Hai vụ trộm tài sản tiền mã hóa xảy ra cách nhau chưa đầy một tuần cho thấy dòng tiền bị đánh cắp có thể đi theo lộ trình tương tự: nhanh chóng đổi stablecoin có thể bị đóng băng, chia nhỏ tài sản, chuyển qua nhiều blockchain rồi tìm cách tăng độ khó truy vết bằng tiền mã hóa riêng tư hoặc giao dịch ngoài sàn. Với thị trường, số stablecoin bị đóng băng và lượng ETH, BTC vẫn do kẻ tấn công kiểm soát là những yếu tố quan trọng để đánh giá khả năng thu hồi tiền và nguồn cung có thể được đưa ra bán sau này.
Binance mất 6,36 tỷ USD, stablecoin bị đóng băng nhanh chóng
Ngày 29/10, kẻ tấn công chuyển khoảng 6,36 tỷ USD tài sản từ các ví nóng của Binance trên nhiều blockchain. Ví nóng là ví kết nối internet, được sàn sử dụng để xử lý các hoạt động như rút tiền. Công ty phân tích blockchain TRM Labs cho biết phần lớn tài sản đã được chuyển đi trong khoảng 20 phút. Cục Điều tra Liên bang Mỹ (FBI) quy vụ tấn công cho TraderTraitor, nhóm tin tặc Triều Tiên. Đây là vụ trộm tài sản tiền mã hóa lớn nhất từng được biết đến.
Các đơn vị phát hành stablecoin có thể đóng băng token trong những ví cụ thể, khiến USDT và USDC có nguy cơ bị phong tỏa. TRM cho biết khoảng 37 phút sau khi phần lớn tiền được chuyển vào, Tether đã đóng băng khoảng 971 triệu USDT trong các ví nhận tiền của kẻ tấn công; Circle sau đó đóng băng khoảng 823 triệu USDC. Tính chung các biện pháp của Tether, Circle, Ripple, World Liberty Financial và Hội đồng An ninh Arbitrum, TRM ước tính khoảng 2,7 tỷ USD đã bị đóng băng. Binance đưa ra con số khoảng 3 tỷ USD.
Để tránh nguy cơ này, kẻ tấn công bán khoảng 325 triệu USDT cho các nhà tạo lập thị trường và nhận về khoảng 122.300 ETH. Theo giá thị trường tại thời điểm giao dịch, mức chiết khấu vượt 10%. Ngoài ra, khoảng 60 triệu USDT được đưa vào giao thức cho vay Aave làm tài sản thế chấp để vay khoảng 19.760 ETH. Việc chấp nhận mức chiết khấu đáng kể để đổi lấy tài sản khó bị đóng băng hơn cho thấy kẻ tấn công đã phải xử lý gấp rủi ro bị phong tỏa.
Chia nhỏ BTC và chuyển tiền qua nhiều blockchain
Sau khi đổi sang ETH, BTC và các tài sản mà đơn vị phát hành không thể trực tiếp đóng băng, việc truy vết trở thành thách thức chính. TRM cho biết 18.270 BTC rời khỏi Binance đã được chia thành nhiều khoản tròn 1.000 BTC và 100 BTC trong cùng một khối, tạo ra nhiều nhánh chuyển tiền nhỏ hơn. Các nhà điều tra cũng phát hiện tiền tự động luân chuyển qua nhiều ví, trong đó có những địa chỉ từng được sử dụng trước đây, làm quá trình truy vết thêm phức tạp.
Cầu nối xuyên chuỗi cho phép chuyển tài sản từ blockchain này sang blockchain khác, buộc những người theo dõi phải tiếp tục tìm kiếm trên mạng lưới mới. Đơn vị giám sát giao dịch on-chain Onchain Lens cho biết trong một vụ việc nghi vấn khác được công bố hôm thứ Hai, tiền từ một ví liên quan đến King, bot giao dịch chênh lệch giá trên Solana, đã đi qua nhiều ví Solana rồi được chuyển sang Ethereum thông qua dịch vụ xuyên chuỗi Mayan. Đơn vị vận hành King chưa xác nhận có vụ xâm nhập, vì vậy lộ trình này không tự nó chứng minh bot hoặc các bên liên quan đã bị tấn công.
Theo TRM, giai đoạn đầu của vụ Binance chủ yếu dựa vào nhà tạo lập thị trường và giao thức cho vay để chuyển tiền, khác với vụ Bybit mất 1,5 tỷ USD năm 2025, khi cầu nối xuyên chuỗi được sử dụng nhiều hơn. TRM nhận định cầu nối, dịch vụ hoán đổi và môi giới ngoài sàn có thể tiếp tục tham gia vào các bước chuyển tiền tiếp theo.
Tài khoản tại EU nghi bị mất hơn 106 triệu USD
Hôm thứ Hai, điều tra viên blockchain ZachXBT cho biết một tổ chức tại EU chưa được công khai danh tính có thể đã bị trộm tiền hôm Chủ nhật, với tổng thiệt hại hơn 106 triệu USD từ nhiều tài khoản trên các sàn giao dịch. Danh tính nạn nhân và các sàn liên quan chưa được công bố, nên vụ việc hiện vẫn chưa được xác nhận. ZachXBT cho biết tiền được chuyển đi dưới dạng USDC và USDT; USDC sau đó được đổi sang ETH, tương tự một phần diễn biến ban đầu trong vụ Binance.
ZachXBT cũng cho biết dòng tiền đi qua các dịch vụ hoán đổi tức thời như WellWallet và Kyrrex, rồi được đổi sang Monero thông qua một dịch vụ có tên Wagyu. Các dịch vụ hoán đổi tức thời cho phép chuyển đổi nhanh giữa những token khác nhau. Monero mặc định ẩn người gửi, người nhận và giá trị giao dịch, khiến việc lần theo tiền dựa trên dữ liệu công khai trên blockchain khó khăn hơn nhiều sau khi tài sản được đổi sang đồng tiền này.
Lượng ETH và BTC còn lại có thể ảnh hưởng nguồn cung
TRM cho biết kẻ tấn công trong vụ Binance vẫn kiểm soát hơn 420.000 ETH và 18.270 BTC, tổng trị giá khoảng 2,4 tỷ USD. Các tài sản này không chịu cơ chế đóng băng trực tiếp của đơn vị phát hành stablecoin. Nếu lượng ETH hoặc BTC lớn được đưa ra thị trường, nguồn cung sẵn có để bán có thể tăng. Tuy nhiên, thời điểm và kênh bán chưa rõ; tiền cũng có thể được chuyển rải rác trong nhiều tuần hoặc nhiều tháng, nên hiện chưa đủ cơ sở để kết luận sẽ có đợt bán tháo tập trung trong ngắn hạn.
Đồng CEO Binance He Yi cho biết sàn đã phân bổ hơn 6,34 tỷ USD vốn của công ty để bù đắp lượng tài sản bị đánh cắp. Kế hoạch được cho là bao gồm mua tài sản qua giao dịch ngoài sàn và giao dịch trên sàn, qua đó có thể tạo ra nhu cầu ở chiều ngược lại. Quy mô, thời điểm và cách thức thực hiện các giao dịch này vẫn là những thông tin cần theo dõi khi đánh giá dòng tiền.
Binance cho biết sẽ chịu toàn bộ tổn thất và khách hàng hiện không được yêu cầu gánh chịu thiệt hại. Tuy nhiên, vụ việc xảy ra với ví nóng của chính sàn, nhắc lại rằng mức độ an toàn của tài sản lưu trên nền tảng giao dịch phụ thuộc vào các biện pháp bảo mật của nền tảng. Việc đóng băng stablecoin đã giúp hạn chế dòng tiền bị đánh cắp, đồng thời cho thấy đơn vị phát hành có khả năng kiểm soát token trong những ví cụ thể.
Theo dõi ví của kẻ tấn công và số tiền bị đóng băng
Diễn biến cần theo dõi tiếp theo là liệu các ví ETH và BTC của kẻ tấn công có phát sinh giao dịch lớn hay không, đặc biệt là dòng tiền có chuyển tới sàn giao dịch hoặc kênh giao dịch ngoài sàn. TRM đang theo dõi các giao dịch chia nhỏ và những địa chỉ tập trung tiền. Dòng tiền lớn có thể cho thấy tài sản bị đánh cắp đang tiến gần hơn tới khâu bán, nhưng một giao dịch riêng lẻ không đồng nghĩa tiền đã được quy đổi thành tiền mặt.
Binance chưa công bố đầy đủ nguyên nhân khiến hệ thống ký giao dịch bị xâm nhập. Việc làm rõ lỗ hổng gốc sẽ ảnh hưởng đến đánh giá của thị trường về nguy cơ tương tự tại các nền tảng khác. Vụ việc nghi vấn tại EU cũng vẫn cần được xác nhận bởi nạn nhân, sàn giao dịch hoặc thông tin chính xác về khoản thiệt hại; trước thời điểm đó, con số hơn 106 triệu USD vẫn chỉ là ước tính chưa được xác nhận. Nếu số tiền bị đóng băng hoặc thu hồi được cập nhật, quy mô tài sản thực tế còn nằm trong tay kẻ tấn công cũng sẽ thay đổi.