Chạy đua với việc đóng băng: Sau khi đánh cắp 6,4 tỷ USD từ Binance, các hacker Triều Tiên đã rửa tiền như thế nào?

Tác giả|Dr. Tom Robinson（Elliptic）

Biên soạn| Ngô Thuyết Chuỗi Khối, Nguyên Bảo

Nội dung bài viết không cấu thành bất kỳ lời khuyên tài chính đầu tư nào, xin độc giả tuân thủ nghiêm ngặt các quy định pháp luật tại địa phương. Xin hãy đánh dấu sao cho tài khoản công cộng của Ngô Thuyết, nếu không có thể bạn sẽ không nhận được thông báo.

TL;DR：

· Binance bị đánh cắp khoảng 6.43 tỷ USD, liên quan đến 11 chuỗi khối khác nhau. Trong chưa đầy 4 ngày, kẻ tấn công đã sử dụng khoảng 12,000 ví, thực hiện hơn 40,000 giao dịch, tốc độ nhanh chóng cho thấy việc rửa tiền đã được tự động hóa cao độ.

· Khoảng 2.85 tỷ USD đã bị đóng băng hoặc tịch thu (chiếm khoảng 44%), khoảng 3.24 tỷ USD còn lại vẫn nằm trong các địa chỉ liên quan đến vụ trộm, một phần rất nhỏ có thể đã được rút tiền mặt.

· Chuỗi Tron trở thành kênh rửa tiền chính: 684.6 triệu TRX đã được phân tán đến khoảng 7,700 địa chỉ và được chuyển hướng sang Ethereum thông qua ít nhất 7 cầu nối chuỗi chéo.

· Kẻ tấn công đã sử dụng tổng hợp các phương pháp như chuyển đổi qua cầu nối chuỗi chéo, trao đổi DEX, truy cập kho cho vay, Coinjoin để trộn tiền, làm tăng đáng kể độ khó trong việc theo dõi.

· Tham khảo kinh nghiệm vụ Bybit năm 2025, dự kiến ETH sẽ được đổi thành BTC trước, sau đó sẽ được rút tiền mặt qua các nhà môi giới OTC trong vài tháng tới.

Một, Tổng quan sự kiện: Chạy đua với việc đóng băng

Vào ngày 29 tháng 10, một trong những sàn giao dịch tiền điện tử lớn nhất thế giới, Binance, đã bị đánh cắp tài sản tiền điện tử trị giá 6.43 tỷ USD, liên quan đến 11 chuỗi khối khác nhau. Binance cho biết cuộc tấn công bắt đầu từ việc một máy tính xách tay của một kỹ sư bị xâm nhập.

Trong số tiền bị đánh cắp, 3.46 tỷ USD (54%) là stablecoin (như USDT, USDC). Do các nhà phát hành stablecoin có thể đóng băng, nhiệm vụ hàng đầu của kẻ tấn công là chuyển đổi chúng thành tài sản không thể đóng băng (như ETH và TRX).

Trên Ethereum: Tether đã đóng băng số tiền ngay sau 37 phút USDT bị đánh cắp. Nhưng trước khi đóng băng, kẻ tấn công đã đổi 434 triệu USDT thành ETH trên các sàn giao dịch phi tập trung (DEX) như Uniswap và đã thế chấp 59.9 triệu USDT trên giao thức cho vay Aave để vay 19,762 ETH.

Trên Tron: Kẻ tấn công đã đổi 234 triệu USDT thành TRX qua SunSwap trước khi Tether đóng băng số tiền còn lại.

Circle: Tất cả 823 triệu USDC đã bị đóng băng trước khi kẻ tấn công đổi bất kỳ số tiền nào.

Kết quả: Tổng cộng 2.85 tỷ USD đã bị đóng băng hoặc tịch thu, khoảng 786 triệu USD stablecoin đã được chuyển đổi thành công trước khi bị đóng băng. Trong cùng nửa giờ đó, 18,270 BTC đã được phân tán đến 19 địa chỉ và đến nay vẫn chưa di chuyển.

Hai, Tron trở thành kênh chính, tiền chuyển chuỗi sang Ethereum

Khoảng 5 giờ sau khi vụ trộm xảy ra, vào lúc 02:19 UTC ngày 30 tháng 10, một ví phân phối bắt đầu gửi nhỏ lẻ 684.6 triệu TRX mà kẻ tấn công nắm giữ đến hàng trăm địa chỉ mới. Cuối cùng, số tiền đã được phân tán đến khoảng 7,700 địa chỉ.

Cầu nối chuỗi chéo: Trong vòng 2.5 giờ tiếp theo, kẻ tấn công lần đầu tiên đã chuyển tiền qua 6 cầu nối chuỗi chéo khác nhau (chủ yếu là số tiền thử nghiệm). Hầu hết TRX cuối cùng đã được thanh toán dưới dạng ETH trên Ethereum. Đến nay, ít nhất 147 triệu USD đã được chuyển ra khỏi Tron qua cầu nối chuỗi chéo.

Trên Ethereum: ETH đến được chuyển tiếp đến địa chỉ mới sau đó ngừng di chuyển. Hiện tại khoảng 68,700 ETH phân bố ở khoảng 850 địa chỉ nhỏ hơn (đa số nắm giữ 10--100 ETH). 9 địa chỉ lớn nhất nắm giữ 89% ETH của kẻ tấn công, không di chuyển kể từ ngày 30 tháng 10.

Ba, Tuyến đường mới và tăng tốc: Kho cho vay và USDD

Vào ngày 31 tháng 10, kẻ tấn công đã tăng cường tuyến đường rửa tiền mới:

· Bắt đầu từ 03:36 UTC, một phần TRX đã được đổi thành USDD (một loại stablecoin được cho là "không thể đóng băng").

· Bắt đầu từ 05:18 UTC, một địa chỉ đã gửi 128 triệu TRX vào kho cho vay JustLend, từ 1 địa chỉ gửi vào, rút tiền đến 16 địa chỉ mới — không có liên kết chuyển khoản trực tiếp giữa gửi và nhận.

Tăng tốc: Ví phân phối đã tăng từ việc gửi dưới 12 triệu TRX mỗi giờ vào hầu hết thời gian ngày 30 tháng 10 lên tới 37 triệu TRX mỗi giờ vào ngày 31 tháng 10. Vào ban đêm ở Bình Nhưỡng, nó cũng tiếp tục hoạt động, vào thời điểm bận rộn nhất (08:00 UTC ngày 31 tháng 10), ví Tron của kẻ tấn công đã thực hiện khoảng 1,300 giao dịch trong một giờ.

Vào tối ngày 31 tháng 10, FBI đã quy kết vụ trộm cho TraderTraitor và công bố địa chỉ của kẻ tấn công.

Bốn, Đa chuỗi cùng hoạt động: Trộn BTC và XRP

Vào ngày 1 tháng 11, hoạt động trên Tron cơ bản ngừng lại, các chuỗi khác bắt đầu hoạt động:

· Bắt đầu từ 07:00 UTC: NEAR đã được chuyển đến tài khoản mới.

· Bắt đầu từ 08:19 UTC: Một phần ETH đã được di chuyển trở lại (mỗi giao dịch khoảng 10 ETH).

· Bắt đầu từ 09:38 UTC: Khoảng một nửa SOL đã được chuyển đến địa chỉ mới, sau đó bị tách nhỏ.

· Lần đầu tiên trộn tiền: Bắt đầu từ 05:55 UTC, BTC từ quỹ Tron đã bắt đầu được trộn qua giao thức WabiSabi (giao thức được sử dụng bởi ví Wasabi, v.v.). Vào cuối ngày, một phần ETH đã được đổi thành BTC và cũng đã được trộn. Đến ngày 2 tháng 11, khoảng 28 BTC (2.2 triệu USD) đã được rửa qua 18 lần Coinjoin.

Vào ngày 2 tháng 11, 233 triệu XRP đã di chuyển lần đầu tiên kể từ vụ trộm, được gửi đến 6 địa chỉ mới. Trên Solana, kẻ tấn công đã đổi một phần SOL thành USDC rồi đổi lại, và chuyển đi theo cách tương tự như trên Tron qua kho cho vay.

Năm, Sáu chiến lược làm tăng độ khó trong việc theo dõi

1. Phân tán tiền đến hàng nghìn địa chỉ mới: tạo ra nhiều giao dịch cần theo dõi hơn.

2. Di chuyển qua ít nhất 7 cầu nối chuỗi chéo giữa các chuỗi khối: gửi và thanh toán là các giao dịch độc lập trên các chuỗi khác nhau.

3. Trao đổi tài sản trên DEX: tài sản bị theo dõi liên tục thay đổi.

4. Nhảy vào kho cho vay: không có liên kết chuyển khoản trực tiếp giữa địa chỉ gửi và nhận.

5. Trộn BTC qua Coinjoin: kết hợp tiền của nhiều người dùng, phá vỡ mối liên hệ giữa đầu vào và đầu ra.

6. Lợi ích bổ sung từ việc phân tán: số tiền nhỏ có thể được đổi hoặc chuyển chuỗi mà không ảnh hưởng đến giá; ít nổi bật hơn đối với các sàn giao dịch kiểm tra các khoản tiền đến; có thể rửa tiền theo tốc độ mà kẻ tấn công chọn.

Sáu, Rửa tiền có phải là tự động hóa không?

Tốc độ rửa tiền nhanh chóng đã dấy lên suy đoán về "AI đại diện trong việc chuyển tiền". Nhưng bằng chứng cho thấy đó là tự động hóa thông thường: thời gian cố định, số tiền đã định, thử lại mù quáng, và giới thiệu các chiến lược mới theo từng bước cách nhau vài giờ. Cũng có những khoảng dừng tương tự như mô hình làm việc của con người.

Số tiền bị đánh cắp trên Tron đã di chuyển qua khoảng 32,000 giao dịch, đạt đỉnh khoảng 1,300 giao dịch mỗi giờ (mỗi 3 giây một giao dịch). Rửa tiền rõ ràng là tự động hóa, nhưng hiện tại không có bằng chứng nào cho thấy AI đại diện đưa ra quyết định.

Bảy, Tiền hiện đang ở đâu? Có được rút tiền không?

Trong số 6.43 tỷ USD bị đánh cắp, 2.85 tỷ USD đã bị đóng băng, khoảng 3.24 tỷ USD còn lại nằm trong các địa chỉ liên quan đến vụ trộm. Phần lớn vẫn chưa được rửa (BTC và ETH trong 9 địa chỉ lớn nhất), những khoản tiền này rất có thể vẫn do Triều Tiên nắm giữ.

Khoảng 16 triệu USD đã được gửi đến địa chỉ cũng nắm giữ lợi nhuận từ lỗ hổng Bitget vào tháng 9 năm 2026 (cũng được cho là do TraderTraitor thực hiện).

Về việc rút tiền: một phần rất nhỏ có thể đã được rút tiền. Để trở thành tiền có thể chi tiêu, kẻ tấn công cần phải thông qua các đối tác giao dịch (như sàn giao dịch tập trung hoặc nhà môi giới OTC), và đó chính là nơi tiền có thể bị nhận diện và ngăn chặn.

Tám, Điều gì sẽ xảy ra tiếp theo?

Tham khảo vụ hack Bybit vào tháng 2 năm 2025: Triều Tiên đã rửa toàn bộ 499,000 ETH bị đánh cắp trong vòng 10 ngày (chủ yếu đổi thành BTC), việc rút tiền mất vài tháng. Elliptic phát hiện rằng tiền của Bybit cuối cùng đã được chuyển đổi thành USDT trên Tron và được rút tiền qua dịch vụ giao dịch OTC nghi ngờ.

Việc rửa tiền trong vụ Binance hiện đang diễn ra chậm. Nguyên nhân bao gồm: ETH và BTC không thể bị đóng băng, không cần phải vội vàng. Số tiền lớn gấp đôi Bybit, việc di chuyển nhanh chóng có nghĩa là tổn thất lớn trong việc đổi tiền. FBI đã công bố địa chỉ của kẻ tấn công, các cơ quan dịch vụ đang theo dõi.

Dự kiến: ETH sẽ được đổi thành BTC qua nhiều giao dịch nhỏ, sau đó sẽ được rút tiền qua các nhà môi giới OTC trong vài tháng tới.

Việc đóng băng thêm sẽ khó khăn hơn. Việc đóng băng 44% số tiền bị đánh cắp đã là điều hiếm có (vụ Bybit chỉ khoảng 3%). Cơ hội tốt nhất để đóng băng số tiền còn lại là các stablecoin bị bắt giữ tạm thời trong quá trình chuyển giao, cũng như các dịch vụ tập trung tại điểm rút tiền.

Chín, Giải thích thuật ngữ quan trọng

Nguồn gốc văn bản: Elliptic Insights, tác giả Dr. Tom Robinson. Bài viết này được dịch và biên soạn, chỉ nhằm mục đích chia sẻ thông tin, không cấu thành bất kỳ lời khuyên đầu tư nào.