แฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือขโมยคริปโตมูลค่ามากกว่า 1 พันล้านดอลลาร์ในปีนี้แล้ว ตามข้อมูลของ Chainalysis การถูกโจมตี Bitget มูลค่า 387.5 ล้านดอลลาร์ทำให้ยอดรวมทะลุเครื่องหมายดังกล่าว ในขณะที่การสูญเสียจากการถูกโจมตี DeFi โดยรวมยังคงลดลง เนื่องจากขโมยถูกกระจุกตัวอยู่ในปฏิบัติการเดียวที่ดำเนินการโดยรัฐ
การขโมยคริปโตของเกาหลีเหนือทะลุ 1 พันล้านดอลลาร์ คริปโตยินดี
ข้อสรุปสำคัญ
- แฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือขโมยคริปโตมูลค่ามากกว่า 1 พันล้านดอลลาร์ในปี 2026 หลังจากขโมยมูลค่ามากกว่า 2 พันล้านดอลลาร์ในปี 2025 ตามข้อมูลของ Chainalysis
- การถูกโจมตี Bitget เมื่อวันที่ 24 กันยายน มูลค่า 387.5 ล้านดอลลาร์ ซึ่งใหญ่ที่สุดในปีนี้ ทำให้ยอดรวมสะสมทะลุเครื่องหมายดังกล่าว
- การสูญเสียจากการถูกโจมตี DeFi โดยรวมกำลังลดลง ข่าว "ดี" นี้ซ่อนการกระจุกตัวของขโมยไว้ในปฏิบัติการเดียวที่สนับสนุนโดยรัฐและมีลักษณะเป็นอุตสาหกรรม
- ช่องทางการโจมตีได้เปลี่ยนจากโค้ดไปเป็นบุคคล: การแฮ็ก Drift Protocol เกี่ยวข้องกับการแทรกซึมแบบพบหน้าเป็นเวลาหกเดือน ไม่ใช่ช่องโหว่ในสัญญาอัจฉริยะ
- THORChain ปฏิเสธที่จะบล็อกเงินทุน Bitget ที่ถูกขโมย ในขณะที่ NEAR Intents บล็อก $50 ล้าน ทำให้ DeFi แยกออกเป็นสองอนาคตที่เข้ากันไม่ได้
ตามข้อมูลของ Chainalysis แฮ็กเกอร์จากเกาหลีเหนือขโมยคริปโทเคอร์เรนซีมูลค่ามากกว่า $1 พันล้านดอลลาร์ในปีนี้แล้ว ตัวเลขที่ทำให้พวกเขาผ่านเส้นแบ่งนั้นคือ $387.5 ล้านดอลลาร์ที่ถอนออกจากแลกเปลี่ยน Bitget เมื่อวันที่ 24 กันยายน ซึ่งเป็นการแฮ็กครั้งเดียวที่ใหญ่ที่สุดในปี 2026 อย่างไรก็ตาม ในสัปดาห์เดียวกัน ส่วนสำคัญของอุตสาหกรรมก็เงียบๆ ชมเชยตัวเอง เพราะการสูญเสียจากการถูกเอ็กซ์พลอยต์ใน DeFi ลดลง
ทั้งสองข้อเท็จจริงนี้เป็นจริง นั่นคือปัญหา
ภาพรวมที่ใหญ่ขึ้น: ชั่วโมงมือสมัครเล่นของคริปโทได้สิ้นสุดลงแล้ว
หัวข้อข่าว "การสูญเสียจากการแฮ็กลดลง" เป็นเรื่องจริงแต่ทำให้เข้าใจผิด ในไตรมาสแรกของปี 2026 โปรโตคอล DeFi สูญเสียประมาณ $168 ล้านดอลลาร์จากการถูกเอ็กซ์พลอยต์ ลดลงประมาณ 90% จาก $1.58 พันล้านดอลลาร์ที่ถูกขโมยในไตรมาสแรกของปี 2025 ซึ่งเป็นไตรมาสที่มีการแฮ็ก Bybit สูงสุดเป็นประวัติการณ์ที่ $1.4 พันล้านดอลลาร์ หากอ่านอย่างตรงไปตรงมา มันดูเหมือนว่าคริปโทได้จัดการความปลอดภัยของตัวเองได้แล้ว
สิ่งที่เกิดขึ้นจริงนั้นดูไม่สง่างามนัก การโจมตีโดยสคริปต์คิดี้และวูล์ฟเดี่ยวที่เคยช่วยเพิ่มสถิติประจำปี รวมถึงช่องโหว่ในโปรโตคอลการให้กู้ยืมมูลค่า 150,000 ดอลลาร์ และข้อบกพร่องในตรรกะการอ้างอิงราคามูลค่า 80,000 ดอลลาร์ ได้แห้งเหือดไปเกือบหมดแล้ว ในที่ว่างนั้นกลับปรากฏการดำเนินงานที่สนับสนุนโดยรัฐเพียงแห่งเดียว ซึ่งสามารถดึงเงินมูลค่าเก้าหลักออกมาได้อย่างสม่ำเสมอ การขโมยไม่ได้ลดลง แต่กลับรวมศูนย์มากขึ้น
เกาหลีเหนือมองว่าการขโมยคริปโตเป็นเส้นรายได้ของรัฐ สหประชาชาติได้ประมาณการซ้ำแล้วซ้ำเล่าว่าเงินคริปโตที่ถูกขโมยไปเป็นแหล่งเงินทุนสำคัญสำหรับโครงการอาวุธของเปียงยาง นี่ไม่ใช่แก๊งอาชญากรที่บังเอิญเรียนรู้ภาษา Solidity แต่เป็นนโยบายอุตสาหกรรมแห่งชาติที่ดำเนินการผ่านหน่วยอย่าง Lazarus และ TraderTraitor โดยมีระบบการรับสมัคร หลักสูตรการฝึกอบรม และห่วงโซ่โลจิสติกส์สำหรับการฟอกเงินที่แม้แต่สถาบันการเงินที่ถูกกฎหมายส่วนใหญ่ก็รู้สึกอับอาย
ลองพิจารณาว่าคำว่า "อุตสาหกรรม" หมายถึงอะไรในบริบทนี้ การโจมตี Drift Protocol ในเดือนเมษายนไม่ใช่การเจาะระบบ แต่เป็นการปฏิบัติการ ผู้โจมตีใช้เวลาประมาณหกเดือนปลอมตัวเป็นบริษัทซื้อขายเชิงปริมาณ เข้าร่วมการประชุม สร้างความสัมพันธ์กับผู้มีส่วนได้ส่วนเสียต่อหน้า และแม้แต่ฝากเงินของตนเองมูลค่า 1 ล้านดอลลาร์เข้าไปในวอลเล็ตของโครงการเพื่อสร้างความไว้วางใจ จากนั้นพวกเขาได้ใช้กลไก durable nonce ของ Solana เพื่อยึดอำนาจการบริหารของ Security Council สัญญาอัจฉริยะยังคงทำงานได้อย่างสมบูรณ์แบบ แต่มนุษย์ต่างหากที่ล้มเหลว
ทำไมเกาหลีเหนือถึงชนะเมื่อการแฮ็ก "ลดลง"?
คำตอบคืออุตสาหกรรมนี้ปรับกลยุทธ์เพื่อต่อสู้กับศัตรูที่ผิดมาตลอดทศวรรษ คริปโตเคอเรนซีทุ่มเงินจำนวนมากให้กับงานตรวจสอบโค้ด รางวัลสำหรับช่องโหว่ และการตรวจสอบรูปแบบทางการ และงานเหล่านั้นประสบความสำเร็จอย่างสูง การใช้ประโยชน์จากสัญญาอัจฉริยะที่ได้รับการตรวจสอบอย่างดีในปัจจุบันเป็นเรื่องที่ยากจริงๆ ดังนั้นผู้โจมตีจึงเปลี่ยนเป้าหมาย
Charles Guillemet CTO ของ Ledger ได้ชี้แจงเส้นแบ่งอย่างชัดเจนหลังเหตุการณ์ Drift โดยเชื่อมโยงวิธีการนี้กับการแฮ็ก Bybit นั่นคือการแทรกซึมมนุษย์ผู้ถือกุญแจเป็นเวลานาน จากนั้นโน้มน้าวให้พวกเขาอนุมัติธุรกรรมที่เป็นอันตราย พื้นที่ถูกโจมตีได้เลื่อนขึ้นไปตามชั้นของระบบ จากโค้ดไปสู่ผู้คนที่เป็นผู้ดำเนินการ คริปโตเคอเรนซีใช้เวลาสิบปีในการเสริมความแข็งแกร่งให้สัญญาอัจฉริยะ แต่ลืมไปว่าอินพุตที่อ่อนแอยังคงเป็นมนุษย์อยู่
ในทางตรงกันข้าม การละเมิด Bitget ใช้ช่องโหว่ในซอฟต์แวร์ของบุคคลที่สามเพื่อขโมยข้อมูลรับรองภายใน เป็นความเสี่ยงจากผู้ขาย ไม่ใช่ข้อบกพร่องในโปรโตคอล Mandiant และ SlowMist ยังคงไขว่คว้าหาว่าเกิดอะไรขึ้นกันแน่ แต่รูปแบบนั้นสอดคล้องกัน: นี่คือการโจมตีผ่านโซ่อุปทานและวิศวกรรมสังคมที่มุ่งเป้าไปที่มนุษย์ในฝ่ายปฏิบัติการ ซึ่งเป็นชั้นเดียวที่ผู้ตรวจสอบไม่เคยลงนามรับรอง
ผลกระทบแบบ Ripple: ความขัดแย้งของ THORChain
เรื่องราวภายในเรื่องราวคือสิ่งที่เกิดขึ้นกับเงินหลังจาก Bitget ภายในสามชั่วโมง ผู้โจมตีกระจายเงิน 387.5 ล้านดอลลาร์ไปทั่วสี่เครือข่าย โดย 49.7% ไปยัง Ethereum, 40.8% ไปยัง XRP Ledger, 7.6% ไปยัง Zcash, และ 1.8% ไปยัง Tron จากนั้นพวกเขาทำสิ่งที่กลายเป็นลายเซ็นของ Lazarus: พวกเขาวิ่ง XRP ผ่าน THORChain แปลงมากกว่า 90% เป็น Bitcoin ดั้งเดิม โดยไม่เคยแตะต้องศูนย์แลกเปลี่ยนส่วนกลางที่สามารถแช่แข็งพวกเขาได้
Gracy Chen CEO ของ Bitget ขออย่างเปิดเผยต่อ THORChain ให้บล็อกที่อยู่ที่ถูกทำเครื่องหมาย "การกระจายอำนาจเป็นหลักการออกแบบ" เธอเขียน "ไม่ใช่เกราะป้องกันสำหรับการอำนวยความสะดวกในการโอนเงินที่รู้กันว่าเป็นเงินที่ขโมยมา" THORChain ปฏิเสธ โดยโต้แย้งว่าตนเอง "ไม่ต้องการใบอนุญาต เช่น Bitcoin, Ethereum และ BNB Chain" และถามว่าชั้นพื้นฐานเหล่านั้นรับผิดชอบอย่างไรต่อเงินที่ขโมยที่เคลื่อนผ่านพวกเขา
คำตอบนั้นเขียนขึ้นเอง เมื่อ THORChain ถูกขโมยเงิน 10.7 ล้านดอลลาร์ในเดือนพฤษภาคม เครือข่ายหยุดทำงานภายในไม่กี่ชั่วโมงและอยู่นอกไลน์เป็นเวลาห้าสัปดาห์ เมื่อ ThorFi ประสบปัญหาในเดือนมกราคม 2025 โหนดของพวกมันได้ลงคะแนนเสียงข้ามคืนเพื่อระงับการถอนเงิน ตามที่ Star Xu ผู้ก่อตั้ง OKX กล่าว: เครือข่ายที่หยุดเมื่อเงินของตัวเองมีความเสี่ยงแต่ปฏิเสธที่จะหยุดเมื่อเงินของผู้อื่นมีความเสี่ยง ไม่ใช่ "เหมือน Bitcoin" มันกำลังเลือก
นี่คือจุดแยกที่สำคัญสำหรับระบบนิเวศทั้งหมด NEAR Intents ทำตรงกันข้ามกับ THORChain: ระบบ SHIELD อัตโนมัติของพวกมันบล็อกการสลับที่เกี่ยวข้องกับ Bitget ประมาณ 50 ล้านดอลลาร์ และแม้แต่ปฏิเสธรางวัล 5% ที่ Bitget เสนอ Bitget ขอบคุณพวกเขา นักอุดมการณ์กระจายอำนาจโจมตีพวกเขาเพราะไม่เพียงพอที่จะไม่ต้องการใบอนุญาต สองโปรโตคอล สองคำตอบที่เข้ากันไม่ได้สำหรับคำถามเดียวกัน และทุกโครงการ DeFi ตอนนี้ต้องเลือกข้าง ไม่ว่าพวกเขาจะพูดออกมาหรือไม่ก็ตาม
บริบททางประวัติศาสตร์: คู่มือ Bybit ที่ได้รับการปรับปรุง
ไม่มีสิ่งใดในนี้ที่เป็นเรื่องใหม่; มันแค่เฉียบคมขึ้น ในเดือนกุมภาพันธ์ 2025 Lazarus ขโมยเงิน 1.46 พันล้านดอลลาร์จาก Bybit และฟอกเงินประมาณ 1.2 พันล้านดอลลาร์ผ่าน THORChain สิบเอ็ดวันหลังจากที่ THORChain ถอนคีย์ผู้ดูแลระบบออก ผู้ขโมยจาก Coldcard ใช้มัน ผู้ขโมยจาก Bitget ใช้มัน THORChain ได้กลายเป็นเครื่องมือฟอกเงินในคริปโตเหมือนกับที่ Tornado Cash เป็นเครื่องมือฟอกเงินแบบ mixer ยกเว้นว่าผู้ร่วมก่อตั้งของ Tornado Cash ถูกตัดสินว่ามีความผิดในการเป็นผู้ส่งเงินโดยไม่ได้รับอนุญาต ในขณะที่ THORChain ดำเนินการอย่างเปิดเผยด้วยโทเค็นระดับท็อป
ความแตกต่างระหว่างตอนนั้นกับตอนนี้คือขนาดและความยั่งยืน ปีนึงที่มีมูลค่า 1 พันล้านดอลลาร์เคยเป็นข้อยกเว้นที่เกิดจากการแฮ็กครั้งร้ายแรงเพียงครั้งเดียว ตอนนี้มันกลายเป็นบรรทัดฐานพื้นฐาน และปีก็ยังไม่จบ เกาหลีเหนือได้เปลี่ยนการขโมยขนาดใหญ่ให้เป็นปฏิบัติการที่ทำซ้ำได้และเกิดขึ้นตามไตรมาส ซึ่งใกล้เคียงที่สุดกับสิ่งที่คริปโตมีให้ในแง่ของการสมัครรับรายได้ที่เป็นศัตรู
เลนส์แห่งอนาคต: ทิศทางในอีก 1-3 ปีข้างหน้า
สามแนวโน้มจะเร่งตัวขึ้นจากจุดนี้
ประการแรก จุดคอขวดจะย้ายไปยังช่องทางออก (off-ramp) หากชั้นโปรโตคอลไม่เซ็นเซอร์ ผู้กำกับดูแลจะกดดันโบรกเกอร์แลกเปลี่ยน ตลาด OTC และธนาคารที่สัมผัสกับบิตคอยน์ที่แปลงเป็นสกุลเงินแล้ว บัญชีแยกประเภทของบิตคอยน์ยังคงโปร่งใสแม้หลังการแปลง ดังนั้นการบังคับใช้กฎหมายจะมุ่งเน้นที่จุดที่เงินทุนออกสู่สกุลเงิน fiat ซึ่งเป็นจุดที่นักสืบประสบความสำเร็จเสมอมา
ประการที่สอง การแยกตัวของ NEAR ออกจาก THORChain กลายเป็นเส้นแบ่งทางกฎระเบียบ กรอบงาน DeFi ปี 2026 ของคณะทำงานปฏิบัติการทางการเงิน (Financial Action Task Force) ระบุว่าสัญญาอัจฉริยะไม่อยู่ภายใต้กฎระเบียบดังกล่าว แต่บุคคลที่ระบุตัวตนได้ซึ่งมี "อิทธิพลเพียงพอ" ต่อโปรโตคอลอาจอยู่ภายใต้กฎระเบียบนั้น การหยุดทำงานชั่วคราวในเดือนพฤษภาคมของ THORChain เองก็พิสูจน์ได้ว่ามีอิทธิพลดังกล่าว นั่นไม่ใช่คำถามทางกฎหมายอีกต่อไป แต่เป็นคำถามเรื่องกำหนดเวลา
ประการที่สาม คำเล่าเรื่องเรื่อง "การแฮ็กที่ลดลง" จะดูล้าสมัยอย่างรวดเร็ว เหตุการณ์เดียวที่เกิดขึ้นในเวลาที่เหมาะสมก็ยังสามารถทำให้ปี 2026 เป็นปีที่สถิติสูงสุดได้ เนื่องจากคู่ต่อสู้ดำเนินการในรูปแบบที่ทำซ้ำได้ แทนที่จะเป็นการใช้ช่องโหว่ที่โชคดีหลายครั้ง ความเสี่ยงหางหนาขึ้นแม้ว่าค่าเฉลี่ยจะลดลงก็ตาม
มุมมองของเทรดเดอร์: ไม่ใช่ราคา แต่เป็นสถานที่และสินทรัพย์
นี่ไม่ใช่เรื่องราวของราคา แต่เป็นเรื่องของความเสี่ยงด้านคู่สัญญา เหตุการณ์ของ Bitget เป็นกรณีทดลองทางธรรมชาติที่ชัดเจนว่าอะไรถูกแช่แข็งและอะไรไม่ถูกแช่แข็ง Circle และ Tether แช่แข็งกระเป๋าเงินที่ติดป้ายว่าเป็นของผู้โจมตีภายในไม่กี่วัน แต่ยอดรวมอยู่ที่ประมาณ 318,000 ดอลลาร์ หรือ 0.08% ของยอดรวมทั้งหมด ส่วนที่เหลือ 88% ยังคงนิ่งอยู่ใน ETH, XRP และ Zcash ซึ่งไม่มีผู้ issuers แบบรวมศูนย์คนใดสามารถแช่แข็งได้ ผู้โจมตีรู้ดีว่าสินทรัพย์ใดที่ไม่สามารถเซ็นเซอร์ได้ และจัดสรรเงินทุนตามนั้น
ข้อสรุปในทางปฏิบัติที่ดูธรรมดาแต่มีประโยชน์: ให้ treat cross-chain liquidity hubs, privacy coins, และ hot-wallet custody เป็นตัวแปรความเสี่ยงที่สามารถถูกบีบอัดโดยกฎระเบียบหรือถูกกำหนดเป้าหมายโดยรัฐ ไม่ใช่แค่โครงสร้างพื้นฐานที่เป็นกลาง Diversify across venues. เข้าใจว่าท่าทีด้านความสอดคล้องตามกฎระเบียบของสถานที่ หรือการขาด thereof เป็นข้อเท็จจริงสำคัญเกี่ยวกับความเสี่ยงของคุณ ไม่ว่าคุณจะฟอกเงินหรือไม่ก็ตาม
ปิด
นี่คือคำถามที่คริปโตปฏิเสธที่จะตอบมาโดยตลอด หากรัฐที่ถูกคว่ำบาตรและมีอาวุธนิวเคลียร์ใช้โปรโตคอลแบบ "ไม่ต้องการการอนุญาต" ของคุณเป็นเส้นทางหลักในการฟอกเงิน และโปรโตคอลของคุณสามารถหยุดธุรกรรมได้เมื่อเงินทุนของตนเองตกอยู่ในความเสี่ยง จะใช้เวลาเพียงใดก่อนที่คำว่า "เราทำไม่ได้" จะไม่ใช่แค่ปรัชญาการออกแบบ แต่เริ่มถูกอ่านว่าเป็น "การเลือก"?
อุตสาหกรรมคริปโตใช้เวลาหนึ่งทศวรรษในการโต้แย้งว่าโค้ดคือกฎหมาย เกาหลีเหนือเพิ่งพิสูจน์ให้เห็นว่ากฎหมายมีช่องโหว่ และช่องโหว่นั้นคือตัวเราเอง
คำถามที่พบบ่อย
เกาหลีเหนือขโมยคริปโตไปเท่าไหร่ในปี 2026? มากกว่า 1 พันล้านดอลลาร์ ตามข้อมูลของ Chainalysis หลังจากขโมยไปประมาณ 2 พันล้านดอลลาร์ในปี 2025 การถูกแฮก Bitget มูลค่า 387.5 ล้านดอลลาร์ในเดือนกันยายนเป็นเหตุการณ์เดียวที่ทำให้ยอดรวมในปี 2026 ทะลุผ่านตัวเลขดังกล่าว
ทำไมการสูญเสียจากการแฮกรวมถึงลดลง ในขณะที่การขโมยของเกาหลีเหนือเพิ่มขึ้น? การสูญเสียจากการถูกเอ็กซ์พลอยต์ใน DeFi ลดลงประมาณ 90% เมื่อเทียบปีต่อปีในไตรมาส 1 ปี 2026 เนื่องจากแฮกเกอร์มือสมัครเล่นขนาดเล็กลดลง การขโมยไม่ได้หยุดลง แต่ได้รวมศูนย์เข้าสู่การดำเนินการที่ควบคุมโดยรัฐ ซึ่งดำเนินการโจมตีจำนวนน้อยลงแต่มีมูลค่าสูงกว่ามาก
ทำไม THORChain ถึงปฏิเสธที่จะบล็อกเงินทุนจาก Bitget? THORChain อ้างว่าโปรโตคอลของตนเป็นแบบไม่ต้องการการอนุญาต เช่นเดียวกับ Bitcoin หรือ Ethereum จึงไม่สามารถเซ็นเซอร์ที่อยู่เฉพาะรายได้ ผู้วิจารณ์ชี้ให้เห็นว่า THORChain ได้หยุดเครือข่ายของตนเองภายในไม่กี่ชั่วโมงหลังจากการถูกเอ็กซ์พลอยต์มูลค่า 10.7 ล้านดอลลาร์ในเดือนพฤษภาคม และแช่แข็งผลิตภัณฑ์ให้กู้ยืมในเดือนมกราคม 2025
การแฮ็ก Drift เกิดขึ้นได้อย่างไรโดยไม่มีช่องโหว่ในโค้ด? ผู้โจมตีใช้เวลาประมาณหกเดือนในการใช้วิศวกรรมสังคมกับนักพัฒนา โดยปลอมตัวเป็นบริษัทควอนต์ พบปะกันแบบตัวต่อตัว และฝากเงิน 1 ล้านดอลลาร์ จากนั้นจึงใช้ Nonces แบบถาวรของ Solana เพื่อยึดอำนาจผู้ดูแลของ Security Council โค้ดนั้นปลอดภัย แต่ผู้คนต่างหากที่ล้มเหลว
ความแตกต่างระหว่าง NEAR Intents และ THORChain ในกรณีนี้คืออะไร? ระบบ SHIELD ของ NEAR Intents ได้บล็อกการสวอปที่เกี่ยวข้องกับ Bitget มูลค่าประมาณ 50 ล้านดอลลาร์ และปฏิเสธรางวัล 5% ส่วน THORChain ปฏิเสธที่จะดำเนินการใดๆ การตอบสนองทั้งสองรูปแบบนี้แสดงถึงอนาคตสองแบบที่ขัดแย้งกันสำหรับระบบการเงินแบบกระจายศูนย์