่มเติม

บางกรณี เงินที่ถูกขโมยจำนวนมากสามารถถูกย้ายหรือฟอกได้ภายใน ไม่กี่สัปดาห์หลังการแฮก

ทำไมรัฐบาลมองว่าเป็นภัยความมั่นคง

เจ้าหน้าที่รัฐบาลสหรัฐและพันธมิตรระบุว่า การโจมตีเหล่านี้ไม่ได้เป็นเพียงอาชญากรรมไซเบอร์ธรรมดา แต่เป็น แหล่งรายได้ของรัฐเกาหลีเหนือ

รายงานของรัฐบาลชี้ว่าเงินจากการโจรกรรมคริปโตถูกใช้เพื่อหลบเลี่ยงมาตรการคว่ำบาตร และสนับสนุน โครงการอาวุธ รวมถึงขีปนาวุธและโครงการนิวเคลียร์

ด้วยเหตุนี้ หน่วยงานบังคับใช้กฎหมายจึงเพิ่มความพยายามในการติดตามเครือข่ายฟอกเงินและโครงสร้างพื้นฐานที่อยู่เบื้องหลังปฏิบัติการเหล่านี้

ภาพใหญ่ของความปลอดภัยในโลกคริปโต

เหตุการณ์ปี 2025 สะท้อนการเปลี่ยนแปลงสำคัญในภูมิทัศน์ภัยคุกคามไซเบอร์

• กลุ่มรัฐเริ่มมอง แพลตฟอร์มคริปโตเป็นโครงสร้างพื้นฐานทางการเงินเชิงยุทธศาสตร์
• การโจมตีผสมผสานทั้ง เทคนิคไซเบอร์และการแฝงตัวของมนุษย์
• ความเสียหายจากการแฮกเพียงครั้งเดียวสามารถสูงถึง ระดับพันล้านดอลลาร์

ผู้เชี่ยวชาญด้านความปลอดภัยจึงเน้นว่าบริษัทคริปโตจำเป็นต้องเสริมความปลอดภัยของซัพพลายเชน ตรวจสอบตัวตนพนักงานรีโมตอย่างเข้มงวด และใช้เครื่องมือวิเคราะห์ธุรกรรมบล็อกเชนที่ก้าวหน้ามากขึ้น

เมื่อการใช้งานคริปโตเพิ่มขึ้น เทคนิคที่ถูกพัฒนาในปี 2025 บ่งชี้ว่า อาชญากรรมไซเบอร์ที่ได้รับการสนับสนุนจากรัฐจะยังคงเป็นภัยคุกคามสำคัญต่ออุตสาหกรรมนี้ต่อไป.