Vụ hack Binance: Cuộc chiến mèo vờn chuột nhằm thu hồi 6,3 tỉ USD bị đánh cắp

Binance, sàn giao dịch tiền mã hóa lớn nhất thế giới, đã tạm dừng hoạt động rút tiền sau vụ tấn công hôm 29/10. Hoạt động nạp tiền mã hóa vẫn được duy trì sau khi Binance triển khai các biện pháp kiểm soát an ninh.

Richard Teng, đồng giám đốc điều hành Binance, viết trên mạng xã hội X rằng vụ tấn công phức tạp này có thể bắt đầu từ việc laptop của một kỹ sư DevOps (phụ trách phát triển và vận hành hệ thống) bị xâm nhập. Điều đó giúp hacker tiếp cận các hệ thống xử lý lệnh rút tiền. Sau đó, công ty phát hiện thêm những điểm bị xâm nhập khác. Đáng chú ý, một phần mềm được thiết kế để xóa dấu vết vụ tấn công đã gây khó khăn cho quá trình điều tra.

Theo các công ty phân tích blockchain của Mỹ là TRM Labs và Chainalysis, phần lớn vụ đánh cắp tài sản tại Binance diễn ra trong khoảng 20 phút cuối ngày 29/10. Cách thức thực hiện có nhiều điểm tương đồng với những vụ tấn công trước đây bị cáo buộc có liên quan đến hacker Triều Tiên. Triều Tiên thường xuyên phủ nhận liên quan đến các vụ đánh cắp tiền mã hóa. Phái đoàn nước này tại Geneva không phản hồi đề nghị bình luận.

Ngày 30/10, Binance cho biết đã dành hơn 6,34 tỉ USD từ nguồn lực công ty để bù đắp thiệt hại, trong đó 5 tỉ USD đã được chuẩn bị dưới dạng những loại tài sản số bị ảnh hưởng. Sàn này đặt mục tiêu công bố báo cáo chứng minh dự trữ tài sản ban đầu vào ngày 2/11, giúp người dùng kiểm tra lượng tài sản sàn nắm giữ so với số dư tài khoản của khách hàng.

Binance cũng cho biết đang phối hợp với các cơ quan thực thi pháp luật, đơn vị phân tích blockchain và các đối tác để truy tìm tài sản bị đánh cắp. Theo cập nhật của Binance, sàn dự kiến khôi phục hoạt động rút tiền theo từng giai đoạn sau khi hoàn tất việc kiểm tra và tăng cường bảo mật hệ thống.

Việc thu hồi tiền mã hóa bị đánh cắp sau vụ hack sàn giao dịch khó thế nào?

Theo kênh CNBC, những đơn vị tham gia điều tra cho biết họ đang trong một cuộc chiến kiểu “mèo vờn chuột” với nhóm hacker bị cáo buộc có liên hệ với Triều Tiên. Nhóm này kết hợp nhiều kỹ thuật che giấu dấu vết giao dịch tiền mã hóa với các mạng lưới rửa tiền chuyên nghiệp hoạt động trên toàn cầu để chuyển tiền mã hóa thành tiền pháp định.

Tiền pháp định là loại tiền do chính phủ phát hành hoặc ủy quyền phát hành, được pháp luật công nhận là phương tiện thanh toán hợp pháp, chẳng hạn USD.

Những diễn biến này cho thấy việc thu hồi tiền bị đánh cắp sau một vụ tấn công mạng nhắm vào sàn giao dịch tiền mã hóa khó khăn đến mức nào.

“Cuối cùng, hacker đang tìm cách chuyển tiền mã hóa sang tiền pháp định. Đó chính là thách thức, bởi mọi việc trở thành cuộc chạy đua với thời gian”, Ari Redbord, Giám đốc chính sách toàn cầu tại TRM Labs - một trong những công ty đang điều tra vụ hack Binance, nói với CNBC.

Cả TRM Labs và Chainalysis đều cho rằng vụ hack Binance do TraderTraitor thực hiện. Đây là nhóm hacker có liên hệ với Triều Tiên và từng thực hiện nhiều vụ tấn công mạng nhắm vào lĩnh vực tiền mã hóa.

Phong tỏa các stablecoin

Sau vụ tấn công, một số đơn vị phát hành stablecoin, trong đó có Circle (công ty phát hành USDC) và Tether (hãng phát hành USDT) đã tiến hành phong tỏa số tiền liên quan.

Stablecoin là loại tiền mã hóa được thiết kế để duy trì giá trị ổn định, thường tương đương 1 USD. Một số stablecoin được bảo đảm bằng tiền pháp định, trái phiếu chính phủ hoặc những tài sản có tính thanh khoản cao.

Binance ước tính khoảng 3 tỉ USD tiền mã hóa đã bị phong tỏa tính đến nay.

Các đơn vị phát hành stablecoin có thể đốt những token bị phong tỏa rồi phát hành token mới để có khả năng thu hồi số tài sản đó. Theo cách này, công ty như Circle hoặc Tether sẽ hủy số stablecoin bị phong tỏa, khiến hacker không thể sử dụng chúng. Sau đó, công ty có thể phát hành lượng stablecoin tương ứng và chuyển vào ví do cơ quan thực thi pháp luật hoặc đơn vị có thẩm quyền kiểm soát. Số tài sản này có thể được hoàn trả cho Binance sau khi hoàn tất các thủ tục pháp lý.

Tuy nhiên, hacker đã đi trước một bước. Theo TRM Labs, hacker nhanh chóng bán USDT cho các nhà tạo lập thị trường (chuyên cung cấp thanh khoản và thực hiện giao dịch), đồng thời dùng số USDT này làm tài sản thế chấp để vay đồng Ether (đồng tiền mã hóa lớn thứ hai thế giới xét theo vốn hóa thị trường).

Như vậy, bên cho vay sẽ nắm giữ số USDT có nguồn gốc từ vụ đánh cắp, trong khi hacker nhận được Ether - loại tiền mã hóa khó bị phong tỏa hơn.

“Những kẻ tấn công biết con đường đó sẽ sớm bị chặn, nên đã nhanh chóng tìm cách thoát ra trước khi điều đó xảy ra”, Joe Hancock, đối tác kiêm người đứng đầu bộ phận rủi ro an ninh mạng và điều tra phức tạp tại hãng luật Mishcon de Reya, cho biết.

Che giấu dấu vết dòng tiền bị đánh cắp

Hacker đã sử dụng những thủ đoạn tinh vi để né tránh cơ quan thực thi pháp luật và ngăn nhà chức trách tịch thu khoảng 3 tỉ USD còn lại.

Tiền mã hóa hoạt động trên blockchain, một dạng sổ cái công khai ghi lại các giao dịch. Nhờ vậy, các công ty chuyên điều tra dữ liệu tiền mã hóa có thể theo dõi dòng tiền khi chúng di chuyển qua những ví trực tuyến khác nhau. Để đối phó, hacker sử dụng nhiều kỹ thuật nhằm đánh lạc hướng những người đang truy tìm chúng.

Các dịch vụ trộn tiền mã hóa che giấu dấu vết giao dịch bằng cách trộn tiền từ nhiều người dùng khác nhau, khiến việc lần theo dòng tiền trở nên khó khăn hơn.

Tuy nhiên, Jonathan Levin - Giám đốc điều hành Chainalysis - nói với CNBC rằng công ty chưa phát hiện dấu hiệu cho thấy hacker sử dụng phương thức này.

Thay vào đó, Chainalysis phát hiện những “mô hình rửa tiền chưa từng thấy trước đây”. Theo đó, hacker sử dụng các quy trình tự động để liên tục chuyển tiền qua lại giữa nhiều ví khác nhau nhằm đánh lạc hướng những người điều tra.

Trong một bài đăng trên blog, Chainalysis viết: “Thay vì đơn giản chuyển tiền đến địa chỉ tiếp theo, hacker liên tục luân chuyển tiền giữa các địa chỉ ví, thường xuyên đưa tiền trở lại những địa chỉ từng xuất hiện ở các bước trước đó”.

Nếu hacker đổi stablecoin sang những loại tiền mã hóa như Bitcoin và Ether, việc phong tỏa sẽ khó khăn hơn nhiều. Khác với USDT và USDC, hai đồng tiền mã hóa lớn nhất thế giới này không có đơn vị phát hành có thể trực tiếp khóa giao dịch hoặc đóng băng tài sản.

Jonathan Levin nói với CNBC rằng hacker đã chuyển một lượng lớn tiền đến nhiều địa chỉ ví khác nhau trên blockchain Tron.

“Các nhóm của chúng tôi đang làm việc suốt ngày đêm để tiếp tục theo dõi dòng tiền. Chúng tôi hiện cũng có các hệ thống tự động để theo dõi. Công việc này không còn chỉ dựa vào sức người”, Jonathan Levin tiết lộ.

Những thủ đoạn trên sẽ khiến các công ty khó theo dõi số tiền mã hóa bị đánh cắp hơn. Tuy nhiên, Ari Redbord cho biết TRM Labs ngày càng cải thiện khả năng nhận diện những kỹ thuật như vậy.

“Đây là cuộc chiến mèo vờn chuột liên tục. Những kẻ xấu tìm cách che giấu các giao dịch, còn chúng tôi tìm cách theo dõi và truy vết chúng”, Ari Redbord nói.

Các mạng lưới rửa tiền chuyên nghiệp có liên hệ với Trung Quốc

Theo Jonathan Levin và Ari Redbord, hacker ngày càng dựa vào các mạng lưới rửa tiền chuyên nghiệp có liên hệ với Trung Quốc để chuyển tiền mã hóa thành tiền pháp định.

“Vì vậy, chúng tôi không chỉ theo đuổi các nhóm hacker Triều Tiên thông qua dấu vết trên blockchain. Nhiều khi, đối tượng chúng tôi phải truy tìm chính là những mạng lưới rửa tiền chuyên nghiệp này”, Ari Redbord nói.

Jonathan Levin giải thích rằng các tổ chức rửa tiền sẽ đề nghị mua số tiền mã hóa bị đánh cắp thông qua các giao dịch trực tiếp ngoài sàn (OTC), với mức phí rất cao. Sau đó, chúng tìm cách rửa tiền và chuyển lại cho hacker, có thể dưới một dạng stablecoin nào đó.

Hacker tiếp tục đổi số stablecoin này sang tiền pháp định.

Khi dòng tiền đã đi đến giai đoạn này, việc thu hồi tài sản bị đánh cắp trở nên khó khăn hơn nhiều.

“Càng đi xa khỏi nguồn gốc của dòng tiền, số cơ hội để phong tỏa và thu giữ tài sản càng giảm”, Jonathan Levin nhấn mạnh.

Sơn Vân