Kẻ tấn công Binance dùng thủ đoạn rửa tiền điện tử chưa từng thấy

Hàng nghìn giao dịch cho thấy hoạt động rửa tiền tự động

Công ty phân tích blockchain Chainalysis đã phát hiện dấu hiệu rửa tiền tự động vào ngày 30 tháng 10 sau vụ trộm trên Binance mà họ ước tính trị giá 6,4 tỷ USD, được gọi là vụ trộm tiền điện tử lớn nhất từ trước đến nay. Công ty này cho biết:

"Các nhà điều tra của chúng tôi đang quan sát thấy các mô hình rửa tiền chưa từng thấy trước đây với số tiền bị đánh cắp từ vụ tấn công Binance."

Hàng nghìn giao dịch trong một khoảng thời gian ngắn cho thấy sự tự động hóa nhằm che giấu dấu vết.

Các nhà điều tra đã theo dõi các giao dịch chuyển tiền lặp đi lặp lại giữa các địa chỉ, bao gồm cả việc chuyển tiền trở lại các ví đã được sử dụng trước đó trong chuỗi giao dịch. Nhiều địa chỉ ban đầu nhận được chính xác 1 TRX, token gốc của Tron được dùng để thanh toán phí giao dịch, trước khi nhận thêm tiền và chuyển tài sản sang nơi khác. Chainalysis bổ sung: "Chuỗi lặp lại này cho thấy một quy trình tự động nhằm di chuyển và phân phối lại số tiền bị đánh cắp."

Các nhà điều tra truy vết quyền truy cập và mối liên hệ với Triều Tiên

Richard Teng, đồng CEO của Binance, đã tiết lộ thêm các điểm bị xâm nhập và các biện pháp vượt qua kiểm soát phê duyệt, cùng với một cơ chế tự hủy nhằm tiêu hủy các công cụ và dấu vết. Chainalysis đã theo dõi dòng tiền chảy ra đến khoảng 4:20 chiều theo giờ miền Đông vào ngày 29 tháng 10 và xác định được một ví Ethereum được nạp tiền thông qua Tornado Cash, một công cụ trộn tiền điện tử giúp che giấu mối liên hệ giữa các khoản nạp và rút tiền. Ví đó đã gửi các ủy quyền có chữ ký hợp lệ, hay còn gọi là quyền truy cập được ký số, cho phép ví nóng của Binance chạy phần mềm do kẻ tấn công triển khai và chuyển tài sản vào các địa chỉ do kẻ tấn công kiểm soát.

Các mẫu rửa tiền ban đầu cho thấy sự tham gia của Tradertraitor, một nhóm tội phạm mạng Triều Tiên. Chainalysis sau đó đã quan sát thấy các tài sản Binance bị đánh cắp trộn lẫn với số tiền thu được từ vụ trộm trên Bitget vào tháng 9, trước đó được cho là do các tác nhân Triều Tiên thực hiện, củng cố thêm nhận định rằng vụ tấn công này do Tradertraitor thực hiện. Riêng biệt, TRM Labs cũng xác định vụ tấn công Binance là do Tradertraitor thực hiện với mức độ tin cậy cao, dựa trên các thông tin tình báo trên chuỗi và ngoài chuỗi.

Cuộc đua hoán đổi stablecoin với việc đóng băng tài sản

Chainalysis giải thích:

"Việc đóng băng tiền cần có thời gian. Kẻ tấn công đã cố gắng đi trước quá trình đó bằng cách nhanh chóng chuyển 500 triệu USD stablecoin vào một ví có nhiệm vụ hoán đổi các tài sản có thể bị đóng băng thành các tài sản không thể bị đóng băng."

Các biện pháp kiểm soát đóng băng và đưa vào danh sách đen đối với stablecoin có thể ngăn chặn các địa chỉ được chỉ định chuyển các token bị ảnh hưởng, trong khi ether gốc không có cơ chế tương đương do nhà phát hành kiểm soát.

Trong gần 20 phút, ví này đã trao đổi 325 triệu USD tiền ổn định lấy khoảng 285 triệu USD ether, sau đó chuyển 175 triệu USD còn lại sang các ví trung gian 10 phút sau đó. Việc đóng băng bắt đầu vào lúc 5:14 chiều theo giờ miền Đông ngày 29/10, với Chainalysis báo cáo khoảng $2,8 tỷ bị đóng băng trong báo cáo ngày 30/10. Binance riêng biệt ước tính tổng số tiền vào khoảng $3 tỷ vào ngày đó.

Sàn giao dịch này cũng cho biết họ đã dự trữ hơn 6,34 tỷ USD từ quỹ công ty để bù đắp cho sự cố này, không bao gồm các tài sản bị đóng băng. Trong số đó, 5 tỷ USD đã được giữ dưới dạng các token bị ảnh hưởng. Các giao dịch mua qua thị trường và các kênh giao dịch ngoài sàn đang được tiến hành để bù đắp cho phần tài sản còn lại.