15 tỷ USD vụ cướp tiền điện tử: Người dơi trên chuỗi lật tẩy mạng rửa tiền của hacker Triều Tiên

Tiêu đề gốc: Trộm 1,5 tỷ USD tiền điện tử là dễ dàng, rút tiền mới là cái bẫy

Tác giả gốc: Andjela Radmilac

Biên dịch gốc: Saoirse, Foresight News

Vào tháng 2 năm 2025, các hacker từ Triều Tiên đã đánh cắp khoảng 1,5 tỷ USD tiền điện tử từ Bybit. Mặc dù cuộc tấn công này đã được báo cáo và phân tích rộng rãi, nhưng các diễn biến tiếp theo và số tiền bị đánh cắp lại ít được chú ý.

Để chuyển đổi số tiền khổng lồ này, các hacker phải dựa vào một mạng lưới quan hệ sẵn sàng xử lý tài sản bị đánh cắp. Và chuỗi quan hệ hình thành từ đó, chỉ cần đầu tư đủ tiền, có thể bị xâm nhập.

Người điều tra blockchain mang bí danh ZachXBT đã áp dụng phương pháp này. Anh đã đưa ra 349700 USDC, giả làm khách hàng của một mạng lưới rửa tiền tiếng Trung, sẵn sàng chấp nhận khoản lỗ 5% cho mỗi giao dịch. Cuối cùng, anh đã thu thập được manh mối quan trọng, truy tìm hơn 12 triệu USD liên quan đến vụ trộm của Bybit; theo lời anh, thông tin này cũng đã giúp Tether đóng băng 442000 USDT.

Cuộc điều tra của anh đã phơi bày một mạng lưới rửa tiền. Theo đánh giá của anh, mạng lưới này đã rửa hơn 1 tỷ USD từ vụ trộm tiền điện tử của nhóm Lazarus đến từ Triều Tiên, và số tiền thu được từ cuộc tấn công Bybit cũng nằm trong đó.

Cuộc điều tra này chỉ ra một thị trường dịch vụ tài chính bất hợp pháp quy mô lớn, mà các cơ quan chức năng Mỹ đã tiến hành các hành động trấn áp trong hai năm qua.

Vào tháng 9 cùng năm, Bộ Tài chính Mỹ đã áp đặt các biện pháp trừng phạt đối với Xinbi Guarantee. Phía Mỹ cho biết, kể từ năm 2022, nền tảng giao dịch này đã xử lý hơn 24 tỷ USD giao dịch tài sản số và tiền pháp định thông qua hệ thống của mình, và các hacker từ Triều Tiên là một trong những đối tượng bất hợp pháp sử dụng dịch vụ của nền tảng này.

Bộ Tài chính cũng đề cập rằng, sau khi Huione Group bị trừng phạt, các tội phạm đã chuyển sang sử dụng Xinbi Guarantee để tiếp tục hoạt động bất hợp pháp. Điều này cho thấy, chỉ đơn giản là đóng cửa một nền tảng giao dịch không thể loại bỏ mối quan hệ và nhu cầu tội phạm đứng sau.

Thật khó tin: việc xâm nhập vào sàn giao dịch và đánh cắp tiền chỉ là một phần tương đối đơn giản trong toàn bộ chuỗi tội phạm. Thách thức thực sự nằm ở việc chuyển đổi tiền điện tử bị đánh cắp thành tiền pháp định hoặc các tài sản có giá trị thực tế khác.

Để hoàn thành việc chuyển đổi, các hacker phải nhờ vào các dịch vụ thanh toán khác nhau và các mối quan hệ xám, và điều này cũng để lại cho các nhà điều tra và cơ quan quản lý một cơ hội can thiệp.

Khách hàng "điệp viên" đầu tư 349700 USDC

Vào ngày 26 tháng 2 năm 2025, FBI xác định vụ trộm Bybit là do các hacker từ Triều Tiên thực hiện, với mã hành động là TraderTraitor, và phát đi cảnh báo: tài sản bị đánh cắp đang được chuyển đổi thành Bitcoin và các loại tiền điện tử khác, sau đó phân tán vào hàng nghìn địa chỉ blockchain.

Mặc dù danh tính của hacker nhanh chóng được xác định, nhưng việc tìm kiếm các tổ chức trung gian xử lý tiền bị đánh cắp vẫn cần rất nhiều công việc điều tra.

ZachXBT cho biết, anh đã phát hiện ra rằng có hơn 15 tài khoản trong các nhóm công khai trên Telegram và Discord thực hiện các giao dịch liên quan đến tiền bị đánh cắp từ Bybit. Điều này có nghĩa là, ít nhất trong một số giai đoạn rửa tiền, các trung gian sẽ công khai mời gọi công việc và môi giới giao dịch.

Anh đã liên lạc với một số tài khoản trong số đó và cuối cùng đã kết nối với một người có biệt danh trên Telegram là Jimmy Green, người này tuyên bố có thể hỗ trợ chuyển đổi tiền điện tử giữa các chuỗi.

ZachXBT cho biết, vào ngày 6 tháng 3 năm 2025, anh đã chuyển 349700 USDC vào một địa chỉ Ethereum hoàn toàn mới, thông qua người liên lạc này để đổi USDC trên chuỗi Ethereum thành USDT trên chuỗi Tron. Để tạo dựng danh tính khách hàng thực tế, anh đã chấp nhận các điều kiện đổi tiền không thuận lợi.

Số 349700 USDC này là vốn giao dịch, không phải là khoản lỗ ròng từ cuộc điều tra; anh sẵn sàng chịu khoản lỗ 5% cho mỗi giao dịch để đổi lấy thông tin mà phân tích trên chuỗi thông thường không thể thu thập được.

Các giao dịch này cũng tiềm ẩn rủi ro: trung gian có thể trực tiếp cuỗm tiền và bỏ trốn.

Các trung gian mà hacker dựa vào cũng có thể phản bội và chiếm đoạt tiền bị đánh cắp. Do không có bảo đảm thương mại có hiệu lực, danh tiếng trong ngành và mối quan hệ cá nhân trở thành yếu tố cốt lõi duy trì sự hợp tác này.

Điều này chính là cơ hội xâm nhập cho ZachXBT: đối với bên cung cấp dịch vụ, khách hàng sẵn sàng thực hiện giao dịch nhiều lần có giá trị cao hơn.

Nhờ vào mối quan hệ điệp viên này, thông tin mà anh thu thập không còn giới hạn ở địa chỉ ví. Các trung gian sẽ thảo luận với anh về kế hoạch chuyển tiền trước khi thực hiện giao dịch. ZachXBT có thể so sánh nội dung giao tiếp riêng tư với các hồ sơ giao dịch lưu trên chuỗi công khai.

Có một lần, trước khi giao dịch diễn ra, trung gian đã thảo luận với anh về việc chuyển tiền sang chuỗi Solana. Các hồ sơ đổi tiền còn lại và các manh mối liên kết ví được cho là đã giúp anh xác định một lượng lớn tài sản liên quan đến vụ trộm Bybit.

Đây là bước ngoặt quan trọng trong cuộc điều tra: dữ liệu trên chuỗi chỉ có thể ghi lại hành vi giao dịch, nhưng không thể xác nhận người thực hiện giao dịch và động cơ thực sự của họ. Hồ sơ giao tiếp riêng tư giữa hai bên giao dịch mới là bằng chứng cốt lõi để xác định người kiểm soát tiền và rõ ràng mục đích sử dụng tiền.

Mặc dù kết luận điều tra của ZachXBT không hoàn toàn khớp với hồ sơ chính thức của FBI, nhưng đây vẫn là một trong những hành động điều tra có trọng lượng nhất trong những năm gần đây. Nó chứng minh rằng, công việc mà chỉ dựa vào dữ liệu blockchain không thể hoàn thành, có thể được chứng minh thông qua mối quan hệ và giao dịch thương mại; phương pháp tương tự cũng có thể được áp dụng cho các cuộc điều tra vụ trộm tiền điện tử khác.

Truy tìm 12 triệu USD ≠ thành công thu hồi 12 triệu USD

ZachXBT cho biết, thông qua việc kết nối với Jimmy Green, anh đã xác định được một cụm tài sản liên quan đến vụ việc của Bybit, phân bố trên nhiều chuỗi công khai, tổng quy mô vượt quá 12 triệu USD.

Anh cũng tiết lộ rằng, sau đó Tether đã đóng băng 442000 USDT liên quan đến vụ việc của hacker Triều Tiên. Điều này cho thấy, khi tiền bị đánh cắp vẫn nằm trong các token như USDT, USDC do nhà phát hành kiểm soát, việc nhanh chóng nhận diện tài sản bị đánh cắp là rất quan trọng để khôi phục thiệt hại.

Cần phân biệt hai nhóm dữ liệu: việc truy tìm 12 triệu USD không có nghĩa là toàn bộ số tiền này đã bị đóng băng; việc đóng băng 442000 USDT cũng không đồng nghĩa với việc các token này đã bị tịch thu và trả lại cho Bybit.

Số 442000 USDT này, cũng như mối liên hệ giữa khoản đóng băng này và cuộc điều tra lần này, đều đến từ lời phát biểu cá nhân của ZachXBT; Tether cũng đã công bố các hoạt động đóng băng quy mô lớn hơn liên quan đến vụ trộm Bybit.

Từ việc phát hiện tiền điện tử bị đánh cắp, tìm ra các trung gian xử lý, đến việc đạt được quyền kiểm soát pháp lý hoặc kỹ thuật đối với tiền bị đánh cắp, có một khoảng cách lớn.

Chuỗi công khai không thể ngăn chặn tài sản bị chuyển đi lần nữa. Một khi tiền đi qua các nền tảng dịch vụ không muốn hợp tác điều tra hoặc nằm ngoài phạm vi quyền tài phán, tình hình sẽ càng trở nên phức tạp.

Stablecoin phát hành tập trung để lại cho cơ quan quản lý một công cụ can thiệp: nhà phát hành có quyền quản lý, có thể hạn chế chuyển tiền đến các địa chỉ cụ thể. Bitcoin nguyên bản không có cơ chế đóng băng do nhà phát hành cung cấp; tuy nhiên, khi các cơ quan có được quyền hợp pháp, họ vẫn có thể tịch thu Bitcoin được lưu giữ bởi các tổ chức lưu ký hoặc kiểm soát các khóa riêng tương ứng.

Điều này có nghĩa là, cuộc điều tra không chỉ cần truy tìm chính xác nguồn gốc, mà số dư tiền đã được tìm thấy cũng phải nằm trong phạm vi quyền tài phán của các tổ chức có khả năng kỹ thuật và quyền thi hành pháp luật.

Trong thời gian Bybit thực hiện công việc thu hồi tài sản, lệnh cấm của tòa án kết hợp với sự phối hợp của các trung gian tài chính có thể hạn chế dòng tiền ngay cả sau một thời gian dài kể từ khi vụ trộm xảy ra, nhưng không thể đảm bảo thu hồi toàn bộ số tiền.

Vấn đề là, tiền điện tử bị đánh cắp sẽ liên tục được phân tách và lưu chuyển giữa các ví, chuỗi công khai, bên lưu ký và đối tác giao dịch khác nhau. Mỗi khi tiền đi qua một nền tảng mới, bên thu hồi thường phải thu thập lại chứng cứ và khởi động một vòng pháp lý mới.

Đó cũng là lý do tại sao các nhà điều tra có thể nhìn thấy dòng tiền, nhưng không thể ngăn chặn giao dịch tiếp theo hoặc lấy lại tiền bị đánh cắp.

Hoạt động rửa tiền tiền điện tử quy mô 4 tỷ USD

Việc sử dụng các trung gian bên ngoài để rửa tiền không phải là hiện tượng độc quyền của vụ trộm Bybit. Hồ sơ thực thi pháp luật của Mỹ cho thấy, các cơ quan đã lâu nay truy tìm các loại hình kinh doanh xám - những hoạt động này chuyên chuyển đổi tiền điện tử bị đánh cắp thành tài sản mà tội phạm có thể sử dụng thực tế.

Vào tháng 3 năm 2020, Bộ Tư pháp Mỹ đã kiện hai công dân Trung Quốc là Tiến Nguyên Nguyên và Lý Gia Đồng, cáo buộc họ đã rửa tổng giá trị hơn 100 triệu USD tiền điện tử, phần lớn số tiền này có nguồn gốc từ các cuộc tấn công hacker vào sàn giao dịch.

Các cáo buộc này cho thấy, ngay cả khi không tự mình thực hiện xâm nhập hacker, các trung gian vẫn đóng vai trò cốt lõi trong toàn bộ chuỗi tội phạm.

Thông báo trừng phạt của Bộ Tài chính cũng tiết lộ, Tiến Nguyên Nguyên đã đổi gần 1,4 triệu USD Bitcoin thành thẻ quà tặng trả trước của Apple iTunes. Điều này cho thấy, đầu cuối của chuỗi rửa tiền không nhất thiết phải là các dịch vụ tài chính xuyên quốc gia phức tạp, mà thẻ tích lũy bán lẻ thông thường cũng có thể được sử dụng.

Nhu cầu chuyển đổi tương tự, đang hoạt động quy mô lớn hơn trên một số nền tảng giao dịch kết nối tội phạm với các nhà cung cấp dịch vụ thanh toán, đổi tiền và thanh toán.

Vào tháng 5 năm 2025, Mạng lưới Thực thi Tội phạm Tài chính (FinCEN) của Bộ Tài chính Mỹ đã liệt kê Huione Group có trụ sở tại Campuchia là một trong những tổ chức tài chính rửa tiền trọng điểm. Cuộc điều tra cho thấy, từ tháng 8 năm 2021 đến tháng 1 năm 2025, nhóm này đã rửa ít nhất 4 tỷ USD tiền bất hợp pháp.

Trong đó, FinCEN xác nhận ít nhất 37 triệu USD tiền điện tử đến từ các vụ trộm mạng của Triều Tiên, phần còn lại của tiền bị đánh cắp đến từ các loại lừa đảo đầu tư và lừa đảo trực tuyến khác nhau.

4 tỷ USD là tổng số tiền liên quan đến tất cả các hành vi tội phạm nêu trên; 37 triệu USD là giá trị tối thiểu mà cơ quan này xác minh được liên quan đến tiền bị đánh cắp từ Triều Tiên.

Báo cáo đánh giá của FinCEN chỉ ra rằng, cơ chế chống rửa tiền và xác minh danh tính khách hàng của nhóm này có những lỗ hổng nghiêm trọng. Việc thiếu kiểm tra danh tính đã cho phép các tổ chức con của nhóm này gián tiếp nhận tiền bị đánh cắp từ các cuộc tấn công của hacker Triều Tiên.

Ý nghĩa của cuộc điều tra này không chỉ giới hạn ở một giao dịch đơn lẻ. Nếu một trung gian có thể liên tục cung cấp kênh thanh toán, nó sẽ trở thành cơ sở hạ tầng tội phạm chung cho nhiều băng nhóm tội phạm, các tổ chức tội phạm không cần tự xây dựng kênh chuyển đổi tiền bị đánh cắp.

Khi tiền tập trung nhiều trên các nền tảng này, chúng cũng trở thành mục tiêu cho các hành động trừng phạt, tịch thu tài sản, cắt đứt hợp tác ngân hàng và các hành động thực thi pháp luật khác.

Nền tảng giao dịch của Huione Group đã tiếp nhận một lượng lớn giao dịch và hoạt động bất hợp pháp. Ngay cả khi Telegram đã cấm một số kênh của mạng lưới này, các nhà điều hành nền tảng vẫn cố gắng duy trì hoạt động kinh doanh.

Tổng khối lượng giao dịch của nền tảng và số tiền bất hợp pháp được FinCEN thống kê xác minh không cùng một tiêu chí, không thể coi tất cả số tiền lưu thông qua nền tảng là tiền tội phạm đã được xác minh.

Nền tảng tội phạm có thể bị đóng cửa, nhưng khách hàng tội phạm vẫn tồn tại

Vấn đề là: ngay cả khi cơ sở hạ tầng của nền tảng giao dịch bất hợp pháp bị phá hủy, nhu cầu tội phạm thúc đẩy các hoạt động này sẽ không biến mất, miễn là tội phạm vẫn có thể liên lạc với các nhà cung cấp dịch vụ thay thế khác.

Vào tháng 6 năm 2026, Bộ Tư pháp Mỹ đã công bố việc niêm phong các máy chủ đám mây mà các công ty con của Huione Group sử dụng. Được cho là, những máy chủ này đã được sử dụng để chuyển tiền từ lừa đảo, tội phạm mạng và các hoạt động bất hợp pháp khác.

Hành động này diễn ra sau khi phía Mỹ đã thực hiện các biện pháp hạn chế đối với nhóm này, nhằm mục tiêu vào các cơ sở kỹ thuật hỗ trợ việc chuyển tiền bất hợp pháp và ẩn giấu tài sản.

Tuy nhiên, việc phá hủy cơ sở hạ tầng không tự động cắt đứt mối liên hệ giữa khách hàng tội phạm và các trung gian nhận đơn hàng.

Ngày 9 tháng 9, thông báo trừng phạt của Bộ Tài chính đã rõ ràng chỉ ra giới hạn này: chính quyền đã trừng phạt Xinbi Guarantee. Đây là một thị trường giao dịch bất hợp pháp, chịu trách nhiệm kết nối các tổ chức tội phạm với những thương nhân có thể cung cấp dịch vụ tài chính, công nghệ và các nguồn lực khác.

Bộ Tài chính cho biết, kể từ khoảng năm 2022, tổng quy mô giao dịch tài sản số và tiền pháp định mà Xinbi xử lý đã vượt quá 24 tỷ USD, chủ yếu hướng tới thị trường Đông Nam Á.

Quy mô khổng lồ này đã khiến nền tảng này trở thành mục tiêu chính trong các hành động thực thi pháp luật nhằm chống lại cơ sở hạ tầng tài chính của các tổ chức tội phạm.

Bộ Tài chính cũng đề cập rằng, sau khi FinCEN xử lý Huione, các tội phạm mạng đã chuyển hoạt động sang Xinbi để duy trì hoạt động của mình. Nền tảng mới này cung cấp dịch vụ gần như hoàn toàn giống với nhóm khách hàng cũ.

Các cơ quan quản lý đã vẽ ra một hệ sinh thái xám mang tính thị trường: khi các kênh ban đầu trở nên không còn đáng tin cậy do các hành động thực thi pháp luật, các bên tham gia sẽ tìm kiếm nhà cung cấp dịch vụ tiếp theo.

Trong thời gian thực hiện các hành động chống lại Huione, Telegram đã gỡ bỏ hàng nghìn kênh liên quan đến Huione Guarantee, các thương nhân liên quan đã chuyển sang các nền tảng giao dịch thay thế khác.

Chính vì vậy, hiệu quả của các hành động chống lại không thể chỉ được đo bằng số lượng trang web, tài khoản, máy chủ bị đóng cửa. Chỉ cần khách hàng tội phạm vẫn có nhu cầu về dịch vụ tài chính bất hợp pháp, họ sẽ tìm mọi cách để tìm ra nhà cung cấp vẫn đang hoạt động, tái thiết lập các kênh tài chính.

Tất nhiên, các hành động chống lại vẫn sẽ làm tăng chi phí tội phạm, chẳng hạn như tài sản bị đóng băng, thanh toán thất bại, đối tác giao dịch quen thuộc biến mất. Nhưng chỉ cần hành vi tội phạm có lợi nhuận, động cơ kinh tế để chuyển tiền bất hợp pháp sẽ luôn tồn tại.

Khó khăn mà các cơ quan thực thi pháp luật phải đối mặt là liên tục làm tăng chi phí tội phạm của toàn bộ mạng lưới nhà cung cấp dịch vụ thay thế, giảm tính ổn định của hoạt động kinh doanh của họ.

Hoạt động đóng băng của Tether, buộc mạng lưới rửa tiền tiền điện tử chuyển sang các công cụ thanh toán khác

Các hành động thực thi chống lại Xinbi Guarantee cho thấy, các hạn chế tài chính có thể làm gián đoạn hoạt động tội phạm, nhưng cũng sẽ buộc các băng nhóm tội phạm phải thay đổi kênh thanh toán.

Tether đã thực hiện một loạt các hoạt động đóng băng, đóng băng tổng cộng hơn 45 triệu USD USDT trong ít nhất 22 ví liên quan đến Xinbi.

Ngay lập tức, nền tảng giao dịch này thông báo cho người dùng rằng họ sẽ chuyển sang sử dụng USDD. Đồng stablecoin này không giống như USDT, bên phát hành không có quyền đóng băng địa chỉ.

Đây là một sự chuyển đổi quan trọng: khi các quỹ liên quan đến vụ án vẫn nằm trong phạm vi kiểm soát của bên phát hành, chức năng đóng băng token có giá trị lớn đối với các nhà điều tra; các khách hàng tội phạm muốn tránh sự giám sát sẽ có xu hướng chọn tài sản có cơ chế kiểm soát khác.

Vấn đề này cho thấy, khi một phần của hệ thống thanh toán bị hạn chế, giao dịch sẽ chuyển sang các kênh khác. Các nhà điều tra vừa phải theo dõi hướng đi của tài sản, vừa phải truy tìm các nhà cung cấp dịch vụ cung cấp kênh.

Trong chiến dịch xử lý vào tháng 9, chính quyền cũng đã tấn công cơ sở hạ tầng liên quan đến Xinbi, tịch thu hơn 52 triệu USD tiền điện tử. Trong khi đó, tốc độ rút tiền tài sản đã tăng lên, các nền tảng giao dịch cạnh tranh được cho là đã bắt đầu hạn chế các thương nhân rửa tiền tham gia.

Các vụ việc trên, cùng với 442,000 USDT bị đóng băng liên quan đến hacker Triều Tiên mà ZachXBT đề cập, là hai sự kiện độc lập. Các báo cáo công khai không thể xác nhận rằng hai vụ này liên quan đến cùng một địa chỉ, nhân sự hoặc quỹ.

Nhưng cả hai trường hợp đều chứng minh một điều: các băng nhóm tội phạm phụ thuộc rất nhiều vào trung gian tài chính. Ngay cả khi vụ trộm ban đầu đã hoàn thành, dịch vụ trung gian vẫn để lại cửa sổ can thiệp cho các cơ quan quản lý.

Nếu bên phát hành token có khả năng đóng băng tài sản, rủi ro sẽ tập trung vào số dư quỹ trong các địa chỉ có thể nhận diện. Nếu một nền tảng cung cấp dịch vụ cho nhiều băng nhóm tội phạm, điểm yếu của nó bao gồm cơ sở hạ tầng, mối quan hệ thương nhân và sắp xếp thanh toán.

Hai con đường này đều có thể làm tăng chi phí và rủi ro trong việc chuyển giao và sử dụng tiền bất hợp pháp.

Người trung gian kết nối giao dịch, khó bị thay thế hơn

Lý do cuộc điều tra của ZachXBT có thể đạt được đột phá, cốt lõi nằm ở việc chứng minh: thông qua việc trả tiền cho người nằm vùng để xây dựng mối quan hệ khách hàng, có thể khai thác thông tin của những người chịu trách nhiệm sắp xếp giao dịch.

Các trung gian tội phạm lâu năm xử lý tiền điện tử bị đánh cắp sẽ tích lũy được danh tiếng trong ngành, chọn lọc các đối tác giao dịch cố định, nắm rõ những dịch vụ nào có thể hoàn thành giao dịch mà không giữ lại tiền bất hợp pháp.

Mối quan hệ này sẽ khiến hoạt động tội phạm trở nên hiệu quả hơn theo thời gian. Đặc biệt khi khách hàng cần chuyển tiền lớn, không muốn lộ danh tính và lo lắng rằng đối tác giao dịch sẽ cuỗm đi tiền.

Tuy nhiên, một khi các nhà cung cấp dịch vụ lâu năm bị đánh bại, mối quan hệ hợp tác này rất khó được tái thiết lập nhanh chóng. Các nhà cung cấp dịch vụ thay thế thường tính phí cao hơn, từ chối nhận tiền khả nghi, hoặc không đủ tính ổn định trong hoạt động.

Mối quan hệ phụ thuộc này cũng mang lại nguồn thông tin mới cho cuộc điều tra. Các nhà cung cấp dịch vụ có thể tiết lộ kế hoạch giao dịch trong tương lai, các bên tham gia khác, cũng như cơ sở hạ tầng thanh toán cần thiết để hoàn thành đơn hàng.

Các nhà điều tra vẫn cần kết hợp các ghi chép trên chuỗi và các bằng chứng khác để xác minh thông tin. Một địa chỉ nhận được quỹ liên quan đến vụ trộm không có nghĩa là bên nhận biết thông tin, hoặc tham gia vào hành vi tội phạm một cách chủ quan.

Nhưng việc so sánh các ghi chép trò chuyện riêng tư với dòng tiền trên blockchain có thể giảm bớt sự không chắc chắn của thông tin, điều mà việc chỉ theo dõi dòng giao dịch không thể làm được.

Nhiều trường hợp thực thi cho thấy, để giảm sức hấp dẫn của dịch vụ tài chính bất hợp pháp, không thể chỉ đơn giản là định kỳ đóng cửa các trang web. Nhóm khách hàng và động cơ kiếm lợi tạo ra loại hình kinh doanh này sẽ tồn tại lâu hơn cả sự tồn tại của máy chủ trang web.

Tuy nhiên, việc tịch thu tài sản, cắt đứt kênh tài chính, kiện các nhà cung cấp dịch vụ, khóa các nhà điều hành thanh toán có thể thay đổi chi phí và lợi ích của hành vi tội phạm. Chỉ là các nhà cung cấp dịch vụ khác nhau có ngưỡng rủi ro mà họ có thể chịu đựng khác nhau.

Điều này cũng giải thích rằng: tổng số tiền bị đánh cắp của tiền điện tử không tương đương với số tiền mà tội phạm có thể chuyển đổi thành tiền mặt và tiêu xài; càng không thể xác định trực tiếp rằng số tiền này được sử dụng cho các chi tiêu quân sự hoặc quốc gia cụ thể.

Số tiền bị đánh cắp ban đầu, số tiền chuyển giao qua địa chỉ trung gian, số tiền thành công được đổi thành sức mua thực tế, và số tiền mà các cơ quan thực thi cuối cùng thu hồi được là bốn nhóm tiêu chí thống kê độc lập, cần phải chứng minh riêng biệt.

Đối với hacker Triều Tiên, ngay cả khi hành động xâm nhập thành công, việc phụ thuộc vào dịch vụ rửa tiền cũng sẽ mang lại rủi ro trong tương lai. Nhận được tài sản bị đánh cắp không có nghĩa là sẽ có ai đó sẵn lòng nhận, đổi và cuối cùng hoàn thành việc tiêu dùng.

Hành động nằm vùng của ZachXBT cho thấy, nhu cầu chuyển đổi này có thể biến mối quan hệ khách hàng thành điểm đột phá cho cuộc điều tra. Các hành động chống lại Huione và Xinbi của Mỹ cũng chứng minh rằng, ngay cả khi khách hàng tội phạm liên tục thay đổi địa bàn, các nhà cung cấp dịch vụ xám vẫn có thể trở thành mục tiêu của các hành động thực thi.

Điểm yếu cốt lõi của hành vi tội phạm là: đánh cắp tiền điện tử và việc sử dụng thực tế tiền điện tử hoàn toàn là hai chuyện khác nhau. Việc sử dụng sau đó vẫn phụ thuộc vào mối quan hệ hợp tác thương mại, tất cả các bên tham gia đều có tài sản, danh tiếng và lợi ích kinh tế cần bảo vệ.

Hacker Triều Tiên muốn biến tiền bất hợp pháp thành tiền có thể tiêu dùng, họ phải một lần nữa bước vào mạng lưới quan hệ cần xây dựng lòng tin; trong khi đó, người trung gian cung cấp dịch vụ cũng phải chịu rủi ro mất mát tài chính.