จากเด็กเก่งคณิตศาสตร์ สู่แฮ็กเกอร์ระดับโลก! เปิดเบื้องหลังเกาหลีเหนือกับปฏิบัติการโจรกรรมคริปโทหลายพันล้านดอลลาร์

จะเกิดอะไรขึ้น หากการสมัครงานตำแหน่งวิศวกรซอฟต์แวร์ธรรมดา ๆ กลับกลายเป็นจุดเริ่มต้นของการโจรกรรมคริปโทครั้งใหญ่ที่สุดในประวัติศาสตร์?

เมื่อวันที่ 29 ตุลาคม 2026 Binance แพลตฟอร์มซื้อขายสินทรัพย์ดิจิทัลระดับโลก ถูกโจมตีจนมีสินทรัพย์ได้รับผลกระทบประมาณ 6.3 พันล้านดอลลาร์ หรือกว่า 2 แสนล้านบาท ก่อนที่ FBI จะระบุว่าผู้ก่อเหตุคือ TraderTraitor กลุ่มปฏิบัติการไซเบอร์ที่เชื่อมโยงกับเกาหลีเหนือ

จากผลสอบสวนเบื้องต้นของ Binance ผู้โจมตีเริ่มจากการใช้แบบทดสอบเขียนโปรแกรมปลอมระหว่างกระบวนการสมัครงาน เพื่อแทรกมัลแวร์เข้าสู่คอมพิวเตอร์ของวิศวกร ก่อนขยายการเข้าถึงระบบภายในจนสามารถสั่งโอนสินทรัพย์ออกจากกระเป๋าเงินของแพลตฟอร์มได้

แต่สิ่งที่น่าสนใจไม่แพ้มูลค่าความเสียหายคือ เกาหลีเหนือสร้างบุคลากรที่มีความสามารถโจมตีระบบการเงินระดับโลกได้อย่างไร ทั้งที่ประชาชนส่วนใหญ่ยังถูกจำกัดการเข้าถึงอินเทอร์เน็ต?

วันนี้ InnovestX จะพาไปทำความรู้จักเบื้องหลังเรื่องนี้กัน

เส้นทางแฮ็กเกอร์เกาหลีเหนือ อาจเริ่มตั้งแต่อายุเพียง 11 ปี

ลองจินตนาการถึงเด็กคนหนึ่งที่เก่งคณิตศาสตร์เป็นพิเศษ หากเติบโตในประเทศอื่น เขาอาจกลายเป็นวิศวกร AI นักวิจัย หรือผู้พัฒนาซอฟต์แวร์ระดับโลก

แต่ในเกาหลีเหนือ ความสามารถเดียวกันอาจนำไปสู่เส้นทางที่แตกต่างออกไป

รายงานด้านความมั่นคงและคำบอกเล่าของผู้แปรพักตร์ระบุว่า เกาหลีเหนือมีระบบคัดเลือกเด็กที่โดดเด่นด้านคณิตศาสตร์ วิทยาศาสตร์ และตรรกะตั้งแต่วัยเรียน บางรายเริ่มได้รับการคัดเลือกตั้งแต่อายุประมาณ 11–13 ปี

เส้นทางของบุคลากรเหล่านี้อาจประกอบด้วย

• คัดเลือกเด็กที่มีพรสวรรค์ เพื่อเข้าสู่โรงเรียนเฉพาะทาง
• พัฒนาทักษะในมหาวิทยาลัยชั้นนำ เช่น Kim Chaek University of Technology และ Kim Il-sung University
• ฝึกฝนเพื่อปฏิบัติภารกิจไซเบอร์ โดยบางส่วนถูกส่งไปทำงานผ่านเครือข่ายในจีนและรัสเซีย

สำหรับผู้ที่ได้รับคัดเลือก เส้นทางนี้อาจมาพร้อมโอกาสทางการศึกษาและสิทธิพิเศษที่ประชาชนทั่วไปเข้าถึงได้ยาก แต่ขณะเดียวกันก็อยู่ภายใต้การควบคุมของรัฐอย่างเข้มงวด

ความย้อนแย้งคือ ประเทศที่จำกัดการเข้าถึงอินเทอร์เน็ตของประชาชน กลับให้ความสำคัญกับการสร้างบุคลากรที่เชี่ยวชาญเทคโนโลยีระดับสูง

แล้วคนเหล่านี้ถูกฝึกมาเพื่อทำอะไร?

Lazarus Group เมื่อทักษะด้านเทคโนโลยีกลายเป็นเครื่องมือหารายได้ของรัฐ

หนึ่งในชื่อที่ปรากฏบ่อยในข่าวโจมตีไซเบอร์คือ Lazarus Group แต่ชื่อนี้ไม่ได้หมายถึงแก๊งแฮ็กเกอร์กลุ่มเดียว หากเป็นชื่อที่นักวิจัยใช้ติดตามเครือข่ายปฏิบัติการหลายกลุ่มที่เชื่อมโยงกับเกาหลีเหนือ

เครือข่ายเหล่านี้ถูกเชื่อมโยงกับ Reconnaissance General Bureau (RGB) หน่วยข่าวกรองของเกาหลีเหนือ โดยมีภารกิจทั้งจารกรรมข้อมูล โจมตีระบบ และสร้างรายได้ให้รัฐ

ที่ผ่านมา กลุ่มที่เชื่อมโยงกับเกาหลีเหนือถูกกล่าวหาว่าเกี่ยวข้องกับเหตุการณ์สำคัญ เช่น การโจมตี Sony Pictures ในปี 2014 การโจรกรรมเงินจาก Bangladesh Bank ในปี 2016 และมัลแวร์ WannaCry ในปี 2017

แต่เมื่อโลกการเงินเข้าสู่ยุคสินทรัพย์ดิจิทัล เป้าหมายก็เปลี่ยนไปด้วย

จากการเจาะระบบธนาคารที่ต้องผ่านตัวกลางหลายขั้นตอน สู่การโจมตีแพลตฟอร์มคริปโทที่สามารถเคลื่อนย้ายสินทรัพย์มูลค่ามหาศาลข้ามประเทศได้ภายในไม่กี่นาที

ทำไมคริปโทถึงกลายเป็นเป้าหมายสำคัญของเกาหลีเหนือ?

ข้อมูลจาก Chainalysis ระบุว่า ในปี 2025 กลุ่มที่เชื่อมโยงกับเกาหลีเหนือขโมยสินทรัพย์ดิจิทัลไปอย่างน้อย 2.02 พันล้านดอลลาร์ เพิ่มขึ้นประมาณ 51% จากปีก่อนหน้า

หนึ่งในเหตุการณ์สำคัญคือการโจมตี Bybit มูลค่าราว 1.5 พันล้านดอลลาร์ ก่อนเกิดเหตุการณ์ Binance ในปี 2026

แม้ธุรกรรมบนบล็อกเชนจะตรวจสอบย้อนหลังได้ แต่การติดตามผู้กระทำผิด การอายัดสินทรัพย์ และการนำเงินกลับคืนยังเป็นความท้าทาย โดยเฉพาะเมื่อมีการโอนผ่านหลายกระเป๋าเงินและหลายเครือข่าย

ที่สำคัญ กระทรวงการคลังสหรัฐฯ ระบุว่า รายได้จากปฏิบัติการไซเบอร์ของเกาหลีเหนือถูกใช้สนับสนุนโครงการอาวุธนิวเคลียร์และขีปนาวุธ แม้จะไม่สามารถยืนยันปลายทางของเงินจากทุกเหตุการณ์ได้โดยตรง

จึงสะท้อนว่า การโจรกรรมคริปโทไม่ได้เป็นเพียงอาชญากรรมเพื่อผลประโยชน์ส่วนตัว แต่ยังเป็นส่วนหนึ่งของเครือข่ายหารายได้ที่เชื่อมโยงกับรัฐ

และที่น่าสนใจกว่านั้นคือ เกาหลีเหนือไม่จำเป็นต้องขโมยคริปโทโดยตรง ก็สามารถหารายได้จากบริษัทเทคโนโลยีทั่วโลกได้

ไม่ต้องแฮ็กก็ได้เงิน! เมื่อพนักงาน Remote อาจทำงานให้เกาหลีเหนือ

ลองคิดดูว่า บริษัทเทคโนโลยีแห่งหนึ่งรับวิศวกรซอฟต์แวร์เข้าทำงาน พนักงานคนนี้เขียนโปรแกรมได้จริง ส่งงานตรงเวลา และได้รับเงินเดือนตามปกติ

แต่บริษัทกลับไม่รู้เลยว่า บุคคลที่ทำงานอยู่เบื้องหลังอาจเป็นส่วนหนึ่งของเครือข่ายหารายได้ให้รัฐบาลเกาหลีเหนือ

FBI พบว่าเครือข่ายบุคลากร IT ใช้ตัวตนปลอมสมัครงาน Remote Developer และบางกรณีใช้วิธี Laptop Farm โดยให้ผู้ช่วยในสหรัฐฯ รับคอมพิวเตอร์ของบริษัท ก่อนเปิดให้บุคลากรในต่างประเทศควบคุมเครื่องจากระยะไกล

FBI ประเมินว่า รายได้ประมาณ 85–90% จากเครือข่ายแรงงาน IT เหล่านี้ถูกส่งต่อให้รัฐบาลเกาหลีเหนือ

ที่น่ากังวลคือ การเข้าไปเป็นพนักงานยังเปิดโอกาสให้เข้าถึงข้อมูลและระบบภายในบริษัท ซึ่งอาจถูกนำไปใช้ในการโจมตีเพิ่มเติม

นี่จึงเป็นอีกมิติหนึ่งของภัยไซเบอร์ ที่ไม่ได้เริ่มจากการเจาะระบบรักษาความปลอดภัยโดยตรง แต่เริ่มจากการได้รับความไว้วางใจให้เข้าไปอยู่ภายในองค์กร

บทเรียนจาก Binance เมื่อภัยไซเบอร์กลายเป็นความเสี่ยงระดับรัฐ

เมื่อย้อนกลับมาที่ Binance จะเห็นว่า การโจมตีครั้งใหญ่ไม่ได้เริ่มต้นจากการทำลายระบบรักษาความปลอดภัยทั้งหมดในครั้งเดียว แต่เริ่มจากจุดเล็ก ๆ อย่างคอมพิวเตอร์ของพนักงาน ก่อนลุกลามไปสู่ระบบที่ดูแลสินทรัพย์มูลค่ามหาศาล

สำหรับนักลงทุน เหตุการณ์นี้สะท้อน 3 เรื่องสำคัญ

• Platform Security: ขนาดของแพลตฟอร์มไม่ได้รับประกันว่าจะปลอดภัยจากการโจมตี
• Asset Custody: การฝากสินทรัพย์ไว้กับผู้ให้บริการมีความเสี่ยงที่แตกต่างจากการถือครองด้วยตนเอง
• Incident Response: ความสามารถในการตรวจจับ อายัดสินทรัพย์ และชดเชยความเสียหาย มีความสำคัญต่อความเชื่อมั่นของผู้ลงทุน

ท้ายที่สุด สิ่งที่น่าคิดจากเรื่องนี้อาจไม่ใช่เพียงว่าเกาหลีเหนือขโมยคริปโทได้มากแค่ไหน แต่คือการที่ประเทศหนึ่งสามารถนำความสามารถด้านคณิตศาสตร์และเทคโนโลยีของคนรุ่นใหม่ มาพัฒนาเป็นเครือข่ายปฏิบัติการไซเบอร์ที่สร้างรายได้ให้รัฐได้อย่างเป็นระบบ

เพราะในโลกการเงินยุคดิจิทัล คู่ต่อสู้ของแพลตฟอร์มคริปโทอาจไม่ใช่แฮ็กเกอร์เพียงไม่กี่คน แต่เป็นเครือข่ายที่มีทรัพยากรและการสนับสนุนระดับประเทศ

และนั่นทำให้ Cybersecurity ไม่ใช่แค่เรื่องของฝ่าย IT อีกต่อไป แต่เป็นหนึ่งในปัจจัยสำคัญที่นักลงทุนต้องพิจารณาควบคู่กับผลตอบแทนและความเสี่ยงของสินทรัพย์ดิจิทัล

คำเตือน: คริปโทเคอร์เรนซีและโทเคนดิจิทัลมีความเสี่ยงสูง ท่านอาจสูญเสียเงินลงทุนได้ทั้งจำนวน โปรดศึกษาและลงทุนให้เหมาะสมกับระดับความเสี่ยงที่ยอมรับได้