คำสั่งมัลแวร์ที่เขียนลงบนบล็อกเชนสาธารณะเพิ่มขึ้น 420 เปอร์เซ็นต์ในหนึ่งปี โดยผู้ดำเนินการที่มีความเชื่อมโยงกับรัฐเป็นปัจจัยหลักขับเคลื่อนกิจกรรมการฝากข้อมูลแบบตาย (dead drop) ใหม่ประมาณสองในสาม ความไม่สามารถเปลี่ยนแปลงได้ (Immutability) ซึ่งเคยถูกอธิบายว่าเป็นคุณลักษณะหลักของคริปโตเคอเรนซี ปัจจุบันกลายเป็นฟีเจอร์สำคัญที่โครงสร้างพื้นฐานของมัลแวร์พึ่งพาอาศัย
มัลแวร์บนเชนพุ่งสูง 420% — คริปโตมอบอาวุธให้
ข้อสรุปสำคัญ
- คำสั่งมัลแวร์ที่เขียนลงบนบล็อกเชนสาธารณะเพิ่มขึ้นจาก 2.06 ครั้งต่อวัน เป็น 11.1 ครั้งต่อวัน เพิ่มขึ้น 420 เปอร์เซ็นต์เมื่อเทียบกับปีก่อนหน้า ตามข้อมูลจาก Chainalysis
- ผู้ดำเนินการที่มีความเชื่อมโยงกับรัฐซึ่งเกี่ยวข้องกับเกาหลีเหนือและอิหร่าน ปัจจุบันคิดเป็นประมาณสองในสามของกิจกรรมการฝากข้อมูลแบบตาย (dead drop) บนบล็อกเชนใหม่ในแต่ละไตรมาส
- การเพิ่มขึ้นนี้สอดคล้องกับการเปิดตัวแบบจำลอง AI แบบเปิดที่มีน้ำหนักสูง (open-weight AI models) ในช่วงกลางปี 2025 ซึ่ง Chainalysis ระบุว่ามีความเชื่อมโยงกับกิจกรรมที่เพิ่มขึ้น 440 เปอร์เซ็นต์ แต่ไม่ได้ระบุว่ากิจกรรมดังกล่าวเกิดจากการเปิดตัวเหล่านั้นโดยตรง
- ความไม่สามารถเปลี่ยนแปลงได้ ซึ่งถูกมองว่าเป็นคุณลักษณะหลักของบล็อกเชนสาธารณะมาตลอดทศวรรษ ปัจจุบันกลายเป็นฟีเจอร์สำคัญที่โครงสร้างพื้นฐานมัลแวร์ของรัฐชาติพึ่งพา
- การตอบสนองด้านกฎระเบียบที่คาดหมายคือการกรองที่ขอบของเชน ซึ่งจะทำให้โครงสร้างพื้นฐานที่เคยตั้งใจให้กระจายศูนย์กลายเป็นรวมศูนย์อย่างเงียบๆ
บล็อกเชนเดดดรอพคืออะไร?
บล็อกเชนเดดดรอพตอบคำถามเฉพาะเจาะจง: เมื่อเซิร์ฟเวอร์สั่งการและควบคุมมัลแวร์ถูกยึด จะเกิดอะไรขึ้นกับมัลแวร์? คำตอบเดิมคือมันจะตาย แต่ตอนนี้มันไม่ตายอีกต่อไป มัลแวร์ที่ติดตั้งอยู่ในเครื่องเหยื่อแล้วไม่จำเป็นต้องใช้โดเมนเพื่อติดต่อกลับอีกต่อไป มันเพียงต้องอ่านข้อมูลจากบล็อกเชนเท่านั้น
ผู้โจมตีเขียนตัวชี้ชี้ที่เข้ารหัส เช่น ที่อยู่เซิร์ฟเวอร์ ไฟล์กำหนดค่า หรือตารางการหมุนเวียน ลงในธุรกรรมหรือสัญญาอัจฉริยะ อุปกรณ์ที่ติดเชื้อมาอ่านข้อมูลนั้น อัปเดตตัวเอง และยังคงทำงานต่อไปได้หลังจากที่บริษัทความปลอดภัยลบโดเมนเก่าหรือยึดเซิร์ฟเวอร์เก่าไป โดเมนสามารถถูกปิดได้ แต่บล็อกที่ผ่านการยืนยันแล้วไม่สามารถทำได้
ผู้ดำเนินการที่เกี่ยวข้องกับอิหร่านได้ผลักดันตรรกะนี้ไปจนถึงจุดสิ้นสุด โดยใช้ที่อยู่บิตคอยินยุคแรกที่มีชื่อเสียงทางประวัติศาสตร์เป็นกระดานประกาศถาวร และส่งการชำระเงินแบบดัสต์ไปยังที่อยู่นั้น เพื่อให้เครื่องที่ติดเชื้อมารู้ว่าต้องมองหาข้อมูลที่ไหน สิ่งประดิษฐ์จากยุคแรกเริ่มของเครือข่ายนี้กลายเป็นองค์ประกอบสำคัญที่โครงสร้างพื้นฐานมัลแวร์ที่สงสัยว่าเกี่ยวข้องกับอิหร่านพึ่งพา
ภาพรวมที่ใหญ่ขึ้น: ความไม่สามารถเปลี่ยนแปลงได้พบผู้ใช้ระดับ state-scale เป็นครั้งแรก
ตลอดทศวรรษที่ผ่านมา ความไม่สามารถเปลี่ยนแปลงได้และความต้านทานต่อการเซ็นเซอร์เป็นคุณสมบัติที่อุตสาหกรรมอธิบายว่าเป็นหลักประกัน โค้ดคือกฎหมาย บล็อกเชนไม่สามารถแก้ไขได้ ไม่มีใครสามารถลบธุรกรรมที่ยืนยันแล้วได้ คุณสมบัติเหล่านี้คือความแตกต่างที่ระบุไว้ระหว่างคริปโตกับธนาคารที่อายัดบัญชีเมื่อรัฐบาลโทรมา
รายงานแสดงให้เห็นว่าเกิดอะไรขึ้นเมื่อคุณสมบัติเดียวกันถูกใช้เพื่อวัตถุประสงค์อื่น ผู้เชื่อมโยงกับรัฐที่เกี่ยวข้องกับเกาหลีเหนือและอิหร่านไม่เพียงแต่ใช้บล็อกเชนเพื่อเคลื่อนย้ายมูลค่าเท่านั้น แต่ยังใช้มันเป็นที่จัดเก็บข้อมูลที่ไม่สามารถลบได้ ในช่วงต้นปี 2024 สิ่งนี้ส่วนใหญ่เป็นเทคนิคของอาชญากรไซเบอร์ทั่วไป สิบแปดเดือนต่อมา มันเป็นการแข่งขันระหว่างโปรแกรมของรัฐ
การเปลี่ยนแปลงนี้คือเรื่องราวที่ใหญ่กว่า ตัวเลข 420 เปอร์เซ็นต์ เรื่องนี้หยุดเป็นเรื่องของมิจฉาชีพไปแล้ว ตอนนี้มันเป็นเรื่องของรัฐที่ถูกคว่ำบาตรที่จัดเส้นทางโครงสร้างพื้นฐานด้านสายลับผ่านระบบที่ออกแบบมาเพื่อให้ไม่มีอำนาจภายนอกสามารถลบสิ่งใดออกจากพวกเขาได้
ใครชนะ และใครแพ้?
โปรแกรมที่เชื่อมโยงกับรัฐชนะก่อน: พวกเขาได้รับพื้นที่จัดเก็บถาวรที่แทบไม่มีค่าใช้จ่ายและไม่สามารถลบได้ บริษัทวิเคราะห์บล็อกเชนก็ชนะเช่นกัน เพราะทุกจุดพักข้อมูลใหม่หมายถึงรายงานการระบุตัวตนอีกฉบับและผลิตภัณฑ์อีกชิ้นหนึ่งให้ขาย ห้องปฏิบัติการโมเดลโอเพนเวทได้เพิ่มการเข้าถึงเป็นตัวเร่งปฏิกิริยา ไม่ว่าจะเป็นที่ตั้งใจหรือไม่ก็ตาม
หลักการกระจายศูนย์เป็นฝ่ายเสียเปรียบเป็นอันดับแรก เป็นเวลาหลายปีที่ข้อโต้แย้งคือไม่มีใครควรจะสามารถแตะต้องอะไรบนเชนได้ ข้อโต้แย้งนั้นตอนนี้ต้องครอบคลุมถึงระบบการจัดเก็บข้อมูลที่ถูกเลือกสำหรับมัลแวร์ของเกาหลีเหนือและสปายแวร์ของอิหร่าน ผู้ใช้ทั่วไปเสียเปรียบในแบบที่เรียบง่ายกว่า เพราะมัลแวร์เหล่านี้ในที่สุดก็เล็งเป้าไปที่กระเป๋าเงิน บราวเซอร์ และข้อมูลประจำตัวของพวกเขา
ผลกระทบระดับที่สองสำคัญที่สุดสำหรับโครงสร้างตลาด หากเชนไม่สามารถควบคุมตัวเองได้ คำตอบด้านกฎระเบียบคือการควบคุมขอบของเชน นั่นหมายความว่าผู้ให้บริการ RPC ผู้ดำเนินการโหนด ผู้ทำดัชนี และโบรกเกอร์ถูกขอให้กรองข้อมูล ซึ่งทำให้โครงสร้างพื้นฐานที่ควรจะเปิดกว้างกลายเป็นแบบรวมศูนย์ ข้อโต้แย้งที่หมุนเวียนอยู่รอบการคว่ำบาตรเครื่องมือความเป็นส่วนตัวในปี 2022 เป็นเพียงการ previews แบบเบาๆ ของสิ่งที่กำลังจะมาถึงเมื่อมีการขอให้กรองช่องทางการสั่งการของมัลแวร์
เหตุการณ์นี้เคยเกิดขึ้นมาก่อนหรือไม่?
ใช่ แต่ไม่เคยเกิดขึ้นในขนาดนี้หรือกับผู้เข้าร่วมเหล่านี้ การบันทึกการส่งมอบข้อมูลแบบ dead drop บนบล็อกเชนครั้งแรกเกิดขึ้นในปี 2013 เมื่อกลุ่ม Necurs botnet เวอร์ชันหนึ่งจอดโดเมนสำหรับสั่งการและควบคุมบน Namecoin ในปี 2019 กลุ่มขุดเงิน Glupteba ซ่อนข้อมูลในฟิลด์ OP_RETURN ของบิตคอยน์ ในปี 2023 ภายใต้ชื่อ EtherHiding กลุ่ม ClearFake ย้ายโค้ดขโมยข้อมูลเข้าสู่สัญญาอัจฉริยะบน BNB Smart Chain หลังจากสูญเสียเซิร์ฟเวอร์แบบดั้งเดิม
มีสามสิ่งที่แตกต่างไปตอนนี้ ขนาด: การเขียนข้อมูลที่เป็นอันตรายเพิ่มขึ้นจาก 2.06 ครั้งต่อวันเป็น 11.1 ครั้งต่อวันภายในเวลาไม่ถึงหนึ่งปี การมีส่วนร่วม: เทคนิคนี้เปลี่ยนจากกลอุบายของอาชญากรไซเบอร์เป็นเครื่องมือของรัฐมาตรฐาน ต้นทุนในการเข้าใช้: Chainalysis ชี้ให้เห็นถึงความสัมพันธ์ที่ชัดเจนในช่วงเวลาหนึ่งระหว่างการเพิ่มขึ้นนี้กับการมาถึงของโมเดล AI แบบ open-weight ความจุสูงในช่วงกลางปี 2025 ซึ่งมีความสามารถในการสร้างโค้ดที่เป็นอันตรายได้อย่างมีประสิทธิภาพพร้อมข้อจำกัดในการควบคุมที่จำกัด หัวหน้าทีมวิจัยที่อยู่เบื้องหลังรายงานนี้ยังไม่กล้าอ้างถึงความสัมพันธ์เชิงสาเหตุ และช่วงเวลาที่ยังคงยากที่จะเพิกเฉย
เกาหลีเหนือเป็นกรณีที่มีการบันทึกไว้อย่างชัดเจนที่สุด กลุ่มข่าวกรองภัยคุกคามของ Google ติดตามกลุ่มหนึ่งเรียกว่า UNC5342 ซึ่ง Chainalysis เชื่อมโยงกับแคมเปญที่เปลี่ยนเส้นทางเครื่องที่ติดเชื้อมาทาง Tron เป็นช่องทางหลักและ Aptos เป็นช่องทางสำรอง ก่อนจะจบลงที่ธุรกรรมบน BNB Smart Chain ที่พกพาข้อมูลการกำหนดค่าที่เข้ารหัส TRM Labs ประมาณการว่าผู้เชื่อมโยงกับเกาหลีเหนือขโมยคริปโตเคอเรนซีมูลค่าประมาณ 643 ล้านดอลลาร์ในช่วงครึ่งแรกของปี 2026 ซึ่งคิดเป็นประมาณสองในสามของการขโมยคริปโตทั้งหมดในช่วงเวลานั้น
ทิศทางของสิ่งนี้จะไปในทางใดภายในหนึ่งถึงสามปี?
สมมติว่าปริมาณการใช้งานยังคงเพิ่มขึ้นอย่างต่อเนื่อง โมเดลแบบเปิดน้ำหนักไม่ถูกนำกลับมาใช้ใหม่ และต้นทุนส่วนเพิ่มในการตั้งค่ารีเลย์จุดพักข้อมูลตายมีเพียงไม่กี่ร้อยไบต์ของข้อมูลที่เข้ารหัส การระบุแหล่งที่มาเป็นไปในทิศทางตรงกันข้าม: มันต้องการการประกอบรูปแบบข้ามเชน บันทึกเซิร์ฟเวอร์นอกเชน และประวัติแคมเปญหลายปี เศรษฐศาสตร์ถูกกลับด้าน โดยผู้โจมตีจ่ายเพียงไม่กี่เซ็นต์ แต่ผู้ป้องกันจ่ายเป็นล้านดอลลาร์
พื้นที่ที่ถูกโต้แย้งจะเป็นเรื่องการกรอง บล็อกเชนไม่สามารถแยกแยะระหว่างจุดพักข้อมูลมัลแวร์กับการทำธุรกรรมที่ถูกต้องในระดับโปรโตคอลได้ เพราะทั้งคู่เป็นเพียงไบต์เท่านั้น要么ว่าเชนสาธารณะถูกยอมรับว่าเป็นโครงสร้างพื้นฐานที่ใช้ได้สองอย่างถาวร要么ว่าการกรองย้ายไปยังขอบที่ผู้ให้บริการ RPC กระเป๋าเงิน และตัวจัดทำดัชนี พร้อมกับการรวมศูนย์ที่ตามมา
ผลลัพธ์ที่เป็นไปได้คือทั้งสองอย่างเกิดขึ้น แต่ทำได้อย่างไม่สมบูรณ์ ชั้นพื้นฐานแบบเปิดอนุญาตยังคงเปิดอยู่และกลายเป็นศัตรูมากขึ้น ในขณะที่กิจกรรมที่ควบคุมได้ย้ายไปยังรางที่สอดคล้องกันซึ่งการกรองถูกพิจารณาเป็นฟีเจอร์ บนเส้นทางนี้ การรายงานนี้จะเร่งการแยกตัวระหว่างคริปโตในฐานะโครงการอุดมการณ์และคริปโตในฐานะท่อส่งทางการเงิน
สิ่งที่ผู้เข้าร่วมตลาดควรได้รับจากเรื่องนี้
ไม่มีการคาดการณ์ราคาตามมาจากการวิเคราะห์นี้ การอ่านโครงสร้างแคบลง: ความเสี่ยงด้านความปลอดภัยกลายเป็นความเสี่ยงด้านโครงสร้างพื้นฐานแทนที่จะเป็นเรื่องของความระมัดระวังส่วนบุคคล เมื่อผู้คุกคามเป็นโปรแกรมของรัฐที่ใช้ AI เพื่อสร้างมัลแวร์ให้เร็วขึ้นกว่าที่ผู้ใช้จะแพตช์ได้ พื้นผิวการโจมตีไม่ใช่แค่วลีเริ่มต้นอีกต่อไป แต่เป็นจุดปลายทั้งหมดที่กระเป๋าเงินทำงานอยู่
นัยสำคัญสามประการตามมา: ความสะอาดของจุดปลาย (endpoint hygiene) มีความสำคัญเทียบเท่ากับการตรวจสอบสัญญาอัจฉริยะ เนื่องจากเครื่องที่ถูกบุกรุกสามารถแก้ไขธุรกรรมได้อย่างเงียบเชียบ แม้สัญญาจะถูกต้องก็ตาม แพลตฟอร์มแลกเปลี่ยนและกระเป๋าเงินมีแนวโน้มที่จะเพิ่มขั้นตอนตรวจสอบ เช่น การตรวจสอบอุปกรณ์ การจำลองธุรกรรม และการลงนามร่วมบังคับ เนื่องจากพวกเขาต้องแบกรับความสูญเสียเอง และบล็อกเชนที่ระบุในรายงานนี้ควรค่าแก่การติดตาม: Tron เป็นโครงสร้างพื้นฐานการชำระเงินด้วยดอลลาร์ที่ใหญ่ที่สุด และเป็นช่องทางการแพร่กระจายมัลแวร์ที่ได้รับการยืนยัน หากผู้กำกับดูแลมองว่าปัญหานี้เป็นประเด็นด้านความสอดคล้อง (compliance) แทนที่จะเป็นเพียงความบังเอิญ สถานการณ์จะเปลี่ยนแปลงอย่างรวดเร็ว
โค้ดคือกฎหมาย และโค้ดคืออาวุธ
คำถามที่อึดอัดคือ ระบบที่ออกแบบมาให้ไม่มีอะไรสามารถถูกลบได้ จัดการกับการค้นพบว่าทรัพย์สินนี้มีค่ามากที่สุดต่อผู้กระทำที่ต้องการให้เนื้อหาคงอยู่อย่างไร
คำตอบจนถึงปัจจุบันไม่ใช่ผู้เห็นต่างหรือผู้พัฒนา แต่เป็นนักเขียนมัลแวร์และโครงการของรัฐ ซึ่งปัจจุบันถือกระดานประกาศถาวรที่ลบไม่ได้และป้องกันการเซ็นเซอร์ ซึ่งถูกสร้างโดยอุตสาหกรรมและได้รับการยกย่องจากอุตสาหกรรมว่าเป็นคุณธรรม ความไม่สามารถเปลี่ยนแปลงได้ (Immutability) ไม่ได้หายไปจากคุณสมบัติของระบบ แต่ได้ลูกค้ารายที่สอง
FAQ
บล็อกเชนเดดดรอพ (blockchain dead drop) คืออะไร? คือการเก็บคำสั่งมัลแวร์ เช่น ที่อยู่เซิร์ฟเวอร์ ข้อมูลการกำหนดค่า หรือตารางการเปลี่ยนผ่าน ไว้ภายในธุรกรรมหรือสัญญาอัจฉริยะบนบล็อกเชนสาธารณะ อุปกรณ์ที่ติดเชื้อจะอ่านข้อมูลนั้นเพื่อคงการทำงานต่อไปหลังจากเซิร์ฟเวอร์สั่งการและควบคุมแบบเดิมถูกยึดหรือปิดให้บริการ
ทำไมมัลแวร์จึงไม่สามารถถูกลบออกจากบล็อกเชนได้? เพราะบล็อกเชนถูกออกแบบมาให้ไม่สามารถเปลี่ยนแปลงได้ (immutable) เมื่อธุรกรรมได้รับการยืนยันแล้ว จะไม่สามารถลบหรือแก้ไขได้ และผู้ให้บริการโฮสติ้งหรือศาลก็ไม่สามารถบังคับให้ลบได้ ความถาวรนี้ ซึ่งเคยได้รับการเฉลิมฉลองว่าเป็นคุณสมบัติหลัก กลับทำให้บล็อกเชนมีประโยชน์ในฐานะโครงสร้างพื้นฐานของมัลแวร์
ใครอยู่เบื้องหลังการพุ่งขึ้น? กลุ่มที่เชื่อมโยงกับรัฐเป็นปัจจัยหลัก Chainalysis ชี้ว่าประมาณสองในสามของกิจกรรม dead drop ใหม่ในแต่ละไตรมาสมาจากผู้ดำเนินการที่เชื่อมโยงกับเกาหลีเหนือและอิหร่าน โดยกลุ่ม UNC5342 ที่เชื่อมโยงกับเกาหลีเหนือและผู้ดำเนินการข่าวกรองอิหร่านที่สงสัยว่าเป็นผู้ที่มีกิจกรรมมากที่สุด
AI เป็นสาเหตุหรือไม่? Chainalysis รายงานความเชื่อมโยงที่ชัดเจนในช่วงเวลาหนึ่งระหว่างการพุ่งขึ้นกับการเปิดตัวโมเดล AI แบบ open-weight ความจุสูงในช่วงกลางปี 2025 และยังไม่สามารถพิสูจน์ได้ว่าผู้ดำเนินการเฉพาะรายใช้โมเดลเหล่านั้น ผลกระทบในทางปฏิบัติเหมือนกันไม่ว่ากรณีใด: มาตรฐานด้านทักษะและต้นทุนในการสร้างโครงสร้างพื้นฐานมัลแวร์บนบล็อกเชนได้ลดลงอย่างมาก
ผู้ใช้สามารถทำอะไรได้บ้าง? ความเสี่ยงในทันทีคือการติดเชื้อนอกลูกโซ่ (off-chain) ผ่านแอปพลิเคชันปลอม การดาวน์โหลดที่เป็นอันตราย และอุปกรณ์ปลายทางที่ถูกบุกรุก แทนที่จะเป็นตัวบล็อกเชนเอง การปฏิบัติตัวด้วยความสงสัยมากขึ้นต่อการดาวน์โหลด การเก็บ recovery phrases ไว้แบบออฟไลน์ การเลือกกระเป๋าเงินที่ผ่านการตรวจสอบแล้ว และการสันนิษฐานว่าเครื่องที่ถูกบุกรุกสามารถแก้ไขธุรกรรมได้แม้ว่า smart contract จะมีความปลอดภัย ก็คือมาตรการควบคุมในทางปฏิบัติ