Triều Tiên phủ nhận liên quan đến vụ tấn công Binance, gọi cáo buộc của Mỹ nhắm vào các nhóm tin tặc có liên hệ với nước này là “hành động khiêu khích chính trị nghiêm trọng”. Trong khi đó, Elliptic ước tính khoảng 2,85 tỷ USD trong tổng số 6,43 tỷ USD tài sản bị đánh cắp đã được đóng băng hoặc thu hồi; khoảng 3,24 tỷ USD vẫn nằm trong các địa chỉ liên quan đến vụ việc. Dòng tiền được chuyển qua nhiều blockchain và hàng nghìn ví, khiến việc truy vết và xử lý tiếp tục gặp khó khăn.
Kim Yo-jong bác cáo buộc của Mỹ
Kim Yo-jong, em gái của nhà lãnh đạo Triều Tiên Kim Jong-un, chỉ trích Cục Điều tra Liên bang Mỹ (FBI) quy trách nhiệm vụ tấn công cho TraderTraitor, nhóm tin tặc được cho là có liên hệ với Triều Tiên. Truyền thông nhà nước Triều Tiên dẫn lời bà nói FBI đang tìm cách mô tả nước này là một “quốc gia tội phạm mạng”, đồng thời cáo buộc Washington dùng những tuyên bố đó để gây hiểu lầm cho dư luận quốc tế.
Bình Nhưỡng phủ nhận liên quan, trong khi phía Mỹ vẫn giữ nguyên cáo buộc. Bên cạnh tranh cãi về thủ phạm, dòng tiền thực tế đi đâu và có thể thu hồi bao nhiêu vẫn là những vấn đề được người dùng Binance và thị trường tài sản số quan tâm.
Khoảng 12.000 ví được sử dụng trong bốn ngày
Trong phân tích công bố hôm thứ Hai, Elliptic cho biết trong bốn ngày đầu sau vụ tấn công, các đối tượng đã sử dụng khoảng 12.000 ví trên 11 blockchain, thực hiện hơn 40.000 giao dịch. Trung bình cứ khoảng 25 giây lại có một ví mới được kích hoạt. Theo công ty, hoạt động này cho thấy mô hình luân chuyển tài sản có mức độ tự động hóa và phức tạp cao.
Ban đầu, phần lớn dòng tiền đi qua mạng Tron, sau đó được phân tán tới khoảng 7.700 địa chỉ rồi chuyển sang Ethereum thông qua các cầu nối xuyên chuỗi. Elliptic ước tính ít nhất 147 triệu USD đã rời mạng Tron theo cách này. Việc chuyển tài sản giữa các blockchain mở rộng phạm vi truy vết, buộc các địa chỉ và giao dịch trên nhiều mạng phải được phân tích cùng nhau.
Đóng băng stablecoin, chuyển đổi tài sản xuyên chuỗi
Các đơn vị phân tích cho biết tin tặc đã dùng sàn giao dịch phi tập trung để đổi stablecoin bị đánh cắp sang những tài sản mà tổ chức phát hành không thể đóng băng, trong đó có Ether. Elliptic ước tính khoảng 786 triệu USD stablecoin đã được chuyển đổi trước khi Tether, Circle và các tổ chức phát hành khác đóng băng số tài sản còn lại.
Chainalysis cho biết các đối tượng có liên hệ với Triều Tiên đã chuyển hơn 500 triệu USD qua các ví trung gian trên Tron và bắt đầu một giai đoạn rửa tiền mới. Dòng tiền cũng được mở rộng sang những blockchain khác, trong đó có Solana. Elliptic đồng thời ghi nhận dấu hiệu ban đầu của hoạt động trộn Bitcoin: tính đến đầu ngày thứ Hai, khoảng 28 BTC, trị giá khoảng 2,2 triệu USD, đã đi qua 18 giao dịch trộn. Hoạt động này khiến việc theo dõi giao dịch khó hơn, nhưng thông tin hiện có chưa cho thấy số tài sản đó đã được đổi sang tiền pháp định.
Khoảng 44% tài sản bị đánh cắp đã được thu hồi hoặc đóng băng
Theo ước tính của Elliptic, trong tổng số 6,43 tỷ USD bị đánh cắp, khoảng 2,85 tỷ USD, tương đương 44%, đã được đóng băng hoặc thu hồi. Khoảng 3,24 tỷ USD vẫn nằm trong các địa chỉ liên quan, chủ yếu là Bitcoin và Ether. Công ty nhận định hiện chỉ có một phần rất nhỏ dường như đã được quy đổi thành tiền mặt; phần lớn hoạt động ghi nhận được vẫn là chuyển hoặc đổi giữa các tài sản số.
Elliptic cho biết tốc độ dịch chuyển tiền trong vụ Binance chậm hơn vụ tấn công Bybit trị giá 1,5 tỷ USD hồi tháng 2/2025. Khi đó, tin tặc Triều Tiên đã chuyển toàn bộ số Ether bị đánh cắp trong vòng 10 ngày. Elliptic dự đoán số tiền còn lại trong vụ Binance có thể dần được đổi sang Bitcoin trong vài tháng tới, rồi được rút qua các nhà môi giới giao dịch ngoài sàn hoặc sàn giao dịch. Đây là nhận định về khả năng diễn biến tiếp theo, không phải dòng tiền đã được xác nhận.
Binance khôi phục rút tiền theo từng giai đoạn
Binance cho biết việc rút tiền đang được khôi phục theo từng giai đoạn, đồng thời cảnh báo người dùng đề phòng những kẻ lừa đảo hứa hẹn đẩy nhanh giao dịch hoặc hỗ trợ yêu cầu bồi thường. Sàn cũng cho biết đã bù đắp khoảng 95% giá trị bị ảnh hưởng. 5% còn lại là các token có thanh khoản thấp, cần thêm thời gian để huy động; Binance đang phối hợp với các đối tác trong ngành để tiếp cận số tài sản này.
Với người dùng, tiến độ khôi phục rút tiền và việc huy động phần tài sản còn thiếu là những vấn đề trực tiếp cần theo dõi. Với các đơn vị truy vết, hoạt động chuyển tiền qua nhiều blockchain và đổi tài sản tiếp tục làm tăng độ phức tạp của quá trình thu hồi. Con số Binance công bố về mức độ bù đắp tài sản phản ánh việc xử lý của sàn, còn dữ liệu trên chuỗi do các tổ chức phân tích đưa ra mô tả tình trạng dòng tiền bị đánh cắp; hai thống kê này không thể xem là cùng một chỉ số.