Hacker đang tẩu tán 6,3 tỷ USD tiền số bị đánh cắp từ Binance ra sao?

Sau khi thực hiện vụ đánh cắp tiền mã hóa lớn nhất lịch sử vào tuần trước, lấy đi 6,3 tỷ USD từ sàn Binance, nhóm tin tặc bí ẩn lập tức bắt tay vào chiến dịch rửa tiền quy mô lớn.

Chỉ trong vài phút, số tiền đánh cắp đã được chia nhỏ vào hơn 10.000 ví điện tử. Theo công ty phân tích blockchain (chuỗi khối) Chainalysis, nhóm tin tặc này đã tìm cách chuyển tài sản qua nhiều hệ thống khác nhau nhằm tránh sự truy vết của cơ quan điều tra cũng như những biện pháp phong tỏa từ các doanh nghiệp tiền mã hóa.

Tiền đi đâu?

Chỉ vài giờ sau vụ tấn công Binance, khoảng một nửa số tài sản đã bị phong tỏa khi các tổ chức phát hành tiền mã hóa ổn định giá như Tether và Circle chặn những ví liên quan. Tuy nhiên, theo các công ty chuyên truy vết chuỗi khối, 3,3 tỷ USD vẫn nằm trong tay nhóm tin tặc.

Để che giấu số tiền này, nhóm tin tặc tiếp tục chia tài sản thành những khoản nhỏ hơn, rồi chuyển qua lại giữa nhiều mạng chuỗi khối và dịch vụ trộn giao dịch. Quá trình này tạo nên mạng lưới giao dịch chằng chịt, khiến các chuyên gia gặp khó khăn khi lần theo dấu vết.

Một trong những nền tảng được sử dụng là THORChain, dịch vụ cho phép chuyển đổi tiền mã hóa giữa các mạng chuỗi khối khác nhau. Theo Chainalysis, chỉ trong 72 giờ sau vụ tấn công Binance, THORChain đã xử lý hơn 46 triệu USD tiền bị đánh cắp, đồng thời thu về hơn 200.000 USD phí giao dịch. Khoản tiền này được phân phối cho những người tham gia vận hành hệ thống.

Trong cùng khoảng thời gian, gần 4 triệu USD khác được chuyển qua Wasabi Wallet, dịch vụ giúp che giấu nguồn gốc tiền mã hóa khi chuyển giữa các ví Bitcoin.

Wasabi Wallet thực hiện việc này thông qua một bên điều phối, có nhiệm vụ tập hợp và xử lý các giao dịch nhằm làm mờ dấu vết của dòng tiền. Theo dữ liệu từ một nền tảng theo dõi hoạt động của Wasabi Wallet, hiện chỉ có một đơn vị điều phối xử lý hơn 99% giao dịch trên hệ thống.

Người điều phối này là nhà phát triển tiền mã hóa Mỹ, sử dụng bí danh Kruw. Theo Chainalysis, người này chỉ nhận được khoản tiền không đáng kể từ công việc điều phối.

Trước vụ Binance, THORChain từng được sử dụng để chuyển đổi tài sản trong những vụ đánh cắp tiền mã hóa lớn. Điển hình là vụ sàn Bybit tại Dubai mất 1,5 tỷ USD năm 2025. Sau vụ tấn công, nhóm tin tặc đã thực hiện gần 1 tỷ USD giao dịch qua THORChain. Theo Chainalysis, những người vận hành nền tảng thu được ít nhất 12 triệu USD tiền phí.

Đồ họa: BBC.

Vì sao các nền tảng vẫn tiếp tục xử lý giao dịch?

Cuối tuần trước, FBI kêu gọi các dịch vụ tiền mã hóa chặn những giao dịch liên quan đến vụ tấn công Binance, đồng thời nêu đích danh những người vận hành các nút mạng THORChain. Tuy nhiên, nền tảng này vẫn tiếp tục hoạt động, trong khi những ví liên quan đến vụ đánh cắp cũng tiếp tục sử dụng Wasabi Wallet.

Những người phát triển 2 nền tảng cho rằng họ không thể hoặc không có nghĩa vụ can thiệp khi dịch vụ bị sử dụng vào các giao dịch bất hợp pháp.

Trong một chương trình phát thanh trực tuyến hồi tháng 10, Chad Barraford, nhà đồng sáng lập THORChain có quốc tịch Mỹ, khẳng định hệ thống không có khả năng chặn từng giao dịch hay ví điện tử riêng lẻ, bởi chức năng này vốn không được thiết kế trong hệ thống.

Trong khi các tổ chức tài chính truyền thống phải giám sát và báo cáo những giao dịch có dấu hiệu rửa tiền, lĩnh vực tài chính phi tập trung hiện chưa chịu sự quản lý chặt chẽ tương tự.

“Dường như việc cung cấp công cụ giúp tránh bị truy vết sau các vụ tấn công hoặc đánh cắp tài sản đã trở thành một phần hoạt động kinh doanh của một số dịch vụ tiền mã hóa”, Scott Armstrong, luật sư tại Armstrong & Bradylyons và từng là công tố viên liên bang điều tra các vụ án tiền mã hóa, nhận xét.

Về phía Wasabi Wallet, Kruw từng cho biết việc duy trì dịch vụ bảo vệ quyền riêng tư xuất phát từ niềm tin vào tự do cá nhân và chủ nghĩa tư bản vô chính phủ.

Changpeng Zhao, nhà sáng lập sàn giao dịch tiền điện tử Binance. Ảnh: Nexpher.

Trách nhiệm người vận hành

Việc các nhà phát triển khẳng định không thể kiểm soát giao dịch khiến giới điều tra và nhà đầu tư đặt câu hỏi liệu những nền tảng này có thực sự phi tập trung.

Tại Mỹ, các công tố viên từng truy tố những người điều hành một số dịch vụ chuỗi khối với cáo buộc cố ý giúp tội phạm rửa tiền. Một số vụ đã dẫn đến kết án.

Năm 2025, các nhà đầu tư của một nền tảng cho vay xây dựng trên THORChain đã kiện 2 nhà phát triển Chad Barraford và John-Paul Thorbjornsen, đặt nghi vấn về mức độ phi tập trung của hệ thống.

Theo đơn kiện, cả 2 có quyền sử dụng một khóa quản trị đặc biệt, cho phép can thiệp vào hoạt động của nền tảng. Các nguyên đơn cáo buộc Thorbjornsen từng dùng công cụ này để tìm cách ngăn hệ thống cho vay sụp đổ.

Barraford bác bỏ cáo buộc và không phản hồi yêu cầu bình luận của Wall Street Journal về việc THORChain được sử dụng trong vụ tấn công Binance.

Trong khi đó, Thorbjornsen, cựu phi công không quân Australia, cho biết ông không còn trực tiếp tham gia THORChain. Theo ông, các nhà phát triển đã loại bỏ khóa quản trị gây tranh cãi, còn hệ thống hiện hoạt động thông qua 111 nút mạng do một số người chưa được công bố danh tính vận hành.

Thorbjornsen khẳng định THORChain có mức độ phi tập trung cao hơn đáng kể so với nhiều nền tảng khác.

“Tất cả các hệ thống chuỗi khối đều thu phí khi có người sử dụng”, Thorbjornsen trả lời Wall Street Journal.