ไบแนนซ์โดนเจาะเอาเงิน 2 แสนล้านบาทไปได้อย่างไร

เหตุการณ์ ไบแนนซ์โดนเจาะเอาเงิน 2 แสนล้านบาทไปได้อย่างไร กลายเป็นกรณีศึกษาสำคัญของโลกสินทรัพย์ดิจิทัล เพราะไม่ได้สะท้อนแค่ความเสี่ยงจากราคาคริปโทเคอร์เรนซีที่ผันผวนเท่านั้น แต่ยังชี้ให้เห็นช่องโหว่ของคน ระบบ สิทธิ์เข้าถึง และกระบวนการอนุมัติธุรกรรมด้วย เหตุการณ์ดังกล่าวเกี่ยวข้องกับสินทรัพย์ดิจิทัลมูลค่าประมาณ 6.3 พันล้านดอลลาร์สหรัฐ หรือราว 2 แสนล้านบาท เมื่อคำนวณด้วยอัตราแลกเปลี่ยนสมมติ 32 บาทต่อดอลลาร์

ไบแนนซ์เป็นแพลตฟอร์มซื้อขายสินทรัพย์ดิจิทัลที่เปิดให้ผู้ใช้ซื้อขายบิตคอยน์ อีเธอร์ และสินทรัพย์ประเภทต่าง ๆ ผ่านเว็บไซต์หรือแอปพลิเคชัน ผู้ใช้งานจึงต้องฝากสินทรัพย์ไว้กับผู้ให้บริการเพื่อทำรายการ ความปลอดภัยไม่ได้ขึ้นอยู่กับราคาของเหรียญเพียงอย่างเดียว แต่รวมถึงมาตรฐานของระบบ การจัดการกุญแจเข้ารหัส ความสามารถในการระงับธุรกรรม และความพร้อมในการคืนหรือโอนสินทรัพย์ให้ลูกค้า

ไบแนนซ์โดนเจาะเอาเงิน 2 แสนล้านบาทไปได้อย่างไร

ตามคำชี้แจงเบื้องต้น เหตุการณ์นี้เป็นการโจมตีหลายขั้นตอน หรือ Multi-Stage Attack ผู้โจมตีไม่ได้พยายามเจาะระบบจากภายนอกแบบตรง ๆ เท่านั้น แต่เลือกสร้างความน่าเชื่อถือและใช้บุคลากรเป็นทางผ่านเข้าสู่ระบบภายใน วิธีการดังกล่าวทำให้เห็นว่า แม้องค์กรจะมีระบบรักษาความปลอดภัยที่ซับซ้อน หากผู้โจมตีสามารถหลอกคนที่มีสิทธิ์เข้าถึงได้ ความเสียหายก็อาจขยายตัวอย่างรวดเร็ว

ไบแนนซ์โดนเจาะเอาเงิน 2 แสนล้านบาทไปได้อย่างไร: ลำดับการโจมตี

จุดเริ่มต้นมาจากการหลอกวิศวกรผ่านแพลตฟอร์มหางาน ผู้โจมตีแอบอ้างเป็นนายจ้างและจัดฉากสัมภาษณ์ให้ดูน่าเชื่อถือ มีทั้งการพูดคุยผ่านวิดีโอ บัญชีสื่อสังคมออนไลน์ และบุคคลที่อ้างตัวเป็นฝ่ายบุคคลหรือผู้บริหาร จากนั้นจึงส่งแบบทดสอบเขียนโปรแกรมให้ผู้สมัครดาวน์โหลด

• สร้างตัวตนปลอม: ผู้โจมตีติดต่อวิศวกรโดยอ้างว่าเป็นผู้รับสมัครงานจากบริษัทที่น่าเชื่อถือ
• สร้างความไว้วางใจ: ใช้การสัมภาษณ์ผ่านวิดีโอ รูปภาพ และบัญชีสื่อสังคมออนไลน์เพื่อให้เหยื่อเชื่อว่าเป็นกระบวนการรับสมัครจริง
• ส่งชุดโค้ดทดสอบ: ผู้สมัครถูกขอให้ดาวน์โหลดไฟล์เพื่อทำแบบทดสอบเขียนโปรแกรม ซึ่งมีมัลแวร์ซ่อนอยู่
• ควบคุมเครื่องคอมพิวเตอร์: โค้ดอันตรายอาจเริ่มทำงานตั้งแต่ขั้นตอนเตรียมชุดโค้ด โดยไม่จำเป็นต้องรอให้ผู้ใช้เปิดโปรแกรมที่มีหน้าตาน่าสงสัย
• ขยายสิทธิ์ในองค์กร: ผู้โจมตีใช้เครื่องที่ถูกควบคุมเป็นทางผ่าน เพื่อเข้าถึงเครื่องมือ ระบบ และข้อมูลที่มีความสำคัญมากขึ้น

บทเรียนที่น่าสนใจคือ การโจมตีไม่จำเป็นต้องเริ่มจากการเจาะกำแพงระบบโดยตรง แต่อาจเริ่มจากการหลอกคนเพียงคนเดียวให้ติดตั้งไฟล์ที่ดูเหมือนงานตามปกติ จากนั้นจึงอาศัยสิทธิ์ของเครื่องนั้นขยายการเข้าถึงต่อไป การอบรมพนักงานให้ระวังอีเมลหรือไฟล์แปลกปลอมจึงเป็นเพียงส่วนหนึ่ง องค์กรต้องมีระบบจำกัดสิทธิ์ ตรวจจับพฤติกรรมผิดปกติ และแยกสภาพแวดล้อมการทำงานอย่างเหมาะสมด้วย

สิทธิ์บนบล็อกเชนคือความเสี่ยงที่ต้องเข้าใจ

ตามรายงานเบื้องต้น ผู้โจมตีสามารถเข้าถึงบริการลงนามธุรกรรมภายในโดยไม่ได้รับอนุญาต และใช้ระบบดังกล่าวเคลื่อนย้ายสินทรัพย์ออกจากกระเป๋าบนหลายเครือข่าย สำหรับเครือข่าย Ethereum ยังมีการใช้กลไก EIP-7702 ซึ่งเปิดความสามารถให้บัญชีกระเป๋าทำงานร่วมกับโค้ดสัญญาอัจฉริยะได้

EIP-7702 ไม่ใช่มัลแวร์และไม่ได้เป็นอันตรายโดยตัวมันเอง ความเสี่ยงเกิดขึ้นเมื่อบัญชีอนุญาตให้โค้ดที่เป็นอันตรายเข้ามาทำงาน การหยุดระบบถอนเงินของบริษัทจึงอาจไม่เพียงพอ เพราะสิทธิ์บางอย่างที่ถูกมอบหมายไว้บนบล็อกเชนอาจยังมีผลต่อเนื่อง เปรียบได้กับการปิดเคาน์เตอร์รับคำสั่ง แต่ยังไม่ได้ยกเลิกหนังสือมอบอำนาจที่ออกไปก่อนหน้านั้น

เมื่อเกิดเหตุ องค์กรจึงต้องตรวจสอบทั้งช่องทางรับคำสั่ง ระบบลงนามธุรกรรม และสิทธิ์ที่เคยมอบหมายไว้ รวมถึงยืนยันว่าผู้โจมตีไม่สามารถใช้สิทธิ์เดิมทำงานต่อได้ ประเด็นนี้เป็นสิ่งที่ธุรกิจสินทรัพย์ดิจิทัลและผู้ใช้ทั่วไปควรทำความเข้าใจ เพราะการระงับบริการในระดับแพลตฟอร์มไม่ได้หมายความว่าสิทธิ์ทุกอย่างบนบล็อกเชนถูกยกเลิกโดยอัตโนมัติ

ผู้ใช้ควรป้องกันตัวเองอย่างไร

สำหรับผู้ใช้งานทั่วไป เหตุการณ์ ไบแนนซ์โดนเจาะเอาเงิน 2 แสนล้านบาทไปได้อย่างไร เป็นเครื่องเตือนใจว่าไม่ควรฝากความปลอดภัยไว้กับชื่อแบรนด์เพียงอย่างเดียว ก่อนเปิดบัญชีหรือฝากสินทรัพย์ ควรตรวจสอบว่าเปิดบัญชีกับบริษัทใด อยู่ภายใต้การกำกับดูแลของประเทศใด และมีเงื่อนไขการฝากถอนอย่างไร

• เปิดใช้งานการยืนยันตัวตนหลายขั้นตอน และใช้รหัสผ่านที่ไม่ซ้ำกับบริการอื่น
• ตรวจสอบเว็บไซต์ แอปพลิเคชัน และช่องทางติดต่อให้เป็นของทางการก่อนกรอกข้อมูล
• หลีกเลี่ยงการคลิกลิงก์จากข้อความที่เร่งรัดหรืออ้างว่าเป็นฝ่ายสนับสนุนลูกค้า
• ไม่เก็บสินทรัพย์ทั้งหมดไว้ในแพลตฟอร์มเดียว หากไม่มีความจำเป็น
• ใช้เฉพาะเงินที่ไม่กระทบต่อการดำรงชีวิต และศึกษาความเสี่ยงก่อนลงทุน
• ตรวจสอบเครือข่ายและสถานะการฝากถอนผ่านแอปหรือเว็บไซต์ทางการก่อนทำรายการ

ผู้ใช้ควรจำไว้ว่า การใช้ชื่อแบรนด์เดียวกันไม่ได้หมายความว่าผู้ให้บริการทุกแห่งเป็นนิติบุคคลเดียวกัน รายละเอียดใบอนุญาต เงื่อนไขบริการ และความคุ้มครองของแต่ละประเทศอาจแตกต่างกันอย่างมาก การอ่านเงื่อนไขและตรวจสอบข้อมูลด้วยตนเองจึงช่วยลดความเสี่ยงจากความเข้าใจผิดได้

บทเรียนสำหรับองค์กรและธุรกิจดิจิทัล

องค์กรควรแยกชุดโค้ดจากบุคคลภายนอกออกจากระบบงานจริง และให้ทำงานในสภาพแวดล้อมจำลองที่ไม่มีข้อมูลลับหรือสิทธิ์เข้าถึงสินทรัพย์ นอกจากนี้ควรใช้หลักการให้สิทธิ์เท่าที่จำเป็น แยกหน้าที่ผู้อนุมัติ ผู้ปฏิบัติงาน และผู้ตรวจสอบออกจากกัน เพื่อไม่ให้บุคคลหรือบัญชีเดียวสามารถสั่งการธุรกรรมสำคัญได้โดยลำพัง

การรักษาความปลอดภัยควรครอบคลุม 5 ด้าน ได้แก่ บุคลากร ฮาร์ดแวร์และซอฟต์แวร์ สิทธิ์เข้าถึง นโยบายและกระบวนการอนุมัติ รวมถึงการเก็บรักษากุญแจเข้ารหัส องค์กรควรซ้อมแผนรับมือเหตุการณ์เป็นประจำ โดยกำหนดให้ชัดเจนว่าใครมีอำนาจสั่งหยุดระบบ ใครประสานงานกับผู้ให้บริการ และต้องผ่านเกณฑ์ใดก่อนเปิดบริการกลับมา

นอกจากการป้องกันแล้ว ธุรกิจควรเตรียมสภาพคล่องสำรองเพื่อรองรับช่วงเวลาที่ไม่สามารถเข้าถึงสินทรัพย์ได้ แต่เงินสำรองไม่สามารถทดแทนระบบไซเบอร์ แผนระงับเหตุ หรือกระบวนการติดตามและกู้คืนสินทรัพย์ได้ทั้งหมด จึงควรมีแผนประสานงานกับหน่วยงานกำกับดูแล ผู้ให้บริการเครือข่าย และผู้เชี่ยวชาญด้านนิติวิทยาศาสตร์ดิจิทัลควบคู่กัน

สำหรับประเทศไทย เหตุการณ์นี้ควรนำไปสู่การทบทวนมาตรฐานกำกับดูแลและความปลอดภัยของโครงสร้างพื้นฐานสำคัญ ทั้งระบบการเงิน การแพทย์ พลังงาน คมนาคม ไฟฟ้า และประปา เพราะภัยไซเบอร์ในปัจจุบันอาจเริ่มจากการหลอกบุคลากรเพียงคนเดียว แต่สามารถกระทบต่อผู้ใช้งานจำนวนมากได้

สรุปแล้ว คำตอบของคำถามว่า ไบแนนซ์โดนเจาะเอาเงิน 2 แสนล้านบาทไปได้อย่างไร ไม่ได้มีเพียงเรื่องเทคนิคการแฮ็ก แต่เกี่ยวข้องกับการหลอกลวงผ่านการสมัครงาน มัลแวร์ สิทธิ์เข้าถึง ระบบลงนามธุรกรรม และอำนาจที่ยังคงอยู่บนบล็อกเชน เหตุการณ์นี้จึงเป็นบทเรียนให้ทั้งผู้ใช้และองค์กรต้องตรวจสอบระบบอย่างรอบด้าน หากต้องการสร้างความเชื่อมั่นในระยะยาว ควรเริ่มจากการจำกัดสิทธิ์ ซ้อมแผนฉุกเฉิน และทำให้การป้องกันมีหลักฐานว่าทำงานได้จริง

ก่อนลงทุนหรือฝากสินทรัพย์ดิจิทัลทุกครั้ง ควรศึกษาข้อมูลจากช่องทางทางการ ประเมินความเสี่ยงให้เหมาะกับตนเอง และไม่ใช้เงินที่จำเป็นต่อชีวิตไปเสี่ยง เพราะความระมัดระวังของผู้ใช้ทุกคนคือแนวป้องกันด่านแรกของระบบสินทรัพย์ดิจิทัล

ที่มา – ‘ดร.นพดล’ พารู้จัก ‘ไบแนนซ์’ โดนเจาะเอาเงิน 2 แสนล้านบาทไปได้อย่างไร