Triều Tiên phủ nhận liên quan vụ hack Binance

Vụ Binance bị hack 6,3 tỷ USD, tiền của nhà đầu tư có an toàn?

Binance bù 95% tài sản bị đánh cắp, lên lịch mở lại rút tiền

Binance xử lý 4,65 tỷ USD rút tiền trong 9,5 giờ sau khi mở lại

Triều Tiên phủ nhận liên quan vụ hack Binance. Ảnh minh họa: Kim Yo Jong, em gái lãnh đạo Triều Tiên Kim Jong Un.

Triều Tiên bác bỏ cáo buộc liên quan đến vụ tấn công mạng khiến Binance thiệt hại hơn 6 tỷ USD, trong khi các nhà điều tra blockchain phát hiện hàng chục nghìn giao dịch nhằm che giấu dòng tiền bị đánh cắp.

Vụ tấn công mạng nhằm vào sàn giao dịch tiền điện tử Binance đang trở thành tâm điểm tranh cãi giữa Washington và Bình Nhưỡng, sau khi Triều Tiên chính thức phủ nhận những cáo buộc cho rằng các nhóm tin tặc được nước này hậu thuẫn đứng sau vụ đánh cắp tài sản tiền điện tử có quy mô lên tới 6,3 tỷ USD. Trong khi những tranh cãi về trách nhiệm vẫn chưa ngã ngũ, các công ty phân tích blockchain tiếp tục lần theo dòng tiền bị đánh cắp, phát hiện một mạng lưới giao dịch phức tạp trải rộng trên hàng nghìn ví điện tử và nhiều nền tảng blockchain khác nhau.

Vụ Binance bị hack 6,3 tỷ USD, tiền của nhà đầu tư có an toàn?

Theo hãng thông tấn Yonhap ngày 3/11, dẫn thông tin từ Hãng thông tấn Trung ương Triều Tiên (KCNA), bà Kim Yo Jong, em gái nhà lãnh đạo Kim Jong Un, đã lên án việc Cục Điều tra Liên bang Mỹ (FBI) quy kết vụ tấn công Binance cho TraderTraitor, nhóm tin tặc mà cơ quan chức năng Mỹ cho rằng có liên hệ với Triều Tiên.

Bà Kim Yo Jong mô tả những cáo buộc này là một hành động khiêu khích chính trị nghiêm trọng, đồng thời cho rằng Washington đang tìm cách gắn hình ảnh Triều Tiên với các hoạt động tội phạm mạng quốc tế. Theo tuyên bố được KCNA đăng tải, phía Triều Tiên phản đối việc FBI sử dụng những thông tin về nhóm tin tặc được cho là có sự hậu thuẫn của Bình Nhưỡng để quy trách nhiệm cho nước này trong vụ việc.

Động thái phủ nhận diễn ra giữa lúc các doanh nghiệp chuyên phân tích dữ liệu blockchain, trong đó có Elliptic và Chainalysis, công bố những phát hiện về phương thức di chuyển tài sản sau vụ tấn công. Những phân tích này cho thấy tin tặc đã sử dụng hàng loạt kỹ thuật nhằm phân tán dòng tiền, chuyển đổi tài sản giữa các blockchain và hạn chế khả năng phong tỏa của các tổ chức phát hành tiền điện tử.

Tuy nhiên, cần phân biệt giữa kết luận điều tra của cơ quan thực thi pháp luật Mỹ, đánh giá kỹ thuật của các doanh nghiệp phân tích blockchain và tuyên bố phủ nhận từ phía Triều Tiên. Việc phát hiện những phương thức giao dịch tương đồng với các chiến dịch tấn công trước đây là cơ sở để các nhà điều tra xây dựng nhận định, nhưng không đồng nghĩa mọi thông tin về danh tính và vai trò của các bên liên quan đã được kiểm chứng độc lập.

Hơn 40.000 giao dịch và mạng lưới 12.000 ví điện tử

Theo báo cáo của Elliptic công bố ngày 2/11, chỉ trong bốn ngày đầu tiên sau vụ tấn công Binance, các đối tượng kiểm soát tài sản bị đánh cắp đã sử dụng khoảng 12.000 ví điện tử trên 11 blockchain khác nhau, thực hiện hơn 40.000 giao dịch nhằm phân tán và chuyển đổi dòng tiền.

Quy mô giao dịch cho thấy đây không phải hoạt động chuyển tiền thủ công thông thường. Elliptic nhận định quá trình này có dấu hiệu được tự động hóa ở mức cao, khi trung bình cứ khoảng 25 giây lại xuất hiện một ví mới tham gia mạng lưới giao dịch, khiến việc xác định mối liên hệ giữa tài sản ban đầu và các địa chỉ nhận tiền trở nên phức tạp.

Binance bù 95% tài sản bị đánh cắp, lên lịch mở lại rút tiền

Trong giai đoạn đầu, phần lớn hoạt động diễn ra trên blockchain Tron, nơi các đối tượng phân phối tài sản bị đánh cắp tới khoảng 7.700 địa chỉ ví. Sau đó, một phần tiền được chuyển sang mạng Ethereum thông qua các cầu nối liên chuỗi, tức công cụ cho phép chuyển tài sản giữa những hệ thống blockchain khác nhau. Elliptic xác định ít nhất 147 triệu USD đã được chuyển khỏi Tron bằng phương thức này.

Việc sử dụng nhiều blockchain cùng lúc tạo ra thách thức đối với quá trình truy vết, bởi mỗi mạng có cơ chế ghi nhận giao dịch, công cụ phân tích và đặc điểm vận hành riêng. Khi dòng tiền liên tục di chuyển giữa các hệ thống, các nhà điều tra phải kết nối dữ liệu từ nhiều nguồn để tái dựng đường đi của tài sản, thay vì chỉ theo dõi một chuỗi giao dịch duy nhất.

Một phương thức khác được sử dụng là chuyển đổi stablecoin, loại tiền điện tử được thiết kế để duy trì giá trị ổn định theo một tài sản tham chiếu, thường là USD, sang các đồng tiền điện tử không có cơ chế đóng băng tập trung tương tự. Theo Elliptic, khoảng 786 triệu USD stablecoin đã được chuyển đổi, trong đó có hoạt động hoán đổi sang Ether, trước khi các tổ chức phát hành như Tether và Circle kịp phong tỏa phần tài sản còn lại.

Đây là điểm quan trọng trong cuộc chạy đua giữa tin tặc và các tổ chức bảo vệ tài sản số. Với một số stablecoin, đơn vị phát hành có thể chặn việc chuyển nhượng token tại những địa chỉ xác định khi có cơ sở pháp lý hoặc yêu cầu phù hợp. Ngược lại, khi tài sản được chuyển sang những đồng tiền điện tử không có cơ chế phong tỏa tương tự, khả năng can thiệp trực tiếp của các tổ chức phát hành sẽ bị hạn chế.

Hoạt động phân tán tài sản sau đó tiếp tục mở rộng sang Solana và những blockchain khác. Chainalysis cho biết các đối tượng mà công ty đánh giá có liên hệ với Triều Tiên đã bước sang giai đoạn rửa tiền mới sau khi chuyển hơn 500 triệu USD thông qua các ví trung gian trên mạng Tron.

Elliptic cũng ghi nhận những dấu hiệu ban đầu của việc sử dụng dịch vụ trộn Bitcoin, phương thức kết hợp hoặc làm xáo trộn dòng giao dịch nhằm gây khó khăn cho quá trình xác định nguồn gốc tài sản. Tính đến đầu ngày 2/11, khoảng 28 Bitcoin, trị giá 2,2 triệu USD, đã được đưa qua 18 giao dịch trộn, cho thấy hoạt động che giấu dòng tiền đang chuyển sang những phương thức khó theo dõi hơn.

Gần 2,85 tỷ USD bị phong tỏa, Binance từng bước khôi phục dịch vụ

Mặc dù các đối tượng thực hiện vụ tấn công đã triển khai mạng lưới giao dịch rộng lớn, phần lớn tài sản bị đánh cắp vẫn chưa được chuyển thành tiền có thể sử dụng ngoài hệ thống tiền điện tử. Theo thống kê của Elliptic, khoảng 2,85 tỷ USD, tương đương 44% tổng giá trị 6,43 tỷ USD mà công ty này xác định bị đánh cắp, đã bị đóng băng hoặc thu giữ, trong khi khoảng 3,24 tỷ USD vẫn nằm tại các địa chỉ có liên quan đến vụ việc, chủ yếu dưới dạng Bitcoin và Ether.

Những con số này phản ánh sự khác biệt giữa việc di chuyển tài sản trên blockchain và khả năng thực sự sử dụng số tiền đánh cắp. Một khoản tiền có thể trải qua hàng nghìn giao dịch, được chia nhỏ và chuyển đổi qua nhiều loại tiền điện tử, nhưng vẫn chưa thoát khỏi phạm vi giám sát của các công ty phân tích dữ liệu và cơ quan thực thi pháp luật.

Elliptic cho biết lượng tài sản đã được chuyển ra khỏi những địa chỉ liên quan theo cách có thể coi là rút tiền thành công hiện vẫn rất nhỏ so với tổng giá trị vụ tấn công. Phần lớn giao dịch được phát hiện mới dừng ở hoạt động phân phối và hoán đổi giữa các loại tiền điện tử, thay vì chuyển đổi sang tiền pháp định hoặc những tài sản có thể sử dụng trực tiếp.

So với vụ tấn công sàn Bybit hồi tháng 2/2025, gây thiệt hại khoảng 1,5 tỷ USD, tốc độ xử lý tài sản bị đánh cắp trong vụ Binance được đánh giá chậm hơn. Trong vụ Bybit, các tin tặc bị quy kết có liên hệ với Triều Tiên đã chuyển đổi toàn bộ lượng Ether bị đánh cắp trong khoảng 10 ngày, trong khi vụ Binance ghi nhận một tỷ lệ tài sản bị phong tỏa lớn ngay từ những ngày đầu.

Theo dự báo của Elliptic, phần tài sản chưa bị phong tỏa có thể tiếp tục được chuyển đổi dần sang Bitcoin, trước khi tìm đường ra thị trường thông qua các nhà môi giới hoặc giao dịch ngoài sàn, thường được gọi là OTC. Quá trình này có thể kéo dài nhiều tháng, tùy thuộc khả năng kiểm soát dòng tiền của các cơ quan chức năng và mức độ phối hợp giữa những doanh nghiệp cung cấp dịch vụ tài sản số.

Ở phía Binance, sàn giao dịch cho biết ngày 3/11 sẽ từng bước mở rộng hoạt động rút tiền đối với nhiều loại tài sản điện tử trên các mạng blockchain khác nhau, tiếp tục lộ trình khôi phục dịch vụ theo từng giai đoạn sau vụ tấn công.

Theo thông báo của Binance, doanh nghiệp đã bù đắp được khoảng 95% số lượng token bị ảnh hưởng, trong khi 5% còn lại chủ yếu là những loại tài sản có thanh khoản thấp, khiến việc mua lại trên thị trường cần thêm thời gian. Sàn giao dịch cho biết đang phối hợp với các đối tác trong ngành để tìm nguồn cung và hoàn tất quá trình bổ sung tài sản còn thiếu.

Tuy nhiên, tỷ lệ 95% mà Binance công bố phản ánh tiến độ bù đắp số lượng token, không đồng nghĩa 95% tổng giá trị tài sản bị đánh cắp đã được thu hồi. Đây là hai chỉ tiêu khác nhau, bởi việc bổ sung tài sản từ nguồn lực của doanh nghiệp không nhất thiết xuất phát từ số tiền mà các cơ quan điều tra đã phong tỏa hoặc thu giữ.

Diễn biến vụ việc cũng đặt ra câu hỏi về khả năng chống chịu của các sàn giao dịch tập trung trước những cuộc tấn công có quy mô lớn. Ngay cả khi doanh nghiệp có đủ nguồn lực tài chính để bù đắp thiệt hại, việc khôi phục khả năng rút tiền, bảo đảm thanh khoản và duy trì niềm tin của khách hàng vẫn phụ thuộc vào nhiều yếu tố, từ an toàn hệ thống đến khả năng phối hợp với các tổ chức phát hành tài sản và mạng lưới blockchain.

Đối với người dùng, vụ tấn công Binance tiếp tục cho thấy rủi ro của việc tập trung tài sản trên một nền tảng lưu ký, nơi khả năng tiếp cận tiền điện tử có thể bị gián đoạn khi xảy ra sự cố an ninh. Người sử dụng dịch vụ cần phân biệt giữa tài sản được doanh nghiệp cam kết bù đắp và tài sản thực tế đã sẵn sàng để rút, đồng thời theo dõi thông báo chính thức về từng mạng lưới và loại token được khôi phục.

Trong khi Triều Tiên tiếp tục bác bỏ cáo buộc từ Washington, quá trình truy tìm dòng tiền vẫn đang diễn ra trên các blockchain công khai. Vụ việc cho thấy tính minh bạch của dữ liệu giao dịch có thể hỗ trợ điều tra tài sản số, nhưng khả năng thu hồi cuối cùng vẫn phụ thuộc vào việc xác định được các đối tượng kiểm soát tài sản, phối hợp phong tỏa và thực hiện những thủ tục pháp lý cần thiết.