Triều Tiên rửa tiền từ vụ trộm Binance thông qua Meme Coins tùy chỉnh

Vào thứ Hai, công ty phân tích blockchain Elliptic đã báo cáo rằng những kẻ rửa tiền Triều Tiên đang tạo ra các meme token vô giá trị của riêng chúng và chuyển số tiền bị đánh cắp từ vụ hack Binance qua chúng. Điều này ngăn không cho các đồng coin di chuyển trực tiếp giữa các ví.

Từ ngày 5 đến ngày 7 tháng 11, các nhà điều hành đã ra mắt ít nhất sáu token mới trên blockchain NEAR — FUK, OLCCL, MEILI, MMLI, DABI và SINU. Mỗi token được ghép cặp với NEAR trong pool thanh khoản riêng của nó. Sau đó, chúng đã mua các token này bằng NEAR bị đánh cắp và bán lại chúng thông qua một bộ ví riêng biệt. Elliptic ghi nhận khoảng 117,000 NEAR, trị giá khoảng $430,000, được luân chuyển qua sáu token này.

Hoạt động này là một phần trong nỗ lực lớn hơn nhằm rửa tiền từ vụ trộm Binance ngày 29 tháng 10. Sàn giao dịch này định giá vụ trộm ở mức $6.34 tỷ, và FBI đã liên kết vụ việc với nhóm TraderTraitor của Triều Tiên. Phân tích cập nhật của Elliptic hiện xác định khoảng 3,000 BTC — khoảng $225 triệu — đã được chuyển vào các địa chỉ bitcoin mới từ các tài sản bị đánh cắp khác, trong khi khoảng 11.8 triệu NEAR, tương đương $43.7 triệu, từ vụ trộm vẫn chưa được di chuyển.

“Hầu hết mọi người nghĩ về meme token như những đồng coin đùa với giá cả lên xuống theo tin đồn,” người đồng sáng lập và nhà khoa học trưởng của Elliptic, Tiến sĩ Tom Robinson, cho biết. “Những kẻ rửa tiền của Triều Tiên đã tìm ra một công dụng khác cho chúng.”

Cách thức hoạt động của thủ thuật token tự chế

Kỹ thuật này bao gồm một quy trình bốn bước. Những kẻ rửa tiền Triều Tiên tạo ra một token bằng cách sử dụng công cụ ra mắt công khai, thiết lập một pool thanh khoản ghép nối token đó với một tài sản thật như NEAR hoặc stablecoin, mua token mới bằng số tiền bị đánh cắp từ một bộ ví, sau đó bán lại token đó vào cùng pool từ một bộ ví thứ hai để thu về tài sản thật.

Bởi vì pool đóng vai trò trung gian, số tiền bị đánh cắp không bao giờ đi trực tiếp từ ví mua đến ví thu gom. Đối với người quan sát bên ngoài, các ví thu gom trông giống như những nhà giao dịch thông thường đã bán một token với lợi nhuận.

Mỗi token trong sáu token NEAR tiêu tốn khoảng 25 NEAR, tương đương khoảng $90, để tạo ra. Chúng đã được giao dịch mạnh trong vài giờ bằng cách sử dụng NEAR bị đánh cắp và sau đó bị bỏ rơi. Không có token nào được giao dịch kể từ ngày 8 tháng 11, và vào buổi chiều hôm đó, những người tạo ra bốn trong số các token đã rút phần thanh khoản còn lại. Năm trong sáu người tạo token được tài trợ bởi một ví vừa bán một token trước đó, từ 2 đến 13 phút trước lần ra mắt tiếp theo, tạo thành một chuỗi các token.

Elliptic trước đây đã ghi nhận phương pháp tương tự trong việc rửa tiền từ vụ trộm Bybit tháng 2 năm 2025, cũng bị đổ lỗi cho nhóm TraderTraitor của Triều Tiên, nơi một token Tron vô giá trị đã giúp chuyển ít nhất $24 triệu. Trong vụ Binance, Elliptic cũng đã quan sát thấy kỹ thuật này trên Tron và một biến thể gần trên Solana sử dụng các token giao dịch mỏng hiện có thay vì token tự chế.

Một chiến thuật làm chậm, không phải một màn biến mất

Các meme coin không che giấu được số tiền; mọi bước đều công khai trên blockchain. Điều chúng mang lại là thời gian. Mỗi bước nhảy bổ sung làm chậm các nhà điều tra khi những kẻ rửa tiền chạy đua để chuyển tiền trước khi bị đánh dấu. Với giá khoảng $90 mỗi token, chúng đủ rẻ để vứt bỏ.

Điều này phù hợp với mô hình rộng hơn mà Elliptic đã theo dõi kể từ vụ trộm: hơn 20,000 ví trên 16 blockchain, ít nhất 36 dịch vụ và ít nhất 65,000 giao dịch. Binance đã tuyên bố rằng cuộc tấn công bắt đầu bằng một cuộc phỏng vấn xin việc giả và kéo dài năm tháng trước khi bất kỳ đồng coin nào di chuyển. Các công ty blockchain đã kết nối vụ vi phạm với TraderTraitor trong vòng một ngày.

Việc chuyển đổi thành bitcoin đại diện cho câu chuyện tài chính lớn hơn. Toàn bộ SOL bị đánh cắp đã được hoán đổi, cầu nối hoặc trộn lẫn, và phần lớn tuyến XRP cũng đã đi vào bitcoin. Khoảng $2.85 tỷ của số tiền thu được ban đầu đã bị đóng băng. Elliptic cho biết một lượng không đáng kể có thể đã được rút tiền mặt cho đến nay.

Các hoạt động trộm cắp tiền điện tử của Triều Tiên không phải là mới. Elliptic ước tính số tiền thu được của chế độ vào năm 2025 ở mức trên $2 tỷ, được thúc đẩy bởi vụ khai thác Bybit trị giá $1.46 tỷ, với tổng số đã biết tích lũy vượt quá $6 tỷ ngay cả trước vụ việc Binance.

Binance đã dần dần khôi phục việc rút tiền và cho biết đã bù đắp tổn thất của khách hàng từ quỹ riêng của mình. Thách thức đối với các nhà điều tra là liệu các pool thanh khoản tự chế có tiếp tục nhân lên nhanh hơn các danh sách chặn bắt kịp chúng hay không.