TRM Labs, ZachXBT quy nhóm Lazarus Triều Tiên tấn công Binance

Các nhà điều tra chỉ ra Bình Nhưỡng

Cuộc truy lùng kẻ tấn công Binance hiện đã có nghi phạm chính, khi công ty phân tích blockchain TRM Labs quy trách nhiệm vụ tấn công cho Tradertraitor (thuộc hệ sinh thái Lazarus), đơn vị mà họ gọi là đơn vị hacking tinh nhuệ của Triều Tiên. Công ty này đưa ra kết luận với mức độ tin cậy cao dựa trên dữ liệu on-chain và off-chain, ước tính tổng giá trị số tài sản bị đánh cắp vào thời điểm đó là khoảng 6,36 tỷ USD.

Nhà điều tra độc lập ZachXBT cũng đưa ra kết luận tương tự vài giờ trước đó, và khi được hỏi ai đứng sau vụ rút tiền này, ông trả lời:

"Rất có thể là Nhóm Lazarus (CHDCND Triều Tiên)"

Tuy nhiên, các bài đăng này không tự động xác nhận trách nhiệm, và chưa có chính phủ nào chính thức chỉ đích danh thủ phạm.

Ari Redbord, Giám đốc Chính sách Toàn cầu của TRM, đã chia sẻ với Al Jazeera rằng vụ tấn công này là chưa từng có tiền lệ và sẽ được xem là một cột mốc quan trọng trong lịch sử tiền điện tử, đồng thời nhấn mạnh:

"Khi Triều Tiên thực hiện hành vi đánh cắp ở quy mô này, số tiền đó sẽ được dùng để tài trợ cho việc phổ biến vũ khí và các hoạt động gây mất ổn định khác."

Một kịch bản quen thuộc nhưng quy mô lớn gấp bốn lần

Đội ngũ của TRM tin rằng cách thức thực hiện và các dấu hiệu đặc trưng trùng khớp với vụ trộm trên sàn Bybit hồi đầu năm ngoái, mà FBI đã quy trách nhiệm cho cùng một nhóm, cùng với vụ hack Kelpdao vào tháng 4 năm 2026. Công ty phân tích blockchain Chainalysis ước tính riêng rằng khoảng 5,912 tỷ USD đã bị đánh cắp, gấp gần bốn lần so với vụ Bybit.

Quá trình chuẩn bị diễn ra có hệ thống, khi nhà nghiên cứu chuỗi khối 0xQuit phát hiện ra rằng máy chuyển tiếp của kẻ tấn công được tài trợ bởi ba lần rút tiền từ Tornade Cash, mỗi lần 0,1 ETH trong hai ngày trước đó, cùng với một hợp đồng ủy quyền được triển khai vào lúc 15:59 UTC. Một nhà phân tích khác cho biết kẻ tấn công đã diễn tập vụ rút tiền này sáu giờ trước đó trên ba ví mới, rút thử các khoản tiền thử nghiệm của nhiều loại token.

Cuộc tấn công thực sự diễn ra vào lúc 20:24 UTC, khi 167.464 ETH được chuyển ra khỏi ví nóng Binance 14. Bitcoin.com News đã phân tích chi tiết hôm qua về cách thức hoạt động của chiến thuật ủy quyền ví, cũng như cách các phát hiện ban đầu của chính Binance chỉ ra rằng máy tính xách tay của một kỹ sư DevOps đã bị xâm nhập.

Mạng xã hội đã thêm một chi tiết châm biếm vào toàn bộ sự việc, với một bình luận viên khẳng định rằng kẻ tấn công đã ra mắt đồng meme "LAZARUS" trên Pump.fun. Bitcoin.com News không thể xác minh liệu người triển khai có liên quan đến các ví của hacker hay không.

Tiền đang đi đâu

Khác với Bybit, nơi số tiền bị đánh cắp được chuyển qua các cầu giao dịch, hoạt động rửa tiền lần này chủ yếu dựa vào các giao dịch quy mô lớn. TRM cho biết kẻ tấn công đã bán khoảng 325 triệu USDT cho các nhà tạo lập thị trường để đổi lấy khoảng 122.300 ETH với mức chiết khấu hơn 10%. Hắn cũng đã vay khoảng 19.760 ETH trên Aave bằng cách thế chấp 60 triệu USDT.

Các biện pháp đóng băng đã thu hồi được một phần lớn số tiền và Binance cho biết tổng số tiền bị đóng băng đã đạt khoảng $3 tỷ. Tuy nhiên, TRM ước tính kẻ tấn công vẫn nắm giữ hơn 420.000 ETH và 18.270 BTC, tương đương khoảng 2,4 tỷ USD nằm ngoài tầm với của các nhà phát hành, trong đó số Bitcoin đang được chuyển qua chuỗi tách lớp (peel chain) – một phương pháp rửa tiền chia nhỏ số tiền thành một chuỗi dài các giao dịch nhỏ lẻ.

Onchain Lens báo cáo rằng nhóm này đang chuyển hơn 1 tỷ USDT dưới dạng ETH sang các ví mới, có thể là để chuẩn bị cho quá trình trộn tiền. TRM dự đoán giai đoạn tiếp theo sẽ liên quan đến các cầu nối chuỗi chéo, dịch vụ hoán đổi và các nhà môi giới giao dịch ngoài sàn (OTC).

Một năm kỷ lục về các vụ trộm tiền điện tử

Vụ trộm này diễn ra trong bối cảnh Defillama gọi là năm bị hack nhiều nhất trong lịch sử tiền điện tử, với hơn 8 tỷ USD bị đánh cắp tính đến thời điểm này trong năm 2026. Để so sánh, các tội phạm mạng đã đánh cắp 2,87 tỷ USD qua gần 150 vụ việc vào năm 2025.

Vụ tấn công vào Binance cũng xảy ra vài giờ sau khi Polymarket ngừng giao dịch do một lỗ hổng bảo mật khác, cho thấy các đội ngũ bảo mật đang phải chiến đấu trên bao nhiêu mặt trận cùng một lúc.

Hậu quả có thể là chưa từng có

TRM cho biết họ đang cảnh báo các đối tác thông qua Mạng Beacon và kêu gọi các sàn giao dịch kiểm tra các khoản nạp tiền để phát hiện các địa chỉ được gắn nhãn là của kẻ tấn công. Đồng thời, Binance đã hứa sẽ công bố một báo cáo phân tích kỹ thuật chi tiết sau khi cuộc điều tra sơ bộ hoàn tất.

Câu hỏi then chốt hiện nay là tốc độ, bởi vì mỗi giờ ETH và BTC của kẻ tấn công vẫn chưa được trộn lẫn sẽ cho các nhà điều tra thêm thời gian để phát hiện các kênh rút tiền, trong khi lịch sử hoạt động của Triều Tiên cho thấy nhóm này sẽ cố gắng rút tiền thông qua các bàn giao dịch OTC trước khi dấu vết bị mất dấu.