Krongkwun Rithiwong
Binance เผยแฮกเกอร์เกาหลีเหนือ ใช้โปรไฟล์ปลอมและข้อเสนองานลวงพนักงานดาวน์โหลดมัลแวร์ ก่อนเจาะระบบขโมยคริปโตมูลค่า 6.3 พันล้านดอลลาร์
Binance เผยแฮกเกอร์เกาหลีเหนือ ใช้ข้อเสนองานปลอมเจาะระบบ ฉกคริปโต 6.3 พันล้านดอลลาร์
Binance แพลตฟอร์มซื้อขายคริปโตระบุว่า แฮกเกอร์เกาหลีเหนือใช้โปรไฟล์โซเชียลมีเดียปลอมและข้อเสนองานล่อใจ ซึ่งเป็นส่วนหนึ่งของแผนการนานหลายเดือน เพื่อหลอกให้พนักงานคนหนึ่งดาวน์โหลดซอฟต์แวร์อันตรายลงบนแล็ปท็อป
นักวิจัยได้ออกคำเตือนซ้ำแล้วซ้ำเล่าเกี่ยวกับการโจมตีแบบวิศวกรรมสังคม (Social Engineering) ระยะยาวที่อาจกินเวลานานหลายเดือน
การโจมตีครั้งล่าสุดนี้ทำให้แฮกเกอร์สามารถแทรกซึมเข้าสู่ระบบของ Binance อย่างอดทน จนสามารถขโมยคริปโตไปได้เป็นประวัติการณ์ถึง 6.3 พันล้านดอลลาร์เมื่อสัปดาห์ที่แล้ว ซึ่งทางบริษัทได้ยืนยันเรื่องดังกล่าวแล้ว การถูกแฮกที่เปิดเผยในแถลงการณ์ฉบับอัปเดตบน X เมื่อวันอังคาร ส่งผลให้แพลตฟอร์มซื้อขายคริปโตที่ใหญ่ที่สุดในโลกต้องระงับการถอนเงินของลูกค้าทั่วทั้งเครือข่าย
FBI และทีมนักสืบสวนบล็อกเชนได้ระบุว่าเกาหลีเหนือเป็นผู้อยู่เบื้องหลังการโจรกรรมครั้งนี้ โดยประเทศดังกล่าวถูกกล่าวหามาอย่างยาวนานว่าทำการขโมยเงินคริปโตครั้งใหญ่ในช่วงหลายปีที่ผ่านมา เพื่อนำไปสนับสนุนโครงการอาวุธนิวเคลียร์ที่ถูกคว่ำบาตรจากนานาชาติ
ลำดับขั้นตอนการเจาะระบบจากข้อเสนองานสัมภาษณ์
ในแถลงการณ์ล่าสุด Binance ระบุว่าแฮกเกอร์เกาหลีเหนือแฝงตัวเป็นผู้สรรหาบุคลากรที่กำลังเปิดรับสมัครงาน และได้ติดต่อวิศวกรซอฟต์แวร์ที่ดูแลระบบกระเป๋าเงิน (Wallet) ของบริษัท หลังจากการสัมภาษณ์ 2 ครั้งกับบริษัทที่อุปโลกน์ขึ้น วิศวกรรายนี้ได้รับคำสั่งให้ดาวน์โหลดสิ่งที่ดูเหมือนเป็นโจทย์ทดสอบการเขียนโค้ดซึ่งเป็นส่วนหนึ่งของกระบวนการสัมภาษณ์ แต่เมื่อเปิดไฟล์ออก กลับมีโค้ดอันตรายที่เข้าควบคุมแล็ปท็อปสำหรับการทำงานของวิศวกรคนดังกล่าว โดย Binance ระบุว่าเครื่องมือความปลอดภัยของบริษัทตรวจไม่พบมัลแวร์ดังกล่าว
ช่องทางที่เปิดขึ้นในเครือข่ายของ Binance ช่วยให้แฮกเกอร์สามารถเข้าถึงเครื่องมือภายในที่สามารถเข้าควบคุมคอมพิวเตอร์ทำงานของวิศวกรอีกสองคนในทีมกระเป๋าเงินได้ ซึ่งหนึ่งในวิศวกรเหล่านั้นเคยดาวน์โหลดแอปที่ถูกดัดแปลงและมีมัลแวร์ขโมยรหัสผ่านฝังอยู่โดยไม่รู้ตัวเมื่อหลายเดือนก่อน หลังจากค้นหาซอฟต์แวร์ผ่านผลการค้นหาของ Search Engine แม้ว่า Binance จะเปลี่ยนแล็ปท็อปเครื่องใหม่ให้กับวิศวกรรายนั้นแล้ว แต่แฮกเกอร์ได้ใช้ข้อมูลประจำตัวที่ขโมยมาเพื่อเจาะเข้าไปยังคอมพิวเตอร์ของวิศวกรคนที่สาม ซึ่งงานของเขามีสิทธิ์เข้าถึงระบบที่สามารถควบคุมเงินคริปโตมูลค่าหลายพันล้านดอลลาร์ได้
Binance กล่าวว่าการโจมตีนี้เป็นสิ่งที่ไม่ควรเกิดขึ้น และทางบริษัทได้ปรับปรุงความปลอดภัยของเครือข่ายหลังเหตุการณ์โจรกรรมดังกล่าว
ยุทธวิธีแฝงตัวที่วงการความปลอดภัยเคยเตือนซ้ำแล้วซ้ำเล่า
เหตุการณ์แฮกครั้งนี้ตอกย้ำถึงยุทธวิธีต่อเนื่องของเกาหลีเหนือที่มุ่งเป้าไปยังอุตสาหกรรมคริปโตและบุคคลที่มีสินทรัพย์สูง โดยนักวิจัยได้เตือนมานานหลายปีว่าแฮกเกอร์เกาหลีเหนือมักปลอมตัวเป็นนักลงทุนร่วมทุน (Venture Capitalists) นักลงทุนทั่วไป และผู้สรรหาบุคลากร โดยใช้ข้อมูลระบุตัวตนของชาวอเมริกันที่ถูกขโมยมาเพื่อหลอกให้พนักงานอนุญาตให้เข้าถึงระบบ
การโจมตีรูปแบบนี้เป็นที่ทราบกันดีทั่วทั้งอุตสาหกรรมคริปโต และเคยเป็นหัวข้อที่รัฐบาลสหรัฐฯ รวมถึงบริษัทด้านความปลอดภัยไซเบอร์รายใหญ่ส่งคำเตือนหลายครั้งในช่วงไม่กี่ปีที่ผ่านมา โดยราวครึ่งหนึ่งของการบุกรุกระบบบริษัทเทคโนโลยีในสหรัฐฯ เมื่อปีที่แล้ว ถูกระบุว่ามีต้นตอมาจากชาวเกาหลีเหนือที่แฝงตัวเป็นพนักงานไอทีระยะไกลและผู้สรรหาบุคลากรปลอม
จากข้อมูลของ Binance เอง บริษัทเคยเผชิญกับการโจมตีที่ต้องสงสัยว่ามาจากเกาหลีเหนืออย่างน้อย 57 ครั้ง ซึ่งบริษัทยอมรับว่าสะท้อนถึงภัยคุกคามอย่างต่อเนื่องจากกลุ่มผู้ลงมือที่ได้รับการสนับสนุนจากรัฐที่มุ่งเป้ามายังอุตสาหกรรมคริปโตเคอร์เรนซี
คำถามด้านการรักษาความปลอดภัยภายในองค์กร
อย่างไรก็ตาม ประเด็นที่แฮกเกอร์สามารถโน้มน้าวให้วิศวกรดาวน์โหลดมัลแวร์ได้ ทั้งที่มีการแจ้งเตือนภัยคุกคามนี้อย่างแพร่หลาย รวมถึงการข้ามช่องโหว่ด้านความปลอดภัยในเครือข่ายของ Binance เอง น่าจะเป็นจุดสำคัญที่คณะผู้สืบสวนให้ความสนใจ
แม้กรณีนี้จะชี้ให้เห็นว่าแฮกเกอร์เกาหลีเหนือใช้กลวิธีทางวิศวกรรมสังคมอย่างข้อเสนองานเพื่อหลอกลวงพนักงาน แต่ท้ายที่สุดแล้วเป็นความรับผิดชอบของบริษัทในการดูแลไม่ให้ระบบสามารถรันซอฟต์แวร์ที่ไม่ได้รับอนุญาตหรือไม่น่าเชื่อถือ ซึ่งอาจนำไปสู่การถูกบุกรุกระบบได้
โฆษกของ Binance อ้างอิงถึงแถลงการณ์ต่อสาธารณะของบริษัท แต่ปฏิเสธที่จะตอบคำถามอย่างเป็นทางการเกี่ยวกับการป้องกันไม่ให้โค้ดที่ไม่ได้รับอนุญาตหรือมัลแวร์ทำงานบนแล็ปท็อปของพนักงาน รวมถึงประเด็นที่มีบุคคลภายนอกเข้ามาตรวจสอบความปลอดภัยทางไซเบอร์ในเครือข่ายของ Binance ก่อนเกิดเหตุการณ์หรือไม่
ทางบริษัทยืนยันว่าจะดึงตัวผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์เข้ามาตรวจสอบเหตุการณ์ และได้นำมาตรการรักษาความปลอดภัยใหม่มาใช้เพื่อป้องกันไม่ให้เกิดเหตุซ้ำรอย ทั้งนี้ การโจรกรรมดังกล่าวยังคงเป็นการขโมยคริปโตที่มีมูลค่าสูงที่สุดในประวัติศาสตร์
ที่มา: TechCrunch
