การโจรกรรมคริปโตสองครั้งเดินตามเส้นทางเดียวกัน: เหตุโจรกรรม Binance มูลค่า $6.36bn และเหตุโจรกรรมที่ต้องสงสัยใน EU มูลค่า $106m

ภายในหนึ่งสัปดาห์ การโจรกรรมคริปโตสองครั้งเดินตามรูปแบบเดียวกัน เงินที่ถูกขโมยเดินทางในเส้นทางที่ถูกกำหนดโดยหลักจากความกลัวว่าจะถูกอายัด การทำความเข้าใจเส้นทางนี้ทำให้กระจ่างว่าส่วนใดของทรัพย์ที่ถูกปล้นอาจถูกกู้คืนได้ ส่วนใดอาจยังคงสูญหาย และเหตุใดเงินบางจำนวนอาจเข้าสู่การหมุนเวียนในภายหลัง

เหตุโจรกรรมครั้งใหญ่กว่านั้นเกี่ยวข้องกับ Binance เมื่อวันที่ 29 ตุลาคม มีเงินประมาณ $6.36 billion ถูกนำออกจาก hot wallets ของตลาดแลกเปลี่ยนข้ามสิบบล็อกเชน โดยส่วนใหญ่ไหลออกไปในเวลาประมาณ 20 นาที รายงานโดย TRM Labs ซึ่งเป็นบริษัทวิเคราะห์บล็อกเชน hot wallet คือกระเป๋าเงินที่เชื่อมต่ออินเทอร์เน็ตซึ่งใช้ประมวลผลการถอนเงิน FBI กล่าวโทษ TraderTraitor ซึ่งเป็นกลุ่มแฮ็กเกอร์เกาหลีเหนือ และถือเป็นการโจรกรรมคริปโตครั้งใหญ่ที่สุดเท่าที่เคยบันทึกไว้

เหตุการณ์ที่สองยังไม่ได้รับการยืนยัน เมื่อวันจันทร์ นักวิจัยบล็อกเชน ZachXBT รายงานว่าองค์กรใน EU ที่ไม่ระบุตัวตนอาจสูญเสียเงินมากกว่า $106 million จากบัญชีตลาดแลกเปลี่ยนหลายบัญชีเมื่อวันอาทิตย์ เนื่องจากทั้งเหยื่อและตลาดแลกเปลี่ยนยังไม่ถูกระบุชื่อ จึงยังคงเป็นการโจรกรรมที่ต้องสงสัย อย่างไรก็ตาม เหตุการณ์นี้เป็นตัวอย่างประกอบ เนื่องจากเงินดูเหมือนจะเดินตามเส้นทางเดียวกัน

ขั้นที่ 1: เทขายสเตเบิลคอยน์ให้เร็วที่สุดเท่าที่จะทำได้

สเตเบิลคอยน์อย่าง USDT ของ Tether และ USDC ของ Circle เป็นอุปสรรคใหญ่ที่สุดสำหรับขโมย ผู้ออกโทเค็นสามารถล็อกโทเค็นในกระเป๋าเงินที่กำหนดไว้แห่งใดก็ได้ ซึ่งทำให้เงินดอลลาร์ที่ถูกขโมยไม่สามารถใช้งานได้จริง

เหตุการณ์เช่นนั้นเกิดขึ้นจริงในกรณีของ Binance ตามข้อมูลของ TRM Labs Tether อายัด USDT ประมาณ 971 million ในกระเป๋าเงินรับเงินหลักของผู้โจมตีภายใน 37 นาทีหลังการกวาดเงินครั้งหลัก และ Circle อายัด USDC 823 million ในอีกไม่กี่นาทีถัดมา เมื่อรวมการอายัดโดย Tether, Circle, Ripple, World Liberty Financial และ Arbitrum's Security Council TRM ประเมินยอดรวมไว้ที่ประมาณ $2.7 billion Binance รายงานประมาณ $3 billion

ผู้โจมตีรีบเร่งเพื่อเอาชนะการอายัดเหล่านั้นและต้องแบกรับต้นทุนจำนวนมาก TRM รายงานว่า USDT ประมาณ 325 million ถูกส่งให้มาร์เก็ตเมเกอร์เพื่อแลกกับ ETH ประมาณ 122,300 ซึ่งบ่งชี้ถึงส่วนลดที่เกิน 10% เมื่อเทียบกับราคาตลาด นอกจากนี้ USDT 60 million ถูกฝากเป็นหลักประกันบนโปรโตคอลการให้กู้ยืม Aave เพื่อกู้ยืม ETH ประมาณ 19,760 การยอมรับส่วนลดมูลค่าที่มากขนาดนั้นแสดงให้เห็นว่าขโมยให้ความสำคัญกับการหลีกเลี่ยงการอายัดมากเพียงใด

เหตุการณ์ที่ต้องสงสัยใน EU เริ่มต้นในลักษณะคล้ายกัน ZachXBT ระบุว่าเงินออกจากตลาดแลกเปลี่ยนในรูปแบบ USDC และ USDT โดย USDC ถูกแปลงเป็น Ether

ขั้นที่ 2: ตัดร่องรอยและสลับบล็อกเชน

เมื่อเงินอยู่ในสินทรัพย์ที่ผู้ออกไม่สามารถอายัดได้ — โดยหลักคือ ETH และ BTC — เป้าหมายก็กลายเป็นการทำให้ตามรอยได้ยาก

เทคนิคหนึ่งคือ peel chain TRM รายงานว่า BTC 18,270 ที่ถูกขโมยจาก Binance ถูกแบ่งเป็นจำนวนที่ปัดเศษเป็น 1,000 และ 100 BTC ภายในบล็อกเดียว ทำให้เกิดเส้นทางเล็กลงหลายเส้นแทนที่จะเป็นเส้นทางชัดเจนเพียงเส้นเดียว ยังตรวจพบกิจกรรมอัตโนมัติ โดยเงินเคลื่อนย้ายไปมาระหว่างกระเป๋าเงิน — แม้แต่ที่อยู่ที่เคยใช้มาก่อน — เพื่อขัดขวางการวิเคราะห์

อีกวิธีหนึ่งคือ chain hopping สะพาน cross-chain จะโอนสินทรัพย์จากบล็อกเชนหนึ่งไปยังอีกบล็อกเชนหนึ่ง ซึ่งบังคับให้นักสืบกลับมาเริ่มตามรอยบนเครือข่ายแยกต่างหาก ในกรณีที่เล็กกว่าซึ่งถูกระบุเมื่อวันจันทร์ แพลตฟอร์มวิเคราะห์ on-chain ชื่อ Onchain Lens ตั้งข้อสังเกตว่าเงินจากกระเป๋าเงินที่เชื่อมโยงกับ King — บอททำ arbitrage บน Solana — ผ่านกระเป๋าเงิน Solana หลายแห่งและต่อมาเคลื่อนย้ายไปยัง Ethereum ผ่านบริการสะพาน Mayan ผู้ดำเนินการของ King ยังไม่ได้ยืนยันว่ามีการละเมิด แต่รูปแบบดังกล่าวเป็นกรณีตัวอย่างในตำรา

TRM ตั้งข้อสังเกตว่าการฟอกเงินในช่วงแรกของ Binance พึ่งพามาร์เก็ตเมเกอร์และโปรโตคอลการให้กู้ยืมมากกว่าวิธีที่ใช้สะพานอย่างหนัก ซึ่งเห็นได้หลังเหตุแฮ็ก Bybit มูลค่า $1.5 billion ในปี 2025 บริษัทคาดว่าสะพาน บริการ swap และนายหน้าซื้อขายแบบ over-the-counter จะมีบทบาทในระยะถัดไป

ขั้นที่ 3: หายตัวออกจากโครงข่ายแล้วเปลี่ยนเป็นเงินสด

ขั้นตอนสุดท้ายมุ่งเน้นไปที่การตัดร่องรอยสาธารณะและเปลี่ยนคริปโตเคอร์เรนซีให้เป็นเงินสดที่ใช้งานได้

การโจรกรรมที่ต้องสงสัยใน EU แสดงให้เห็นขั้นตอนการหายไปจากระบบอย่างชัดเจน ZachXBT รายงานว่าเงินผ่านแพลตฟอร์มแลกเปลี่ยนแบบทันที เช่น WellWallet และ Kyrrex และถูกสวอปเป็น Monero ผ่านบริการชื่อ Wagyu การแลกเปลี่ยนแบบทันทีช่วยให้สวอปเหรียญได้อย่างรวดเร็ว โดยปกติมีการตรวจสอบที่เข้มงวดน้อยกว่าตลาดแลกเปลี่ยนขนาดใหญ่ Monero เป็น privacy coin: แตกต่างจาก Bitcoin หรือ Ethereum ซึ่งบันทึกทุกธุรกรรมบนบัญชีแยกประเภทสาธารณะ มันปกปิดผู้ส่ง ผู้รับ และจำนวนโดยค่าเริ่มต้น เมื่อสินทรัพย์อยู่ใน Monero การติดตามบนบล็อกเชนก็กลายเป็นเรื่องท้าทายมากขึ้นมาก

ขั้นตอนสุดท้ายเกี่ยวข้องกับการแปลงเป็นเงินสด โดยทั่วไปผ่านนายหน้าซื้อขายแบบ over-the-counter และเครือข่ายฟอกเงินที่มีการจัดตั้ง CNBC อ้างคำกล่าวของผู้เชี่ยวชาญที่ระบุว่าเครือข่ายเหล่านี้ลดโอกาสในการกู้คืน ขั้นตอนนี้อาจกินเวลาหลายสัปดาห์หรือหลายเดือน ซึ่งอธิบายว่าเหตุใดเงินที่ถูกขโมยจึงยังคงเคลื่อนย้ายต่อไปได้นานหลังจากความสนใจของสื่อในช่วงแรก

ความเกี่ยวข้องสำหรับเทรดเดอร์และนักลงทุน

เส้นทางนี้อธิบายความแตกต่างระหว่างสิ่งที่ถูกอายัดและสิ่งที่ไม่ได้ถูกอายัด สเตเบิลคอยน์เป็นส่วนที่สามารถกู้คืนได้ ETH และ BTC ไม่สามารถกู้คืนได้ ตามข้อมูลของ TRM ผู้โจมตี Binance ยังคงถือ ETH มากกว่า 420,000 และ BTC 18,270 ซึ่งมีมูลค่าประมาณ $2.4 billion และอยู่นอกอำนาจของผู้ออกใดๆ ที่จะอายัดได้

สถานการณ์นี้สร้าง overhang ในตลาดที่อาจเกิดขึ้นได้ หาก ETH หรือ BTC จำนวนมากนั้นถูกขายในที่สุด ก็จะเพิ่มอุปทาน เวลาและวิธีการยังไม่เป็นที่ทราบ และการฟอกเงินโดยทั่วไปเกิดขึ้นในส่วนเล็กๆ ในช่วงเวลาที่ยาวนาน ดังนั้นจึงไม่ควรถูกมองว่าเป็นการเทขายที่กำลังจะมาถึง เป็นองค์ประกอบที่ต้องจับตา ไม่ใช่การคาดการณ์

ยังมีมิติด้านอุปสงค์ด้วย Yi He ผู้ร่วมซีอีโอของ Binance ระบุว่าตลาดแลกเปลี่ยนจัดสรรเงินบริษัทมากกว่า $6.34 billion เพื่อครอบคลุมสินทรัพย์ที่ถูกขโมย และรายงานข่าวระบุว่าบางส่วนจะถูกซื้อผ่านธุรกรรม OTC และการซื้อขายบนตลาดแลกเปลี่ยน

สำหรับนักลงทุนรายบุคคล บทเรียนสำคัญเกี่ยวข้องกับจุดที่ความเสี่ยงอยู่ การโจมตีนี้พุ่งเป้าไปที่ hot wallets ของ Binance เอง และ Binance ระบุว่ากำลังแบกรับความสูญเสีย ดังนั้นลูกค้าจึงไม่ได้รับการแจ้งถึงความสูญเสียใดๆ อย่างไรก็ตาม มันทำหน้าที่เป็นเครื่องเตือนใจว่าคริปโตเคอร์เรนซีที่ถือบนแพลตฟอร์มใดก็ตามขึ้นอยู่กับความปลอดภัยของแพลตฟอร์มนั้น การอายัดสเตเบิลคอยน์ก็มีสองด้าน: มันช่วยในกรณีนี้ แต่ก็แสดงให้เห็นว่าผู้ออกสามารถควบคุมโทเค็นในกระเป๋าเงินใดก็ได้

สิ่งที่ต้องติดตามต่อไป

• การเคลื่อนย้ายจากกระเป๋าเงิน ETH และ BTC ของผู้โจมตี: TRM กำลังติดตาม peel chain และกระเป๋าเงิน consolidation การโอนจำนวนมากไปยังตลาดแลกเปลี่ยนหรือโต๊ะ OTC จะเป็นสัญญาณเริ่มต้นว่าเงินที่ถูกขโมยกำลังถูกขาย
• สาเหตุรากของ Binance: ตลาดแลกเปลี่ยนยังไม่ได้เปิดเผยคำอธิบายที่ครอบคลุมว่าระบบการลงนามของตนถูกเจาะได้อย่างไร สิ่งนี้สำคัญต่อการประเมินว่าแพลตฟอร์มอื่นมีความเปราะบางคล้ายกันหรือไม่
• การยืนยันกรณี EU: หากเหยื่อหรือตลาดแลกเปลี่ยนถูกระบุตัวตน หรือมียอดความสูญเสียที่ได้รับการตรวจสอบแล้วปรากฏขึ้น เหตุการณ์มูลค่า $106 million ก็จะกลายเป็นเรื่องที่ชัดเจนแตกต่างออกไป จนกว่าจะถึงตอนนั้น มันยังคงเป็นการโจรกรรมที่ต้องสงสัย
• ยอดรวมการอายัดที่ปรับปรุงแล้ว: การเปลี่ยนแปลงใดๆ ในจำนวนที่ถูกอายัดหรือถูกส่งคืนจะเปลี่ยนการประเมินว่าอะไรยังคงอยู่ในการควบคุมของผู้โจมตี

สิ่งที่อาจเปลี่ยนสถานการณ์: หาก ETH และ BTC ที่ถูกขโมยยังคงไม่ถูกแตะต้องเป็นเวลาหลายเดือน overhang ก็จะมีความเกี่ยวข้องน้อยลงในระยะสั้น หากเงินจำนวนมากเริ่มปรากฏบนตลาดแลกเปลี่ยน มันก็จะกลายเป็นปัญหาด้านอุปทานที่เร่งด่วนมากขึ้น ไม่ว่ากรณีใด การติดตามกระเป๋าเงินให้ผลดีกว่าการคาดเดา