Bitcoin, XRP bị đánh cắp từ Binance được chuyển dịch; 3,1 tỷ USD chưa rửa: Elliptic

Trong một phân tích được cập nhật vào thứ Sáu, Elliptic tiết lộ rằng khoảng 42 triệu XRP, trị giá 50 triệu USD, đã được chuyển khỏi các ví liên quan đến vụ tấn công ngày 29/10 kể từ chiều thứ Năm. Phần lớn số tiền này đã được hoán đổi sang bitcoin thông qua giao thức trao đổi xuyên chuỗi THORChain, khiến khoảng 192 triệu XRP trị giá 226 triệu USD vẫn nằm trong tay các hacker.

Các giao dịch mới nhất đã đẩy số lượng tiền điện tử bị đánh cắp được chuyển đổi thành bitcoin lên khoảng 1.650 BTC, trị giá 124 triệu USD tính đến sáng thứ Sáu. Tổng số này gần như tăng gấp đôi so với ngày trước đó, với XRP chiếm phần lớn mức tăng này.

Bất chấp hoạt động ngày càng gia tăng, Elliptic ước tính vẫn còn $3,11 tỷ trong các địa chỉ liên quan đến vụ trộm, chủ yếu là bitcoin và ether. Số BTC ban đầu là 18.270 BTC bị đánh cắp từ Binance, trị giá khoảng $1,4 tỷ vào thời điểm đó, vẫn chưa được di chuyển kể từ khi được phân phối vào 19 ví ngay sau vụ tấn công.

Các khoản nắm giữ ether lớn nhất cũng vẫn chưa bị động đến. Elliptic ước tính chỉ khoảng $3 triệu trong tổng số khoảng $1,33 tỷ ETH bị đánh cắp đã được chuyển qua các kênh rửa tiền, trong khi chín ví ETH lớn nhất vẫn không hoạt động kể từ ngày 30/10.

Những phát hiện này đánh dấu một giai đoạn mới trong nỗ lực của các hacker nhằm che giấu tài sản bị đánh cắp. Như Bitcoin.com News đã đưa tin trước đó, các kẻ tấn công đã chuyển toàn bộ 233,46 triệu XRP bị đánh cắp vào sáu ví mới vào ngày 2/11, sau khi số tiền này nằm im khoảng 80 giờ. Hai trong số các ví đó đã bắt đầu phân phối XRP đến hàng chục địa chỉ khác vào thứ Năm, và phần lớn số tiền điện tử này sau đó đã được đổi sang bitcoin.

Tài sản Solana cũng là trọng tâm của hoạt động rửa tiền này. Elliptic phát hiện rằng hầu như toàn bộ số SOL bị đánh cắp, trị giá khoảng 87 triệu USD theo giá hiện tại, hiện đã được hoán đổi, chuyển giữa các blockchain hoặc trộn lẫn thông qua các dịch vụ bảo mật. Phần lớn giá trị đã được chuyển đổi này cuối cùng đã chảy vào các ví bitcoin.

Các nhà nghiên cứu cũng xác định được khoảng $2,5 triệu bitcoin được xử lý qua các giao dịch coinjoin kiểu Wasabi, vốn kết hợp các đồng tiền từ nhiều người dùng để làm phức tạp việc theo dõi trên blockchain. Thêm $1,1 triệu ETH và SOL bị đánh cắp đã được chuyển vào giao thức Privacy Cash kể từ ngày 3 tháng 11, khiến dịch vụ này phải tạm ngừng nhận tiền gửi đồng thời tăng cường các quy trình kiểm tra.

Mạng lưới rửa tiền đã mở rộng đáng kể kể từ vụ vi phạm. Elliptic hiện đã xác định được hơn 20.000 ví trên 16 chuỗi khối, liên quan đến ít nhất 36 dịch vụ và 65.000 giao dịch. Bitcoin.com News đưa tin hôm thứ Hai rằng vào thời điểm đó, hoạt động này đã liên quan đến khoảng 12.000 ví và 40.000 giao dịch.

Một tuần sau vụ tấn công Binance

Trong số 6,43 tỷ USD ban đầu bị đánh cắp, khoảng 2,85 tỷ USD đã bị đóng băng hoặc thu giữ, chủ yếu nhờ sự can thiệp của các nhà phát hành stablecoin. Elliptic cho rằng chỉ có một lượng rất nhỏ thực sự được chuyển đổi thành tiền mặt có thể chi tiêu. Việc chuyển tài sản giữa các ví hoặc trao đổi một loại tiền điện tử này sang loại khác không nhất thiết có nghĩa là số tiền thu được đã được rút thành công.

FBI đã quy trách nhiệm vụ tấn công này cho chiến dịch hack TraderTraitor của Triều Tiên, mặc dù Bình Nhưỡng đã phủ nhận trách nhiệm.

Binance tiết lộ hôm thứ Ba rằng vụ vi phạm này là kết quả của một chiến dịch kéo dài nhiều tháng, liên quan đến phần mềm phát triển độc hại, các cuộc phỏng vấn tuyển dụng gian lận và các công cụ trí tuệ nhân tạo nội bộ bị xâm nhập. Cuối cùng, những kẻ tấn công đã xâm nhập vào cơ sở hạ tầng ký ví và thực hiện các giao dịch trái phép trên nhiều blockchain.

Elliptic dự đoán số ether còn lại sẽ dần được chuyển đổi thành bitcoin, sau đó là các nỗ lực trao đổi tiền điện tử này lấy tiền mặt thông qua các nhà môi giới ngoài sàn và nền tảng giao dịch.

Công ty này đã so sánh vụ việc với vụ tấn công Bybit vào tháng 2 năm 2025 — vụ trộm tiền điện tử có giá trị kỷ lục trước đó với khoảng 1,5 tỷ USD bị đánh cắp — khi những kẻ tấn công từ Triều Tiên đã chuyển đổi khoảng 499.000 ETH bị đánh cắp trong vòng 10 ngày, trong khi quá trình rút tiền mặt kéo dài trong vài tháng.

Hiện tại, phần lớn số tiền thu được từ vụ tấn công Binance vẫn có thể được theo dõi, tạo cơ hội thêm cho các sàn giao dịch và các nhà điều tra để xác định và có khả năng chặn các khoản tiền này trước khi chúng được chuyển đổi thành tiền mặt có thể sử dụng.