การแฮ็ก Bitget มูลค่า $387.5M เกิดขึ้นได้อย่างไร

Bitget สูญเสียสินทรัพย์มูลค่าราว 387.5 ล้านดอลลาร์สหรัฐเมื่อวันที่ 24 กันยายน 2026 หลังผู้โจมตีอาศัยช่องโหว่ในผลิตภัณฑ์ด้านความปลอดภัยของผู้ให้บริการภายนอก ได้ข้อมูลรับรองตัวตน (credentials) ภายในระดับสูงไปครอง แล้วส่งคำสั่งถอนปลอมผ่านโครงสร้างพื้นฐานกระเป๋าเงินของศูนย์ซื้อขาย

เหตุการณ์นี้เป็นการโจรกรรมคริปโตครั้งใหญ่ที่สุดของปี 2026 จนถึงขณะนี้ และเป็นการโจรกรรมครั้งเดียวที่ใหญ่ที่สุดในปี 2026 ที่ถูกเชื่อมโยงกับเกาหลีเหนือ ตามการประเมินล่าสุดของบริษัทวิเคราะห์ข้อมูล ตัวเลขประเมินแรกของ Bitget อยู่ที่ 351.6 ล้านดอลลาร์ แต่เพิ่มขึ้นหลังผู้สืบสวนติดตามพบการโอน Zcash และ TRON เพิ่มเติม ขณะที่การประเมินอิสระบนเชนในช่วงแรกเคยระบุความเสียหายไว้ระหว่างประมาณ 174 ล้านดอลลาร์ถึง 183 ล้านดอลลาร์

ประเด็นสำคัญ: การโจมตี Bitget ไม่ใช่การขโมยกุญแจส่วนตัวแบบดั้งเดิม ผู้โจมตีเจาะชั้นความปลอดภัยที่ระบบไว้วางใจ ทำให้คำสั่งถอนที่เป็นอันตรายดูถูกต้องในสายตาของกระบวนการอนุมัติสิทธิ์ และใช้ฮอตวอลเล็ตกับวอร์มวอลเล็ตเคลื่อนย้ายสินทรัพย์ราว 387.5 ล้านดอลลาร์ ก่อนที่ระบบควบคุมจะหยุดการไหลออกได้

การแฮ็ก Bitget หลบเลี่ยงระบบควบคุมความปลอดภัยของศูนย์ซื้อขายได้อย่างไร

การแฮ็ก Bitget หลบเลี่ยงระบบควบคุมความปลอดภัยของศูนย์ซื้อขายได้ด้วยการเจาะระบบแบ็กเอนด์สำคัญที่เชื่อมต่อกับโครงสร้างพื้นฐานกระเป๋าเงิน การได้ข้อมูลรับรองภายใน การปลอมแปลงข้อมูลธุรกรรม และการแทรกคำสั่งถอนที่เป็นการฉ้อโกง Bitget ระบุว่าคำสั่งเหล่านั้นผ่านระบบควบคุมความเสี่ยงของศูนย์ซื้อขายได้ เพราะกระบวนการอนุมัติสิทธิ์ได้รับข้อมูลธุรกรรมที่ดูเหมือนเป็นการถอนตามปกติและถูกต้อง

ในการไลฟ์สตรีม Bitget เรียกช่องโหว่ของผู้ให้บริการภายนอกว่าเป็นช่องโหว่ซีโรเดย์ (zero-day) ขณะที่คำชี้แจงอย่างเป็นทางการใช้ถ้อยคำที่ระมัดระวังกว่า ศูนย์ซื้อขายยังไม่ได้เปิดเผยชื่อผู้ให้บริการรายดังกล่าว Bitget ระบุว่าได้แจ้งผู้ให้บริการแล้ว ส่งมอบรายละเอียดของช่องโหว่ และปิดการใช้งานฟังก์ชันที่ได้รับผลกระทบไว้จนกว่าจะมีการแก้ไข

ห่วงโซ่การโจมตีสรุปได้เป็นห้าขั้นตอนที่เชื่อมโยงกัน ดังนี้

1. การเจาะผู้ให้บริการภายนอก: ผู้โจมตีอาศัยช่องโหว่ในผลิตภัณฑ์ด้านความปลอดภัยที่ใช้งานอยู่ในสภาพแวดล้อมของ Bitget
2. การเข้าถึงข้อมูลรับรอง: ผู้โจมตีได้ข้อมูลรับรองภายในระดับสูงไป
3. การแทรกแซงแบ็กเอนด์: ผู้โจมตีเจาะระบบแบ็กเอนด์สำคัญภายในโครงสร้างพื้นฐานกระเป๋าเงิน
4. การปลอมแปลงธุรกรรม: ผู้โจมตีแก้ไขหรือปลอมแปลงข้อมูลธุรกรรมที่นำเสนอต่อกระบวนการอนุมัติสิทธิ์
5. การดำเนินการถอน: คำสั่งถอนปลอมหลบเลี่ยงระบบควบคุมความเสี่ยงและเคลื่อนย้ายสินทรัพย์ออกจากฮอตวอลเล็ตและวอร์มวอลเล็ต

ความแตกต่างระหว่างการที่กุญแจลงนามถูกเจาะกับการที่ชั้นการอนุมัติสิทธิ์ถูกเจาะเป็นเรื่องสำคัญ Bitget ระบุว่าโคลด์วอลเล็ต กุญแจส่วนตัว ยอดคงเหลือในบัญชีผู้ใช้ และ Bitget Wallet ซึ่งเป็นกระเป๋าเงินแบบผู้ใช้ถือครองเอง (self-custodial) ไม่ได้ถูกเจาะ การซื้อขายและการฝากยังคงให้บริการตามปกติ แม้การถอนทั้งแพลตฟอร์มจะถูกระงับหลังระบบกระทบยอดตรวจพบความไม่ตรงกัน

การโจมตีจึงพุ่งเป้าไปที่ความสามารถของศูนย์ซื้อขายในการตัดสินว่าคำขอถอนรายการหนึ่งน่าเชื่อถือหรือไม่ คำสั่งที่ดูถูกต้องอาจเป็นอันตรายได้แม้การลงนามเชิงเข้ารหัสจะยังสมบูรณ์ หากระบบที่จัดเตรียม อธิบาย ส่งต่อ หรืออนุมัติธุรกรรมถูกเจาะ กระบวนการลงนามก็อาจอนุมัติคำสั่งที่ศูนย์ซื้อขายไม่เคยตั้งใจจะออกได้อย่างซื่อตรงตามที่ได้รับมา

“จากประสบการณ์ของเราในการตรวจสอบสมาร์ตคอนแทรกต์และโครงสร้างพื้นฐานกระเป๋าเงินที่ Soken ความถูกต้องสมบูรณ์ของการอนุมัติสิทธิ์มีขอบเขตกว้างกว่าการปกป้องกุญแจส่วนตัว ระบบอาจรักษากุญแจไว้ได้ครบถ้วนแต่ยังสูญเสียการควบคุมเงิน เมื่อข้อมูลจากแบ็กเอนด์ที่ถูกเจาะถูกถือเป็นคำอธิบายที่เชื่อถือได้ว่าผู้ลงนามกำลังอนุมัติอะไรอยู่”

เหตุการณ์ของ Bitget ยังมีหลักฐานของพฤติกรรมกลบเกลื่อนร่องรอยเพื่อขัดขวางการพิสูจน์หลักฐานทางดิจิทัล (anti-forensics) ด้วย ผู้โจมตีลบร่องรอยของคำสั่งที่แทรกเข้ามา ซึ่ง Gracy Chen เรียกว่าเป็นส่วนที่รับมือยากที่สุดของปฏิบัติการครั้งนี้ พฤติกรรมดังกล่าวนำไปสู่ข้อกำหนดเฉพาะด้านการรับมือเหตุการณ์ กล่าวคือ ศูนย์ซื้อขายต้องเก็บรักษาบันทึกที่เป็นอิสระและทนต่อการแก้ไข ครอบคลุมการสร้างคำสั่ง การอนุมัติ การลงนาม และการเผยแพร่ธุรกรรม

การออกแบบที่ปลอดภัยไม่ควรพึ่งพาระบบภายในเพียงระบบเดียวทั้งในการสร้างคำขอถอนและในการอธิบายคำขอนั้นแก่ผู้อนุมัติ การประกอบธุรกรรมขึ้นใหม่อย่างเป็นอิสระ การตรวจสอบนโยบายผ่านช่องทางแยกต่างหาก (out-of-band) บันทึกการตรวจสอบที่แก้ไขไม่ได้ และการแยกเครื่องมือด้านความปลอดภัยออกจากการปฏิบัติงานกระเป๋าเงินอย่างเคร่งครัด ช่วยให้ตรวจจับคำสั่งปลอมได้ง่ายขึ้น

ลำดับเหตุการณ์ของการโจมตี Bitget เป็นอย่างไร

การโจมตี Bitget เริ่มจากการโอนทดสอบจำนวนเล็กน้อย แล้วลุกลามเป็นการดูดสินทรัพย์ข้ามหลายเชน ก่อนที่ระบบกระทบยอดอัตโนมัติจะตรวจพบความไม่ตรงกัน การโอนโดยไม่ได้รับอนุญาตครั้งแรกปรากฏเมื่อเวลา 18:31 UTC ของวันที่ 24 กันยายน 2026 จากนั้นการดูดสินทรัพย์ระลอกหลักดำเนินไปตั้งแต่ 18:58 ถึง 20:09 UTC รวม 17 ธุรกรรมบน 8 เชน ขณะที่การโอนครั้งสุดท้ายของผู้โจมตีถูกพบเมื่อเวลา 21:23 UTC

เวลาหรือวันที่	เหตุการณ์ในกรณี Bitget	นัยด้านความปลอดภัย
18:31 UTC, 24 กันยายน	ตรวจพบการโอนโดยไม่ได้รับอนุญาตครั้งแรกจากฮอตวอลเล็ตและวอร์มวอลเล็ต	การโอนทดสอบสองรายการ คือ 0.184 ETH และ 193 TRX อยู่ต่ำกว่าเกณฑ์ความเสี่ยง
18:58 ถึง 20:09 UTC, 24 กันยายน	การดูดสินทรัพย์ระลอกหลักดำเนินไปรวม 17 ธุรกรรมบน 8 เชน	สินทรัพย์ราว 361 ล้านดอลลาร์ถูกเคลื่อนย้ายในช่วงระลอกหลัก
19:05 UTC, 24 กันยายน	ระบบกระทบยอดตรวจพบความไม่ตรงกัน	การถอนทั้งแพลตฟอร์มถูกระงับ
20:40 UTC, 24 กันยายน	Bitget เริ่มย้ายเงินที่เหลือไปยังโคลด์สตอเรจ	ลดความเสี่ยงที่ยังเหลืออยู่ในกระเป๋าเงิน
21:23 UTC, 24 กันยายน	พบการโอนครั้งสุดท้ายของผู้โจมตีบนเชน	การโอนครั้งสุดท้ายเกิดขึ้น 2 ชั่วโมง 52 นาทีหลังการทดสอบครั้งแรก
21:44 UTC, 24 กันยายน	บริการกระเป๋าเงินและการลงนามถูกปิด	การดำเนินการลงนามถูกระงับ
25 กันยายน, 08:43 UTC	Bitget ระบุสาเหตุที่แท้จริงได้	การสืบสวนเปลี่ยนจากการควบคุมสถานการณ์ไปสู่การแก้ไข
25 กันยายน, 13:42 UTC	แจ้งหน่วยงานบังคับใช้กฎหมาย	เริ่มส่งต่อเรื่องไปยังหน่วยงานภายนอก
28 กันยายน, 08:00 UTC	เปิดให้ถอน BTC อีกครั้ง	เริ่มการกลับมาเปิดให้บริการเป็นระยะ
29 กันยายน, 08:00 UTC	มีกำหนดเปิดให้ถอน ETH อีกครั้ง	ระยะถัดไปต่อจากการเปิดถอน BTC
30 กันยายน, 08:00 UTC	มีกำหนดเปิดให้ถอน USDT	ข้อมูลที่มีอยู่ยังไม่ยืนยันว่าระยะหลัง ๆ ได้ดำเนินการแล้ว
2 ตุลาคม, 08:00 UTC	มีกำหนดเปิดโทเคนอื่น เงินเฟียต และ P2P	แผนการกลับมาเปิดให้บริการครอบคลุมบริการเพิ่มเติม

การโอนสองรายการแรกถูกออกแบบมาให้ลอดผ่านใต้เกณฑ์ที่มีอยู่ จำนวนที่ใช้ทดสอบ คือ 0.184 ETH และ 193 TRX ไม่ได้ทำให้เกิดการแจ้งเตือนใด ๆ สิ่งนี้แสดงให้เห็นว่าการเฝ้าระวังที่อาศัยเกณฑ์มูลค่าเพียงอย่างเดียวอ่อนแอต่อการโจมตีแบบเป็นขั้นตอน ผู้ไม่หวังดีสามารถยืนยันก่อนว่าเส้นทางการอนุมัติสิทธิ์ใช้งานได้ แล้วจึงเพิ่มขนาดธุรกรรมเมื่อระบบดูเสถียร

ลำดับเวลาของ Bitget กับผลการสืบสวนบนเชนต่างกันเล็กน้อยเรื่องขอบเขตที่แน่ชัดของการดูดสินทรัพย์ระลอกหลัก ซีอีโอของ Bitget ระบุว่าช่วงหลักดำเนินไปตั้งแต่ 18:58 ถึง 20:09 UTC ขณะที่ข้อมูลบนเชนแสดงการโอนเป็นระลอกราว 19:01 และ 19:16 UTC รายละเอียดเหล่านี้ไม่ได้เปลี่ยนข้อสรุปหลัก นั่นคือผู้โจมตีมีเส้นทางการถอนที่ใช้งานได้เป็นเวลาไม่ถึงสามชั่วโมงก่อนที่จะพบการโอนครั้งสุดท้าย

ซีอีโอของ Bitget ระบุว่าในชั่วโมงแรกหลังเปิดให้ถอน BTC อีกครั้ง มีการประมวลผลมากกว่า 3,000 BTC รายละเอียดเชิงปฏิบัติการนี้สำคัญ เพราะการกลับมาเปิดศูนย์ซื้อขายหลังเหตุการณ์ด้านกระเป๋าเงินสร้างโจทย์ด้านการควบคุมข้อที่สอง แพลตฟอร์มต้องคืนการเข้าถึงให้ลูกค้าโดยไม่นำเส้นทางการอนุมัติที่ถูกเจาะกลับมาใช้ และไม่ปล่อยให้คลื่นการถอนที่ถูกต้องตามปกติบดบังกิจกรรมที่ไม่ได้รับอนุญาตซึ่งอาจเกิดขึ้นอีก

การกลับมาเปิดให้บริการเป็นระยะจึงเป็นมากกว่าตารางเวลาด้านบริการลูกค้า แต่เป็นกลยุทธ์ควบคุมสถานการณ์ที่เปิดทางให้เฝ้าระวังแยกรายสินทรัพย์ กระทบยอดกระเป๋าเงิน หมุนเวียนข้อมูลรับรอง และตรวจสอบระบบควบคุมการถอนอย่างค่อยเป็นค่อยไป

สินทรัพย์ใดได้รับผลกระทบ และความเสียหาย 387.5 ล้านดอลลาร์ก่อตัวขึ้นอย่างไร

ตัวเลขประเมินความเสียหายสุดท้ายของ Bitget อยู่ที่ราว 387.5 ล้านดอลลาร์ ครอบคลุม 13 สินทรัพย์และ 11 เครือข่าย แม้ผู้ติดตามอิสระจะนับเครือข่ายที่ได้รับผลกระทบได้ระหว่าง 7 ถึง 11 เครือข่าย XRP เป็นสินทรัพย์เดี่ยวที่เสียหายมากที่สุด ราว 102.98 ล้าน XRP คิดเป็นมูลค่าประมาณ 157.8 ล้านดอลลาร์ ขณะที่ ETH คิดเป็นราว 126.6 ล้านดอลลาร์ตามการจำแนกบนเชน

การเปิดเผยต่อสาธารณะและการสืบสวนบนเชนรายงานการจำแนกสินทรัพย์โดยประมาณไว้ดังนี้

สินทรัพย์	จำนวนหรือมูลค่าโดยประมาณ	รายละเอียดที่พบ
XRP	102.98 ล้าน XRP หรือราว 157.8 ล้านดอลลาร์	สินทรัพย์เดี่ยวที่เสียหายมากที่สุด
ETH	ราว 126.6 ล้านดอลลาร์	ส่วนหนึ่งของการดูดสินทรัพย์ข้ามหลายเชน
USDT0 บน Arbitrum	ราว 19.7 ล้านดอลลาร์	ความเสียหายในสเตเบิลคอยน์บน Arbitrum
AVAX	ราว 16.8 ล้านดอลลาร์	รวมอยู่ในการจำแนกสินทรัพย์ที่ติดตามได้
BNB	ราว 9.9 ล้านดอลลาร์	รวมอยู่ในการจำแนกสินทรัพย์ที่ติดตามได้
TRX	ราว 7.0 ล้านดอลลาร์	ตัวเลขได้รับการยืนยันจากผู้ติดตามหลายราย
ความเสียหายรวมของ Bitget	ราว 387.5 ล้านดอลลาร์	ปรับตัวเลขหลังติดตามพบการโอน Zcash และ TRON

ชุดสินทรัพย์ที่ถูกขโมยประกอบด้วย XRP, ETH, USDT, ZEC, ATOM, USDC, BNB, AVAX, TRX, ALGO, TIA และ XAUt ตัวเลขประเมินต่อสาธารณะครั้งแรกของ Bitget เมื่อวันที่ 24 กันยายนอยู่ที่ 351.6 ล้านดอลลาร์ และเพิ่มขึ้นหลังพบการโอน Zcash และ TRON เพิ่มเติม

XRP สร้างความท้าทายเฉพาะตัวในการกู้คืน เพราะผู้ออก XRP ไม่สามารถอายัดเหรียญได้ ณ วันที่ 26 กันยายน XRP ที่ถูกขโมยมูลค่าราว 83 ล้านดอลลาร์ได้เคลื่อนออกจากกระเป๋าเงินที่ผู้โจมตีใช้พักสินทรัพย์แล้ว เมื่อสินทรัพย์ออกจากแอดเดรสที่ใช้พักและเข้าสู่เส้นทางแปลงสินทรัพย์หรือเส้นทางข้ามเชน ผู้สืบสวนต้องติดตามทั้งเงินและบริการที่ประมวลผลเงินนั้น

รูปแบบการฟอกเงินอาศัยการแปลงสเตเบิลคอยน์เป็น ETH อย่างรวดเร็ว แล้วสวอปต่อเป็น BTC ผู้สืบสวนระบุว่า THORChain เป็นเส้นทางหลักสู่ BTC โดยมี Chainflip, deBridge, SwapKit และ Wasabi CoinJoin ปรากฏในเส้นทางการฟอกเงินด้วย เมื่อวันที่ 28 กันยายน กระเป๋าเงินที่เชื่อมโยงกับแฮ็กเกอร์แลกราว 2,390 ETH มูลค่าประมาณ 6.3 ล้านดอลลาร์ เป็น 75.2 BTC ผ่าน THORChain โดยแบ่งเป็นชุดละราว 100 ETH

การรับมือครั้งนี้เผยให้เห็นแรงตึงเชิงนโยบายระหว่างโครงสร้างพื้นฐานแบบกระจายศูนย์กับการควบคุมเหตุการณ์ THORChain ปฏิเสธคำขอของ Bitget ให้บล็อกแฮ็กเกอร์ โดยระบุว่า “การหยุดระบบไม่ใช่การอายัดเงินเฉพาะรายการแบบเลือกได้” Chen ตอบกลับว่า “การกระจายศูนย์เป็นหลักการออกแบบ ไม่ใช่โล่กำบังสำหรับการอำนวยความสะดวกแก่เงินที่รู้อยู่แล้วว่าถูกขโมยมา”

การโต้ตอบดังกล่าวแสดงให้เห็นว่าเหตุใดการประสานงานก่อนเกิดเหตุจึงสำคัญ โปรโตคอลแบบกระจายศูนย์อาจไม่มีความสามารถที่ใช้ได้ในทุกกรณีในการระบุหรืออายัดการโอนรายการเดียวโดยไม่กระทบเส้นทางในวงกว้าง ศูนย์ซื้อขายแบบรวมศูนย์ ผู้ออกสเตเบิลคอยน์ ผู้ให้บริการบริดจ์ และระบบแบบ intent ต่างใช้กฎการเข้าแทรกแซงที่ไม่เหมือนกัน ศูนย์ซื้อขายที่รอจนเกิดการโจมตีแล้วจึงค่อยทำความเข้าใจกฎเหล่านั้นจะมีทางเลือกน้อยลงในช่วงชั่วโมงแรกของการฟอกเงิน

การแฮ็ก Bitget บอกอะไรเกี่ยวกับความเสี่ยงจากผู้ให้บริการภายนอกและชั้นการอนุมัติ

การแฮ็ก Bitget เผยให้เห็นว่าความปลอดภัยของศูนย์ซื้อขายขึ้นอยู่กับซอฟต์แวร์ของผู้ให้บริการภายนอก ข้อมูลรับรองภายใน การนำเสนอข้อมูลธุรกรรม และนโยบายความเสี่ยง มากพอ ๆ กับการดูแลรักษากุญแจเข้ารหัส Bitget, Bybit, DMM Bitcoin และ WazirX แสดงรูปแบบที่เกิดซ้ำ คือผู้โจมตีเจาะผู้ให้บริการหรือชั้นการอนุมัติที่ได้รับความไว้วางใจ จนธุรกรรมที่เป็นอันตรายดูถูกต้องในสายตาของกระบวนการลงนามหรือกระบวนการอนุมัติสิทธิ์

เหตุการณ์	วันที่	ชั้นที่ถูกเจาะ	ความเสียหายหรือขอบเขตที่รายงาน	บทเรียนหลัก
Bitget	24 กันยายน 2026	ผลิตภัณฑ์ด้านความปลอดภัยของผู้ให้บริการภายนอกและแบ็กเอนด์กระเป๋าเงิน	ราว 387.5 ล้านดอลลาร์	คำสั่งถอนปลอมหลบเลี่ยงระบบควบคุมความเสี่ยง
Bybit	21 กุมภาพันธ์ 2025	เครื่องของนักพัฒนา Safe{Wallet} และอินเทอร์เฟซการลงนาม	ราว 1.46 พันล้านดอลลาร์	โค้ดอันตรายเปลี่ยนแปลงสภาพแวดล้อมการอนุมัติธุรกรรม
DMM Bitcoin	พฤษภาคม 2024	พนักงานของผู้ให้บริการซอฟต์แวร์กระเป๋าเงินและขั้นตอนการลงนาม	ราว 305 ล้านดอลลาร์ถึง 308 ล้านดอลลาร์	การเจาะผู้ให้บริการเปิดทางให้เกิดกิจกรรมในกระเป๋าเงินโดยไม่ได้รับอนุญาต
WazirX	18 กรกฎาคม 2024	คอนแทรกต์กระเป๋าเงินมัลติซิกและขั้นตอนการรับฝากสินทรัพย์	ราว 235 ล้านดอลลาร์	ผู้ลงนามอนุมัติธุรกรรมหลังคอนแทรกต์ถูกแก้ไข
Coinbase	เปิดเผยเมื่อพฤษภาคม 2025	เจ้าหน้าที่ซัพพอร์ตในต่างประเทศและข้อมูลลูกค้า	ประมาณการค่าเยียวยาแก้ไข 180 ล้านดอลลาร์ถึง 400 ล้านดอลลาร์	การรั่วไหลของข้อมูลลูกค้าสร้างความเสี่ยงเชิงปฏิบัติการขนาดใหญ่ได้โดยไม่ต้องมีการขโมยกุญแจ

ความล้มเหลวที่มีร่วมกันไม่ใช่การทำลายวิทยาการเข้ารหัส แต่เป็นการสูญเสียบริบทที่เชื่อถือได้รอบตัวธุรกรรม ผู้ลงนามอาจเห็นคำขอที่ถูกต้อง รูปแบบปลายทางที่คุ้นเคย และขั้นตอนการอนุมัติที่ดูปกติ ขณะที่คำสั่งจริงเบื้องหลังถูกสับเปลี่ยนหรือถูกแทรกแซงไปแล้ว

สำหรับศูนย์ซื้อขาย เรื่องนี้ต้องอาศัยการควบคุมในหลายจุดที่เป็นอิสระต่อกัน

• การแยกผู้ให้บริการออกจากระบบ: ผลิตภัณฑ์ด้านความปลอดภัยของผู้ให้บริการภายนอกไม่ควรมีสิทธิ์เข้าถึงการสร้างคำสั่งกระเป๋าเงินหรือข้อมูลรับรองสิทธิ์สูงโดยไม่จำเป็น
• การแบ่งส่วนข้อมูลรับรอง: ข้อมูลรับรองภายในควรมีขอบเขตจำกัดเฉพาะแต่ละหน้าที่ ถูกหมุนเวียนหลังพบกิจกรรมน่าสงสัย และโดยค่าเริ่มต้นต้องไม่สามารถอนุมัติการถอนข้ามหลายเชนในวงกว้างได้
• การประกอบธุรกรรมขึ้นใหม่อย่างเป็นอิสระ: อินเทอร์เฟซการอนุมัติควรดึงรายละเอียดธุรกรรมจากแหล่งข้อมูลอิสระ แทนที่จะเชื่อแบ็กเอนด์เดียวกับที่สร้างคำขอ
• ความหลากหลายของนโยบาย: การถอนมูลค่าสูงควรผ่านกฎที่ดูแลแยกจากแบ็กเอนด์กระเป๋าเงินที่ใช้ปฏิบัติงาน
• การบันทึกที่แก้ไขไม่ได้: บันทึกควรถูกจัดเก็บนอกสภาพแวดล้อมที่ถูกเจาะ และครอบคลุมเหตุการณ์การสร้างคำสั่ง การแก้ไข การอนุมัติ การลงนาม และการเผยแพร่ธุรกรรม
• การโอนหยั่งเชิง (canary transfers): ไม่ควรถือว่าการโอนทดสอบขนาดเล็กปลอดภัยเพียงเพราะอยู่ต่ำกว่าเกณฑ์มูลค่า การทดสอบซ้ำ ๆ ปลายทางที่ผิดปกติ และรูปแบบข้ามเชนต้องถูกนำมาวิเคราะห์ความสัมพันธ์ร่วมกัน
• การปิดระบบฉุกเฉิน: ศูนย์ซื้อขายต้องสามารถหยุดการลงนามและแยกบริการกระเป๋าเงินออกได้ โดยไม่ทำให้ระบบซื้อขายและระบบฝากที่ไม่เกี่ยวข้องต้องหยุดให้บริการ

Bitget ระบุว่าได้แยกเซิร์ฟเวอร์ที่ได้รับผลกระทบ เพิกถอนและออกข้อมูลรับรองภายในใหม่ และปรับโครงสร้างการเข้าถึงระบบที่มีความอ่อนไหว ศูนย์ซื้อขายยังระบุด้วยว่าช่องโหว่ได้รับการแก้ไขแล้ว ขั้นตอนเหล่านี้ตอบโจทย์การควบคุมสถานการณ์ แต่การทบทวนที่ให้ผลยั่งยืนต้องทดสอบว่าข้อมูลธุรกรรมเดียวกันนี้ยังถูกแทรกแซงก่อนการอนุมัติได้อยู่หรือไม่

บริการตรวจสอบสมาร์ตคอนแทรกต์และความปลอดภัยบล็อกเชนของ Soken เกี่ยวข้องกับขอบเขตการควบคุมนี้ เพราะโครงสร้างพื้นฐานกระเป๋าเงินมักผสานสมาร์ตคอนแทรกต์ บริการลงนาม API ฝั่งแบ็กเอนด์ ระบบจัดการกุญแจ และเครื่องมือของผู้ให้บริการภายนอกเข้าด้วยกัน การประเมินที่จำกัดอยู่แค่โค้ด Solidity จะไม่ได้ทดสอบว่าบริการที่ถูกเจาะสามารถเปลี่ยนแปลงข้อมูลที่ผู้ลงนามเห็นได้หรือไม่

มาตรการกู้คืนและข้อกล่าวอ้างเรื่องผู้ก่อเหตุได้ผลเพียงใด

ณ วันที่ 29 กันยายน 2026 มาตรการกู้คืนให้ผลการชดใช้คืนที่ยืนยันได้ในวงจำกัด ขณะที่การระบุตัวผู้ก่อเหตุยังอยู่ในระดับความน่าจะเป็น ไม่ใช่การระบุอย่างเป็นทางการ Circle และ Tether อายัดรวมราว 339,100 ดอลลาร์ และ NEAR Intents ระบุว่าระบบคัดกรองของตนปฏิเสธความพยายามโอนที่เชื่อมโยงกับ Bitget มูลค่ามากกว่า 50 ล้านดอลลาร์ และอายัดไว้ 503,000 ดอลลาร์ ยังไม่มีการยืนยันว่ามีเงินที่ถูกขโมยถูกกู้คืนกลับสู่ Bitget

การดำเนินการกู้คืนที่มีรายงาน ได้แก่

หน่วยงานหรือกลไกที่ตอบสนอง	การดำเนินการที่รายงาน	จำนวน
Circle และ Tether	อายัด USDC และ USDT	รวมราว 339,100 ดอลลาร์
ยอดคงเหลือสเตเบิลคอยน์	อายัด 239,113.50 USDT และ 99,989.91 USDC	รวมอยู่ในยอด 339,100 ดอลลาร์
NEAR Intents	ปฏิเสธความพยายามโอนที่เชื่อมโยงกับ Bitget	มากกว่า 50 ล้านดอลลาร์
NEAR Intents	อายัดความพยายามโอนที่เชื่อมโยงกับ Bitget	503,000 ดอลลาร์
Bitget	เสนอเงินรางวัลสำหรับการเข้าแทรกแซงและการกู้คืน	5% สำหรับการอายัด บวกอีก 5% สำหรับการกู้คืน

ความแตกต่างระหว่างกระแสเงินที่ถูกปฏิเสธกับเงินที่กู้คืนได้เป็นเรื่องสำคัญยิ่ง ระบบคัดกรองสามารถป้องกันไม่ให้สินทรัพย์เข้าสู่เส้นทางใดเส้นทางหนึ่งได้ โดยไม่ได้นำเงินที่ผู้โจมตีควบคุมอยู่แล้วกลับคืนมา ในทำนองเดียวกัน การอายัดโดยผู้ออกครอบคลุมเฉพาะยอดสเตเบิลคอยน์บางส่วน ไม่ครอบคลุม XRP, ETH, BTC หรือสินทรัพย์ที่เคลื่อนผ่านโครงสร้างพื้นฐานแบบไม่ต้องขออนุญาต (permissionless)

การระบุตัวผู้ก่อเหตุก็ต้องใช้ถ้อยคำอย่างระมัดระวังเช่นกัน การประเมินของบริษัทวิเคราะห์ข้อมูลระบุว่าการโจมตีมีความเป็นไปได้สูงที่จะเชื่อมโยงกับเกาหลีเหนือ และพบความทับซ้อนกับกระเป๋าเงินที่ใช้ในการแฮ็ก Bybit และ AFX Bridge อีกการประเมินหนึ่งกล่าวถึงกลุ่มขบวนการที่มีลักษณะคล้าย TraderTraitor แต่ยังไม่ได้ระบุผู้ก่อเหตุในกรณี Bitget อย่างชี้ชัด ณ วันที่ 29 กันยายน 2026 ยังไม่มีหน่วยงานรัฐใดระบุผู้ก่อเหตุอย่างเป็นทางการ

ภาพรวมในวงกว้างมีขนาดใหญ่อย่างมีนัยสำคัญ เมื่อรวมกรณี Bitget การโจรกรรมคริปโตที่เชื่อมโยงกับเกาหลีเหนือซึ่งติดตามได้ในปี 2026 ทะลุ 1 พันล้านดอลลาร์ จากเหตุการณ์มากกว่า 50 ครั้ง การประเมินหนึ่งในอุตสาหกรรมระบุยอดรวมไว้ที่ 1.04 พันล้านดอลลาร์ ทำให้ปี 2026 เป็นปีที่มีมูลค่าสูงเป็นอันดับสองรองจากปี 2025 ซึ่งประเมินไว้ที่ 1.68 พันล้านดอลลาร์

ซีอีโอของ Bitget ระบุว่าผู้โจมตีมีแนวโน้มสูงมากที่จะเป็นกลุ่มจากเกาหลีเหนือ คำกล่าวนี้เป็นสัญญาณความเสี่ยงเชิงปฏิบัติการ ไม่ใช่สิ่งทดแทนการระบุตัวผู้ก่อเหตุอย่างเป็นทางการ ทีมความปลอดภัยควรใช้ความทับซ้อนของกระเป๋าเงินและรูปแบบการฟอกเงินที่มีอยู่เป็นแนวทางในการตรวจจับ ขณะเดียวกันก็คงความไม่แน่นอนไว้ในข้อกล่าวอ้างต่อสาธารณะและในกระบวนการทางกฎหมาย

Bitget ยังระบุด้วยว่าเงินของผู้ใช้ 100% ได้รับความคุ้มครองจาก Bitget Protection Fund ซึ่งถือครอง 5,500 BTC มูลค่าราว 464 ล้านดอลลาร์ ณ ขณะนั้น ศูนย์ซื้อขายให้คำมั่นว่าจะเติมกองทุนให้กลับมาอยู่ที่อย่างน้อย 300 ล้านดอลลาร์ภายในหนึ่งสัปดาห์ จากเงินสำรองของบริษัทที่มีมากกว่า 1.4 พันล้านดอลลาร์ คำมั่นเหล่านี้ตอบโจทย์ความสามารถในการชำระคืนลูกค้า แต่ไม่ได้ทำให้ความจำเป็นในการซ่อมแซมสถาปัตยกรรมการอนุมัติที่ปล่อยให้คำสั่งถอนผ่านไปได้หมดไป

โทเคน BGB ร่วงลงราว 3% ถึง 7% หลังเหตุการณ์ โดยลงไปแตะจุดต่ำสุดราว 1.89 ถึง 1.93 ดอลลาร์ ก่อนฟื้นกลับมาที่ประมาณ 1.97 ดอลลาร์ ปฏิกิริยาของตลาดจึงสะท้อนทั้งความเสี่ยงด้านความเชื่อมั่นและความเสียหายโดยตรงในกระเป๋าเงิน

สามารถติดตามการรับมือของ Bitget ควบคู่กับงานวิจัยเหตุการณ์ในวงกว้างได้ผ่านศูนย์รวมงานวิจัยด้านความปลอดภัยของ Soken ส่วนองค์กรที่กำลังทบทวนธรรมาภิบาลของศูนย์ซื้อขายสามารถใช้บริการตรวจสอบทางเทคนิคและสนับสนุนการรับมือเหตุการณ์เพื่อทดสอบขอบเขตของข้อมูลรับรอง ความถูกต้องสมบูรณ์ของธุรกรรม และระบบควบคุมฉุกเฉิน

ศูนย์ซื้อขายควรเปลี่ยนแปลงอะไรหลังการโจมตี Bitget

ศูนย์ซื้อขายควรมองการโจมตี Bitget เป็นความล้มเหลวด้านความถูกต้องสมบูรณ์ของการอนุมัติสิทธิ์ และทดสอบทุกระบบที่สร้าง แปลง แสดงผล อนุมัติ ลงนาม หรือเผยแพร่ธุรกรรมการถอน การปกป้องโคลด์วอลเล็ตและกุญแจส่วนตัวยังคงจำเป็น แต่เหตุการณ์ของ Bitget แสดงให้เห็นว่าความเสี่ยงของฮอตวอลเล็ตและวอร์มวอลเล็ตยังขึ้นอยู่กับเมทาดาทาธุรกรรมที่เชื่อถือได้และเส้นทางการอนุมัติที่เป็นอิสระด้วย

แผนงานหลังเกิดเหตุที่นำไปใช้ได้จริงควรดำเนินตามลำดับนี้

1. ประกอบเส้นทางของคำสั่งขึ้นใหม่ จัดทำแผนผังเส้นทางทั้งหมดตั้งแต่คำขอถอนจนถึงการเผยแพร่ธุรกรรม รวมถึงผลิตภัณฑ์ของผู้ให้บริการภายนอก บัญชีบริการ คิว API ระบบลงนาม และการกระทบยอด
2. เพิกถอนข้อมูลรับรองในวงกว้าง Bitget เพิกถอนและออกข้อมูลรับรองภายในใหม่ ศูนย์ซื้อขายอื่นควรระบุสิทธิ์ที่สืบทอดมา บัญชีบริการที่ไม่ได้ใช้งาน และข้อมูลรับรองที่ใช้ร่วมกันข้ามสภาพแวดล้อม
3. แยกการสร้างธุรกรรมออกจากการอนุมัติธุรกรรม อินเทอร์เฟซการอนุมัติควรตรวจสอบปลายทาง สินทรัพย์ จำนวน เชน nonce และการจัดประเภทตามนโยบายอย่างเป็นอิสระ
4. เก็บรักษาหลักฐานไว้นอกระบบโปรดักชัน เนื่องจากผู้โจมตีลบร่องรอยของคำสั่งที่แทรกเข้ามา บันทึกการตรวจสอบจึงต้องถูกทำสำเนาไปยังสภาพแวดล้อมที่ผู้ดูแลระบบฝ่ายปฏิบัติการไม่สามารถเขียนทับได้
5. ทดสอบเกณฑ์ความเสี่ยงใหม่ การโอนทดสอบ 0.184 ETH และ 193 TRX ผ่านไปได้เพราะอยู่ต่ำกว่าเกณฑ์ การตรวจจับควรผสานมูลค่า ความใหม่ของปลายทาง จังหวะเวลา การทำซ้ำ พฤติกรรมข้ามเชน และบริบทของข้อมูลรับรองเข้าด้วยกัน
6. ซักซ้อมกระบวนการปิดระบบ Bitget แยกเซิร์ฟเวอร์ ย้ายเงินที่เหลือไปยังโคลด์สตอเรจ และปิดการลงนาม การดำเนินการเหล่านี้ควรได้รับการซ้อมไว้ก่อนเกิดเหตุ แทนที่จะคิดแก้เฉพาะหน้าในขณะเกิดเหตุ
7. กำหนดแนวทางส่งต่อเรื่องไปยังหน่วยงานภายนอกไว้ล่วงหน้า ผู้ออกสเตเบิลคอยน์ บริดจ์ ระบบ intent ผู้ให้บริการวิเคราะห์ข้อมูล และหน่วยงานบังคับใช้กฎหมาย ควรถูกรวมไว้ในคู่มือปฏิบัติการรับมือเหตุการณ์
8. กลับมาเปิดให้บริการเป็นระยะอย่างมีการควบคุม การเปิดทีละสินทรัพย์ช่วยให้ระบบเฝ้าระวังตรวจสอบเส้นทางของกระเป๋าเงินแต่ละเส้นทางได้ก่อนที่การถอนในวงกว้างจะกลับมา

เป้าหมายการควบคุมที่ใช้ได้จริงนั้นเรียบง่าย คือแบ็กเอนด์ที่ถูกเจาะเพียงระบบเดียวต้องไม่สามารถสร้างคำขอถอน อธิบายคำขอนั้นแก่ผู้อนุมัติ ผ่านเงื่อนไขของระบบประเมินความเสี่ยง (risk engine) และสั่งให้เกิดการลงนามได้ทั้งหมด เป้าหมายนี้ใช้ได้ไม่ว่าศูนย์ซื้อขายจะใช้กระเป๋าเงินมัลติซิก ฮาร์ดแวร์ซีเคียวริตีโมดูล (HSM) วอลต์แบบสมาร์ตคอนแทรกต์ หรือโครงสร้างพื้นฐานการรับฝากสินทรัพย์ของผู้ให้บริการภายนอก

เหตุการณ์ของ Bitget ยังสนับสนุนการแยกแยะในภาพกว้างระหว่างความปลอดภัยของการรับฝากสินทรัพย์กับความปลอดภัยของการอนุมัติสิทธิ์ ความปลอดภัยของการรับฝากสินทรัพย์ถามว่าผู้โจมตีสามารถได้กุญแจไปหรือไม่ ส่วนความปลอดภัยของการอนุมัติสิทธิ์ถามว่าระบบถูกชักนำให้อนุมัติธุรกรรมที่ผิดด้วยกุญแจที่ถูกต้องได้หรือไม่ ศูนย์ซื้อขายที่วัดผลเฉพาะหมวดแรกอาจรายงานได้ว่ากุญแจส่วนตัวยังปลอดภัย ทั้งที่กำลังสูญเสียการควบคุมเงินซึ่งกุญแจเหล่านั้นใช้อนุมัติ

กำหนดการกลับมาเปิดให้บริการของ Bitget คำมั่นเรื่อง Protection Fund และการแก้ไขด้านข้อมูลรับรอง ตอบโจทย์ความต่อเนื่องและการคุ้มครองลูกค้า คำถามทางเทคนิคข้อถัดไปคือ ศูนย์ซื้อขายสามารถแสดงให้เห็นได้หรือไม่ว่าข้อมูลธุรกรรมที่แสดงต่อผู้อนุมัติในปัจจุบันถูกสร้างและตรวจสอบอย่างเป็นอิสระจากแบ็กเอนด์ที่ถูกเจาะ หลักฐานดังกล่าวควรเป็นส่วนหนึ่งของรายงานหลังเกิดเหตุฉบับใดก็ตามที่เผยแพร่ต่อสาธารณะ

ความเสียหายของ Bitget การดูดสินทรัพย์ข้ามหลายเชนรวม 17 ธุรกรรม และการกู้คืนที่ยืนยันได้ในวงจำกัด ล้วนชี้ไปที่ช่องว่างด้านการควบคุมเดียวกัน นั่นคือซอฟต์แวร์ที่ได้รับความไว้วางใจและบริบทธุรกรรมที่ได้รับความไว้วางใจต้องถูกมองเป็นพื้นผิวการโจมตี ขั้นตอนถัดไปที่เป็นรูปธรรมสำหรับผู้ดำเนินงานศูนย์ซื้อขายคือ ไล่ตามการถอนหนึ่งรายการตั้งแต่ต้นจนจบ แล้วพยายามแก้ไขข้อมูลธุรกรรมที่แสดงผลโดยไม่เปลี่ยนคำขอลงนามสุดท้าย หากชั้นการเฝ้าระวังและชั้นการอนุมัติตรวจไม่พบความไม่ตรงกันนั้น สถาปัตยกรรมกระเป๋าเงินก็ยังคงมีช่องโหว่อยู่

Soken สามารถสนับสนุนงานดังกล่าวผ่านการประเมินความปลอดภัยของศูนย์ซื้อขายและการทดสอบเจาะระบบ โดยมุ่งการทบทวนไปที่เส้นทางการอนุมัติสิทธิ์ซึ่งเชื่อมเครื่องมือของผู้ให้บริการภายนอกเข้ากับการปฏิบัติงานของฮอตวอลเล็ตและวอร์มวอลเล็ต