Lazarus โอน 244.148 BTC มูลค่า 19.42 ล้านดอลลาร์: หลักฐานบนบล็อกเชนบอกอะไรบ้าง

กระเป๋าคริปโตที่ Arkham Intelligence ระบุว่าเชื่อมโยงกับกลุ่มแฮ็กเกอร์เกาหลีเหนือ Lazarus Group ได้โอน 244.148 BTC มูลค่าประมาณ 19.42 ล้านดอลลาร์ เมื่อวันที่ 28 สิงหาคม โดย Lookonchain และรายงานอื่น ๆ ตรวจพบความเคลื่อนไหวดังกล่าว แต่ยังไม่มีการเปิดเผยตัวตนของกระเป๋าปลายทางต่อสาธารณะ ขณะที่มีรายงานว่าหลังการโอน กระเป๋าต้นทางยังถือครองอยู่ราว 267.5 BTC 810

ข้อสรุปที่รอบคอบที่สุดในตอนนี้คือ นี่เป็นการเคลื่อนย้ายสินทรัพย์บนบล็อกเชนครั้งใหญ่ แต่ ยังไม่ใช่หลักฐานยืนยันว่าเป็นการขาย การถอนเงิน การโจมตีครั้งใหม่ หรือปฏิบัติการฟอกเงิน บล็อกเชนแสดงให้เห็นว่าเหรียญถูกส่งไปที่ใด ทว่าไม่ได้บอกโดยอัตโนมัติว่าใครเป็นผู้ควบคุมกระเป๋าปลายทาง หรือเหตุใดจึงมีการโอน

เกิดอะไรขึ้นเมื่อวันที่ 28 สิงหาคม?

ธุรกรรมดังกล่าวออกจากที่อยู่ซึ่ง Arkham ติดป้ายกำกับว่า “Lazarus Group: Hacker” รายงานประเมินว่า 244.148 BTC มีมูลค่าประมาณ 19.42 ล้านดอลลาร์ในช่วงเวลาที่โอน และยังไม่มีการระบุปลายทางของกระเป๋ารับเงินอย่างเปิดเผย 810

จุดนี้มีความสำคัญ เพราะการโอนระหว่างกระเป๋าอาจหมายถึงหลายกรณี เช่น การรวบรวมเหรียญไว้ในกระเป๋าเดียว การแบ่งเงินออกเป็นหลายส่วน การเตรียมทำธุรกรรมในอนาคต หรือการส่งต่อไปยังแพลตฟอร์มซื้อขายและบริการอื่น ๆ แต่หากยังไม่รู้ว่าใครเป็นผู้รับ ยังไม่มีหลักฐานว่าคือบัญชีฝากของบริการใด และไม่มีข้อมูลพิสูจน์ทางนิติวิทยาศาสตร์เพิ่มเติม ก็ยังไม่ควรยืนยันคำอธิบายใดเป็นข้อเท็จจริง

รายงานที่ระบุว่ากระเป๋าต้นทางยังเหลือประมาณ 267.526 BTC ยังชี้ว่า กระเป๋าแห่งนี้ไม่ได้ถูกระบายสินทรัพย์จนหมดหลังการโอน 8

รูปแบบการโอนจำนวนมากที่เกิดขึ้นต่อเนื่อง

ธุรกรรมวันที่ 28 สิงหาคมเกิดขึ้นหลังจากมีรายงานการเคลื่อนย้ายจากกระเป๋าที่เชื่อมโยงกับ Lazarus อีกสองครั้ง ได้แก่

• 30 กรกฎาคม: โอน 121.5 BTC มูลค่าประมาณ 7.74 ล้านดอลลาร์ไปยังกระเป๋าที่ไม่ทราบตัวตนสองใบ 24
• ช่วงกลางเดือนสิงหาคม: Lookonchain รายงานว่ามีการโอน 262.2 BTC มูลค่าประมาณ 16.64 ล้านดอลลาร์ไปยังที่อยู่ใหม่ 7
• 28 สิงหาคม: โอน 244.148 BTC มูลค่าประมาณ 19.42 ล้านดอลลาร์จากกระเป๋าที่ Arkham ระบุว่าเกี่ยวข้องกับ Lazarus 810

เมื่อนับรวมทั้งสามธุรกรรม จะเท่ากับ 627.848 BTC คิดเป็นมูลค่าประมาณ 43.8 ล้านดอลลาร์ ตามมูลค่าที่รายงานในช่วงเวลาของแต่ละธุรกรรม การเคลื่อนไหวมีขนาดใหญ่พอที่จะทำให้หน่วยงานตรวจสอบและผู้ให้บริการคริปโตต้องจับตาอย่างใกล้ชิด แต่ยอดรวมเพียงอย่างเดียวไม่ได้บอกวัตถุประสงค์สุดท้ายของเงิน

นักวิเคราะห์บล็อกเชนอาจมองว่ารูปแบบดังกล่าวสอดคล้องกับการรวบรวมเงิน การแบ่งเงินเป็นส่วน ๆ หรือการเตรียมเส้นทางฟอกเงิน อย่างไรก็ตาม สิ่งเหล่านี้เป็นเพียงสมมติฐานเพื่อการสืบสวน ไม่ใช่ข้อสรุปที่พิสูจน์ได้จากธุรกรรมดังกล่าวเพียงลำพัง คำถามสำคัญยังคงอยู่ที่ว่าใครควบคุมกระเป๋ารับเงินแต่ละใบ ที่อยู่เหล่านั้นอยู่ในคลัสเตอร์เดียวกันหรือไม่ และปลายทางเชื่อมโยงกับกระดานซื้อขาย นายหน้า ตลาด OTC มิกเซอร์ บริดจ์ข้ามเครือข่าย หรือบริการอื่นที่ระบุตัวตนได้หรือไม่

บิตคอยน์ชุดนี้เกี่ยวข้องกับเหตุโจมตี Bybit หรือไม่?

ช่วงเวลาของการโอนดึงดูดความสนใจ เพราะเมื่อวันที่ 7 สิงหาคม Bybit ประกาศยื่นฟ้องในสหรัฐฯ ต่อเกาหลีเหนือ สำนักข่าวกรอง Reconnaissance General Bureau และ Lazarus Group กรณีการขโมยคริปโตมูลค่าประมาณ 1.5 พันล้านดอลลาร์ในเดือนกุมภาพันธ์ 2025 โดย FBI ระบุว่าเหตุโจมตีดังกล่าวเกิดจากกลุ่มผู้โจมตีที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งติดตามในชื่อ TraderTraitor 2127

คดีของ Bybit มีเป้าหมายทั้งการติดตามและรักษาทรัพย์สิน รายงานเกี่ยวกับคดีระบุว่า ศาลมีคำสั่งคุ้มครองเบื้องต้นต่อทรัพย์สินบางส่วนที่ระบุได้และอยู่ภายใต้การถือครองของจำเลยที่ยังไม่ทราบตัวตน นอกจากนี้ยังเปิดทางให้มีการขอข้อมูลเพื่อระบุตัวกลางที่เกี่ยวข้อง รวมถึงตรวจสอบประวัติธุรกรรม 2124

แต่หลักฐานที่มีอยู่ในขณะนี้ ยังไม่ยืนยันความเชื่อมโยงระดับธุรกรรม ระหว่างการโอนบิตคอยน์เมื่อ 28 สิงหาคมกับเงินจากเหตุโจมตี Bybit เหตุการณ์ Bybit มีรายงานว่าเกี่ยวข้องกับการขโมยสินทรัพย์บนเครือข่าย Ethereum เป็นหลัก ขณะที่ธุรกรรมล่าสุดเป็นบิตคอยน์ แม้การแปลงสินทรัพย์และการติดตามข้ามเครือข่ายอาจสร้างความเชื่อมโยงได้ แต่ต้องพิสูจน์ด้วยการวิเคราะห์ที่อยู่และเส้นทางเงินอย่างละเอียด ดังนั้น ก่อนที่ผู้สืบสวนจะยืนยันความเชื่อมโยง การเรียก 244.148 BTC นี้ว่าเป็นเงินจาก Bybit จะเป็นการกล่าวเกินกว่าหลักฐานที่มี

เหตุใดการโอนครั้งนี้จึงยังสำคัญ?

ธุรกรรมนี้มีความสำคัญ เพราะสะท้อนว่ากระเป๋าที่ถูกระบุว่าเชื่อมโยงกับกลุ่มซึ่งมีประวัติการขโมยคริปโตและเคลื่อนย้ายเงินผ่านเส้นทางซับซ้อนยังคงมีความเคลื่อนไหว

Chainalysis ประเมินว่าแฮ็กเกอร์ที่เชื่อมโยงกับเกาหลีเหนือขโมยคริปโตอย่างน้อย 2.02 พันล้านดอลลาร์ในปี 2025 ทำให้ยอดสะสมที่ประเมินว่าเกี่ยวข้องกับเกาหลีเหนือเพิ่มเป็นอย่างน้อย 6.75 พันล้านดอลลาร์ โดยเหตุโจมตี Bybit ในเดือนกุมภาพันธ์ 2025 เป็นหนึ่งในปัจจัยสำคัญที่ผลักดันยอดรวมของปีดังกล่าว 45

บริบทนี้อธิบายได้ว่าทำไมการโอนเงินก้อนใหญ่จากที่อยู่ที่ติดป้าย Lazarus จึงทำให้เกิดการตรวจสอบทันที กระดานซื้อขาย ผู้รับฝากสินทรัพย์ บริดจ์ข้ามเครือข่าย และนักสืบบล็อกเชนจะจับตาความเคลื่อนไหวถัดไป เช่น การฝากเข้าสู่บริการที่ระบุตัวตนได้ การแบ่งเงินอย่างรวดเร็วไปยังกระเป๋าใหม่ การแลกเปลี่ยนข้ามเครือข่าย หรือกิจกรรมอื่นที่อาจช่วยเปิดเผยผู้ควบคุมเงิน

อย่างไรก็ตาม ป้ายกำกับกระเป๋าเป็นเครื่องมือช่วยระบุแหล่งที่มาและติดตามคลัสเตอร์ ไม่ใช่คำตัดสินของศาล แม้ป้ายกำกับจะมีประโยชน์อย่างมากต่อการวิเคราะห์ แต่ไม่ได้พิสูจน์โดยอัตโนมัติว่าผู้รับเงินทุกรายอยู่ภายใต้การควบคุมของ Lazarus Group หรือสินทรัพย์ทุกเหรียญในคลัสเตอร์มาจากเหตุขโมยเดียวกัน

สิ่งที่รู้แล้ว และสิ่งที่ยังสรุปไม่ได้

ข้อเท็จจริงที่มีรายงานรองรับ:

• กระเป๋าที่ Arkham ระบุว่าเกี่ยวข้องกับ Lazarus โอน 244.148 BTC เมื่อวันที่ 28 สิงหาคม 810
• มูลค่าที่รายงานอยู่ที่ประมาณ 19.42 ล้านดอลลาร์ 810
• มีรายงานว่ากระเป๋าต้นทางยังเหลือประมาณ 267.5 BTC 8
• ยังไม่มีการระบุปลายทางต่อสาธารณะในรายงานที่มีอยู่ 8
• มีรายงานการโอนก้อนใหญ่ในวันที่ 30 กรกฎาคมและช่วงกลางเดือนสิงหาคม 27

สิ่งที่ยังไม่มีหลักฐานยืนยัน:

• การโอนครั้งนี้เป็นการขายหรือการถอนเงินออกเป็นเงินสด
• เป็นการขโมยครั้งใหม่
• เป็นส่วนหนึ่งของเส้นทางฟอกเงินที่ได้รับการยืนยันแล้ว
• เงินดังกล่าวมาจากเหตุโจมตี Bybit
• กระเป๋าปลายทางที่ไม่ทราบตัวตนอยู่ภายใต้การควบคุมของ Lazarus Group

ข้อสรุปที่ชัดเจนที่สุดจึงมีขอบเขตจำกัด แต่มีนัยสำคัญ: กระเป๋าที่เชื่อมโยงกับ Lazarus ยังคงมีความเคลื่อนไหวผ่านการโอนบิตคอยน์ก้อนใหญ่หลายครั้ง ขณะที่เจ้าของและวัตถุประสงค์ของกระเป๋าปลายทางยังไม่คลี่คลาย สิ่งที่จะให้ข้อมูลมากกว่าธุรกรรมนี้เพียงอย่างเดียว คือการพบว่ากระเป๋าปลายทางติดต่อกับบริการที่ระบุตัวตนได้ หรือมีหลักฐานทางนิติวิทยาศาสตร์ที่ยืนยันผู้ควบคุมเงิน