แฮกเกอร์โยงเกาหลีเหนือขโมยคริปโต 12.8 พันล้านดอลลาร์ตั้งแต่ปี 2017 ปี 2026 แล้ว 7.4 พันล้านดอลลาร์

แฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือขโมยสินทรัพย์คริปโตไปประมาณ 12.8 พันล้านดอลลาร์ (ประมาณ 17.344 ล้านล้านวอน) นับตั้งแต่ปี 2017 โดยยอดที่ขโมยได้ในปี 2026 อยู่ที่ 7.4 พันล้านดอลลาร์ (ประมาณ 10.027 ล้านล้านวอน)

TRM Labs ระบุในบทวิเคราะห์เมื่อวันที่ 30 ตุลาคมว่า การโจมตีที่เชื่อมโยงกับเกาหลีเหนือคิดเป็น 85% ของมูลค่าความเสียหายจากการแฮ็กคริปโตทั่วโลกจนถึงเดือนตุลาคม 2026 โดยยอดที่ขโมยได้ในปีนี้ส่วนใหญ่มาจากเหตุแฮ็ก Binance

สำนักงานสอบสวนกลางสหรัฐฯ (Federal Bureau of Investigation: FBI) ระบุเมื่อวันที่ 31 ตุลาคมว่าเกาหลีเหนืออยู่เบื้องหลังการแฮ็ก Binance และเรียกปฏิบัติการไซเบอร์นี้ว่า TraderTraitor

Binance ประเมินมูลค่าสินทรัพย์ที่ได้รับผลกระทบจากเหตุการณ์ไว้ที่ประมาณ 6.34 พันล้านดอลลาร์ (ประมาณ 8.6104 ล้านล้านวอน) พร้อมระบุว่าจะรับผิดชอบความเสียหายแทนผู้ใช้

ผลสอบสวนที่ Binance เปิดเผยระบุว่า การโจมตีเกิดขึ้นเป็นหลายระยะตั้งแต่เดือนมิถุนายน วิศวกรคนหนึ่งพยายามติดตั้งเครื่องมือเขียนโค้ด AI แต่กลับดาวน์โหลดไฟล์ติดตั้ง Homebrew ที่ถูกดัดแปลง บริษัทตรวจพบความผิดปกติ จึงเปลี่ยนอุปกรณ์ดังกล่าวและเปลี่ยนข้อมูลรับรองที่เกี่ยวข้อง

ในเดือนกันยายน วิศวกรซอฟต์แวร์ที่เปิดเผยประวัติการทำงานกับ Binance บนแพลตฟอร์มหางานได้รับข้อเสนอรับเข้าทำงาน หลังสัมภาษณ์ผ่านวิดีโอกับผู้สรรหาปลอม เขาได้รับโจทย์พัฒนาซอฟต์แวร์ที่มีโค้ดอันตรายแฝงอยู่

Binance ระบุเมื่อวันที่ 20 ตุลาคมว่า ผู้โจมตีใช้คอมพิวเตอร์ของวิศวกรที่ติดมัลแวร์และเครื่องมือ AI ภายในบริษัท เพื่อเข้าถึงสิทธิ์ของพนักงานคนอื่น เช่น ผู้ดูแลการดำเนินงานของกระเป๋าเงิน ในขั้นตอนนี้ผู้โจมตีระบุโทเคนของพนักงานที่มีสิทธิ์ติดตั้งคอนเทนเนอร์ได้

เมื่อวันที่ 29 ตุลาคม ผู้โจมตีใช้ข้อมูลรับรองที่ขโมยมาเข้าสู่คอมพิวเตอร์ของพนักงานอีกคน ติดตั้งคอนเทนเนอร์และเรียกใช้สคริปต์อันตราย จากนั้นเข้าถึงระบบลงนามธุรกรรมของกระเป๋าเงินภายในโดยไม่ได้รับอนุญาต และอนุมัติธุรกรรมนอกขั้นตอนถอนเงินตามปกติ Binance ระบุว่าได้สร้างระบบกระเป๋าเงินและเครื่องมือ AI ภายในที่อยู่ในเส้นทางการบุกรุกขึ้นใหม่แล้ว

บทความปี 2004 ของวิทยาลัยบัณฑิตศึกษากองทัพเรือสหรัฐฯ (U.S. Naval Postgraduate School) ระบุว่า Mirim Academy ก่อตั้งขึ้นในปี 1984 และเปลี่ยนเป็น Mirim College หลักสูตร 5 ปีในเดือนพฤษภาคม 1986 โรงเรียนแห่งใหม่รับผู้ที่เข้ารับราชการทหารและนักเรียนมัธยมปลายที่มีผลการเรียนดีจากแต่ละภูมิภาคเข้าศึกษา โดยสอนด้านคอมพิวเตอร์ การเขียนโปรแกรม และสงครามอิเล็กทรอนิกส์

บริษัทด้านความปลอดภัย DTEX วิเคราะห์ว่านักเรียนโรงเรียนมัธยมต้นคึมซองที่ 1 (금성제1중학교) เรียนคอมพิวเตอร์ 1,660 ชั่วโมงตลอด 6 ปี เนื้อหาครอบคลุม Linux, C และ C++, Windows, เครือข่าย และปัญญาประดิษฐ์ รายงานระบุว่าผู้สำเร็จการศึกษาไปทำงานเป็นโปรแกรมเมอร์ เจ้าหน้าที่ปฏิบัติการไซเบอร์ หรือแรงงานไอทีในต่างประเทศ

กระทรวงยุติธรรมสหรัฐฯ (U.S. Department of Justice) ระบุในประกาศการฟ้องร้องเมื่อปี 2021 ว่า กิจกรรมของแฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือรวมถึงการแฮ็ก Sony Pictures ในปี 2014 การขโมยเงิน 81 ล้านดอลลาร์ (ประมาณ 109.8 พันล้านวอน) จากธนาคารกลางบังกลาเทศในปี 2016 และการโจมตี WannaCry ในปี 2017

ตลาดซื้อขายคริปโตและบริการที่ใช้บล็อกเชนก็ตกเป็นเป้าหมายด้วย FBI ระบุในปี 2022 ว่าการขโมยเงิน 620 ล้านดอลลาร์ (ประมาณ 840.1 พันล้านวอน) จาก Ronin Bridge ของ Axie Infinity เชื่อมโยงกับ Lazarus และ APT38 ส่วนการขโมยเงิน 1.5 พันล้านดอลลาร์ (ประมาณ 2.0325 ล้านล้านวอน) จาก Bybit ในปี 2025 นั้น FBI ระบุว่าเป็นส่วนหนึ่งของกิจกรรม TraderTraitor ที่เชื่อมโยงกับเกาหลีเหนือ

การทำงานด้านไอทีทางไกลเป็นอีกช่องทางหนึ่งในการเข้าถึงเครือข่ายภายในองค์กร กระทรวงยุติธรรมสหรัฐฯ ระบุในประกาศปี 2025 ว่าบุคลากรที่เชื่อมโยงกับเกาหลีเหนือใช้ข้อมูลประจำตัวปลอมหรือถูกขโมยเพื่อทำงานทางไกลให้บริษัทในสหรัฐฯ มากกว่า 100 แห่ง พวกเขาได้รับค่าจ้าง และบางรายเข้าถึงข้อมูลสำคัญของบริษัทกับสินทรัพย์คริปโตได้

ทีมติดตามการคว่ำบาตรพหุภาคี (Multilateral Sanctions Monitoring Team: MSMT) ประเมินในรายงานปี 2025 ว่าเงินที่ขโมยจาก Bybit มีแนวโน้มถูกแปลงเป็นเงินสดทั้งหมดแล้วภายในเดือนกันยายนปีเดียวกัน รายงานระบุว่าคนกลางในจีน รัสเซีย และฮ่องกง รวมถึงฐานปฏิบัติการในกัมพูชา มีส่วนเกี่ยวข้องกับการเคลื่อนย้ายและแปลงเงินเป็นเงินสด MSMT ประเมินว่ากิจกรรมไซเบอร์และการจัดหาแรงงานไอทีของเกาหลีเหนือเป็นช่องทางระดมทุนให้โครงการอาวุธผิดกฎหมายและขีปนาวุธ

TRM Labs ระบุว่าในกรณีแฮ็ก 100 ครั้งที่โยงกับเกาหลีเหนือ มี 13 ครั้งที่อาศัยช่องโหว่ในโค้ดสมาร์ตคอนแทรกต์ และมูลค่าที่ขโมยจากกรณีเหล่านี้คิดเป็นประมาณ 1% ของยอดที่แฮกเกอร์ซึ่งเชื่อมโยงกับเกาหลีเหนือขโมยไปทั้งหมด หากนับรวมเหตุ Binance การบุกรุกโครงสร้างพื้นฐาน เช่น คีย์ส่วนตัว เซิร์ฟเวอร์ และระบบลงนามธุรกรรม คิดเป็น 88% ของยอดดังกล่าว