Elliptic cho biết nhóm rửa tiền đã đúc sáu meme coin trên Near để luân chuyển khoảng 430.000 USD trong số 6,4 tỷ USD bị đánh cắp từ Binance.
Nhóm tin tặc Triều Tiên đứng sau vụ đánh cắp kỷ lục 6,4 tỷ USD từ Binance đang dùng một thủ đoạn mới để tẩu tán tiền: tự đúc các meme coin vô giá trị rồi luân chuyển tài sản qua sàn giao dịch phi tập trung. Theo báo cáo của công ty phân tích chuỗi khối Elliptic, do đồng sáng lập Tom Robinson thực hiện, cách làm này cắt đứt liên kết trực tiếp trên chuỗi giữa ví của kẻ trộm và ví thu nhận tiền.
Quy trình khá đơn giản. Nhóm rửa tiền đúc một token hoàn toàn mới, ghép cặp token này với một tài sản thực như Near hoặc một đồng tiền ổn định trong bể thanh khoản. Một nhóm ví nạp tiền đánh cắp vào bể để mua token, sau đó một nhóm ví khác bán lại token để rút ra tài sản trông có vẻ “sạch”. Vì bể thanh khoản nằm ở giữa, không có khoản tiền nào đi thẳng từ ví mua sang ví thu nhận, còn các ví nhận tiền trông giống nhà giao dịch bình thường đang chốt lời.
Sáu token, 430.000 USD và một lớp ngụy trang dùng một lần
Elliptic cho biết thủ đoạn này đã được triển khai trên Tron và Near, cùng một biến thể gần tương tự trên Solana. Ví dụ rõ nhất diễn ra trên Near: từ ngày 5 đến 7/11, nhóm rửa tiền tạo ít nhất sáu token tự phát hành, mỗi token ghép cặp với Near trong một bể thanh khoản riêng. Mỗi token chỉ tốn khoảng 25 Near, tương đương khoảng 90 USD, để tạo ra.
Các token mang đủ đặc điểm của meme coin, với logo hoạt hình hình khỉ đeo nơ, vịt khoác cờ, tinh tinh và cáo. Một token dùng hình ảnh Elon Musk kèm dòng chữ “Elon 2028 President”, dù ông không liên quan đến các token này. Cả sáu đi theo cùng một vòng đời: được phát hành, giao dịch dồn dập trong vài giờ bằng Near bị đánh cắp, rồi bị bỏ rơi, với phần thanh khoản còn lại bị rút ra vào ngày 8/11. Tổng cộng khoảng 117.000 Near, tương đương khoảng 430.000 USD, đã đi qua sáu token trước khi phần lớn được chuyển sang đồng tiền ổn định hoặc qua cầu nối liên chuỗi.
Con số này còn khiêm tốn so với quy mô vụ trộm, cho thấy phần lớn tài sản vẫn nằm yên trên chuỗi. Trước đó, Elliptic ghi nhận hơn 3 tỷ USD tài sản mã hóa bị đánh cắp chưa được rửa, trong khi nhóm rửa tiền tạo ví mới khoảng mỗi 25 giây để di chuyển tiền với tốc độ của máy móc.
Elliptic nhấn mạnh thủ đoạn này không thực sự che giấu được dòng tiền. Dấu vết vẫn hoàn toàn truy được trên chuỗi; thao tác chỉ làm chậm nhà điều tra, kéo dài thời gian trong cuộc đua di chuyển tiền trước khi bị gắn cờ cảnh báo. Đây là một lớp ngụy trang rẻ tiền, dùng một lần, trong số nhiều lớp mà nhóm rửa tiền Triều Tiên xếp chồng lên nhau.
Thủ đoạn này không mới hoàn toàn. Elliptic lần đầu ghi nhận nó vào năm ngoái khi truy vết vụ đánh cắp 1,5 tỷ USD từ Bybit, vụ việc cũng được quy cho TraderTraitor, nhóm đứng sau vụ xâm nhập Binance.
Công ty cảnh báo các bộ phận tuân thủ không nên mặc định tiền đến từ bể thanh khoản là tiền sạch, đặc biệt khi xuất hiện token mới đúc và chỉ một số ít ví giao dịch.
