Hai vụ trộm tiền mã hóa đi theo cùng một con đường: vụ trộm $6.36bn tại Binance và vụ trộm $106m bị nghi ngờ ở EU

Trong vòng một tuần, hai vụ trộm tiền mã hóa đã đi theo một mô thức giống hệt nhau. Số tiền bị đánh cắp di chuyển theo một lộ trình chủ yếu bị chi phối bởi nỗi sợ bị phong tỏa. Hiểu lộ trình này làm rõ phần nào trong số chiến lợi phẩm có thể được thu hồi, phần nào có thể vẫn mất, và vì sao một số khoản tiền nhất định có thể sau đó đi vào lưu thông.

Vụ trộm lớn hơn liên quan đến Binance. Vào ngày 29 tháng 10, khoảng $6.36 tỷ đã bị lấy khỏi các ví nóng của sàn này trên mười chuỗi khối, với phần lớn rời đi trong khoảng 20 phút, theo TRM Labs, một công ty phân tích chuỗi khối. Ví nóng là một ví kết nối Internet được dùng để xử lý các khoản rút tiền. FBI đổ lỗi cho TraderTraitor, một nhóm tin tặc Triều Tiên, và đây là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận.

Vụ việc thứ hai chưa được xác nhận. Vào thứ Hai, nhà nghiên cứu chuỗi khối ZachXBT báo cáo rằng một thực thể EU chưa được xác định có khả năng đã mất hơn $106 triệu từ nhiều tài khoản sàn vào Chủ nhật. Vì cả nạn nhân lẫn các sàn đều chưa được nêu tên, đây vẫn là một vụ trộm bị nghi ngờ. Tuy vậy, nó mang tính minh họa, vì số tiền dường như đã đi theo cùng một con đường.

Bước 1: Bán tháo stablecoin càng nhanh càng tốt

Các stablecoin như USDT của Tether và USDC của Circle là trở ngại lớn nhất đối với kẻ trộm. Các tổ chức phát hành của chúng có thể khóa token trong bất kỳ ví được chỉ định nào, thực tế khiến số đô la bị đánh cắp không thể sử dụng được.

Đúng như vậy đã diễn ra trong vụ Binance. Theo TRM Labs, Tether đã phong tỏa khoảng 971 triệu USDT trong ví nhận chính của kẻ tấn công 37 phút sau đợt quét chính, và Circle đã phong tỏa 823 triệu USDC vài phút sau đó. Tính cả các lần phong tỏa của Tether, Circle, Ripple, World Liberty Financial, và Security Council của Arbitrum, TRM ước tính tổng cộng vào khoảng $2.7 tỷ. Binance báo cáo khoảng $3 tỷ.

Kẻ tấn công đã vội vàng vượt qua các lần phong tỏa đó và phải chịu chi phí đáng kể. TRM báo cáo rằng khoảng 325 triệu USDT đã được đưa cho các nhà tạo lập thị trường để đổi lấy khoảng 122,300 ETH, cho thấy mức chiết khấu vượt quá 10% so với giá thị trường. Ngoài ra, 60 triệu USDT đã được gửi làm tài sản thế chấp trên giao thức cho vay Aave để vay khoảng 19,760 ETH. Việc chấp nhận mức cắt giảm lớn như vậy cho thấy kẻ trộm đã ưu tiên thoát khỏi việc bị phong tỏa đến mức nào.

Vụ việc EU bị nghi ngờ bắt đầu tương tự. ZachXBT tuyên bố số tiền đã rời các sàn dưới dạng USDC và USDT, với USDC được chuyển đổi sang Ether.

Bước 2: Xóa dấu vết và chuyển chuỗi khối

Khi số tiền đã nằm trong các tài sản mà tổ chức phát hành không thể phong tỏa — chủ yếu là ETH và BTC — mục tiêu trở thành làm cho chúng khó bị truy vết.

Một kỹ thuật là chuỗi bóc tách. TRM báo cáo rằng 18,270 BTC bị đánh cắp từ Binance đã được chia thành các khoản tròn 1,000 và 100 BTC trong một khối duy nhất, tạo ra nhiều dấu vết nhỏ hơn thay vì một đường đi rõ ràng. Hoạt động tự động cũng được phát hiện, với số tiền di chuyển qua lại giữa các ví — kể cả các địa chỉ từng được dùng trước đó — để cản trở phân tích.

Một phương thức khác là nhảy chuỗi. Các cầu nối xuyên chuỗi chuyển tài sản từ chuỗi khối này sang chuỗi khối khác, buộc các nhà điều tra phải tiếp tục dấu vết trên một mạng riêng biệt. Trong vụ việc nhỏ hơn được gắn cờ vào thứ Hai, nền tảng phân tích trên chuỗi Onchain Lens lưu ý rằng số tiền từ một ví liên kết với King — một bot chênh lệch giá trên Solana — đã đi qua nhiều ví Solana và sau đó được chuyển sang Ethereum thông qua dịch vụ cầu nối Mayan. Người vận hành King chưa xác nhận một vụ xâm nhập, nhưng mô thức này là một trường hợp điển hình.

TRM nhận thấy rằng việc rửa tiền giai đoạn đầu của Binance phụ thuộc nhiều hơn vào các nhà tạo lập thị trường và giao thức cho vay so với cách tiếp cận dùng nhiều cầu nối từng thấy sau vụ hack Bybit trị giá $1.5 tỷ vào năm 2025. Công ty dự đoán rằng các cầu nối, dịch vụ hoán đổi và nhà môi giới qua quầy sẽ đóng vai trò trong giai đoạn tiếp theo.

Bước 3: Biến mất khỏi tầm theo dõi rồi đổi thành tiền mặt

Giai đoạn cuối tập trung vào việc xóa dấu vết công khai và biến tiền mã hóa thành tiền mặt có thể sử dụng.

Vụ trộm EU bị nghi ngờ minh họa sinh động bước ẩn mình. ZachXBT báo cáo rằng số tiền đã đi qua các nền tảng trao đổi tức thời như WellWallet và Kyrrex và được hoán đổi sang Monero thông qua một dịch vụ tên là Wagyu. Các sàn trao đổi tức thời cho phép hoán đổi coin nhanh chóng, thường với các kiểm tra kém chặt chẽ hơn so với các sàn lớn. Monero là một đồng tiền bảo mật: khác với Bitcoin hay Ethereum, vốn ghi lại mọi giao dịch trên một sổ cái công khai, nó ẩn người gửi, người nhận và số tiền theo mặc định. Khi tài sản đã ở trong Monero, việc theo dõi chúng trên chuỗi khối trở nên khó khăn hơn nhiều.

Bước cuối cùng liên quan đến việc chuyển đổi sang tiền mặt, thường thông qua các nhà môi giới qua quầy và mạng lưới rửa tiền có tổ chức. CNBC dẫn lời các chuyên gia nói rằng các mạng lưới này làm giảm khả năng thu hồi. Giai đoạn này có thể kéo dài nhiều tuần hoặc nhiều tháng, điều này giải thích vì sao số tiền bị đánh cắp vẫn tiếp tục luân chuyển rất lâu sau khi sự chú ý ban đầu của truyền thông đã qua đi.

Ý nghĩa đối với nhà giao dịch và nhà đầu tư

Lộ trình này làm rõ sự khác biệt giữa phần đã bị phong tỏa và phần không bị phong tỏa. Stablecoin là phần có thể được thu hồi. ETH và BTC không thể thu hồi. Theo TRM, kẻ tấn công Binance vẫn nắm giữ hơn 420,000 ETH và 18,270 BTC, trị giá khoảng $2.4 tỷ, nằm ngoài thẩm quyền phong tỏa của bất kỳ tổ chức phát hành nào.

Tình huống này tạo ra một nguồn cung tiềm ẩn treo lơ lửng trên thị trường. Nếu một lượng đáng kể ETH hoặc BTC đó cuối cùng bị bán, nó sẽ làm tăng nguồn cung. Thời điểm và phương thức chưa được biết, và việc rửa tiền thường diễn ra thành các phần nhỏ trong một thời gian dài, nên không nên xem đây là một đợt bán tháo sắp xảy ra. Đây là một yếu tố cần theo dõi, không phải một dự đoán.

Cũng có khía cạnh cầu. Đồng giám đốc điều hành Binance Yi He tuyên bố rằng sàn đã phân bổ hơn $6.34 tỷ tiền của công ty để bù đắp cho số tài sản bị đánh cắp, và các báo cáo tin tức cho thấy một phần trong đó sẽ được mua thông qua các giao dịch qua quầy và giao dịch trên sàn.

Đối với nhà đầu tư cá nhân, bài học chính liên quan đến việc rủi ro nằm ở đâu. Cuộc tấn công này nhắm vào chính các ví nóng của Binance, và Binance tuyên bố đang hấp thụ các khoản lỗ, nên khách hàng chưa được thông báo về bất kỳ khoản lỗ nào. Tuy vậy, nó là lời nhắc nhở rằng tiền mã hóa được giữ trên bất kỳ nền tảng nào đều phụ thuộc vào bảo mật của nền tảng đó. Việc phong tỏa stablecoin cũng có tính hai mặt: chúng đã hỗ trợ trong trường hợp này, nhưng chúng cho thấy các tổ chức phát hành có thể kiểm soát token trong bất kỳ ví nào.

Cần theo dõi gì tiếp theo

• Dòng chuyển động từ các ví ETH và BTC của kẻ tấn công: TRM đang theo dõi chuỗi bóc tách và các ví gom. Các giao dịch chuyển lớn đến sàn hoặc bàn giao dịch qua quầy sẽ là dấu hiệu ban đầu cho thấy số tiền bị đánh cắp đang được bán.
• Nguyên nhân gốc rễ từ Binance: Sàn này chưa công bố một giải trình toàn diện về cách các hệ thống ký của mình bị xâm nhập. Điều này quan trọng để đánh giá liệu các nền tảng khác có chung lỗ hổng tương tự hay không.
• Xác nhận vụ việc EU: Nếu nạn nhân hoặc các sàn được xác định, hoặc một con số tổn thất đã được xác thực xuất hiện, vụ việc $106 triệu trở thành một câu chuyện riêng. Cho đến lúc đó, đây vẫn là một vụ trộm bị nghi ngờ.
• Tổng số tiền phong tỏa được cập nhật: Bất kỳ thay đổi nào về số lượng bị phong tỏa hoặc được trả lại đều thay đổi đánh giá về những gì vẫn nằm trong tầm kiểm soát của kẻ tấn công.

Điều gì có thể thay đổi kịch bản: nếu ETH và BTC bị đánh cắp vẫn không bị động đến trong nhiều tháng, nguồn cung treo lơ lửng ít liên quan hơn trong ngắn hạn. Nếu những khoản tiền lớn bắt đầu xuất hiện trên các sàn, nó trở thành một vấn đề nguồn cung cấp bách hơn. Dù thế nào, việc theo dõi các ví hiệu quả hơn là suy đoán.