• Một thực thể chưa được nêu tên tại EU đã mất hơn 106 triệu USD từ nhiều tài khoản sàn giao dịch vào ngày 1 tháng 11.

• Số tiền bị đánh cắp được rút dưới dạng USDC và USDT trước khi quá trình rửa tiền bắt đầu.

• Kẻ trộm đổi USDC sang ETH, rồi chuyển qua các dịch vụ tức thì WellWallet và Kyrrex.

Stablecoin bị rút khỏi tài khoản sàn giao dịch

Hơn 106 triệu USD đã rời khỏi các tài khoản sàn giao dịch tập trung của một thực thể chưa được nêu tên trong Liên minh châu Âu vào ngày 1 tháng 11, và dấu vết trên chuỗi của vụ rút tiền hiện đã được công khai. Nhà điều tra on-chain ZachXBT công bố dòng tiền trong một bài đăng điều tra trên Telegram vào tối ngày 2 tháng 11, cho biết số tiền bị nghi đánh cắp đã được rút dưới dạng stablecoin USDC và USDT từ nhiều tài khoản sàn giao dịch tập trung. Cả nạn nhân lẫn bất kỳ bên thứ ba nào đều chưa công khai xác nhận số tiền hoặc phương thức, và danh tính của thực thể châu Âu vẫn chưa được tiết lộ. Dấu vết cho thấy một quá trình cố tình xóa mờ khả năng truy vết qua nhiều giai đoạn. Trước tiên, các đối tượng đổi USDC sang Ether, cặp giao dịch có độ sâu và thanh khoản cao nhất tại các nền tảng hoán đổi mà họ có thể sử dụng. Sau đó, họ chuyển Ether qua các dịch vụ hoán đổi tức thì với yêu cầu xác minh danh tính lỏng lẻo, bao gồm WellWallet và Kyrrex—những dịch vụ được xây dựng để đổi tài sản này sang tài sản khác trong vài phút mà không cần hồ sơ tuân thủ đầy đủ. Bước tiếp theo là đổi số tiền thu được sang Monero (XMR), một blockchain lớp 1 tập trung vào quyền riêng tư, nơi số tiền chuyển và các bên giao dịch được che giấu theo thiết kế. Ở giai đoạn cuối, giá trị được chuyển qua cầu nối giữa một số blockchain công khai—một mô hình omnichain làm đứt chuỗi dấu vết ở mỗi lần chuyển và buộc mọi nhà điều tra phải bắt đầu truy vết lại từ đầu. ZachXBT cho biết phần lớn hoạt động chuyển tiền diễn ra trong khoảng thời gian chừng 24 giờ và mô tả các đối tượng hành động rất nhanh. Việc rút tiền bằng stablecoin cũng cố định giá trị vụ trộm tại thời điểm rút, nhờ đó con số 106 triệu USD có thể được nêu chính xác trong khi nạn nhân vẫn im lặng. Việc tiền bị rút từ nhiều tài khoản thay vì một ví cho thấy đây có thể là một vụ xâm nhập thông tin đăng nhập có phối hợp, chứ không phải chỉ một khóa bị lộ, dù phương thức xâm nhập vẫn chưa được ghi nhận. ZachXBT cũng công bố nhiều địa chỉ liên quan đến vụ trộm để các sàn giao dịch và cộng đồng theo dõi có thể đối chiếu các khoản tiền gửi đến với sổ sách của họ.

Khoảng thời gian đóng băng sau khi chuyển đổi

ZachXBT đưa ra nhận định thứ hai: xét theo một số đặc điểm rửa tiền, anh rất tin rằng thủ phạm đứng sau vụ trộm bị nghi ngờ không phải là Lazarus Group, nhóm tin tặc Triều Tiên đứng sau hàng loạt vụ tấn công sàn giao dịch kéo dài trong nhiều năm; danh tính thật của thủ phạm vẫn chưa rõ. Phần chưa được làm sáng tỏ của vụ việc nằm ở khâu vận hành. Nếu tiền thực sự được chuyển khỏi một số tài khoản trên các sàn giao dịch tập trung, thì lỗ hổng nằm ở cấp tài khoản: đăng nhập, khóa API, danh sách trắng địa chỉ rút tiền và cơ chế chặn các giao dịch rút tiền bất thường đều không kích hoạt trước khi các stablecoin bị đánh dấu. Trình tự này quan trọng vì cả hai tài sản liên quan vẫn chịu sự kiểm soát của đơn vị phát hành. USDC và USDT có cơ chế đóng băng của đơn vị phát hành, và đơn vị phát hành hoặc sàn giao dịch chỉ có thể can thiệp khi giá trị vẫn ở dạng mà họ có thể kiểm soát. Việc đóng băng hoạt động ở cấp token, nghĩa là đơn vị phát hành có thể đưa vào danh sách đen một địa chỉ đang nắm giữ tài sản; quyền này không đi theo số tiền khi nó được chuyển thành Ether hoặc Monero. Mỗi lần chuyển đổi đều làm mất cơ hội đó: khi tiền đã thành Ether, khi đã qua một giao dịch hoán đổi tức thì, khi đã vào Monero, thì cơ hội can thiệp khép lại. Với các sàn giao dịch, sự việc này cho thấy cần chia sẻ danh sách đen địa chỉ nhanh hơn và siết chặt cảnh báo KYT giữa các nền tảng — quy trình sàng lọc theo thời gian thực để đánh dấu các khoản tiền gửi từ địa chỉ nằm trong danh sách đen. Với các tổ chức nắm giữ số dư lớn trên những nền tảng tập trung, sự việc càng củng cố lý do cần xác thực đa yếu tố, thời gian chờ khi rút tiền và phân chia hoạt động lưu ký giữa các nhà cung cấp. Tỷ lệ chính xác giữa hai stablecoin trong tổng số tiền bị đánh cắp vẫn chưa được công bố. Sự kiện này cũng diễn ra khi chính đơn vị phát hành USDC đang trong quá trình cải tổ: Circle đã lên lịch tạm dừng CCTP V1, cầu nối USDC đời cũ, vào ngày 1 tháng 12; bản xem trước kết quả kinh doanh quý 3 của Circle (CRCL) từ COINOTAG dự báo EPS ở mức 0,40 cùng với mức tăng trưởng của USDC; và một số liệu gần đây trong bảy ngày cho thấy lượng USDC lưu hành giảm 800 triệu. Công cụ của đơn vị phát hành đang được xây dựng lại đúng lúc những kẻ trộm cho thấy có thể lách qua chúng nhanh đến mức nào.

Một khoản thất thoát chưa được xác nhận, một thủ phạm chưa rõ danh tính

Cơ sở bằng chứng ở đây chính là dữ liệu trên chuỗi: các địa chỉ đã được công bố, lộ trình chuyển tiền qua các địa chỉ trung gian đã được ghi nhận, tổng số tiền đã được nêu, nhưng thực thể được cho là đã mất tiền vẫn chưa xác nhận sự việc. Theo nhận định của chúng tôi, điểm xâm nhập nhiều khả năng nằm ở cấp tài khoản chứ không phải do lỗ hổng giao thức; các biện pháp khắc phục tiếp theo tuy không hào nhoáng nhưng cần thiết: đổi thông tin xác thực, kiểm tra danh sách trắng và thiết lập cơ chế đóng băng đã được đánh dấu trước để thực thi trong vài phút, bởi việc chuyển đổi sang Ether và Monero nhanh chóng nằm ngoài tầm với của đơn vị phát hành. Hành vi đánh cắp tài khoản tại các nền tảng tập trung cũng nằm ngoài phạm vi bảo hiểm của hầu hết các gói bảo hiểm DeFi, vốn được thiết kế để bảo vệ trước các vụ khai thác lỗ hổng giao thức trên chuỗi chứ không phải thông tin xác thực bị xâm phạm. Hiện tại, vụ việc vẫn chưa khép lại: thủ phạm chưa được xác định, dấu vết đi qua Monero và các cầu nối, còn cả nạn nhân lẫn con số thiệt hại đều chưa được xác nhận độc lập.