1,4 tỷ USD Bitcoin Triều Tiên thu từ vụ tấn công Binance chưa bị động đến

Hacker Triều Tiên đứng sau vụ cướp 6,3 tỷ USD của Binance

Một lần nữa, Bình Nhưỡng lại bị cáo buộc đứng sau vụ cướp 6,3 tỷ USD nhắm vào sàn giao dịch tiền điện tử lớn nhất thế giới tính theo khối lượng giao dịch. Cuộc điều tra sơ bộ của Binance cho thấy vụ xâm nhập bắt nguồn từ máy tính xách tay của một kỹ sư phần mềm bị tấn công. Vụ vi phạm này sau đó đã cung cấp cho những kẻ tấn công một điểm xâm nhập vào một trong các dịch vụ nội bộ của sàn giao dịch.

Tuy nhiên, các kết quả pháp y sau đó đã phát hiện thêm các hệ thống bị xâm nhập, cho thấy đây là một hoạt động tinh vi hơn nhiều so với việc chỉ đơn thuần đánh cắp thông tin đăng nhập của một nhân viên. Một số công ty tình báo blockchain, bao gồm Chainalysis, Elliptic và TRM Labs, đã quy trách vụ trộm cắp này cho Tradertraitor, một đánh giá được củng cố vào ngày 31 tháng 10 khi FBI xác định hoạt động tấn công mạng của Triều Tiên là thủ phạm gây ra vụ tấn công.

Tradertraitor có mối liên hệ chặt chẽ với Nhóm Lazarus, hoạt động như một nhóm con chuyên biệt, có động cơ tài chính, đồng thời là tên gọi chung cho các chiến dịch phần mềm độc hại và gián điệp mạng liên quan trong bộ máy tấn công mạng do nhà nước Triều Tiên tài trợ. Nhóm Lazarus từ trước đến nay đã kiểm soát một lượng bitcoin đáng kể, và vụ trộm 18.270,2 BTC mới nhất dường như đã đưa Triều Tiên trở thành quốc gia sở hữu lượng tiền điện tử lớn thứ ba trên thế giới.

Mặc dù việc thanh lý bitcoin thu được bất hợp pháp được coi là một thách thức lớn, nhưng Bình Nhưỡng đã nhiều lần chứng tỏ khả năng chuyển đổi tài sản bị đánh cắp thành tiền mặt một cách tương đối dễ dàng.

Bên trong vụ trộm Bitcoin đã làm cạn kiệt 95% ví nóng của Binance

Vụ trộm mới nhất trên Binance là một bí ẩn đặc biệt thú vị, vì cơ chế chính xác đằng sau việc rút Bitcoin vẫn chưa rõ ràng. Số tiền bị đánh cắp, hiện có giá trị 1,4 tỷ USD, đã trải qua 11 lần chuyển khoản riêng biệt trước khi được phân phối vào các ví chứa lượng BTC khác nhau.

Tổng cộng, số tiền hiện được lưu trữ trong 19 ví khác nhau, với tất cả các giao dịch đã được xác nhận tại độ cao khối Bitcoin 973732. Số tiền bị đánh cắp có nguồn gốc từ một ví nóng của Binance được xác định là bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h, hiện vẫn còn giữ khoảng 5,495 BTC trị giá 426.000 USD.

Kể từ khi được tạo ra vào năm 2021, địa chỉ cực kỳ hoạt động này đã xử lý một lượng đáng kinh ngạc là 16.517.012,48 BTC trong các giao dịch nhận vào và 16.517.006,98 BTC trong các giao dịch gửi đi. Vào tháng 6 năm 2022, ví này có số dư 138.000 BTC và đã duy trì các kết nối giao dịch với các bên tham gia chính trong ngành, bao gồm các nền tảng sàn giao dịch tập trung (CEX) như Kraken, OKX, Bullish, Bybit, Coinbase và hàng chục nền tảng khác.

Các địa chỉ được cho là có liên quan đến Wintermute, nhà tạo lập thị trường tiền điện tử thuật toán, cũng đã giao dịch với ví này 76 lần, với tổng giá trị bitcoin lên tới hơn 900 triệu USD. Khi Tradertraitor xâm nhập vào ví này, nó chứa khoảng 19.200 BTC, và nhóm hacker đã rút gần 95% số BTC này trong vòng chưa đầy 20 phút. Trong số 19 ví được cho là thuộc về các hacker của Bình Nhưỡng, 17 ví chứa chính xác 1.000 BTC mỗi ví, trong khi hai ví còn lại lần lượt chứa 832,5 BTC và 437,7 BTC.

Bitcoin bị đánh cắp vẫn nằm im lìm trong khi lịch sử rửa tiền của Triều Tiên đặt ra nhiều câu hỏi

Hiện tại, số Bitcoin bị đánh cắp vẫn nằm yên tại các địa chỉ này, mặc dù tình trạng không hoạt động hiện tại không đảm bảo rằng chúng sẽ không bao giờ được sử dụng. Việc chia nhỏ số Bitcoin bị đánh cắp đã tạo ra nhiều đầu ra hơn để theo dõi, nhưng không xóa bỏ được nguồn gốc của chúng. Các nhà điều tra on-chain và các công ty tình báo blockchain chắc chắn sẽ xem xét kỹ lưỡng các địa chỉ Bitcoin này, vì Bitcoin bị đánh cắp thường nằm im trong thời gian dài trước khi được chuyển đi, dù những trì hoãn như vậy không phải lúc nào cũng xảy ra.

Trong khi đó, các ví được Arkham Intelligence xác định trực tiếp thuộc về Nhóm Lazarus hiện chỉ chứa 23,38 BTC – một con số tương đối khiêm tốn so với khoảng 14.000 BTC mà nhóm này từng kiểm soát vào tháng 3 năm 2025. Điều này cho thấy Triều Tiên đã thể hiện khả năng đáng kể trong việc phân tán có hệ thống hàng nghìn Bitcoin và cuối cùng tìm ra các kênh để thanh lý số tài sản bất hợp pháp này. Mặc dù một nỗ lực thu hồi quy mô lớn đang được tiến hành để giúp Binance lấy lại tài sản bị đánh cắp, Bitcoin không cung cấp cơ chế nào để đơn giản là đóng băng các khoản tiền này.

Các quy tắc bất di bất dịch của Bitcoin khiến các nhà điều tra phải theo dõi

Các nhà phát hành stablecoin có thể khóa tài sản thông qua các hạn chế được tích hợp trong hợp đồng token của họ, nhưng Bitcoin không có cơ quan trung ương tương đương nào có khả năng đưa địa chỉ vào danh sách đen hoặc đảo ngược các giao dịch đã được xác nhận. Do đó, các nhà điều tra phải xác định các điểm can thiệp tiềm năng, chẳng hạn như sàn giao dịch, nhà môi giới hoặc các bên trung gian khác mà số tiền bị đánh cắp có thể đi qua. Ngoài ra, việc giành quyền kiểm soát các khóa riêng tương ứng có thể là một cách để thu giữ bitcoin. Tuy nhiên, cả hai phương pháp này đều không thể đảo ngược về mặt hành chính một giao dịch đã được ghi lại trên blockchain Bitcoin.

Hiện tại, sổ cái minh bạch này cung cấp một chuỗi bằng chứng chi tiết mà không trao quyền kiểm soát đối với chính các tài sản đó. Các nhà điều tra có thể theo dõi mọi chuyển động của số Bitcoin bị đánh cắp, nhưng việc có thể theo dõi thôi không đủ để họ có quyền chuyển nhượng số Bitcoin đó.