FBI điểm danh hơn 600 địa chỉ ví liên quan vụ trộm Binance do Triều Tiên chủ mưu

FBI đã chính thức quy trách nhiệm vụ tấn công tiền mã hóa kỷ lục nhắm vào Binance cho nhóm tin tặc TraderTraitor do nhà nước Triều Tiên hậu thuẫn, đồng thời kêu gọi toàn ngành crypto chung tay ngăn dòng tiền bị đánh cắp tiếp tục bị rửa.

Vụ tấn công Binance được cho là do Triều Tiên chủ mưu

Diễn biến vụ tấn công

Vụ việc xảy ra ngày 29/10. Tin tặc đã rút sạch các ví nóng (hot wallet) của Binance trên nhiều blockchain khác nhau, chuyển phần lớn số tiền ra ngoài chỉ trong khoảng 20 phút. Binance ước tính thiệt hại khoảng 6,3 tỷ USD, mức tổn thất lớn nhất từng được ghi nhận trong lịch sử tiền mã hóa.

Chỉ trong vài giờ, các công ty phân tích blockchain như TRM Labs và Chainalysis đã liên kết vụ tấn công với nhóm TraderTraitor của Triều Tiên. Ban đầu Binance cho rằng lỗ hổng có thể bắt nguồn từ chiếc laptop bị xâm nhập của một kỹ sư DevOps, và cam kết bồi thường toàn bộ thiệt hại.

Ngày 31/10, hai ngày sau khi xảy ra vụ trộm, FBI mới công bố kết luận quy trách nhiệm chính thức.

"FBI, cùng các đối tác tại USSS và IRS-CI, đã ghi nhận các đối tượng TraderTraitor đang chuyển tài sản bị đánh cắp chủ yếu sang Ethereum (ETH). Dự kiến số tài sản này sẽ tiếp tục được rửa thông qua các dịch vụ DeFi và hoán đổi tức thời để chuẩn bị cho các giai đoạn rửa tiền tiếp theo", cơ quan này cho biết.

Cảnh báo của FBI nêu tên 608 địa chỉ Ethereum, 19 địa chỉ Bitcoin và một địa chỉ Solana từng hoặc đang nắm giữ tiền thu được từ vụ trộm. Cùng với Sở Mật vụ (USSS) và IRS-CI, FBI kêu gọi các nhà vận hành node THORChain, nhà vận hành node RPC, các sàn hoán đổi tức thời, dịch vụ DeFi và các công ty phân tích blockchain từ chối xử lý mọi giao dịch liên quan đến những địa chỉ này.

Trước đó, FBI từng đổ lỗi cho cùng nhóm tin tặc này trong vụ hack Bybit trị giá 1,5 tỷ USD hồi tháng 2/2025.

Binance: vụ tấn công phức tạp hơn một chiếc laptop

Binance sau đó đã công bố thêm các phát hiện ban đầu của mình. "Điều tra sơ bộ của chúng tôi cho rằng sự cố an ninh có thể liên quan đến một chiếc laptop bị xâm nhập, tuy nhiên quá trình điều tra tiếp theo đã phát hiện thêm nhiều điểm xâm nhập khác", đồng CEO Richard Teng cho biết trong một tuyên bố.

Theo ông Teng, đây là một cuộc tấn công phức tạp và "không do một cá nhân thực hiện". Kẻ tấn công còn triển khai cơ chế tự hủy, xóa sạch công cụ và dấu vết, khiến quá trình điều tra thêm khó khăn.

Ông cũng cho biết việc kẻ tấn công lợi dụng tính năng ủy quyền EIP-7702 của Ethereum "đã không đi qua các quy trình phê duyệt thông thường của chúng tôi". Binance chưa công bố chi tiết các điểm xâm nhập bổ sung và hứa sẽ có báo cáo kỹ thuật đầy đủ sau khi xác minh xong sự việc.

Từ ngày 1/11, Binance bắt đầu mở lại rút tiền theo từng giai đoạn, trước hết với mạng Bitcoin. Đến giữa buổi sáng Chủ nhật, sàn cho biết đã xử lý khoảng 4,6 tỷ USD lệnh rút và 1 tỷ USD lệnh nạp. Khoảng 95% số tiền bị đánh cắp đã được bù đắp bằng quỹ của công ty, phần còn lại là các token kém thanh khoản hơn đang được Binance mua trên thị trường và qua các giao dịch OTC.

"Cam kết của chúng tôi vẫn rõ ràng: Binance sẽ gánh chịu tác động tài chính từ số tiền bị đánh cắp, chứ không phải người dùng", ông Teng khẳng định.

Rửa tiền có dấu hiệu được tự động hóa

Công ty phân tích blockchain Elliptic ước tính vụ trộm lên tới 6,43 tỷ USD trải trên 11 blockchain, trong đó 2,85 tỷ USD đã được xác nhận là bị đóng băng hoặc thu giữ trên chuỗi. Theo số liệu mới nhất, kẻ tấn công vẫn kiểm soát khoảng 3,25 tỷ USD tài sản không tổ chức phát hành nào có thể đóng băng được, rải rác trên hơn 800 địa chỉ, gồm khoảng 584.000 ETH, 18.327 BTC và 233 triệu XRP.

"Trong vụ hack Bybit, việc rửa tiền tuân theo nhịp làm việc của con người. Còn tiền từ Binance đang được di chuyển bởi một thứ không bao giờ ngủ", Elliptic nhận định.

Ví chính phân phối tiền trên mạng Tron đã chi tiền đều đặn mỗi giờ trong hơn một ngày, không nghỉ. Khi một cầu nối liên chuỗi từ chối nhận nạp, hệ thống lập tức chuyển hướng tiền đến cùng đích qua các ví mới tạo. Tính đến cuối ngày 31/10, khoảng 196 triệu USD đã chảy từ ví này sang khoảng 200 ví khác, trong đó THORChain là đường thoát lớn nhất với khoảng 31 triệu USD.

Elliptic cho rằng dữ liệu on-chain không thể cho thấy cơ chế tự động này dựa trên tác nhân AI hay các script thông thường, và dự đoán quá trình rửa tiền sẽ kéo dài nhiều tháng, giống như sau vụ Bybit.

Chainalysis cũng ghi nhận các mẫu rửa tiền cho thấy dấu hiệu tự động hóa, gồm hàng nghìn giao dịch trong thời gian ngắn và rất nhiều địa chỉ mới có giao dịch đầu tiên đúng 1 TRX.

Chuyên gia phân tích an ninh mạng Eduard Kovacs

Ý nghĩa với người dùng tại Việt Nam

Với cộng đồng đầu tư tiền mã hóa tại Việt Nam, vụ việc là lời nhắc nhở về rủi ro tập trung khi gửi tài sản trên các sàn lớn. Dù Binance cam kết bồi thường 100%, việc rút tiền bị gián đoạn nhiều ngày và các địa chỉ ví bị đưa vào danh sách đen có thể ảnh hưởng trực tiếp tới những người từng giao dịch với các địa chỉ này.

Người dùng nên chủ động kiểm tra các địa chỉ ví cá nhân với danh sách FBI công bố, thận trọng với các giao dịch P2P có nguồn gốc không rõ ràng, đồng thời ưu tiên lưu trữ tài sản dài hạn trong ví lạnh tự quản lý thay vì để trên sàn.