Ripple จะแชร์ข้อมูลข่าวกรองเกี่ยวกับแฮกเกอร์เกาหลีเหนือกับอุตสาหกรรมคริปโตหลังเกิดการแฮก DeFi มูลค่า 577 ล้านดอลลาร์

Ripple กำลังส่งข้อมูลข่าวกรองด้านภัยคุกคามที่เชื่อมโยงกับเกาหลีเหนือเข้าสู่ Crypto ISAC โดยหวังว่าบริบทที่แชร์ร่วมกันเกี่ยวกับปฏิบัติการของ DPRK และการโจมตี DeFi จะสามารถสกัดกั้นคลื่นการแฮกในปี 2026 ที่นำโดย Drift และ KelpDAO

Ripple ระบุว่าได้เริ่มแบ่งปันข้อมูลข่าวกรองภายในเกี่ยวกับกิจกรรมการแฮกของเกาหลีเหนือกับสมาชิก Crypto ISAC ซึ่งเป็นกลุ่มความร่วมมือด้านไซเบอร์ไม่แสวงหากำไรที่มุ่งเน้นภาคสินทรัพย์ดิจิทัล

ใน บล็อกร่วม คริสตินา สปริง ผู้อำนวยการฝ่ายการเติบโตของ Crypto ISAC เขียนว่าข้อมูลดังกล่าว "ครอบคลุมตั้งแต่โดเมนและกระเป๋าเงินที่ทราบว่าเชื่อมโยงกับการฉ้อโกง ไปจนถึงตัวชี้วัดการโจมตี (IOCs) จากแคมเปญแฮกของ DPRK ที่ยังดำเนินอยู่"

ฟีดภัยคุกคามของ Ripple ถูกส่งไปยัง Crypto ISAC

เธอเน้นย้ำว่าสิ่งที่ทำให้ฟีดของ Ripple แตกต่างออกไปไม่ใช่แค่ตัวชี้วัดดิบ แต่คือ "การเสริมบริบทจากทีมความปลอดภัยที่มีความเชี่ยวชาญเชิงลึกเกี่ยวกับผู้กระทำภัยคุกคามที่ส่งผลกระทบต่อระบบนิเวศคริปโต" ซึ่งให้บริบทที่นำไปปฏิบัติได้มากกว่ารายการ IOC ทั่วไป

การประกาศอย่างเป็นทางการของ Ripple บน X ระบุว่า "ท่าทีด้านความปลอดภัยที่แข็งแกร่งที่สุดในโลกคริปโตคือการร่วมมือกัน" พร้อมเพิ่มว่า "ผู้คุกคามที่ไม่ผ่านการตรวจสอบประวัติในบริษัทหนึ่งจะสมัครไปอีกสามบริษัทในสัปดาห์เดียวกัน หากไม่มีการแชร์ข้อมูลข่าวกรอง ทุกบริษัทต้องเริ่มต้นจากศูนย์"

ข้อมูลข่าวกรองดังกล่าวรายงานว่าครอบคลุมโปรไฟล์เสริมของพนักงานไอทีชาวเกาหลีเหนือที่ต้องสงสัยซึ่งพยายามแทรกซึมเข้าไปในบริษัทคริปโตและฟินเทค โดยเชื่อมโยงอีเมล โดเมน กระเป๋าเงินบนเชน และโครงสร้างพื้นฐานมัลแวร์ที่ใช้ในแคมเปญต่างๆ

Drift และ KelpDAO แสดงให้เห็นการเปลี่ยนแปลงสู่วิศวกรรมสังคม

การดำเนินการของ Ripple เป็นการตอบสนองต่อคลื่นการโจมตีที่เชื่อมโยงกับ DPRK ซึ่งมุ่งเป้าไปที่ DeFi ในปี 2026 โดยเฉพาะอย่างยิ่งการแฮก Drift Protocol บน Solana และแพลตฟอร์ม re-staking KelpDAO

TRM Labs ประเมินว่าเหตุการณ์สองครั้งนั้นเพียงอย่างเดียวทำให้กลุ่มเกาหลีเหนือได้รับเงินราว 577 ล้านดอลลาร์ โดย 285 ล้านดอลลาร์จาก Drift และราว 292 ล้านดอลลาร์จาก KelpDAO คิดเป็น 76% ของมูลค่าการแฮกคริปโตทั้งหมดจนถึงเดือนเมษายน

Chainalysis และ TRM ระบุว่าผู้กระทำการที่เชื่อมโยงกับเกาหลีเหนือขโมยมากกว่า 2 พันล้านดอลลาร์ในปี 2025 ทำให้ยอดรวมสะสมสูงกว่า 6.7 พันล้านดอลลาร์ และส่วนแบ่งของ DPRK ในความสูญเสียจากการแฮกคริปโตทั่วโลกพุ่งจากต่ำกว่า 10% ในปี 2020 เป็น 64% ในปี 2025

การโจมตี Drift เมื่อวันที่ 1 เมษายน ตามมาหลังจากที่ The Hacker News และ Chainalysis อธิบายว่าเป็นแคมเปญวิศวกรรมสังคมระยะหกเดือนที่เริ่มต้นในปลายปี 2025 ซึ่งในช่วงนั้นตัวแทนของเกาหลีเหนือได้จัดการพบปะแบบพบหน้ากับผู้มีส่วนร่วมของ Drift และใช้ความไว้วางใจนั้นเพื่อโน้มน้าวผู้ลงนามให้อนุมัติการถอนเงินล่วงหน้าผ่านฟีเจอร์ "durable nonce" ของ Solana

จากนั้นผู้โจมตีดำเนินการธุรกรรมที่ลงนามล่วงหน้า 31 รายการในเวลาราว 12 นาที โดยดูดเงินสินทรัพย์ 285 ล้านดอลลาร์ออกไปก่อนที่จะโอนเงินส่วนใหญ่ไปยัง Ethereum โดย TRM ระบุว่า ETH ที่ถูกขโมยส่วนใหญ่ยังคงอยู่นิ่ง บ่งชี้ถึงแผนการฟอกเงินที่รอบคอบและมีขอบฟ้าระยะยาว

การโจมตี KelpDAO เมื่อวันที่ 18 เมษายน ใช้วิธีการที่แตกต่างออกไป ผู้กระทำการที่เชื่อมโยงกับ DPRK เจาะระบบ RPC nodes ภายในสองตัว DDoS nodes ภายนอก และป้อนข้อมูลเท็จเข้าสู่ DVN ของ LayerZero Labs เพื่อสร้าง rsETH จำนวน 116,500 ที่ไม่มีสินทรัพย์หนุนหลัง จากนั้นใช้หลักทรัพย์ค้ำประกันดังกล่าวเพื่อกู้ยืม ETH มูลค่าราว 196 ล้านดอลลาร์บน Aave

การวิเคราะห์ในภายหลังจาก TRM และหน่วยงานอื่นๆ แสดงให้เห็นว่าแม้ Arbitrum Security Council จะอายัด ETH ปลายทางมูลค่าราว 71.5 ล้านดอลลาร์ แต่ผู้โจมตีก็รีบเปลี่ยนทิศทางอย่างรวดเร็วเพื่อแลกเปลี่ยนเงินที่เหลือเป็น BTC ผ่าน THORChain และตัวกลางชาวจีน ซึ่งแสดงให้เห็นถึงความซับซ้อนและความสามารถในการปรับตัวของปฏิบัติการฟอกเงินของพวกเขา

ในการตอบสนอง กลุ่มพันธมิตรที่นำโดย Aave อย่าง DeFi United ได้ระดมทุนมากกว่า 300 ล้านดอลลาร์ในแผนการฟื้นฟูสำหรับ KelpDAO ในขณะที่การอายัดฉุกเฉินของ Arbitrum และการจัดตั้งคณะทำงานฟื้นฟูข้ามโปรโตคอลอย่างรวดเร็วแสดงให้เห็นถึงความตั้งใจที่เพิ่มขึ้นในการประสานงานมาตรการป้องกันระดับระบบนิเวศ

บทความพิเศษล่าสุดของ Decrypt และข้อความของ Ripple เองกำหนดกรอบโครงการแบ่งปันข้อมูลใหม่นี้ว่าเป็นความพยายามที่จะก้าวนำหน้าวิวัฒนาการของยุทธวิธีดังกล่าว โดยขับเคลื่อนอุตสาหกรรมจากการรับรู้ที่กระจัดกระจายไปสู่ข้อมูลข่าวกรองแบบเรียลไทม์ที่แชร์ร่วมกัน ต่อต้านสิ่งที่นักวิจัยด้านความปลอดภัย Natalie Newson จาก CertiK เรียกว่า "ปฏิบัติการทางการเงินที่กำกับโดยรัฐซึ่งดำเนินการในระดับและความเร็วระดับสถาบัน"