THORChain và Wasabi Wallet: Cách hacker luân chuyển 6,3 tỷ USD tiền số đánh cắp từ Binance

Sau vụ tấn công khiến sàn Binance mất 6,3 tỷ USD, nhóm tin tặc đã chia nhỏ tài sản, luân chuyển qua hàng nghìn ví điện tử, nhiều mạng blockchain và các dịch vụ làm mờ dấu vết như THORChain, Wasabi Wallet. Mục tiêu là né sự giám sát của cơ quan điều tra và các biện pháp phong tỏa từ doanh nghiệp trong ngành.

Theo công ty phân tích blockchain Chainalysis, chỉ trong vài phút sau vụ tấn công, số tiền bị đánh cắp đã được chia thành các khoản nhỏ và phân tán vào hơn 10.000 ví điện tử. Từ đó, tài sản tiếp tục được chuyển qua nhiều mạng blockchain và dịch vụ trộn giao dịch, tạo thành một mạng lưới phức tạp khiến việc truy vết trở nên khó khăn.

Một nửa số tiền bị chặn, 3,3 tỷ USD vẫn nằm ngoài tầm kiểm soát

Chỉ vài giờ sau vụ tấn công, khoảng một nửa số tài sản bị đánh cắp đã bị phong tỏa khi các tổ chức phát hành stablecoin như Tether và Circle chặn những ví liên quan. Tuy nhiên, theo các đơn vị chuyên truy vết blockchain, khoảng 3,3 tỷ USD vẫn nằm trong tay nhóm tin tặc.

Để che giấu dòng tiền, các đối tượng chia nhỏ tài sản rồi chuyển qua lại giữa các mạng blockchain và dịch vụ trung gian. Đây là lý do việc phong tỏa của các tổ chức phát hành stablecoin chỉ xử lý được một phần số tiền.

THORChain: cầu nối hoán đổi giữa các mạng blockchain

Một trong những nền tảng được sử dụng là THORChain, dịch vụ cho phép người dùng hoán đổi tiền mã hóa giữa những mạng blockchain khác nhau. Chainalysis cho biết trong 72 giờ sau vụ tấn công Binance, THORChain đã xử lý hơn 46 triệu USD có nguồn gốc từ vụ đánh cắp.

Nền tảng này đồng thời thu về hơn 200.000 USD phí giao dịch, khoản tiền được phân phối cho những người tham gia vận hành hệ thống.

THORChain không phải cái tên xa lạ trong các vụ đánh cắp quy mô lớn. Năm 2025, sau khi sàn Bybit tại Dubai bị lấy đi 1,5 tỷ USD, nhóm tin tặc đã thực hiện gần 1 tỷ USD giao dịch qua nền tảng này. Chainalysis ước tính những người vận hành THORChain thu về ít nhất 12 triệu USD phí giao dịch từ hoạt động đó.

Wasabi Wallet: làm mờ dấu vết trên mạng Bitcoin

Một dịch vụ khác xuất hiện trong hành trình luân chuyển tài sản là Wasabi Wallet. Gần 4 triệu USD đã được chuyển qua nền tảng này trong cùng khoảng thời gian. Dịch vụ hỗ trợ che giấu nguồn gốc tiền mã hóa khi tài sản được chuyển giữa các ví Bitcoin.

Cơ chế hoạt động dựa vào một bên điều phối, chịu trách nhiệm tập hợp và xử lý các giao dịch để làm mờ dấu vết dòng tiền. Dữ liệu từ một nền tảng theo dõi Wasabi Wallet cho thấy hiện chỉ có một đơn vị điều phối xử lý hơn 99% giao dịch trên hệ thống.

Người đứng sau hoạt động điều phối là một nhà phát triển tiền mã hóa người Mỹ, dùng bí danh Kruw. Theo Chainalysis, khoản thu nhập người này nhận được từ công việc điều phối chỉ ở mức không đáng kể.

Tranh cãi: phi tập trung thì ai chịu trách nhiệm?

Cuối tuần trước, Cục Điều tra Liên bang Mỹ (FBI) kêu gọi các dịch vụ tiền mã hóa ngăn chặn những giao dịch liên quan đến vụ tấn công Binance, đồng thời nêu đích danh một số người vận hành nút mạng THORChain. Dù vậy, nền tảng này vẫn tiếp tục hoạt động, còn các ví liên quan đến vụ đánh cắp vẫn sử dụng Wasabi Wallet.

Các nhà phát triển cho rằng họ không thể hoặc không có nghĩa vụ can thiệp vào từng giao dịch. Trong một chương trình phát thanh trực tuyến hồi tháng 10, Chad Barraford, nhà đồng sáng lập THORChain mang quốc tịch Mỹ, khẳng định hệ thống không được thiết kế để chặn riêng lẻ từng giao dịch hoặc ví điện tử. Trong khi các tổ chức tài chính truyền thống phải giám sát và báo cáo giao dịch có dấu hiệu rửa tiền, lĩnh vực tài chính phi tập trung chưa chịu sự quản lý chặt chẽ tương tự.

Ở chiều ngược lại, Scott Armstrong, luật sư tại Armstrong & Bradylyons và từng là công tố viên liên bang điều tra các vụ án tiền mã hóa, nhận định việc cung cấp công cụ giúp người dùng tránh bị truy vết sau các vụ tấn công dường như đã trở thành một phần hoạt động kinh doanh của một số dịch vụ. Với Wasabi Wallet, Kruw từng giải thích rằng việc duy trì dịch vụ bảo vệ quyền riêng tư xuất phát từ niềm tin vào tự do cá nhân và chủ nghĩa tư bản vô chính phủ.

Câu hỏi về mức độ phi tập trung thực sự

Quan điểm cho rằng nhà phát triển không thể kiểm soát giao dịch cũng làm dấy lên nghi vấn về mức độ phi tập trung của các nền tảng này. Giới điều tra và nhà đầu tư đặt câu hỏi liệu hệ thống có thực sự không chịu sự chi phối của một nhóm cá nhân hay không.

Tại Mỹ, các công tố viên từng truy tố người điều hành một số dịch vụ blockchain với cáo buộc cố ý hỗ trợ tội phạm rửa tiền, và một số vụ việc đã kết thúc bằng bản án kết tội.

Với THORChain, nghi vấn này từng xuất hiện trong một vụ kiện năm 2025. Các nhà đầu tư của một nền tảng cho vay xây dựng trên THORChain khởi kiện hai nhà phát triển Chad Barraford và John-Paul Thorbjornsen. Theo đơn kiện, cả hai từng có quyền sử dụng một khóa quản trị đặc biệt để can thiệp vào hoạt động của nền tảng. Các nguyên đơn cáo buộc Thorbjornsen đã dùng công cụ này để tìm cách ngăn hệ thống cho vay sụp đổ.

Barraford bác bỏ các cáo buộc và không phản hồi yêu cầu bình luận của Wall Street Journal về việc THORChain được dùng trong vụ tấn công Binance. Thorbjornsen, cựu phi công không quân Australia, cho biết ông không còn trực tiếp tham gia vận hành THORChain. Theo ông, khóa quản trị gây tranh cãi đã bị loại bỏ, còn hệ thống hiện được duy trì bởi 111 nút mạng do một số người chưa công bố danh tính vận hành.

Thorbjornsen khẳng định THORChain có mức độ phi tập trung cao hơn đáng kể so với nhiều nền tảng khác, đồng thời nhấn mạnh việc thu phí là hoạt động bình thường của các hệ thống blockchain khi có người sử dụng.