Binance โดนแฮก 6.3 พันล้านดอลลาร์ ดูดเงินออกในราว 20 นาที อายัดได้ราว 3 พันล้าน ผู้ใช้ไทยต้องรู้อะไร

ตัวเลขที่ทำทั้งวงการช็อก

6.3 พันล้านดอลลาร์ คือตัวเลขที่ Binance ประเมินไว้เองในประกาศทางการ Security Incident Update (2026-10-30) และ Binance เตือนด้วยว่าตัวเลขนี้อาจเพิ่มขึ้นอีก ตัวเลขสำคัญมีดังนี้

• ราว 6.3 พันล้านดอลลาร์ คือมูลค่าความเสียหายรวมโดยประมาณตามที่ Binance แจ้ง คิดเป็นราว 2.12 แสนล้านบาท (ใช้อัตราประมาณ 33.7 บาทต่อดอลลาร์ ณ 30 ต.ค. 2569)
• ราว 3 พันล้านดอลลาร์ คือยอดที่ Binance แจ้งว่าอายัดบนเชนได้แล้ว คิดเป็นราว 1.01 แสนล้านบาท เงินก้อนนี้ถูกแช่แข็งไว้ ยังไม่ได้กลับคืน
• 10 บล็อกเชน คือจำนวนเชนที่ TRM Labs ระบุว่าถูกดูดเงินออก ส่วน Elliptic นับได้ 11 เชน เพราะรวม NEAR เข้าไปด้วย
• ราว 20 นาที คือเวลาที่ TRM Labs ระบุว่าใช้ไปกับการดูดเงินก้อนใหญ่ออก เริ่มตั้งแต่ 03:05 น. ของ 30 ต.ค. ตามเวลาไทย (20:05 UTC วันที่ 29 ต.ค.)

ตัวเลขแต่ละสำนักไม่ตรงกันเพราะใช้วิธีนับต่างกัน TRM Labs ประเมินไว้ราว 6.36 พันล้านดอลลาร์ (คิดจากราคา ณ เวลาที่ถูกขโมย) Elliptic ประเมิน 6.43 พันล้าน Jonathan Levin ซีอีโอของ Chainalysis ระบุ 6.4 พันล้าน และ Arkham ระบุ 6.01 พันล้าน

ยอดอายัดเกิดจากหลายฝ่ายช่วยกันล็อกเงิน ตามรายงานมี Tether, Circle, Ripple, World Liberty Financial, Arbitrum Security Council และ First Digital ส่วน Aave สั่งแช่แข็งตลาดของตัวเอง แต่อีกครึ่งหนึ่งยังน่าห่วง Elliptic ระบุว่าคนร้ายแปลง stablecoin ราว 786 ล้านดอลลาร์เป็น ETH และ TRX ไปก่อนจะถูกอายัด และยังคุมสินทรัพย์ที่อายัดไม่ได้อีกราว 3.33 พันล้านดอลลาร์ กระจายอยู่ในประมาณ 43 ที่อยู่กระเป๋า

ไทม์ไลน์ปล้นกลางดึก

เหตุการณ์ทั้งหมดเกิดในเวลาไม่ถึงวัน ตั้งแต่เงินเริ่มไหลออกตอนตีสาม จนถึงการประกาศกันเงินชดเชยตอนเย็น ตารางด้านล่างเรียงเหตุการณ์ที่ตรวจสอบแล้วตามเวลาไทย ข้อมูลจาก Binance, Binance TH, บริษัทวิเคราะห์บล็อกเชน และไลฟ์บล็อกของ Cointelegraph ที่รายงานโพสต์ของ Binance บน X

ประตูบานไหนถูกพัง

คำตอบเบื้องต้นที่ Binance ให้มาทำเอาหลายคนต้องอ่านซ้ำ ประกาศทางการระบุว่า ผลสอบสวนเบื้องต้นชี้ว่าเหตุครั้งนี้ "อาจ" เกี่ยวข้องกับแล็ปท็อปของวิศวกร DevOps ที่ถูกเจาะ คนร้ายใช้ช่องทางนี้เข้าถึง service container แล้วส่งคำสั่งถอนเงินที่ไม่ได้รับอนุญาตออกไป Binance ระบุด้วยว่ายังไม่พบหลักฐานว่าคีย์ส่วนตัว (private key) ของกระเป๋ารั่วไหล

ถ้าเป็นแบบนั้นจริง แล็ปท็อปเครื่องเดียวอาจเปิดทางให้เงินหลายพันล้านดอลลาร์ไหลออกไป แต่เรื่องยังไม่จบแค่นั้น เวลาประมาณ 15:37 น. ตามเวลาไทย Binance โพสต์บน X (รายงานโดย Cointelegraph) ว่าการสอบสวนต่อมาพบ "จุดที่ถูกเจาะเพิ่มเติม" (additional points of breach) และเรียกเหตุครั้งนี้ว่า "การโจมตีที่ซับซ้อน" ก่อนหน้านั้น Richard Teng ซีอีโอร่วม บอกว่าคนร้ายไม่ได้ใช้แค่สิทธิ์ของวิศวกรคนเดียว และนี่ไม่ใช่การกดคลิกเดียวจบ เขาย้ำด้วยว่าการสอบสวนยังไม่ได้ชี้ว่าบุคคลใดต้องรับผิดชอบ

บริษัทวิเคราะห์ภายนอกให้ภาพทางเทคนิคเพิ่มเติม แต่ทั้งหมดนี้เป็นการวิเคราะห์ของพวกเขา ไม่ใช่ข้อสรุปของ Binance

• Blockaid ระบุว่ามีคีย์ของกระเป๋าร้อน Binance 11 ชุดถูกใช้เซ็นธุรกรรม และมองว่าเป็นการเซ็นธุรกรรมโดยไม่ได้รับอนุญาต (key misuse) ไม่ใช่คีย์รั่ว ข้อนี้จึงไม่ขัดกับที่ Binance บอกว่าไม่พบการรั่วของคีย์
• TRM Labs และ Elliptic อธิบายว่าบน Ethereum คนร้ายใช้กลไก EIP-7702 มอบสิทธิ์กระเป๋าให้สัญญาอัจฉริยะแบบ "sweeper" ที่กวาดเงินออกไป

รายละเอียดทั้งหมดต้องรอรายงานสรุปทางเทคนิค (post-mortem) ที่ Binance สัญญาว่าจะเผยแพร่เมื่อสอบสวนเสร็จ ซึ่งถึงตอนนี้ยังไม่ออกมา และถึงตอนนี้ยังไม่มีหลักฐานว่าเป็นฝีมือคนใน ไม่มีใครถูกระบุตัวว่าเป็นผู้ต้องรับผิดชอบ

ใครอยู่เบื้องหลัง

ชื่อที่ถูกพูดถึงมากที่สุดคือ TraderTraitor หน่วยแฮกเกอร์ที่ถูกโยงกับเกาหลีเหนือ แต่ต้องย้ำว่านี่เป็นการประเมินของบริษัทวิเคราะห์ ยังไม่มีทางการยืนยัน

• TRM Labs ระบุ "ด้วยความมั่นใจสูง" ว่าเป็นฝีมือ TraderTraitor
• Jonathan Levin ซีอีโอของ Chainalysis ระบุว่าผู้ก่อเหตุ "น่าจะ" เป็น TraderTraitor
• Elliptic ระบุว่าเป็นฝีมือเกาหลีเหนือ แต่มีข้อสังเกตกำกับไว้ เงินของ Binance ที่ไปซ้อนกับที่อยู่กระเป๋าจากเหตุแฮก Bitget มีแค่ราว 39,000 ดอลลาร์ ซึ่งอาจหมายถึงใช้คนฟอกเงินคนเดียวกัน อีกทั้งการฟอกเงินช้ากว่าปฏิบัติการของเกาหลีเหนือตามปกติ และยังไม่มี post-mortem
• ZachXBT นักสืบบล็อกเชน ระบุว่าเงินจากเคส Binance ไปปนกับเงินจากเหตุแฮก Bitget และมองว่าผู้ก่อเหตุ "น่าจะเป็น Lazarus"

ฝั่ง Binance เองยังไม่ระบุชื่อใคร บอกเพียงว่ากำลังทำงานกับหน่วยงานบังคับใช้กฎหมายเพื่อยืนยันตัวตนของคนร้าย ณ เวลาที่เขียนบทความนี้ ยังไม่พบหน่วยงานรัฐใดออกมาระบุตัวผู้ก่อเหตุอย่างเป็นทางการ มีเพียงแหล่งข่าวนิรนามรายเดียวที่บอก Cointelegraph ว่า Binance ทำงานร่วมกับ FBI ส่วน Binance ไม่ได้เอ่ยชื่อหน่วยงานใด

ดังนั้นการเขียนว่า "เกาหลีเหนือทำ" ยังเร็วเกินไป ที่พูดได้ตอนนี้คือ บริษัทวิเคราะห์หลายแห่งโยงเหตุนี้กับเกาหลีเหนือ

Binance ตอบโต้อย่างไร

Binance ออกมาตอบโต้เร็วและใช้เงินก้อนใหญ่ สรุปสิ่งที่บริษัทประกาศและที่สื่อรายงานจากโพสต์ของ Binance ได้ดังนี้

• ชดเชยทั้งหมด ประกาศทางการระบุว่าจะชดเชยความเสียหายทั้งหมดจากกองทุน SAFU และเงินของบริษัท และยืนยันว่าเงินของผู้ใช้ปลอดภัย
• กันเงินไว้กว่า 6.34 พันล้านดอลลาร์ ราว 17:55 น. ตามเวลาไทย Binance แจ้ง (ผ่าน X ตามรายงานของ Cointelegraph และ CoinDesk) ว่ากันเงินบริษัทไว้มากกว่า 6.34 พันล้านดอลลาร์ หรือราว 2.14 แสนล้านบาท ในนี้ราว 5 พันล้านถือเป็นโทเคนชนิดเดียวกับที่ถูกขโมยอยู่แล้ว ส่วนที่เหลือทยอยซื้อจากตลาดและ OTC ยอดนี้ไม่นับเงินราว 3 พันล้านที่อายัดไว้ ทั้งนี้ Binance ยังไม่ได้เปิดเผยขนาดกองทุน SAFU ล่าสุด
• ปิดประตู ระงับการถอนชั่วคราวระหว่างตรวจสอบความปลอดภัย เพิกถอนสิทธิ์ของที่อยู่กระเป๋าที่ได้รับผลกระทบ และร่วมมือกับหน่วยงานบังคับใช้กฎหมายและพาร์ตเนอร์ด้านข้อมูลบล็อกเชนเพื่อตามรอยเงิน
• อายัดเงิน ทำงานกับพาร์ตเนอร์บล็อกเชนจนอายัดได้ราว 3 พันล้านดอลลาร์
• กำหนดเปิดถอน ราว 11:17 น. ตามเวลาไทย Binance บอกว่าคาดว่าจะเปิดถอนภายใน 48 ชั่วโมง ต่อมาราว 15:37 น. บอกว่ายังเป็นไปตามแผนที่จะเปิดในอีกราว 45 ชั่วโมง บางสำนักข่าวคำนวณว่าตรงกับราว 12:47 น. วันที่ 1 พ.ย. 2569 ตามเวลาไทย แต่เป็นตัวเลขที่สื่อคำนวณเอง Binance ไม่ได้ประกาศเวลานี้ และ ณ ราว 20:45 น. การถอนยังไม่กลับมา
• เปิดสมุดบัญชี Binance สัญญาว่าจะเผยแพร่ post-mortem และ Proof of Reserves ฉบับอัปเดตเมื่อแก้ไขระบบเสร็จ

เงินที่กันไว้ช่วยให้ผู้ใช้อุ่นใจขึ้นได้บ้าง แต่คำถามใหญ่ยังค้างอยู่ แล็ปท็อปเครื่องเดียว "อาจ" กลายเป็นจุดเริ่มต้นของความเสียหายหลายพันล้านดอลลาร์ได้อย่างไร และจุดที่ถูกเจาะเพิ่มเติมคืออะไร คำตอบต้องรอจาก post-mortem ส่วนเรื่องฐานะการเงิน Sean Farrell จาก Fundstrat ให้ความเห็นกับ CNBC ว่าเหตุครั้งนี้ยังไม่น่าจะสร้างความเสี่ยงที่มีนัยสำคัญต่อความสามารถในการชำระหนี้ของ Binance

ตลาดสะเทือน

ข่าวนี้ทำให้ทั้งตลาดคริปโตร่วงตาม ตัวเลขที่สื่อและข้อมูลราคารายงานไว้ ณ เวลาต่างๆ มีดังนี้

• ช่วงข่าวเริ่มแพร่ CoinDesk รายงานว่า BTC ร่วงราว 5% ลงไปต่ำกว่า 77,000 ดอลลาร์ ETH ร่วงราว 5.7% และ BNB ร่วงราว 8%
• ระหว่างวัน CoinDesk รายงานว่า BTC ลงไปแตะราว 76,400 ดอลลาร์ และเกิดการบังคับปิดสถานะ (liquidation) รวมราว 1.57 พันล้านดอลลาร์
• CNBC รายงาน (ฉบับอัปเดตราว 17:50 น. ตามเวลาไทย) ว่า BTC อยู่ที่ราว 77,465 ดอลลาร์ (-4%) ETH ราว 2,239.80 ดอลลาร์ (-4%) และ BNB ราว 702.28 ดอลลาร์ (-5%)
• ราว 20:46 น. ตามเวลาไทย ข้อมูลจาก CoinGecko แสดงว่า BTC อยู่ที่ราว 77,016 ดอลลาร์ (-3.8% ใน 24 ชั่วโมง) ETH ราว 2,220.97 ดอลลาร์ (-4.2%) และ BNB ราว 697.02 ดอลลาร์ (-6.2%) ส่วนดัชนี Fear & Greed อยู่ที่ 30 ระดับ "Fear"

BNB ซึ่งเป็นโทเคนที่ผูกกับระบบนิเวศของ Binance โดนหนักกว่าเพื่อน ราคาเปลี่ยนตลอดเวลา ตัวเลขข้างบนเป็นภาพ ณ เวลาที่ระบุเท่านั้น ไม่ใช่คำแนะนำการลงทุน

ใหญ่แค่ไหนเมื่อเทียบกับเคสในอดีต

ก่อนหน้านี้ สถิติเหตุแฮกคริปโตที่ใหญ่ที่สุดเป็นของ Bybit เมื่อ ก.พ. 2568 มูลค่าราว 1.5 พันล้านดอลลาร์ (Elliptic ประเมิน 1.46 พันล้าน) ในเคสนั้น FBI ออกมาระบุอย่างเป็นทางการเมื่อ 26 ก.พ. 2568 ว่าเป็นฝีมือ TraderTraitor ของเกาหลีเหนือ

ตามตัวเลขที่ Binance ประเมิน เคสนี้ใหญ่กว่า Bybit กว่า 4 เท่า เฉพาะเงินราว 3 พันล้านดอลลาร์ที่อายัดได้ ก็มากกว่ายอดทั้งหมดของ Bybit ราวสองเท่าแล้ว TRM Labs เรียกเหตุครั้งนี้ว่า "การแฮกครั้งใหญ่ที่สุดในประวัติศาสตร์" ส่วน Elliptic ไปไกลกว่านั้น บอกว่านี่ "เกือบแน่นอน" ว่าเป็นการโจรกรรมครั้งใหญ่ที่สุดในประวัติศาสตร์ ไม่ว่าจะเป็นการโจรกรรมประเภทใด

คำว่า "ใหญ่ที่สุด" นี้มาจากบริษัทวิเคราะห์และสื่อ ประกาศของ Binance เองไม่ได้ใช้คำนี้

ผู้ใช้ไทยต้องรู้อะไร

Binance TH ที่ให้บริการในไทยดำเนินการโดยบริษัท กัลฟ์ ไบแนนซ์ จำกัด เป็นนิติบุคคลแยกจาก Binance ทั่วโลก สถานะล่าสุดเป็นแบบนี้

• 07:54 น. วันที่ 30 ต.ค. 2569 Binance TH ออกแถลงการณ์ว่าสินทรัพย์ดิจิทัลของลูกค้ายังปลอดภัย เพราะกระเป๋าแบบออฟไลน์ (Cold Wallet) ของ Binance TH แยกจากกระเป๋าของ Binance อย่างเป็นอิสระ และดำเนินงานภายใต้นิติบุคคลและระบบเก็บรักษาสินทรัพย์ของตัวเอง ตอนนั้นได้ระงับการฝากและถอนสินทรัพย์ดิจิทัลชั่วคราวเป็นมาตรการป้องกันเชิงรุก
• 13:41 น. Binance TH อัปเดตสถานะ ว่าการซื้อขายสินทรัพย์ดิจิทัลเป็นปกติ การฝาก-ถอนเงินบาทเป็นปกติ การฝากสินทรัพย์ดิจิทัลไม่ได้รับผลกระทบและใช้งานได้ตามปกติ การตรวจสอบระบบเบื้องต้นเสร็จแล้วและยังไม่พบความผิดปกติ แต่ยังระงับเฉพาะการถอนสินทรัพย์ดิจิทัลไว้ชั่วคราว จะเปิดให้ "โดยเร็วที่สุด" โดยไม่ได้ระบุวัน
• ณ ราว 20:45 น. Binance TH ยังไม่มีประกาศเปิดการถอนสินทรัพย์ดิจิทัล

ข้อมูลเรื่องกระเป๋าแยกกันเป็นคำชี้แจงของ Binance TH เอง ยังไม่มีการตรวจสอบจากหน่วยงานอิสระ ภาวุธ พงษ์วิทยภานุ สส.บัญชีรายชื่อ พรรคประชาชน ซึ่งระบุเองว่าทั้งสองเป็นคนละนิติบุคคล ตั้งคำถามว่าสองบริษัทใช้ฐานข้อมูลหรือระบบความปลอดภัยร่วมกันหรือไม่ และขอให้ ก.ล.ต. กับ Binance TH ชี้แจงโดยเร็ว

ด้าน ก.ล.ต. ออกข่าวฉบับที่ 233/2569 ระบุว่ากำลังติดตามเหตุการณ์ที่เกิดบนแพลตฟอร์ม Binance ในต่างประเทศอย่างใกล้ชิด แพลตฟอร์มนั้นไม่ได้อยู่ภายใต้การกำกับดูแลของ ก.ล.ต. จากรายงานของผู้ประกอบธุรกิจ ยังไม่พบผลกระทบที่มีนัยสำคัญต่อทรัพย์สินของลูกค้าที่อยู่ภายใต้การดูแลของผู้ประกอบธุรกิจในประเทศไทย ส่วนทรัพย์สินบางส่วนที่อาจเกี่ยวข้องกับการทำธุรกรรมผ่าน Binance ต่างประเทศ ข้อเท็จจริงและขอบเขตความเสียหาย (ถ้ามี) ยังอยู่ระหว่างตรวจสอบ ก.ล.ต. สั่งให้ผู้ประกอบธุรกิจติดตามและประเมินความเสี่ยง ตรวจสถานะและความปลอดภัยของทรัพย์สินลูกค้า รายงาน ก.ล.ต. ทันทีถ้ามีเรื่องกระทบลูกค้า และให้ข้อมูลลูกค้าอย่างถูกต้องทันเวลา ก.ล.ต. ยังเตือนให้ติดตามข้อมูลจากช่องทางทางการ ใช้บริการเฉพาะผู้ได้รับอนุญาต ระวังข่าวลือหรือการแอบอ้างเหตุการณ์นี้เพื่อหลอกให้โอนทรัพย์สิน และสอบถามได้ที่สายด่วน 1207

เหตุใหญ่ระดับนี้มักตามมาด้วยมิจฉาชีพที่ฉวยโอกาส วิธีป้องกันตัวเบื้องต้นมีดังนี้

• อ่านข่าวจากช่องทางทางการเท่านั้น คือหน้าประกาศบนเว็บไซต์ binance.com, binance.th และ ก.ล.ต.
• อย่าคลิกลิงก์ "รับเงินชดเชย" "ขอคืนเงิน" หรือ "ยืนยันบัญชี" ที่มาทาง SMS อีเมล หรือแชต
• ไม่บอกรหัสผ่าน รหัส OTP หรือ seed phrase กับใครทั้งสิ้น แม้คนนั้นจะอ้างว่าเป็นเจ้าหน้าที่ซัพพอร์ต
• ระวังบัญชีปลอมที่ใช้ชื่อหรือโลโก้ Binance ทักมาทางข้อความส่วนตัว
• ก่อนล็อกอิน ดูชื่อเว็บไซต์ในแถบที่อยู่ให้ดีทุกครั้ง และเปิดการยืนยันตัวตนสองชั้นไว้

24BUYM มีบทความข่าวที่เกี่ยวข้องให้อ่านต่ออีกหลายเรื่อง

คำถามที่พบบ่อย