Triều Tiên phủ nhận liên quan vụ tấn công Binance trị giá 6,3 tỷ USD, dòng tiền bị đánh cắp tiếp tục dịch chuyển qua hàng nghìn ví

Vụ tấn công mạng nhằm vào Binance với số tài sản bị đánh cắp được ước tính lên tới hàng tỷ USD đang trở thành tâm điểm chú ý của thị trường tiền điện tử. Trong khi các công ty phân tích blockchain tiếp tục truy tìm dấu vết dòng tiền qua hàng chục nghìn giao dịch, Triều Tiên đã chính thức bác bỏ cáo buộc có liên quan đến vụ việc, đồng thời chỉ trích Washington vì cho rằng Bình Nhưỡng đứng sau hoạt động tấn công mạng.

Theo truyền thông nhà nước Triều Tiên, những cáo buộc do Cục Điều tra Liên bang Mỹ (FBI) đưa ra là một hành động mang tính chính trị. Tuy nhiên, các công ty phân tích blockchain như Elliptic và Chainalysis cho biết họ đã phát hiện nhiều dấu hiệu liên kết hoạt động chuyển dịch tài sản sau vụ tấn công với các nhóm tin tặc có quan hệ với Triều Tiên.

Trong lúc tranh cãi về trách nhiệm chưa có hồi kết, quy mô hoạt động di chuyển và che giấu dòng tiền cho thấy những thách thức ngày càng lớn đối với các nền tảng giao dịch tiền điện tử cũng như các đơn vị chuyên theo dõi hoạt động bất hợp pháp trên blockchain.

Triều Tiên bác bỏ cáo buộc từ FBI

Theo hãng tin Yonhap, dẫn thông tin từ hãng thông tấn nhà nước KCNA, bà Kim Yo Jong, em gái nhà lãnh đạo Triều Tiên Kim Jong Un, đã lên tiếng phản đối việc FBI quy kết vụ tấn công mạng cho nhóm tin tặc TraderTraitor có liên hệ với Triều Tiên.

Bình Nhưỡng cho rằng việc Mỹ gắn vụ việc với một tổ chức tin tặc được cho là có sự hỗ trợ từ Triều Tiên là hành động khiêu khích chính trị nghiêm trọng. Phía Triều Tiên cũng cáo buộc Washington đang cố gắng xây dựng hình ảnh CHDCND Triều Tiên như một quốc gia đứng sau các hoạt động tội phạm mạng trên toàn cầu.

Theo KCNA, bà Kim Yo Jong cho rằng FBI đang tìm cách gán trách nhiệm cho Triều Tiên thông qua những tuyên bố về việc một tổ chức tin tặc được nước này hỗ trợ có liên quan đến vụ việc.

Bà đồng thời cáo buộc Mỹ làm sai lệch nhận thức của dư luận quốc tế khi mô tả các hoạt động tội phạm mạng diễn ra trên thế giới như những hành vi xuất phát từ Bình Nhưỡng.

Tuyên bố phủ nhận của Triều Tiên xuất hiện trong bối cảnh các tổ chức phân tích blockchain đang theo dõi dòng tài sản bị đánh cắp từ Binance. Những dữ liệu được công bố cho thấy tiền điện tử đã được phân tán qua hàng nghìn địa chỉ ví, trải rộng trên nhiều blockchain và liên tục được chuyển đổi nhằm gây khó khăn cho quá trình truy vết.

Cần phân biệt rằng tuyên bố của Triều Tiên là lập trường chính thức từ phía Bình Nhưỡng, trong khi các nhận định về mối liên hệ với nhóm tin tặc xuất phát từ hoạt động phân tích dữ liệu blockchain và đánh giá của cơ quan điều tra. Việc quy kết trách nhiệm vẫn là vấn đề gây tranh cãi giữa các bên.

Hàng nghìn ví và hơn 40.000 giao dịch được sử dụng để dịch chuyển tài sản

Theo báo cáo của Elliptic công bố hôm thứ Hai, trong bốn ngày đầu tiên sau vụ tấn công, các đối tượng liên quan đã sử dụng khoảng 12.000 ví tiền điện tử trên 11 blockchain khác nhau, thực hiện hơn 40.000 giao dịch.

Đáng chú ý, hoạt động này có dấu hiệu được tự động hóa ở mức độ cao. Trung bình khoảng 25 giây lại xuất hiện một ví mới được sử dụng trong quá trình dịch chuyển tài sản.

Việc liên tục tạo và sử dụng các địa chỉ ví mới khiến quá trình theo dõi dòng tiền trở nên phức tạp hơn. Thay vì chuyển toàn bộ tài sản đến một địa chỉ duy nhất, các đối tượng phân chia tiền thành nhiều phần nhỏ, di chuyển qua nhiều lớp trung gian và các mạng lưới khác nhau.

Theo Elliptic, phần lớn hoạt động rửa tiền ban đầu diễn ra trên blockchain Tron. Các khoản tiền bị đánh cắp được phân phối qua khoảng 7.700 địa chỉ ví trước khi một phần được chuyển sang Ethereum thông qua các cầu nối liên chuỗi.

Ít nhất 147 triệu USD đã được chuyển ra khỏi mạng Tron thông qua những cầu nối như vậy.

Cầu nối liên chuỗi vốn là công cụ được sử dụng để chuyển tài sản giữa các blockchain. Chúng đóng vai trò quan trọng trong hệ sinh thái tiền điện tử vì cho phép người dùng tiếp cận nhiều mạng lưới khác nhau mà không cần phụ thuộc vào một blockchain duy nhất.

Tuy nhiên, khi được sử dụng trong các hoạt động bất hợp pháp, những công cụ này có thể tạo thêm nhiều lớp giao dịch, khiến việc xác định nguồn gốc và điểm đến cuối cùng của tài sản trở nên khó khăn hơn.

Stablecoin bị chuyển đổi sang tài sản khó đóng băng

Một trong những phương thức được các đối tượng sử dụng là chuyển đổi stablecoin bị đánh cắp sang những loại tiền điện tử có đặc điểm khác, đặc biệt là các tài sản mà đơn vị phát hành không có khả năng đóng băng trực tiếp.

Theo Elliptic, nhóm tin tặc đã sử dụng các sàn giao dịch phi tập trung để chuyển đổi stablecoin sang những loại tiền điện tử khác, bao gồm Ether.

Điểm đáng chú ý nằm ở sự khác biệt giữa stablecoin tập trung và các tài sản tiền điện tử như Ether.

Một số stablecoin lớn được phát hành bởi các tổ chức có khả năng can thiệp vào tài sản thông qua cơ chế kiểm soát hợp đồng thông minh. Trong những trường hợp đáp ứng điều kiện và quy trình liên quan, đơn vị phát hành có thể đóng băng địa chỉ ví hoặc ngăn chặn việc sử dụng một số token nhất định.

Ngược lại, những tài sản như Ether không có một đơn vị phát hành tập trung có thể thực hiện thao tác đóng băng trực tiếp theo cách tương tự.

Elliptic cho biết khoảng 786 triệu USD stablecoin đã được chuyển đổi trước khi các nhà phát hành, trong đó có Tether và Circle, tiến hành đóng băng số tài sản còn lại.

Diễn biến này cho thấy tốc độ phản ứng của các nhà phát hành stablecoin có thể đóng vai trò quan trọng trong việc hạn chế thiệt hại từ những vụ tấn công quy mô lớn.

Tuy nhiên, việc đóng băng tài sản chỉ có thể phát huy hiệu quả đối với những loại token và địa chỉ nằm trong phạm vi kiểm soát của đơn vị phát hành. Khi dòng tiền được chuyển sang những tài sản khác hoặc đi qua nhiều blockchain, việc thu hồi trở nên phức tạp hơn đáng kể.

Dòng tiền tiếp tục dịch chuyển sang Solana và Bitcoin

Hoạt động dịch chuyển tài sản không dừng lại ở Tron và Ethereum. Theo Chainalysis, các đối tượng được cho là có liên hệ với Triều Tiên đã bắt đầu một giai đoạn rửa tiền mới, sau khi chuyển hơn 500 triệu USD thông qua các ví trung gian trên mạng Tron.

Sau đó, dòng tiền bắt đầu được chuyển sang Solana.

Đây là diễn biến đáng chú ý bởi Solana là một trong những hệ sinh thái blockchain có hoạt động giao dịch sôi động. Việc mở rộng sang nhiều mạng lưới khác nhau giúp các đối tượng có thêm lựa chọn trong quá trình chuyển đổi tài sản, đồng thời làm tăng khối lượng dữ liệu mà các công ty phân tích phải xử lý.

Bên cạnh việc sử dụng các cầu nối liên chuỗi và sàn giao dịch phi tập trung, Elliptic còn phát hiện những dấu hiệu ban đầu của hoạt động trộn Bitcoin.

Trộn Bitcoin là phương thức được thiết kế nhằm làm giảm khả năng liên kết giữa nguồn gốc và điểm đến của các giao dịch. Thông qua việc kết hợp hoặc phân phối giao dịch theo những cấu trúc phức tạp, hoạt động này có thể khiến việc truy tìm lịch sử dòng tiền trở nên khó khăn hơn.

Theo Elliptic, tính đến đầu ngày thứ Hai, khoảng 28 Bitcoin, tương đương 2,2 triệu USD tại thời điểm được thống kê, đã được đưa qua 18 giao dịch trộn.

Mặc dù quy mô này còn nhỏ so với tổng giá trị tài sản bị đánh cắp, việc xuất hiện các giao dịch trộn Bitcoin cho thấy chiến lược dịch chuyển tài sản có thể đang tiếp tục thay đổi.

Các nhà nghiên cứu blockchain vì vậy không chỉ theo dõi những giao dịch chuyển tiền trực tiếp mà còn phải phân tích mối liên hệ giữa các ví, hoạt động chuyển đổi tài sản và những dịch vụ trung gian được sử dụng.

Khoảng 2,85 tỷ USD đã bị đóng băng hoặc tịch thu

Bất chấp quy mô dịch chuyển tài sản rất lớn, một phần đáng kể số tiền bị đánh cắp đã được ngăn chặn.

Theo Elliptic, khoảng 2,85 tỷ USD, tương đương khoảng 44% tổng số 6,43 tỷ USD tài sản bị đánh cắp theo báo cáo của công ty, đã bị đóng băng hoặc tịch thu.

Trong khi đó, khoảng 3,24 tỷ USD vẫn nằm trong các địa chỉ được xác định có liên quan đến vụ tấn công, chủ yếu dưới dạng Bitcoin và Ether.

Một điểm đáng chú ý khác là chỉ một lượng tài sản tương đối nhỏ đã thực sự được rút ra khỏi hệ thống. Phần lớn hoạt động được ghi nhận liên quan đến việc chuyển khoản giữa các ví hoặc chuyển đổi từ loại tiền điện tử này sang loại khác, thay vì chuyển đổi trực tiếp thành tiền có thể sử dụng.

Điều này cho thấy quá trình rửa tiền không đồng nghĩa với việc toàn bộ tài sản bị đánh cắp đã được quy đổi thành tiền mặt hoặc chuyển ra khỏi hệ sinh thái tiền điện tử.

Việc tài sản vẫn nằm trên blockchain cũng tạo cơ hội cho các công ty phân tích, sàn giao dịch và nhà phát hành token tiếp tục theo dõi, nhận diện và phối hợp ngăn chặn những giao dịch đáng ngờ.

Dù vậy, việc một khoản tiền bị đóng băng hoặc tịch thu không đồng nghĩa với việc toàn bộ tài sản đã được hoàn trả cho những người chịu thiệt hại. Quá trình xác định quyền sở hữu, xử lý pháp lý và phân phối tài sản thu hồi có thể cần thêm thời gian.

Quá trình rửa tiền chậm hơn vụ tấn công Bybit năm 2025

Elliptic nhận định tốc độ rửa tiền trong vụ việc lần này chậm hơn so với vụ tấn công mạng nhằm vào Bybit trị giá khoảng 1,5 tỷ USD hồi tháng 2/2025.

Trong vụ Bybit, các tin tặc được cho là có liên hệ với Triều Tiên đã chuyển toàn bộ số Ether bị đánh cắp trong vòng khoảng 10 ngày.

So sánh này cho thấy thời gian xử lý và dịch chuyển tài sản sau một vụ tấn công có thể khác nhau đáng kể, tùy thuộc vào chiến lược của nhóm tin tặc, phản ứng của các nền tảng giao dịch và khả năng phối hợp giữa các đơn vị giám sát blockchain.

Đối với vụ việc liên quan đến Binance, Elliptic dự đoán số tài sản còn lại có thể tiếp tục được chuyển đổi dần sang Bitcoin. Sau đó, một phần tiền có thể được đưa ra thị trường thông qua các nhà môi giới hoặc sàn giao dịch giao dịch ngoài sàn (OTC) trong những tháng tiếp theo.

Đây mới là dự báo về diễn biến có thể xảy ra, không phải kết quả đã được xác nhận. Dòng tiền thực tế vẫn phụ thuộc vào khả năng truy vết, các biện pháp đóng băng tài sản và mức độ kiểm soát của những nền tảng có liên quan.

Binance khôi phục dần hoạt động rút tiền

Trong khi các công ty phân tích tiếp tục theo dõi tài sản bị đánh cắp, Binance cũng đang triển khai quá trình khôi phục dịch vụ sau vụ tấn công.

Theo thông báo hôm thứ Ba, sàn giao dịch sẽ bắt đầu mở lại dần chức năng rút tiền đối với nhiều loại tài sản tiền điện tử khác trên các mạng lưới bổ sung.

Đây là bước tiếp theo trong quá trình khôi phục theo từng giai đoạn sau sự cố xảy ra vào tuần trước. Việc mở lại dịch vụ được triển khai từng phần thay vì khôi phục đồng loạt tất cả tài sản và mạng lưới.

Binance cho biết sàn đã bù đắp được khoảng 95% số lượng token bị ảnh hưởng. Khoảng 5% còn lại chủ yếu là những token có thanh khoản thấp hơn, khiến quá trình thu mua và bổ sung cần nhiều thời gian hơn.

Sàn giao dịch cho biết đang phối hợp với các đối tác trong ngành để mua lại số tài sản còn thiếu.

Thông tin này cho thấy Binance đang tập trung vào việc khôi phục nguồn tài sản và từng bước đưa hoạt động giao dịch trở lại trạng thái bình thường. Tuy nhiên, việc khôi phục chức năng rút tiền vẫn cần được thực hiện thận trọng để hạn chế rủi ro phát sinh trong quá trình xử lý sự cố.

Vụ tấn công Binance cho thấy thách thức lớn của an ninh blockchain

Vụ việc không chỉ đặt ra câu hỏi về trách nhiệm của các nhóm tin tặc mà còn cho thấy những thách thức trong việc bảo vệ tài sản kỹ thuật số khi hệ sinh thái tiền điện tử ngày càng kết nối với nhau.

Một vụ tấn công có thể bắt đầu từ một nền tảng, nhưng dòng tiền sau đó có thể di chuyển qua nhiều blockchain, cầu nối liên chuỗi, sàn giao dịch phi tập trung và các dịch vụ trung gian khác.

Việc sử dụng hàng nghìn ví cùng hàng chục nghìn giao dịch khiến quá trình điều tra không còn đơn giản là xác định một địa chỉ nhận tiền. Các nhà nghiên cứu phải xây dựng mối liên hệ giữa nhiều địa chỉ, phân tích thời điểm giao dịch, nhận diện hoạt động chuyển đổi và theo dõi những tài sản đã đi qua các mạng lưới khác nhau.

Một vấn đề quan trọng khác là sự phối hợp giữa các chủ thể trong ngành. Các công ty phân tích blockchain có thể phát hiện giao dịch đáng ngờ, nhưng việc ngăn chặn tài sản còn phụ thuộc vào khả năng phản ứng của sàn giao dịch, nhà phát hành stablecoin và các đơn vị cung cấp dịch vụ liên quan.

Trường hợp khoảng 2,85 tỷ USD bị đóng băng hoặc tịch thu cho thấy việc phối hợp giữa các bên có thể tạo ra tác động đáng kể. Tuy nhiên, khoảng 3,24 tỷ USD vẫn nằm trong những địa chỉ liên quan đến vụ việc cũng cho thấy rủi ro chưa kết thúc.

Trong thời gian tới, giới quan sát sẽ tiếp tục theo dõi ba vấn đề chính: khả năng các nhà nghiên cứu truy tìm số tài sản còn lại, tốc độ khôi phục đầy đủ dịch vụ của Binance và những diễn biến mới liên quan đến cáo buộc nhóm tin tặc có liên hệ với Triều Tiên.

Với thị trường tiền điện tử, đây không chỉ là một vụ tấn công gây thiệt hại lớn mà còn là phép thử đối với năng lực bảo mật, khả năng giám sát dòng tiền và mức độ phối hợp giữa các thành phần trong hệ sinh thái blockchain.

Câu hỏi thường gặp về vụ tấn công mạng Binance

1. Triều Tiên có thừa nhận liên quan đến vụ tấn công Binance không?

Không. Triều Tiên đã bác bỏ các cáo buộc liên quan đến vụ việc. Thông qua truyền thông nhà nước KCNA, bà Kim Yo Jong chỉ trích việc FBI quy kết trách nhiệm cho nhóm tin tặc TraderTraitor có liên hệ với Bình Nhưỡng và gọi đây là hành động khiêu khích chính trị.

2. Tổng giá trị tài sản bị đánh cắp trong vụ việc là bao nhiêu?

Theo số liệu Elliptic được đề cập trong báo cáo, tổng giá trị tài sản bị đánh cắp vào khoảng 6,43 tỷ USD. Một số thông tin mô tả quy mô vụ việc ở mức khoảng 6,3 tỷ USD.

3. Có bao nhiêu ví và giao dịch được sử dụng để dịch chuyển tiền?

Trong bốn ngày đầu sau vụ tấn công, Elliptic ghi nhận khoảng 12.000 ví trên 11 blockchain, với hơn 40.000 giao dịch. Hoạt động này có dấu hiệu tự động hóa cao, trung bình khoảng 25 giây lại có một ví mới được sử dụng.

4. Bao nhiêu tài sản bị đánh cắp đã được đóng băng hoặc tịch thu?

Theo Elliptic, khoảng 2,85 tỷ USD, tương đương 44% tổng giá trị tài sản bị đánh cắp, đã bị đóng băng hoặc tịch thu. Khoảng 3,24 tỷ USD vẫn nằm trong các địa chỉ liên quan đến vụ việc.

5. Những blockchain nào được sử dụng trong quá trình dịch chuyển tài sản?

Các hoạt động được ghi nhận trên nhiều blockchain, trong đó có Tron, Ethereum và Solana. Elliptic cũng phát hiện dấu hiệu sử dụng các giao dịch trộn Bitcoin nhằm làm phức tạp quá trình truy vết.

6. Tại sao tin tặc chuyển stablecoin sang Ether?

Một số stablecoin có cơ chế cho phép đơn vị phát hành đóng băng tài sản trong những trường hợp nhất định. Việc chuyển đổi sang Ether có thể làm giảm khả năng bị đóng băng trực tiếp bởi một đơn vị phát hành tập trung, đồng thời tạo thêm bước trong quá trình dịch chuyển dòng tiền.

7. Binance đã khôi phục hoạt động rút tiền hay chưa?

Binance cho biết đang mở lại dần chức năng rút tiền đối với nhiều tài sản và mạng lưới. Sàn cũng thông báo đã bù đắp khoảng 95% số lượng token bị ảnh hưởng, trong khi 5% còn lại chủ yếu là các token có thanh khoản thấp hơn và cần thêm thời gian để thu mua.

8. Số tiền còn lại có thể được thu hồi hay không?

Khả năng thu hồi phụ thuộc vào việc các công ty phân tích blockchain có tiếp tục xác định được dòng tiền hay không, cũng như khả năng phối hợp của sàn giao dịch, nhà phát hành token và các cơ quan chức năng. Việc tài sản vẫn nằm trên blockchain có thể tạo điều kiện cho quá trình theo dõi, nhưng không bảo đảm toàn bộ số tiền sẽ được thu hồi.