Binance mất 6,3 tỷ USD: tin tặc chia nhỏ tiền qua hơn 10.000 ví, THORChain và Wasabi Wallet

Sau vụ tấn công khiến sàn Binance thiệt hại 6,3 tỷ USD, nhóm tin tặc đã chia nhỏ số tài sản chiếm đoạt, luân chuyển qua hàng nghìn ví điện tử và nhiều nền tảng tiền mã hóa để che giấu nguồn gốc dòng tiền. Theo công ty phân tích blockchain Chainalysis, chỉ trong vài phút, số tiền đã được tách thành các khoản nhỏ và phân tán vào hơn 10.000 ví.

Từ đó, nhóm này tiếp tục chuyển tài sản qua nhiều mạng blockchain và dịch vụ trộn giao dịch. Mạng lưới phức tạp này gây khó khăn cho cơ quan điều tra trong việc lần theo dấu vết, cũng như cho các biện pháp phong tỏa của doanh nghiệp trong ngành.

Một nửa số tiền bị chặn, 3,3 tỷ USD vẫn lưu thông

Chỉ vài giờ sau vụ tấn công, khoảng một nửa số tài sản bị đánh cắp đã bị phong tỏa khi các tổ chức phát hành stablecoin như Tether và Circle chặn những ví có liên quan. Tuy nhiên, theo các đơn vị chuyên truy vết blockchain, khoảng 3,3 tỷ USD vẫn nằm trong tay nhóm tin tặc.

Để tiếp tục che giấu dòng tiền, các đối tượng chuyển tài sản qua lại giữa các mạng blockchain và dịch vụ trung gian. Một trong những nền tảng được sử dụng là THORChain, dịch vụ cho phép hoán đổi tiền mã hóa giữa các mạng blockchain khác nhau.

THORChain và Wasabi Wallet: hai trạm trung chuyển được nhắc tên

Chainalysis cho biết, trong 72 giờ sau vụ tấn công, THORChain đã xử lý hơn 46 triệu USD có nguồn gốc từ vụ đánh cắp. Nền tảng này đồng thời thu về hơn 200.000 USD phí giao dịch, khoản tiền được phân phối cho những người tham gia vận hành hệ thống.

Wasabi Wallet cũng xuất hiện trong hành trình luân chuyển tài sản, với gần 4 triệu USD đi qua trong cùng khoảng thời gian. Dịch vụ này hỗ trợ che giấu nguồn gốc tiền mã hóa khi tài sản được chuyển giữa các ví Bitcoin.

Cơ chế của Wasabi Wallet dựa vào một bên điều phối, chịu trách nhiệm tập hợp và xử lý các giao dịch nhằm làm mờ dấu vết dòng tiền. Dữ liệu từ một nền tảng theo dõi cho thấy hiện chỉ có một đơn vị điều phối xử lý hơn 99% giao dịch trên hệ thống. Người đứng sau là một nhà phát triển tiền mã hóa người Mỹ sử dụng bí danh Kruw, và theo Chainalysis, thu nhập từ công việc này chỉ ở mức không đáng kể.

Tiền lệ Bybit và lời kêu gọi từ FBI

THORChain không phải cái tên xa lạ trong các vụ đánh cắp quy mô lớn. Năm 2025, sau khi sàn Bybit tại Dubai bị lấy đi 1,5 tỷ USD, nhóm tin tặc đã thực hiện gần 1 tỷ USD giao dịch qua nền tảng này. Chainalysis ước tính những người vận hành THORChain thu về ít nhất 12 triệu USD phí giao dịch từ hoạt động đó.

Cuối tuần trước, Cục Điều tra Liên bang Mỹ (FBI) kêu gọi các dịch vụ tiền mã hóa ngăn chặn những giao dịch liên quan đến vụ tấn công Binance, đồng thời nêu đích danh một số người vận hành các nút mạng THORChain. Dù vậy, nền tảng này vẫn tiếp tục hoạt động, và các ví liên quan đến vụ đánh cắp cũng vẫn sử dụng Wasabi Wallet.

Phi tập trung đến đâu thì không phải chịu trách nhiệm?

Trước chỉ trích về việc dịch vụ bị lợi dụng, các nhà phát triển cho rằng họ không thể hoặc không có nghĩa vụ can thiệp vào từng giao dịch. Trong một chương trình phát thanh trực tuyến hồi tháng 10, Chad Barraford, nhà đồng sáng lập THORChain mang quốc tịch Mỹ, khẳng định hệ thống không được thiết kế để chặn riêng lẻ từng giao dịch hoặc ví điện tử. Trong khi các tổ chức tài chính truyền thống phải giám sát và báo cáo giao dịch có dấu hiệu rửa tiền, lĩnh vực tài chính phi tập trung hiện chưa chịu sự quản lý chặt chẽ tương tự.

Ở chiều ngược lại, Scott Armstrong, luật sư tại Armstrong & Bradylyons và từng là công tố viên liên bang điều tra các vụ án tiền mã hóa, nhận định việc cung cấp công cụ giúp người dùng tránh bị truy vết sau các vụ tấn công dường như đã trở thành một phần hoạt động kinh doanh của một số dịch vụ. Về phía Wasabi Wallet, Kruw từng giải thích rằng việc duy trì dịch vụ bảo vệ quyền riêng tư xuất phát từ niềm tin vào tự do cá nhân và chủ nghĩa tư bản vô chính phủ.

Quan điểm cho rằng nhà phát triển không thể kiểm soát giao dịch cũng làm dấy lên nghi vấn về mức độ phi tập trung thực sự. Tại Mỹ, các công tố viên từng truy tố người điều hành một số dịch vụ blockchain với cáo buộc cố ý hỗ trợ tội phạm rửa tiền, và một số vụ việc đã kết thúc bằng bản án kết tội.

Khóa quản trị gây tranh cãi và 111 nút mạng

Quyền kiểm soát đối với THORChain từng bị đặt dấu hỏi trong một vụ kiện năm 2025. Các nhà đầu tư của một nền tảng cho vay xây dựng trên THORChain đã khởi kiện hai nhà phát triển Chad Barraford và John-Paul Thorbjornsen. Theo đơn kiện, cả hai từng có quyền sử dụng một khóa quản trị đặc biệt để can thiệp vào hoạt động của nền tảng, và Thorbjornsen bị cáo buộc dùng công cụ này nhằm ngăn hệ thống cho vay sụp đổ.

Barraford bác bỏ cáo buộc và không phản hồi yêu cầu bình luận của Wall Street Journal về việc THORChain được dùng trong vụ tấn công Binance. Thorbjornsen, cựu phi công không quân Australia, cho biết ông không còn trực tiếp tham gia vận hành. Theo ông, khóa quản trị gây tranh cãi đã được loại bỏ, còn hệ thống hiện được duy trì bởi 111 nút mạng do một số người chưa được công bố danh tính vận hành.

Thorbjornsen khẳng định THORChain có mức độ phi tập trung cao hơn đáng kể so với nhiều nền tảng khác, đồng thời nhấn mạnh việc thu phí là hoạt động bình thường của các hệ thống blockchain khi có người sử dụng.