Kẻ đánh cắp 387,5 triệu USD từ Bitget đưa khoảng 3,8 triệu USD ZEC vào bể Ironwood của Zcash, sau khi Near Intents chặn hơn 50 triệu USD giao dịch hoán đổi.
Kẻ tấn công đứng sau vụ rút 387,5 triệu USD khỏi sàn Bitget đã bắt đầu che giấu dòng tiền bằng cách chuyển một phần tài sản vào bể giao dịch được bảo vệ quyền riêng tư của Zcash.
Nhà điều tra dữ liệu trên chuỗi ZachXBT cho biết hôm thứ Tư, khoảng 2.700 ZEC, tương đương 3,8 triệu USD, đã được đưa vào Ironwood, bể được triển khai ngày 28/7 để thay thế bể Orchard sau khi một nhà nghiên cứu phát hiện lỗi có thể cho phép tạo ra đồng tiền giả mạo. Lượng ZEC này chiếm khoảng một phần bảy tổng số ZEC bị đánh cắp. Các nhà điều tra vẫn thấy được tiền vào và ra khỏi bể, nhưng không thể xác định điều gì diễn ra ở giữa.
Giám đốc điều hành Bitget Gracy Chen cho biết địa chỉ IP và mô hình tấn công có nhiều điểm tương đồng với các nhóm tin tặc Triều Tiên. Công ty phân tích blockchain Elliptic đánh giá khả năng liên hệ với Triều Tiên là “rất cao”, đồng thời xếp đây là vụ trộm tài sản mã hóa lớn nhất bị nghi liên quan đến Triều Tiên trong năm 2026, đưa tổng giá trị bị đánh cắp trong năm vượt 1 tỷ USD.
Cuộc đua giữa rửa tiền và phong tỏa dòng tiền
Vụ tấn công bắt đầu ngày 24/9, khi Bitget phát hiện các giao dịch chuyển tài sản trái phép khỏi ví nóng. Theo bà Chen, kẻ tấn công xâm nhập hệ thống phía sau và làm giả dữ liệu giao dịch thay vì đánh cắp khóa riêng. Quỹ bảo vệ của Bitget đủ khả năng bù đắp thiệt hại nên số dư khách hàng không bị ảnh hưởng.
Sau đó là giai đoạn rửa tài sản. TRM Labs phát hiện kẻ tấn công chia nhỏ tiền vào các ví mới với số dư tròn, khoảng 10.000 ETH hoặc 20 triệu XRP mỗi ví, rồi chuyển các phần nhỏ hơn qua dịch vụ hoán đổi chuỗi chéo như Thorchain, Across, Bridgers, Chainflip và FixedFloat. Tuy nhiên, Near Intents từ chối xử lý.
Tổng giám đốc Alex Shevchenko cho biết hệ thống sàng lọc SHIELD đã chặn hơn 50 triệu USD giao dịch hoán đổi liên quan, trong đó khoảng 503.000 USD bị phong tỏa giữa quá trình và khoảng 166.000 USD lọt qua. Số tiền bị giữ sẽ được xử lý qua thủ tục pháp lý và quy trình thu hồi. Đồng sáng lập Illia Polosukhin lập luận rằng đặc tính “không cần cấp phép” không buộc mọi ứng dụng phải xử lý mọi giao dịch.
Thorchain chọn hướng ngược lại. Mạng lưới này cho biết việc tạm dừng là công cụ khẩn cấp bảo vệ giao thức, không phải cơ chế đóng băng các khoản tiền cụ thể, và quyết định thuộc về các nhà khai thác nút độc lập bỏ phiếu. Lập luận này gặp phản biện, vì Thorchain từng dừng toàn bộ mạng khoảng năm tuần sau vụ khai thác lỗ hổng trị giá 10,7 triệu USD ngày 15/5, đến ngày 22/6 mới hoạt động trở lại. Dữ liệu trên chuỗi cho thấy hôm thứ Hai, khoảng 2.390 ETH, trị giá xấp xỉ 6,3 triệu USD, đã được đổi thành 75,2 BTC qua Thorchain.
Bitget hiện treo thưởng 5% cho khoản tiền được phong tỏa và thêm 5% cho khoản tiền thu hồi thành công, không áp dụng với các biện pháp theo yêu cầu của tòa án hoặc cơ quan thực thi pháp luật. Diễn biến này cho thấy hiệu quả truy vết ngày càng phụ thuộc vào việc từng nền tảng hoán đổi có sẵn sàng đứng ra chặn dòng tiền hay không.
