ภัยคุกคามอันดับ 1: Lazarus Group มุ่งโจมตีบริษัทคริปโตอย่างไร

แฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือขโมยเงินหลายพันล้านดอลลาร์จากอุตสาหกรรม cryptocurrency ในช่วงไม่กี่ปีที่ผ่านมา แต่ชื่อหนึ่งปรากฏในรายงานอาชญากรรมไซเบอร์บ่อยกว่ากลุ่มอื่น ๆ นั่นคือ Lazarus Group ปฏิบัติการแฮ็กที่ได้รับการสนับสนุนจากรัฐเปลี่ยนตลาดคริปโตให้เป็นแหล่งรายได้ได้อย่างไร และเหตุใดจึงหยุดยั้งได้ยากนัก?

โดยทั่วไป Lazarus Group มักถูกมองว่าเป็นกลุ่มแฮ็กเกอร์กลุ่มเดียว แต่ในทางปฏิบัติ กลุ่มนี้เป็นส่วนหนึ่งของปฏิบัติการไซเบอร์ของเกาหลีเหนือที่มีขอบเขตกว้างกว่ามาก การสืบสวนหลายครั้งระบุหน่วยงานและกลุ่มที่เกี่ยวข้องภายใต้ชื่ออย่าง APT38, BlueNoroff, TraderTraitor และชื่อเรียกอื่น ๆ

ดูโพสต์บน X กำลังโหลด...

news.removed-tweet-widget.title

news.removed-tweet-widget.content

สิ่งที่ทำให้ Lazarus แตกต่างคือความเชื่อมโยงกับรัฐ ทางการสหรัฐฯ เชื่อมโยงกลุ่มนี้กับ Reconnaissance General Bureau ของเกาหลีเหนือ และเชื่อว่าเงินที่ถูกขโมยช่วยให้ประเทศจัดหาสกุลเงินต่างประเทศได้ แม้จะอยู่ภายใต้มาตรการคว่ำบาตรระหว่างประเทศ

Cryptocurrency เป็นเป้าหมายที่น่าดึงดูดเป็นพิเศษ เพราะสามารถขโมยเงินจำนวนมากจากระยะไกล โอนย้ายอย่างรวดเร็วข้ามบล็อกเชน และแบ่งกระจายไปยังที่อยู่หลายพันแห่ง

จากธนาคารสู่แพลตฟอร์มแลกเปลี่ยนคริปโต

ประวัติของ Lazarus Group เริ่มต้นขึ้นนานก่อนที่สินทรัพย์ดิจิทัลจะได้รับความนิยมในวงกว้าง กลุ่มนี้ถูกเชื่อมโยงกับการโจมตี Sony Pictures ในปี 2014 ขณะที่แฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือขโมยเงิน $81 ล้านจากธนาคารกลางบังกลาเทศผ่านระบบ SWIFT ในปี 2016

จุดเปลี่ยนถัดมาเกิดขึ้นเมื่อตลาด cryptocurrency ขยายตัว แตกต่างจากธนาคารแบบดั้งเดิม บริษัทคริปโตควบคุมสินทรัพย์สภาพคล่องมูลค่ามหาศาล ดำเนินงานตลอด 24 ชั่วโมง และมักพึ่งพาพนักงานเพียงไม่กี่คน คีย์ส่วนตัว หรือระบบลงนามธุรกรรม

หนึ่งในการโจมตีครั้งใหญ่ที่สุดคือการแฮ็ก Ronin Bridge ในเดือนมีนาคม 2022 สินทรัพย์มูลค่าประมาณ $620 ล้านถูกขโมยจากระบบที่เกี่ยวข้องกับ Axie Infinity ต่อมา FBI ระบุอย่างเป็นทางการว่าปฏิบัติการดังกล่าวเป็นฝีมือของ Lazarus Group และ APT38

ดูโพสต์บน X กำลังโหลด...

news.removed-tweet-widget.title

news.removed-tweet-widget.content

ในเดือนมิถุนายนปีเดียวกัน Horizon Bridge ของ Harmony ถูกโจมตี ส่งผลให้เกิดความเสียหายประมาณ $100 ล้าน ในปี 2023 Atomic Wallet, Alphapo, CoinsPaid และ Stake.com กลายเป็นเหยื่อรายต่อ ๆ มา ขณะที่ DMM Bitcoin ของญี่ปุ่นสูญเสียเงินอีก $308 ล้านในปี 2024

ขโมยเงินหลายพันล้านดอลลาร์ภายในเวลาไม่กี่ปี

เหตุการณ์ที่มีชื่อเสียงมากที่สุดเกิดขึ้นในเดือนกุมภาพันธ์ 2025 เมื่อ Bybit สูญเสียเงินประมาณ $1.5B FBI เชื่อมโยงการโจรกรรมดังกล่าวกับแคมเปญ TraderTraitor ของเกาหลีเหนือ เมื่อพิจารณาจากมูลค่าที่ถูกขโมย เหตุการณ์นี้กลายเป็นการโจรกรรม cryptocurrency ครั้งเดียวที่ใหญ่ที่สุดในประวัติศาสตร์

Chainalysis ประเมินว่ากลุ่มที่เชื่อมโยงกับเกาหลีเหนือขโมย cryptocurrency อย่างน้อย $2B ในปี 2025 เพียงปีเดียว ภายในสิ้นปีนั้น ยอดสะสมจากปีก่อน ๆ รวมกันสูงถึง $6.75B

ดูโพสต์บน X กำลังโหลด...

news.removed-tweet-widget.title

news.removed-tweet-widget.content

การโจมตียังคงดำเนินต่อไปในปี 2026 นักวิจัยเชื่อมโยงการโจรกรรมครั้งใหญ่จาก Drift Protocol และ KelpDAO กับผู้โจมตีชาวเกาหลีเหนือ ขณะที่การแฮ็ก Bitget ในเดือนกันยายนทำให้ยอดเงินที่ถูกขโมยในปีนั้นทะลุ $1B

ไม่ใช่ทุกการโจมตีที่ดำเนินการโดยกลุ่มเกาหลีเหนือจะถูกระบุว่าเป็นฝีมือของ Lazarus โดยตรง และชื่อเรียกที่แตกต่างกันมักหมายถึงทีมแยกย่อยภายในระบบเดียวกันที่ได้รับการสนับสนุนจากรัฐ ดังนั้น จึงแม่นยำกว่าหากกล่าวว่าแฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือขโมย cryptocurrency ไปแล้วมากกว่า $7B ภายในฤดูใบไม้ร่วงปี 2026 โดย Lazarus ยังคงเป็นหนึ่งในองค์ประกอบหลักของปฏิบัติการดังกล่าว

แฮกเกอร์มุ่งเป้าไปที่คน ไม่ใช่บล็อกเชน

ปฏิบัติการครั้งใหญ่ของ Lazarus มักเริ่มต้นจากการเข้าถึงพนักงานหรือระบบภายในของบริษัท มากกว่าจะเริ่มจากช่องโหว่ของ smart contract ผู้สรรหาบุคลากรปลอมติดต่อผู้พัฒนาผ่าน LinkedIn ส่ง “แบบทดสอบ” ไฟล์หรือ repository ที่เป็นอันตราย และพยายามขโมยข้อมูลรับรองหรือเข้าถึงอุปกรณ์ที่ใช้ทำงาน

ทางการสหรัฐฯ และญี่ปุ่นอธิบายแนวทางนี้อย่างชัดเจนหลังการแฮ็ก DMM Bitcoin ผู้โจมตีปลอมตัวเป็นผู้สรรหาบุคลากรติดต่อพนักงานของ Ginco ซึ่งเป็นบริษัทที่เกี่ยวข้องกับแพลตฟอร์มแลกเปลี่ยน และใช้วิศวกรรมสังคมเพื่อเข้าถึงระบบที่เกี่ยวข้องกับการประมวลผลธุรกรรม

อีกแนวทางหนึ่งใช้เวลาหลายเดือนในการดำเนินการ เจ้าหน้าที่ไอทีชาวเกาหลีเหนือได้งานในบริษัทคริปโตที่ถูกกฎหมายโดยใช้ตัวตนปลอม และเข้าถึงระบบภายในในฐานะพนักงาน

ดูโพสต์บน X กำลังโหลด...

news.removed-tweet-widget.title

news.removed-tweet-widget.content

ตามข้อมูลของ TRM Labs มูลค่าประมาณ 76% ของสินทรัพย์ที่ถูกขโมยในช่วงครึ่งแรกของปี 2026 เกิดจากการเจาะระบบภายในและกระบวนการปฏิบัติงาน การควบคุมคีย์ส่วนตัว บัญชี หรือระบบลงนามธุรกรรม ทำให้ผู้โจมตีโอนเงินได้โดยไม่จำเป็นต้องใช้ประโยชน์จากช่องโหว่ในบล็อกเชนโดยตรง

ขั้นที่สอง: การเคลื่อนย้ายเงินที่ถูกขโมย

ทันทีหลังการโจมตี สินทรัพย์ที่ถูกขโมยจะถูกแบ่งไปยังที่อยู่จำนวนมาก แลกเปลี่ยนผ่านแพลตฟอร์มแบบกระจายศูนย์ โอนข้ามบล็อกเชน และส่งผ่านบริการที่ทำให้ติดตามธุรกรรมได้ยากขึ้น

หลังการแฮ็ก Horizon Bridge FBI ติดตามการใช้งาน RAILGUN ขณะที่ Lazarus ใช้ Tornado Cash ในปฏิบัติการอื่น ๆ และก่อนหน้านี้เคยพึ่งพา Sinbad เมื่อบริการใดเผชิญมาตรการคว่ำบาตรหรือปิดตัวลง เส้นทางการฟอกเงินก็เปลี่ยนไป

หลังการแฮ็ก Bybit สินทรัพย์ที่ถูกขโมยถูกแปลงอย่างรวดเร็ว กระจายไปยังที่อยู่หลายพันแห่ง และโอนย้ายข้ามบล็อกเชน

กรณีล่าสุดแสดงให้เห็นว่าเครือข่ายนี้ขยายไปไกลเกินกว่าเกาหลีเหนือเอง ZachXBT อ้างว่าเครือข่ายอาชญากรรมของจีนช่วยฟอกเงินมากกว่า $1B ที่ Lazarus ขโมยจากการโจมตีหลายครั้ง หลังการแฮ็ก Bybit นักสืบสวนแทรกซึมเข้าไปในเครือข่ายด้วยการปลอมตัวเป็นลูกค้า และเชื่อมโยงผู้ปฏิบัติการแต่ละรายกับเงินที่ถูกขโมยมูลค่าหลายล้านดอลลาร์

เหตุใด Lazarus จึงยังเป็นภัยคุกคามเชิงระบบ

การบล็อก wallet หรือบริการเพียงรายการเดียวแทบไม่สามารถหยุด Lazarus ได้ เบื้องหลังกลุ่มที่อยู่ชุดหนึ่งอาจมีตัวกลางรายใหม่ พนักงานที่ใช้ตัวตนปลอม เครือข่ายฟอกเงิน และระบบที่ต้องพึ่งพากระแสเงินอย่างต่อเนื่อง ทางการสหรัฐฯ เชื่อมโยงรายได้จากปฏิบัติการเหล่านี้โดยตรงกับโครงการของเกาหลีเหนือ ซึ่งรวมถึงการพัฒนาขีปนาวุธ баллистิกและอาวุธนิวเคลียร์ สำหรับระบอบการปกครองที่เผชิญมาตรการคว่ำบาตรอย่างรุนแรง อุตสาหกรรม cryptocurrency กลายเป็นช่องทางหนึ่งในการจัดหาสกุลเงินต่างประเทศโดยไม่ต้องเข้าถึงระบบการเงินระหว่างประเทศแบบดั้งเดิม

สิ่งนี้ยังเปลี่ยนแปลงข้อกำหนดด้านความปลอดภัยด้วย แพลตฟอร์มแลกเปลี่ยนและโครงการ DeFi ไม่สามารถพึ่งพาการตรวจสอบ smart contract เพียงอย่างเดียวอีกต่อไป แต่ยังต้องตรวจสอบกระบวนการสรรหาบุคลากร อุปกรณ์ของพนักงาน สิทธิ์การเข้าถึง ระบบลงนามธุรกรรม และผู้รับเหมาภายนอก

ขณะเดียวกัน การโจรกรรมครั้งใหญ่แต่ละครั้งเพิ่มแรงกดดันต่อบริการที่อาจมีประโยชน์โดยชอบด้วยกฎหมายด้วย Mixers, bridges และแพลตฟอร์มแลกเปลี่ยนแบบกระจายศูนย์ต้องเผชิญมาตรการคว่ำบาตรและการตรวจสอบด้านกฎระเบียบ เมื่อเงินหลายร้อยล้านดอลลาร์ที่เชื่อมโยงกับเกาหลีเหนือไหลผ่านบริการเหล่านี้

ตลอดช่วงหลายปีที่ผ่านมา Lazarus พัฒนาจากหนึ่งในกลุ่มแฮ็กเกอร์จำนวนมากจนกลายเป็นภัยคุกคามเชิงระบบต่ออุตสาหกรรม cryptocurrency จุดแข็งของกลุ่มไม่ได้อยู่ที่ช่องโหว่ซับซ้อนเพียงจุดใดจุดหนึ่ง แต่อยู่ที่ความสามารถในการผสานวิศวกรรมสังคม การเข้าถึงระบบภายใน การโจมตีทางเทคนิค และการฟอกเงินระหว่างประเทศเข้าด้วยกันเป็นปฏิบัติการที่ประสานงานกัน

ดังนั้น ขนาดของปัญหาจึงไม่อาจวัดได้จากมูลค่าเงินหลายพันล้านดอลลาร์ที่ถูกขโมยไปเพียงอย่างเดียว ตราบใดที่บริษัทคริปโตยังเป็นเป้าหมายที่เข้าถึงสินทรัพย์ดิจิทัลสภาพคล่องได้ง่าย และยังมีเครือข่ายสำหรับเคลื่อนย้ายและฟอกเงินที่ถูกขโมย การโจมตีของ Lazarus ก็จะยังคงเป็นภัยคุกคามต่อทั้งอุตสาหกรรม ไม่ใช่เพียงเหตุการณ์ที่เกิดขึ้นแยกเป็นรายครั้ง