AI-augmented hacking มาแล้ว — TRM Labs ชี้ North Korea ใช้ AI ใน reconnaissance/social engineering, ขโมยคริปโตได้ $577M ภายใน 4 เดือนแรกของปี 2026 (76% ของมูลค่าทั้งหมด) จาก 2 เหตุการณ์ — Bloomberg เตือนทั้ง $130B crypto sector ตกอยู่ในความเสี่ยง

วันศุกร์ที่ 15 พ.ค. 2026 Bloomberg เผยแพร่ analysis “AI-Hacking Threat Pushes $130 Billion Crypto Sector to the Brink” — อ้างถึงงานวิจัยจาก TRM Labs บริษัท blockchain forensics ที่ตีพิมพ์ รายงานยาว เมื่อ 30 เม.ย. — โดยเฉพาะข้อสรุปใหม่ที่ว่า กลุ่ม hacker ที่เชื่อมโยงกับ North Korea เริ่ม incorporate AI tools เข้าสู่ workflow ของ reconnaissance และ social engineering

ตัวเลขที่สำคัญ: 76% ของมูลค่าการโจรกรรมคริปโตในปี 2026 (Jan-Apr) มาจากกลุ่ม North Korea — $577 ล้านดอลลาร์ — แต่มาจากการโจมตีเพียง 2 ครั้ง เท่านั้น

นี่ไม่ใช่ข่าวเก่า — เป็นแนวโน้มที่กำลัง compound และเริ่มถูกตีความใหม่ในกรอบ AI-augmented threats — บทความนี้สรุปข้อเท็จจริงและให้ มุมมอง AI Curator ว่ามันสำคัญต่อ Thailand และ SEA อย่างไร

Drift Protocol (1 เม.ย.) — durable nonce + social engineering หลายเดือน

การโจมตี Drift Protocol ใน Solana ขโมยได้ $285 ล้าน ภายใน 12 นาที — แต่งานเบื้องหลังใช้เวลา หลายเดือน:

• มี.ค. – มี.ค. 23-30: attacker สร้าง durable nonce accounts ซึ่งเป็น feature ของ Solana ที่ขยายอายุ pre-signed transaction จาก ~90 วินาทีเป็น ระยะเวลาไม่จำกัด (ออกแบบมาสำหรับ offline hardware signing) — แล้วทำให้ Security Council signer ของ Drift “pre-authorize” transactions โดยไม่รู้ context
• 27 มี.ค.: Drift migrate Security Council ไปเป็น threshold 2/5 พร้อม timelock = 0 — เปลี่ยน config ที่ attacker จะ exploit ต่อ
• คู่ขนาน: attacker สร้าง “CarbonVote Token” (CVT) — asset ปลอมที่ wash trade เพื่อให้ oracle ของ Drift ยอมรับเป็น collateral
• 1 เม.ย.: pre-signed transaction ถูก broadcast — drain 31 ครั้ง ภายใน 12 นาที

ส่วนที่น่าหวาดเสียวคือ TRM ระบุว่ามี in-person meeting ระหว่าง North Korea proxy กับพนักงาน Drift หลายเดือนก่อนหน้า — เป็นการ social engineering ระดับ “in-person” ที่ไม่เคยเห็นใน playbook ของ North Korea มาก่อน — และ TRM speculate ว่า AI tools ถูกใช้ใน reconnaissance phase เพื่อ profile target และออกแบบ scenarios

KelpDAO (18 เม.ย.) — single-DVN exploit + THORChain laundering

อีก 17 วันต่อมา attacker (TRM ระบุว่าเป็นกลุ่ม TraderTraitor ของ North Korea) โจมตี rsETH LayerZero bridge ของ KelpDAO บน Ethereum ขโมยได้ ~$292 ล้าน ผ่านขั้นตอน:

1. compromise internal RPC nodes 2 ตัวของ KelpDAO ให้รายงาน blockchain data เท็จ
2. ยิง DDoS ใส่ external RPC node ที่ยังไม่ถูก compromise — บังคับให้ verifier fail-over ไป poisoned node
3. poisoned node รายงานเท็จว่า rsETH ถูก “burn” บน source chain — single verifier (LayerZero Labs DVN) เชื่อ
4. drain 116,500 rsETH มูลค่า $292M

ช่องโหว่ของแท้ไม่ใช่ DDoS — เป็น single-DVN configuration ของ KelpDAO ที่ใช้ verifier แค่ตัวเดียวแทนที่จะ require multiple — LayerZero รองรับ multi-verifier ได้แต่ KelpDAO เลือกใช้ตัวเดียว

หลังโจมตี attacker swap ~$175M เป็น Bitcoin ผ่าน THORChain (cross-chain DEX ที่ไม่มี KYC และ project members ระบุว่า “decentralized — freeze transaction ไม่ได้”) — Arbitrum Security Council ตัดสินใจ freeze ETH $75M ที่ค้างอยู่บน L2 — ซึ่งกลายเป็น turning point ที่ทำให้ attacker เร่ง launder ที่เหลือ

ทำไม AI ถึงเข้ามาเปลี่ยนเกมตรงนี้?

TRM ระบุว่า AI tools เริ่มเข้ามาในสามจุด:

1. Target reconnaissance — profile พนักงานของ protocol target จาก LinkedIn, GitHub, Twitter — AI สรุปได้เร็วและ scale ได้แบบที่มนุษย์ทำไม่ทัน

2. Social engineering scripts — Generate phishing/voice/video deepfake ที่ context-aware ใน multi-step interaction — AI ช่วยสร้าง persona ที่สม่ำเสมอตลอดหลายเดือนของการสนทนา

3. Code analysis — AI ช่วย reverse-engineer smart contract และหา vulnerability ในระดับที่เร็วกว่ามนุษย์ — โดยเฉพาะ vulnerability ใน governance contract และ bridge ที่ logic ซับซ้อน

ผลคือ attack precision เพิ่มขึ้นมาก — North Korea หันจาก “ขโมย private key” (ปี 2020-2022) มาเป็น “exploit governance/bridge vulnerability” (2025-26) — ซึ่งต้องการ understanding ที่ deep มากของแต่ละ protocol

มุมมอง AI Curator

ข้อสังเกตที่ Bloomberg ยังไม่พูดออกมาตรง ๆ — แต่ AI Curator คิดว่าเป็น implication สำคัญที่สุด:

1. AI กำลังทำลาย “asymmetry” ที่เคยช่วยปกป้อง defender

ตลอดประวัติศาสตร์ security, defender มีต้องป้องกันทุก attack surface ส่วน attacker หาช่องเดียวก็พอ — แต่ asymmetry ฝั่ง defender คือ defender มี context และ insider knowledge ที่ attacker ต้อง painfully reconstruct — AI ทำให้ reconstruction นี้ ถูกลงและเร็วขึ้นเป็นหลักล้านเท่า — North Korea ใช้ Claude/GPT-class tools profile target และ generate social engineering script ที่ดูเหมือนภาษาแม่ของ target ได้

implication คือ smaller protocol team ที่เคยพึ่ง obscurity เป็นการป้องกัน (security through obscurity) — protocol เล็ก ๆ ที่คิดว่า “เราเล็กเกินจะมีคนสนใจ” — กำลังกลายเป็น target ที่ profile ได้ในเวลาเพียงนาทีจาก AI และคุ้มค่าจะโจมตี

2. THORChain คือ “money laundering as a service” ที่ KYC จับไม่ได้

จุดที่น่าหนักใจที่สุดของรายงานไม่ใช่ AI attack — แต่คือ THORChain ซึ่งเป็น cross-chain DEX ที่กลุ่ม North Korea ใช้แปลง stolen ETH เป็น BTC ใน:

• Bybit hack 2025 ($1.46B)
• KelpDAO hack 2026 ($175M ผ่านมัน)

THORChain ระบุว่า “decentralized” และ “freeze transaction ไม่ได้” — แต่ TRM ชี้ว่าคำกล่าวนี้อาจไม่จริง — และคำถามทาง regulatory ที่ตามมาคือ THORChain เป็น financial infrastructure ที่ควรถูก sanction หรือไม่ — สำหรับ Thailand นี่กระทบโดยตรงเพราะ exchange ไทยมี exposure ต่อ Bitcoin flow ที่ผ่าน THORChain โดยอาจไม่รู้ตัว

3. SEA crypto exchange = next target?

Drift และ KelpDAO เป็น DeFi protocol — แต่ pattern เดียวกัน (multi-month social engineering + AI-augmented reconnaissance) สามารถ ปรับใช้กับ centralized exchange ใน SEA ได้:

• Thailand มี exchange ขนาดกลางหลายราย — Bitkub, Satang Pro, Zipmex (ถ้ายังอยู่)
• ทั้งหมดมี attack surface คล้ายกัน: cold wallet signer หลายคน, governance multi-sig, hot wallet ที่ใช้ MPC
• พนักงาน senior ของ exchange ไทยมี profile ใน LinkedIn/GitHub ที่ AI ทำ reconnaissance ได้สมบูรณ์

ถ้า defender ฝั่ง SEA exchange ไม่ปรับ playbook ให้พิจารณา “AI-augmented insider-style attack” — ที่ social engineer แบบ multi-month ผ่าน LinkedIn message + voice call deepfake + in-person meeting — เราจะเห็น $200M+ hack ใน SEA ภายใน 12-18 เดือน

4. ข้อเสนอเชิง defensive ที่ควร adopt ทันที

จาก playbook ที่ Drift และ KelpDAO เจอ — defender ใน SEA ควรเริ่มจาก:

• Multi-DVN config สำหรับทุก bridge — single-DVN คือช่องโหว่ระดับ existential
• Hardware-signed transaction + timelock > 0 สำหรับ governance — ห้ามใช้ pre-signed transaction รูปแบบใด ๆ ที่อายุนานเกิน hours
• Anti-social-engineering training ที่สมมุติว่ามี deepfake voice/video — ฝึก signer ให้ verify ผ่าน multi-channel
• Real-time alert network แบบ TRM Beacon Network — ที่ exchange ใน SEA ควร enroll เพื่อให้ alert flow ได้แบบ minute-level เมื่อ funds reach platform

นี่ไม่ใช่ alarm สำหรับนักลงทุน retail — เป็น operational warning สำหรับ security team ของทุก crypto/DeFi/fintech ใน region — AI กำลังเปลี่ยน threat model และ defender ที่ไม่ปรับตัวจะกลายเป็น next headline

แหล่งข่าว

• AI-Hacking Threat Pushes $130 Billion Crypto Sector to the Brink — Bloomberg (15 พ.ค. 2026)
• North Korea Stole 76% of All Crypto Hack Value in 2026 — TRM Labs (30 เม.ย. 2026)
• North Korea accounts for 76% of 2026 crypto hack losses — The Block
• TRM Labs: North Korea-linked hackers drive 76% of 2026 crypto thefts — crypto.news