Tin tặc Triều Tiên phân tán tiền đánh cắp từ Binance qua 12.000 ví, song 2,85 tỷ USD, tương đương 44% tổng số 6,43 tỷ USD, đã bị phong tỏa.
Các tin tặc Triều Tiên đang luân chuyển số tài sản đánh cắp từ Binance với tốc độ chưa từng thấy, trung bình khoảng một ví tài sản mã hóa mới mỗi 25 giây. Theo phân tích công bố hôm thứ Hai của công ty phân tích chuỗi khối Elliptic, chỉ trong chưa đầy bốn ngày, kẻ tấn công đã phân tán số tiền qua khoảng 12.000 ví trên 11 mạng chuỗi khối, với hơn 40.000 giao dịch.
Tuy vậy, các tổ chức phát hành stablecoin còn phản ứng nhanh hơn. Khoảng 2,85 tỷ USD, tương đương 44% tổng tài sản bị lấy cắp, đã bị phong tỏa hoặc thu giữ, so với chỉ khoảng 3% sau vụ tấn công Bybit trị giá 1,5 tỷ USD mà Triều Tiên thực hiện hồi tháng 2/2025. Tốc độ đóng vai trò quyết định bởi stablecoin chiếm tới 3,46 tỷ USD, tương đương 54% số tài sản bị đánh cắp, và đây là loại tài sản mà tổ chức phát hành có thể phong tỏa. Theo Elliptic, Tether đã khóa số USDT bị đánh cắp trên Ethereum chỉ 37 phút sau khi tiền về ví kẻ tấn công, còn Circle phong tỏa toàn bộ 823 triệu USD USDC trước khi bất kỳ phần nào kịp được hoán đổi.
Dù vậy, tin tặc vẫn kịp đưa khoảng 786 triệu USD stablecoin thoát khỏi lệnh phong tỏa. Chúng hoán đổi 434 triệu USDT sang ETH trên các sàn phi tập trung như Uniswap, dùng 59,9 triệu USDT khác làm tài sản thế chấp để vay 19.762 ETH trên giao thức cho vay Aave, và đổi 234 triệu USDT sang token TRX. Tron sau đó trở thành tuyến rửa tiền chính, với đỉnh điểm khoảng 1.300 giao dịch trong một giờ.
Vụ tấn công bắt đầu vào tối muộn thứ Năm, khi kẻ tấn công rút cạn các ví nóng của Binance. Cục Điều tra Liên bang Mỹ (FBI) sau đó quy trách nhiệm cho TraderTraitor, nhóm tin tặc có liên hệ với nhà nước Triều Tiên, và công bố hàng trăm địa chỉ liên quan. Binance đã cam kết bù đắp toàn bộ tổn thất và mở lại rút tiền vào Chủ nhật, ghi nhận dòng vốn rút ròng khoảng 3,64 tỷ USD trong chín giờ rưỡi đầu tiên.
Tự động hóa, nhưng không phải tác tử AI
Tốc độ rửa tiền khiến nhiều người đồn đoán rằng các tác tử AI đang điều khiển quá trình. Elliptic bác bỏ giả thuyết này, chỉ ra các dấu hiệu như thời gian cố định, số tiền định sẵn, cơ chế thử lại máy móc và những khoảng tạm dừng trùng với giờ làm việc của con người. Theo công ty, hoạt động rõ ràng được tự động hóa, song không có bằng chứng cho thấy AI đang đưa ra quyết định.
Khoảng 3,24 tỷ USD vẫn nằm yên trong các địa chỉ liên quan, chủ yếu là ETH và 18.270 BTC chưa hề dịch chuyển kể từ ngày xảy ra vụ việc. Elliptic cho rằng phần này nhiều khả năng vẫn do Triều Tiên nắm giữ, trong khi phần đang được rửa có thể đã đi vào các mạng lưới rửa tiền tại Trung Quốc. Đến nay, chỉ một lượng không đáng kể được quy đổi ra tiền pháp định, và khoảng 16 triệu USD đã được chuyển đến các địa chỉ nắm giữ tài sản từ vụ khai thác lỗ hổng Bitget hồi tháng 9.
Dựa trên kịch bản vụ Bybit, Elliptic dự báo kẻ tấn công sẽ hoán đổi ETH sang Bitcoin theo từng đợt nhỏ và rút tiền mặt qua các nhà môi giới OTC trong nhiều tháng. Việc phong tỏa thêm sẽ khó khăn hơn do ETH và Bitcoin không thể bị đóng băng; cơ hội còn lại nằm ở các dịch vụ tập trung, nơi dòng tiền cuối cùng buộc phải xuất hiện.
