การละเมิดข้อมูลมูลค่า 387.5 ล้านดอลลาร์ที่ Bitget ผ่านช่องโหว่ zero-day ในผลิตภัณฑ์ความปลอดภัยของบุคคลที่สาม แสดงให้เห็นว่าพื้นผิวการโจมตีของคริปโตได้เปลี่ยนจากบล็อกเชนไปยังชั้นความไว้วางใจ
การโจมตีห่วงโซ่อุปทานคริปโตได้มาถึงแล้ว
Bitget สูญเสียเงิน 387.5 ล้านดอลลาร์ในปลายเดือนกันยายน และโจรไม่ได้แตะคีย์ส่วนตัวเลย พวกเขาเดินเข้ามาผ่านช่องโหว่ zero-day ในผลิตภัณฑ์ความปลอดภัยของบุคคลที่สามที่ Bitget ซื้อเพื่อปกป้องคีย์เหล่านั้น จากนั้นใช้เวลาเกือบสามชั่วโมงในการออกการถอนที่ผิดกฎหมายข้ามสิบหนึ่งบล็อกเชน ผู้รักษาความปลอดภัยคือจุดเข้า นั่นคือรายละเอียดเดียวที่เป็นเรื่องราวทั้งหมดของทิศทางที่การขโมยคริปโตกำลังมุ่งหน้าไป
ข้อสรุปสำคัญ
- การละเมิดข้อมูล Bitget ในเดือนกันยายน 2026 เป็นการโจมตีห่วงโซ่อุปทาน: ช่องโหว่ zero-day ในอุปกรณ์ความปลอดภัยสองชิ้นที่ยังไม่เปิดเผยชื่อ ไม่ใช่คีย์ที่เสียหายหรือข้อบกพร่องในสัญญาอัจฉริยะ
- ผู้โจมตีได้เคลื่อนย้ายขึ้นไปในชั้นที่สูงขึ้น บล็อกเชนฐานยังคงอยู่ แต่ส่วนที่เชื่อมต่อกันไม่คงอยู่ — เครื่องมือความปลอดภัย, ตัวห่อหุ้มมัลติซิก, สะพานเชื่อม, ตัวแก้เจตนา และการลงคะแนนกำกับดูแล กลายเป็นพื้นผิวการโจมตีที่ได้รับความนิยมในปัจจุบัน
- นี่คือความขัดแย้งโดยกำเนิดของคริปโตที่ถึงเวลาชำระ: อุตสาหกรรมตั้งเป้าที่จะกำจัดบุคคลที่สามที่ไว้ใจได้ แต่กลับค่อยๆ นำเข้านักกลางคนเดิมกลับมาในทุกชั้น โดยเปลี่ยนชื่อใหม่เป็นผู้ให้บริการด้านความปลอดภัยหรือผู้ดูแลคีย์มัลติซิก
- ผู้ชนะคือชั้นการตรวจจับและระบุตัวตน — SlowMist, Mandiant, Elliptic, TRM Labs ส่วนผู้แพ้คือแพลตฟอร์มขนาดกลางที่จ้างงานด้านความปลอดภัยภายนอกแล้วคิดว่าเสร็จสิ้น
เกิดอะไรขึ้นกับ Bitget จริงๆ?
การละเมิดนี้ไม่ใช่การแฮ็กกระเป๋าเงิน ตามการวิเคราะห์หลังเกิดเหตุจาก SlowMist และ Mandiant ของ Google ผู้โจมตีได้ใช้ช่องโหว่ zero-day ในอุปกรณ์ความปลอดภัยของบุคคลที่สามอย่างน้อยสองชิ้น — รายงานเรียกอุปกรณ์เหล่านี้ว่า Product A และ Product B — ซึ่ง Bitget ได้ติดตั้งเพื่อป้องกันโครงสร้างพื้นฐานของตน จากนั้นพวกเขาได้รันสคริปต์ที่ซ่อนอยู่ ดึงข้อมูลรับรองฐานข้อมูลจากตัวแปรสภาพแวดล้อม ติดตั้ง web shell สำหรับ command-and-control และเคลื่อนที่ในแนวนอนไปยังเซิร์ฟเวอร์งานกระเป๋าเงินแบบ production ของ Bitget
จากนั้นพวกเขาได้ติดตั้งเครื่องมือถอนเงินที่สร้างขึ้นมาเป็นพิเศษซึ่งปรับแต่งให้ตรงกับตรรกะการถอนเงินของ Bitget อย่างแม่นยำ เครื่องมือนี้ทำงานเวลา 01:49 น. ของวันที่ 25 กันยายน และดึงสินทรัพย์ออกจากสิบหนึ่งบล็อกเชน — Ethereum, XRP Ledger, Zcash, TRON, Arbitrum, Optimism, Base, BNB Smart Chain, Avalanche, Algorand และ Celestia — โดยความสูญเสียสูงสุดบนบล็อกเชนเดียวอยู่ที่ประมาณ 83 ล้านดอลลาร์ใน XRP SlowMist ติดตามกิจกรรมที่เป็นอันตรายครั้งแรกย้อนกลับไปจนถึงวันที่ 31 สิงหาคม ซึ่งหมายความว่าผู้โจมตีอยู่ภายในเครือข่ายเกือบหนึ่งเดือนก่อนจะโจมตี Gracy Chen CEO ของ Bitget กล่าวว่ากระเป๋าเงินเย็นและคีย์ส่วนตัวไม่ถูกบุกรุก — และข้อเท็จจริงที่มีโทเค็นหลายร้อยล้านดอลลาร์ยังคงไม่ถูกแตะต้องในที่อยู่ที่ได้รับผลกระทบก็สนับสนุนข้อกล่าวอ้างนี้
การระบุตัวตนเป็นชื่อที่คุ้นเคย: กลุ่ม Lazarus ของเกาหลีเหนือ ซึ่งถูก Elliptic และ TRM Labs ระบุผ่านพฤติกรรม IP และการทับซ้อนของกระเป๋าเงิน นี่คือแผนการเดียวกันกับการโจรกรรม Bybit มูลค่า 1.5 พันล้านดอลลาร์ในเดือนกุมภาพันธ์ 2025 อ่านรายงานหลังเกิดเหตุหนึ่งฉบับแล้วคุณจะรู้สึกเหมือนได้อ่านทั้งหมด — ยกเว้นฉบับนี้เลวร้ายกว่า เพราะสิ่งที่ล้มเหลวคือสิ่งที่ Bitget จ่ายเงินเพื่อให้สิ่งอื่นทั้งหมดปลอดภัย
ใครเป็นผู้ชนะเมื่อผู้พิทักษ์กลายเป็นจุดเข้า?
การถูกบุกรุก Bitget ไม่ได้เกิดขึ้นอย่างโดดเดี่ยว มันเกิดขึ้นภายในกลุ่มเวลาสองสัปดาห์ที่บอกคุณได้อย่างชัดเจนว่าอุตสาหกรรมนี้มีความเสี่ยงตรงไหน วันที่ 1 ตุลาคม NEAR Intents — ชั้นการสลับข้ามเชนที่จัดเส้นทางปริมาณการซื้อขายข้ามบล็อกเชนมากกว่า 35 แห่ง — หยุดทำงานหลังจากมีข้อบกพร่องในโมดูลฝาก-ถอน Omni ของมัน ทำให้ผู้โจมตีสามารถดึงเงิน USDT ออกจากวอลเล็ต BNB Chain ไปประมาณ 3.8 ล้านดอลลาร์ ชั้นฐานไม่เคยถูกแตะต้อง; กาวที่เชื่อมระหว่างชั้นเหล่านั้นต่างหากที่ล้มเหลว วันที่ 2 ตุลาคม อะแดปเตอร์ของบุคคลที่สามชื่อ FlashLoopAdapter ซึ่งสร้างบน Aave v3 ถูกใช้เพื่อดึงเงินประมาณ 305,000 ดอลลาร์ออกจากวอลเล็ตมัลติซิก Safe โดยปลอมการตรวจสอบโมดูล วันที่ 4 ตุลาคม วอลเล็ตบน Base สูญเสียเงินประมาณ 6 ล้านดอลลาร์ในรูปของ staked ether แบบ wrapped ผ่านการจัดการรายการอนุญาตของมัลติซิก Safe วันที่ 6 ตุลาคม กองทุนสำรองของ Onyx DAO สูญเสีย XCN จำนวน 620 ล้านเหรียญ — ประมาณ 2.9 ล้านดอลลาร์ — เมื่อผู้โจมตีผลักดันข้อเสนอที่เป็นอันตรายผ่านควอรัม ขีดจำกัด และเวลาหน่วงสองวันได้อย่างราบรื่น
ไม่มีเหตุการณ์ใดในเหล่านี้เป็นความล้มเหลวของ "บล็อกเชน" ชั้นฉันทามติ กลุ่มผู้ตรวจสอบความถูกต้อง และคริปโตกราฟี — ทั้งหมดยังมั่นคง สิ่งที่ล้มเหลวทุกครั้งคือชั้นแห่งความไว้วางใจที่อยู่ด้านบน: อุปกรณ์รักษาความปลอดภัย ห่อหุ้มมัลติซิก โมดูลสะพาน การลงคะแนนกำกับดูแล CertiK สรุปว่าเดือนกันยายน 2026 เป็นเดือนที่เลวร้ายที่สุดของปีสำหรับการสูญเสียคริปโต โดยอยู่ที่ประมาณ 766 ล้านดอลลาร์ ทิศทางของการเดินทางนั้นชัดเจนอย่างไม่ต้องสงสัย
ผู้ชนะนั้นระบุชื่อได้ง่าย สแต็กสำหรับการตรวจจับและระบุตัวตน — SlowMist, Mandiant, Elliptic, TRM Labs, Chainalysis — ได้กลายเป็นอสังหาริมทรัพย์ที่มีมูลค่าสูงสุดในวงการคริปโตแล้ว เพราะเมื่อการบุกรุกไม่สามารถป้องกันได้ ความสามารถในการแช่แข็ง ติดตาม และประณามโจรก็เป็นเพียงกำแพงป้องกันที่เหลืออยู่ การแลกเปลี่ยนที่มีขนาดใหญ่พอที่จะทำประกันตัวเองและชดเชยผู้ใช้จากกองทุนป้องกันจะรวมศูนย์ความไว้วางใจ ส่วนที่เหลือก็สูญเสียไป
เหตุการณ์นี้เคยเกิดขึ้นมาก่อนหรือไม่?
ใช่ — และนั่นคือประเด็นสำคัญ คริปโตได้ใช้เวลาหนึ่งทศวรรษในการ pretending ว่าการแฮ็กแต่ละครั้งเป็นเรื่องใหม่ ทั้งที่จริงๆ แล้วมันคือบทเรียนเดิมที่สวมชุดต่างออกไป การล้มเหลวในการดูแลรักษาทรัพย์สิน (custody failure) ของ Mt. Gox ในปี 2014 การแฮ็กสะพาน Ronin และ Harmony ในปี 2022 เป็นการล้มเหลวของ middleware การโจรกรรม Bybit ในปี 2025 เป็นการล้มเหลวของอินเทอร์เฟซการลงนามแบบมัลติซิก (multi-sig) Bitget ในปี 2026 เป็นการล้มเหลวของห่วงโซ่อุปทาน: ผู้ให้บริการความปลอดภัยเองก็เป็นช่องทางในการโจมตี
รูปแบบนี้ไม่ใช่ชุดของความโชคร้าย มันคือกฎเหล็ก เงินจะรวมตัวอยู่ที่ใดก็ตามที่โค้ดใหม่และซับซ้อนที่สุดสัมผัสกับมูลค่ามากที่สุด — และผู้โจมตีจะติดตามเงินขึ้นไปตามชั้นของระบบได้เร็วกว่าที่ใครจะทำการตรวจสอบชั้นที่พวกเขากำลังเพิ่มเข้าไป ตอนนี้บล็อกเชนเองก็อยู่ในกลุ่มซอฟต์แวร์ที่ได้รับการตรวจสอบมากที่สุดในโลก ซึ่งเป็นเหตุผลพอดีที่การโจมตีได้ย้ายไป elsewhere แล้ว มิจฉาชีพขโมยบ้านผ่านหน้าต่าง ไม่ใช่ด้วยการพังกำแพง
ทิศทางนี้จะนำไปสู่จุดใดในอีก 1 ถึง 3 ปีข้างหน้า?
มีสามสิ่งกำลังมาถึง และทั้งหมดนี้มองเห็นได้แล้ว ประการแรก การโจมตีห่วงโซ่อุปทานต่อชั้นความปลอดภัยของคริปโตจะกลายเป็นช่องทางหลักในการขโมย เช่นเดียวกับที่เกิดขึ้นแล้วในซอฟต์แวร์แบบดั้งเดิม — คาดการณ์เหตุการณ์แบบ SolarWinds สำหรับผู้ดูแลหลัก (custodian) แพลตฟอร์มแลกเปลี่ยน หรือผู้ผลิตฮาร์ดแวร์วอลเล็ตภายในสองปี ประการที่สอง คำขวัญ "ไม่ใช่กุญแจของคุณ ไม่ใช่เหรียญของคุณ" จะค่อยๆ ตายไปโดยไม่มีใครสนใจ การถือกุญแจเอง (self-custody) ปกป้องคุณจากกุญแจของแพลตฟอร์มแลกเปลี่ยน แต่ไม่ได้ช่วยอะไรคุณเมื่อ SaaS สำหรับมัลติซิก, บริดจ์, หรืออุปกรณ์ความปลอดภัยคือสิ่งที่พังลง โมเดลความเสี่ยงที่แท้จริงไม่ใช่แบบทวิภาคอีกต่อไป — มันคือคำถามว่าคุณเปิดรับชั้นความไว้วางใจใด และคุณไม่สามารถเลือกออกจากทั้งหมดได้
ประการที่สาม และนี่คือส่วนที่คนน้อยคนนักอยากพูดออกมา: คำสัญญาตอนก่อตั้งของอุตสาหกรรมคือการขจัดบุคคลที่สามที่ไว้ใจได้ มันล้มเหลว การปรับขนาดจำเป็นต้องนำความไว้วางใจกลับมาใช้ในทุกชั้น — ผู้ขายความปลอดภัย, มัลติซิกของผู้ดูแล, ผู้ให้บริการ RPC, ตัวแก้เจตนา (intent solvers), ตัวจัดลำดับ (sequencers) — และแต่ละตัวก็ reintroduce จุดล้มเหลวแบบรวมศูนย์ที่คริปโตตั้งใจจะทำให้ล้าสมัย เราไม่ได้กำจัดคนกลางออกไป เราแค่แต่งตัวเขาด้วยเสื้อฮู้ดของผู้ขายความปลอดภัย และหยุดตรวจสอบเขา
สิ่งนี้หมายความว่าอย่างไรสำหรับใครก็ตามที่ถือคริปโต?
ทิ้งความสบายใจที่ผิดๆ ว่า "บล็อกเชนปลอดภัย" บล็อกเชนไม่เคยเป็นความเสี่ยงเลย; มันคือสิ่งที่มีโอกาสน้อยที่สุดที่จะล้มเหลว ให้ทำการตรวจสอบการเปิดรับความเสี่ยงที่สำคัญจริงๆ: ระบุชั้น middleware ทุกชั้นที่สัมผัสกับเงินของคุณในธุรกรรมหนึ่งๆ — บริดจ์, ตัวแก้, วอลเล็ต, มัลติซิก หากคุณไม่สามารถระบุได้ แสดงว่าคุณไว้วางใจมันแบบตาบอด ระวังการอนุมัติโทเค็น และเพิกถอนการอนุมัติที่ล้าสมัย; การอนุมัติแบบไม่มีจำกัดให้กับสัญญาที่ถูกรบกวนจะเปลี่ยนบั๊กหนึ่งตัวให้เป็นความสูญเสียส่วนบุคคลของคุณ และเมื่อมีบางอย่างพัง ให้ถามว่าชั้นใดล้มเหลวก่อนที่คุณจะตื่นตระหนก — โทเค็น บล็อกเชน และโปรโตคอลมักจะไม่เป็นไร ในขณะที่ท่อประปาที่อยู่ตรงกลางนั่นแหละที่เป็นปัญหา
การอ่านเชิงกลยุทธ์นั้นชัดเจนยิ่งขึ้น แพลตฟอร์มที่มองความปลอดภัยเป็นชั้นที่ประกอบขึ้นแล้วลืมเลือนนั้นถูกกำหนดให้ล้มเหลวในเชิงโครงสร้าง ส่วนแพลตฟอร์มที่มองการตอบสนองต่อเหตุการณ์ การระบุตัวตนบนเชน และการจัดการความเสี่ยงของผู้ขายว่าเป็นผลิตภัณฑ์หลักนั้น คือแพลตฟอร์มที่ควรถือการเปิดรับความเสี่ยงไว้ Bitget ได้ชดเชยผู้ใช้ทั้งหมดจากกองทุนป้องกันและร่วมมือกับนักสืบ — ท่าทีนี้ ไม่ใช่ตราประทับการตรวจสอบใด ๆ คือสัญญาณที่ควรจับตา
นี่คือคำถามที่ควรถาม: หากบริษัทที่เราจ่ายเพื่อรักษาความปลอดภัยคริปโตคือจุดอ่อนที่สุดในคริปโตตอนนี้ เราจ่ายเงินเพื่ออะไรกันแน่ — ความปลอดภัย หรือความรู้สึกปลอดภัย? จนกว่าอุตสาหกรรมจะเริ่มตรวจสอบชั้นความไว้วางใจด้วยความระแวงสงสัยเท่ากับการตรวจสอบสัญญาอัจฉริยะ คำตอบก็จะยังคงเป็นข้อหลัง และแฮกเกอร์ก็รู้ดี
FAQ
คีย์ส่วนตัวของ Bitget ถูกบุกรุกหรือไม่? ไม่ Bitget ยืนยันว่ากระเป๋าเย็นและคีย์ส่วนตัวไม่เคยถูกเข้าถึง ผู้โจมตีใช้ช่องโหว่ zero-day ในผลิตภัณฑ์ความปลอดภัยของบุคคลที่สามเพื่อขโมยข้อมูลรับรองภายในและออกคำสั่งถอนที่ปลอมแปลงโดยตรงต่อแบ็กเอนด์ของกระเป๋า — คีย์ยังคงปลอดภัย กระบวนการรอบ ๆ คีย์นั้นไม่ปลอดภัย
ใครอยู่เบื้องหลังการแฮก Bitget? นักสืบประเมินว่าเป็นกลุ่ม Lazarus ของเกาหลีเหนือ โดยพิจารณาจากพฤติกรรม IP รูปแบบบนเชน และความทับซ้อนของกระเป๋าเงินกับการโจรกรรมก่อนหน้าที่เชื่อมโยงกับรัฐ เทคนิคนี้สะท้อนกับการบุกรุก Bybit มูลค่า 1.5 พันล้านดอลลาร์ในเดือนกุมภาพันธ์ 2025
การโจมตีแบบ supply-chain ในคริปโตคืออะไร? มันคือการโจมตีที่บุกรุกผู้ขายหรือเครื่องมือที่เป้าหมายพึ่งพา — ในที่นี้คืออุปกรณ์ความปลอดภัยที่ Bitget นำไปใช้ — แทนที่จะเป็นเป้าหมายเอง ผู้โจมตีเจาะเข้ามาผ่านซอฟต์แวร์บุคคลที่สามที่เชื่อถือได้ จากนั้นจึงเปลี่ยนทิศทางเข้าสู่ระบบหลักของผู้เสียหาย
ตัวบล็อกเชนเองกำลังมีความปลอดภัยลดลงหรือไม่? ไม่ ชั้นฉันทามติและคริปโตกราฟียังคงอยู่ในการเกิดเหตุล่าสุดทั้งหมด ความล้มเหลวอยู่ในมิดเดิลแวร์และชั้นความไว้วางใจเหนือเชน — สะพาน วงจรหลายลายเซ็น ตัวแก้เจตนา เครื่องมือความปลอดภัย และการกำกับดูแล — ซึ่งเป็นจุดที่ผู้โจมตีกำลังมุ่งเน้นอยู่ในขณะนี้