Binance ถูกโจมตีครั้งใหญ่ สูญเสียกว่า 6.3 พันล้านดอลลาร์: องค์กรเรียนรู้อะไรได้จากเหตุการณ์นี้?

เกิดอะไรขึ้นกับ Binance?

จากผลการตรวจสอบเบื้องต้นของ Binance เหตุการณ์ไม่ได้เริ่มขึ้นในวันที่สินทรัพย์ถูกขโมย แต่เส้นทางการโจมตี (Attack Path) มีการพัฒนาต่อเนื่องเป็นเวลาหลายเดือน ในเดือนมิถุนายน 2026 Wallet DevOps Engineer A ดาวน์โหลด tampered Homebrew installation เพื่อติดตั้ง AI Coding Tool ยอดนิยม หลังจากค้นหาเครื่องมือดังกล่าวผ่าน Search Engine

ทีม Security ของ Binance ตรวจพบความผิดปกติ เปลี่ยนอุปกรณ์ และเปลี่ยนรหัสผ่านรวมถึงการยืนยันตัวตน (Rotate Credentials) ที่เกี่ยวข้องทั้งหมด อย่างไรก็ตาม ข้อมูลเกี่ยวกับตำแหน่งงานของ Engineer A และบุคลากรที่เกี่ยวข้องกับ Wallet Infrastructure ถูกเปิดเผยให้ผู้โจมตีทราบแล้ว โดย Binance จัดเหตุการณ์ในขั้นตอนนี้เป็น Supply Chain Attack

ต่อมาในเดือนกันยายน 2026 Software Engineer B ถูกติดต่อผ่านแพลตฟอร์มหางานที่ถูกต้องโดยบุคคลที่อ้างตัวเป็นProject Director และจัดกระบวนการสัมภาษณ์งานหลายรอบ

รอบแรกเป็นการสัมภาษณ์ผ่านวิดีโอสด กับผู้ที่อ้างตัวเป็นตัวแทนฝ่ายบุคคล ซึ่งมีการแชร์บัญชี Social Media ที่ประกอบด้วยรูปภาพและวิดีโอส่วนตัวเพื่อสร้างความน่าเชื่อถือ จากนั้นมีการสัมภาษณ์รอบที่สองกับบุคคลที่อ้างว่าเป็น CEO ของบริษัทที่ถูกสร้างขึ้นมา โดยดำเนินการผ่านแอปแชท

ช่วงท้ายของการสัมภาษณ์ Engineer B ถูกขอให้ดาวน์โหลด “Assignment” ซึ่งมีโค้ดที่อันตราย ลงบนเครื่องที่ใช้ทำงาน และโค้ดเหล่านั้น เริ่มทำงานระหว่างขั้นตอนการติดตั้ง

Malware ดังกล่าวใช้เทคนิคการพรางหรือซ่อนข้อมูล และเทคนิคการหลบเลี่ยงการตรวจจับที่มีความซับซ้อนสูง รวมถึงการแทนที่ Component ของ Development Tool ที่ถูกต้องด้วยเวอร์ชันที่เป็นอันตราย เพื่อรันคำสั่ง และเชื่อมต่อกับเซิร์ฟเวอร์ภายนอก ที่ผู้โจมตีควบคุม

Binance ระบุชัดว่า 0-day Malware ไม่ถูกตรวจพบโดย Endpoint Security Protection Tools ในขณะนั้น ผู้โจมตียังดำเนินการซ่อนกิจกรรมและลบร่องรอยของการ Compromise ทำให้การตรวจจับและการตรวจสอบภายหลังทำได้ยากขึ้น

วันที่ 20 ตุลาคม ผู้โจมตีใช้เครื่องของ Engineer B ที่ถูกควบคุมแล้วเป็นจุดเริ่มต้น และใช้เครื่องมือ AI ภายในองค์กรเป็นฐานเพื่อขยายการโจมตี ไปสู่เครื่องของ Engineer A และ Engineer C ซึ่งดูแลระบบกระเป๋าเงินดิจิทัล (Wallet)

ระหว่างขั้นตอนดังกล่าว ผู้โจมตีพบโทเค็นสิทธิ์สำหรับติดตั้งระบบ (Container Deployment Permission Token) อยู่บนเครื่องของ Wallet DevOps Engineer A

วันที่ 29 ตุลาคม เส้นทางการโจมตี (Attack Path) ขยายไปถึง Wallet Signing Operations โดย Binance ระบุว่าในช่วงเวลา 17:15 ถึง 19:56 น. ผู้โจมตี Login เข้าเครื่องของ Software Engineer C ใช้ Credentials ที่ขโมยมาจาก Wallet DevOps Engineer A ทำการ Deploy Container และ Trigger Malicious Script เพื่อเริ่มการโจมตี

หลังจากนั้นผู้โจมตีใช้ Unauthorized Access ไปยัง Internal Wallet Signing Service เพื่อเริ่มธุรกรรมนอก Normal Withdrawal Process และมีการเคลื่อนย้ายสินทรัพย์จาก Binance Hot Wallets บนหลาย Blockchain Network

บน Ethereum ผู้โจมตียังใช้ EIP-7702 Authorization Mechanism ซึ่งสามารถมอบ Execution Rights บางส่วนให้ Smart Contract ได้โดยไม่ต้องเปิดเผย Private Key โดย Binance ระบุว่าผู้โจมตีใช้กลไกนี้เพื่อให้ Smart Contract ที่ควบคุมโดยผู้โจมตีมี Partial Execution Rights บน Binance Hot Wallet

สิ่งที่น่าสนใจจากเหตุการณ์นี้คือ Cyberattack ที่สร้างความเสียหายระดับหลายพันล้านดอลลาร์มี เส้นทางการโจมตี (Attack Path) ซึ่งเริ่มจากกิจกรรมที่พนักงานอาจพบในชีวิตการทำงานทั่วไป ทั้งการค้นหาและติดตั้ง Development Tool รวมถึงการเข้าร่วมการสัมภาษณ์งาน ก่อนที่จะค่อย ๆ ขยายไปยัง Endpoint, Credentials และระบบ Wallet ที่สำคัญ

บทเรียนจาก Binance ที่องค์กรควรนำกลับมาพิจารณา

1. พนักงานสามารถเป็น Initial Entry Point ได้โดยไม่ต้องเริ่มจาก Email Phishing

รูปแบบ Social Engineering มีความซับซ้อนขึ้น และสามารถเกิดขึ้นผ่านช่องทางที่พนักงานคุ้นเคย กรณี Binance ผู้โจมตีใช้แพลตฟอร์มหางานจริง สร้างกระบวนการสัมภาษณ์หลายรอบ ใช้ Live Video Interview และ Social Media Profile เพื่อสร้างความน่าเชื่อถือ ก่อนส่ง Assignment ที่มี โค้ดอันตรายให้พนักงานดาวน์โหลดลงบน Work Computer

พนักงานที่ทำงานในตำแหน่ง Developer, DevOps, System Administrator หรือผู้ที่มีสิทธิ์การเข้าถึงระดับสูง (Privileged Access) จึงเป็นเป้าหมายที่มีมูลค่าสูง เนื่องจากอุปกรณ์และ Credentials ของบุคลากรเหล่านี้อาจเชื่อมโยงไปยังระบบสำคัญขององค์กร

องค์กรควรสร้างความตระหนักรู้ให้ครอบคลุมสถานการณ์ที่เกิดขึ้นผ่านช่องทางอื่นนอกเหนือจาก Email เช่น Recruitment Platform, Social Media, Messaging Application, Software Repository และ Development Tools

2. Software ที่พนักงานดาวน์โหลดมาใช้งานเป็นส่วนหนึ่งของ Attack Surface

Developer และทีม IT มีการใช้งาน Package, Library, Open-source Software, Browser Extension และ AI Coding Tool เป็นส่วนหนึ่งของการทำงานอยู่เป็นประจำ

เหตุการณ์ของ Binance แสดงให้เห็นความเสี่ยงจาก Software Supply Chain เมื่อ Engineer A ดาวน์โหลด Tampered Homebrew Installation ระหว่างการติดตั้ง AI Coding Tool

Binance ยังระบุว่าตลอดปี 2026 ทีม Security ตรวจพบรูปแบบภัยคุกคามที่เกี่ยวข้องกับ Malicious Software ซึ่งปลอมเป็น Developer Tools ยอดนิยม, Compromised Software Packages, Browser Extensions และ Fake Video Conferencing Applications

องค์กรจึงควรกำหนดแหล่งที่มาของ Software ที่อนุญาตให้ใช้งาน ตรวจสอบ Package และ Repository ก่อนนำมาใช้ และเพิ่มระดับการควบคุมสำหรับอุปกรณ์ที่สามารถเข้าถึง Production Environment หรือระบบสำคัญ

3. Endpoint Protection ควรทำงานร่วมกับ Security Control ส่วนอื่น

กรณี Binance แสดงให้เห็นว่า Malware สามารถใช้เทคนิคปกปิดและเทคนิคการหลบเลี่ยงการตรวจจับเพื่อหลบเลี่ยงการตรวจจับได้ โดย 0-day Malware ที่ใช้ในเหตุการณ์นี้ไม่ถูกตรวจพบโดย Endpoint Security Protection Tools ในช่วงที่เกิดการ Compromise

องค์กรจึงควรมี Visibility ในหลายส่วนของ Environment เช่น Endpoint Activity, Authentication, Privileged Access, Network Activity, Cloud Activity และ Log จากระบบสำคัญ

การเชื่อมโยงข้อมูลจากหลายระบบช่วยให้ทีม Security เห็นพฤติกรรมที่อาจดูไม่ผิดปกติเมื่อพิจารณาแยกกัน และสามารถตรวจสอบ Activity ที่มีความเกี่ยวข้องกันได้เร็วขึ้นก่อนที่เส้นทางการโจมตี (Attack Path) จะไปถึง Critical Systems

4. Credentials, Tokens และ Privileged Access ต้องได้รับการควบคุมอย่างเหมาะสม

เมื่อ Endpoint ถูก Compromise ผู้โจมตีสามารถใช้เครื่องดังกล่าวเป็นจุดต่อไปยัง Credentials, Tokens และ Permissions ที่อยู่ใน Environment

ในเหตุการณ์ Binance ผู้โจมตีพบ Container Deployment Permission Token บนเครื่องของ Wallet DevOps Engineer A และต่อมาใช้ Credentials ที่ขโมยมาจาก Engineer A ระหว่างขั้นตอนที่เข้าถึง Wallet Signing Operations

องค์กรควรใช้ Principle of Least Privilege จำกัดสิทธิ์ตามหน้าที่ แยก Administrative Account ออกจาก Account สำหรับใช้งานทั่วไป ตรวจสอบ Privileged Access เป็นระยะ และมีมาตรการป้องกัน Credentials หรือ Tokens ที่มีสิทธิ์ระดับสูงบน Endpoint

5. ผู้โจมตีอาจอยู่ใน Environment เป็นเวลานานก่อนเกิดความเสียหายที่มองเห็นได้

Timeline ของ Binance แสดงให้เห็นว่าเส้นทางการโจมตี (Attack Path) เริ่มมีร่องรอยตั้งแต่ Supply Chain Attack ในเดือนมิถุนายน ตามด้วย Social Engineering ในเดือนกันยายน การใช้ Internal AI Tool เป็น Springboard วันที่ 20 ตุลาคม และการเข้าถึง Wallet Signing Operations วันที่ 29 ตุลาคม

ช่วงเวลาดังกล่าวเปิดโอกาสให้ผู้โจมตีเรียนรู้ Environment เก็บ Credentials เข้าควบคุมอุปกรณ์เพิ่มเติม และค่อย ๆ ขยายการเข้าถึงไปยังระบบสำคัญ

องค์กรจึงควรให้ความสำคัญกับ Continuous Monitoring, Behavioral Detection และการตรวจสอบ Activity ที่ผิดปกติ เพื่อเพิ่มโอกาสในการพบเส้นทางการโจมตีก่อนที่จะเกิดผลกระทบรุนแรง

6. Incident Response ที่รวดเร็วช่วยควบคุมผลกระทบได้

หลังตรวจพบเหตุการณ์ Binance ดำเนินมาตรการ Containment และ Remediation หลายด้าน ได้แก่ Rebuild ระบบ Wallet ที่ได้รับผลกระทบใน Environment ใหม่, Rebuild Internal AI Tool และ Access Controls, เปลี่ยนอุปกรณ์ที่ได้รับผลกระทบ, Decommission Credentials และ Tokens ของ Engineer ที่เกี่ยวข้อง รวมถึงทำ Enhanced Security Scans บนอุปกรณ์ของพนักงาน

Binance ยังเพิ่ม AI-based Behavioural Anomaly Detection, เสริม Wallet-service Risk Controls และทำงานร่วมกับ Law Enforcement, Blockchain Intelligence Firms และ Industry Partners เพื่อติดตามและ Freeze สินทรัพย์ที่ได้รับผลกระทบ

ในรายงานที่เผยแพร่วันที่ 3 พฤศจิกายน 2026 Binance ระบุว่ามีสินทรัพย์ดิจิทัลประมาณ 2.85 พันล้านดอลลาร์ถูก Frozen หรือ Intercepted

สำหรับการชดเชยสินทรัพย์ Binance ระบุว่า ณ วันที่ 31 ตุลาคม 2026 มีการเติมคืน Impacted Token Assets แล้ว 98% และบริษัทได้กันเงินมากกว่า 100% ของจำนวนที่ต้องใช้เพื่อรองรับความเสียหาย

เหตุการณ์นี้สะท้อนความสำคัญของ Incident Response ที่สามารถนำมาใช้งานได้จริง ตั้งแต่การ Containment, Credential Revocation, Device Replacement, System Rebuild ไปจนถึงการประสานงานกับหน่วยงานและ Partner ที่เกี่ยวข้อง

แล้วองค์กรควรเริ่มต้นรับมือจากตรงไหน?

ไม่มีมาตรการใดสามารถรับประกันได้ว่าองค์กรจะป้องกัน Cyberattack ได้ทุกกรณี สิ่งที่องค์กรสามารถทำได้คือประเมิน Attack Surface ของตัวเอง ลดจุดเสี่ยง และเตรียมความสามารถในการตรวจจับและตอบสนองเมื่อมี Activity ที่ผิดปกติ

ประเด็นที่ควรนำกลับไปประเมินครอบคลุมการสร้างความตระหนักรู้ให้กับพนักงาน การควบคุม Software และ Tools ที่นำเข้ามาใช้งานสำหรับข้อมูลยืนยันตัวตน (Credentials) และการสิทธิ์การเข้าถึงระดับสูง (Privileged Access Management)การทำ Vulnerability Assessment และ Penetration Testing รวมถึง Monitoring, Detection และ Incident Response

สำหรับระบบสำคัญ องค์กรควรตรวจสอบว่าการแจ้งเตือน (Alert) ที่เกิดขึ้นมีผู้รับผิดชอบติดตามอย่างต่อเนื่องหรือไม่ ข้อมูลจาก Security Tools หลายส่วนสามารถนำมาเชื่อมโยงกันได้หรือไม่ และทีมสามารถ Investigation และ Response ได้เร็วเพียงใดเมื่อพบพฤติกรรมผิดปกติ

เหตุการณ์ Binance จึงเป็นตัวอย่างที่ช่วยให้องค์กรกลับมาประเมิน People, Process และ Technology ของตัวเอง ตั้งแต่ Endpoint ของพนักงานไปจนถึง Access Control, Monitoring, Detection และ Critical Systems

สร้าง Cybersecurity Readiness ให้องค์กรด้วย BMSP

Cyberattack สามารถเริ่มจากกิจกรรมเล็ก ๆ ที่ดูเป็นเรื่องปกติ เช่น การดาวน์โหลด Software การติดตั้ง Development Tool การเปิด Code Repository หรือการติดต่อกับบุคคลภายนอก

จากจุดเริ่มต้นเหล่านี้ ผู้โจมตีอาจค่อย ๆ ขยายการเข้าถึงไปยัง Credentials, Privileged Access และระบบสำคัญขององค์กร

องค์กรจึงควรประเมินว่าทีมสามารถตรวจจับ ตรวจสอบ และควบคุม Suspicious Activity ได้รวดเร็วเพียงใด ก่อนที่เส้นทางการโจมตี (Attack Path) จะไปถึง Critical Systems หรือสร้างความเสียหายในวงกว้าง

BMSP พร้อมช่วยองค์กรประเมิน Cybersecurity Risks ตรวจสอบ Security Gaps และวางแนวทางเสริมความแข็งแกร่งให้กับ IT Environment โดยบริการ Cybersecurity และ IT Managed Services ครอบคลุม Vulnerability Assessment, Penetration Testing, Threat Monitoring and Detection รวมถึง Security Consulting ที่พิจารณาจาก Infrastructure, Risk Profile และ Operational Requirements ของแต่ละองค์กร

เหตุการณ์ของ Binance เป็นโอกาสให้องค์กรกลับมาทบทวน Environment ของตัวเอง ตั้งแต่ Employee Endpoints, Privileged Access, Software Usage ไปจนถึง Security Monitoring เพื่อดูว่ามีส่วนใดที่ควรปรับปรุงหรือเพิ่มมาตรการควบคุม

หากองค์กรต้องการประเมินความเสี่ยง ตรวจสอบ Security Gaps หรือวางแนวทาง Cybersecurity ให้เหมาะสมกับระบบที่ใช้งานอยู่ สามารถติดต่อ BMSP เพื่อพูดคุยและประเมินแนวทางที่เหมาะสมกับองค์กรได้

แหล่งอ้างอิง

• Binance, “October 29 Security Incident: Preliminary Findings and Response Update,” November 3, 2026.
• Federal Bureau of Investigation, “North Korea Responsible for $6 Billion+ Binance Attack,” October 31, 2026.
• Chainalysis, “The $6.4 Billion Binance Hack: Tracing the North Korea Link,” October 30, 2026.
• TRM Labs, “North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History,” October 29, 2026.