Dữ liệu theo dõi blockchain cho thấy nhóm đứng sau vụ tấn công quy mô lớn vào Binance năm 2026 vẫn tiếp tục chuyển và quy đổi phần lớn số tiền thu được liên quan đến Solana đã đánh cắp, trong khi các dòng tiền rửa ngày càng được luân chuyển qua giao thức hoán đổi xuyên chuỗi THORChain.

Theo dữ liệu Arkham được dẫn trong các bản tin, các ví liên quan đến nhóm “tin tặc Binance” hiện nắm giữ 182,443 SOL (khoảng 16,9 triệu đô la), và nhóm đối tượng tấn công rộng hơn đã chuyển khoảng 81% trong tổng số 970,522 SOL được cho là đã bị đánh cắp trong vụ khai thác lỗ hổng—một lượng tiền có liên quan đến ít nhất một phần của quy trình rửa tiền mà các nhà điều tra mô tả.

Những điểm chính

• Các cụm ví được Arkham cho là có liên quan đến vụ tấn công Binance đang nắm giữ 182.443 SOL, trị giá khoảng 16,9 triệu USD.

• Dữ liệu theo dõi được Lookonchain trích dẫn cho thấy những kẻ tấn công đã thực hiện các bước chuyển đổi nâng cao, bao gồm SOL → USDC → chuyển cầu nối sang Ethereum → ETH → BTC qua THORChain.

• THORChain nối lại giao dịch hoán đổi trên nhiều mạng sau khi tạm dừng do việc tái tổ chức khối Ethereum làm lộ ra lỗi hoàn tiền.

• Chainalysis cho biết việc tạm dừng đã vô tình trì hoãn hoạt động rửa tiền, trong khi các nhà phân tích on-chain khác ước tính phần lớn các giao dịch liên quan đã được tự động hóa.

• Nhà chức trách quy trách nhiệm vụ tấn công cho các đối tượng có liên hệ với Triều Tiên, điều mà giới chức Triều Tiên phủ nhận, trong khi các điều tra viên tiếp tục theo dõi vai trò của THORChain trong hoạt động rửa tiền từ những vụ xâm nhập lớn khác.

Tài sản của kẻ tấn công và “chuỗi chuyển đổi”

Các mô hình dịch chuyển mới nhất xuất hiện trong bối cảnh các nhà nghiên cứu lập bản đồ cách tài sản bị đánh cắp được chia nhỏ vào nhiều ví, chuyển đổi và luân chuyển qua các chuỗi. Theo dẫn chiếu trong báo cáo, hoạt động giám sát ở cấp thực thể của Arkham liên kết một cụm ví với vụ khai thác lỗ hổng Binance và xác định số SOL chúng nắm giữ là 182.443 SOL—tương đương khoảng 18,8% trong tổng số 970.522 SOL được cho là liên quan đến vụ tấn công.

Trong bản cập nhật hôm thứ Tư, Lookonchain mô tả lộ trình nhiều bước mà những kẻ tấn công đã sử dụng: SOL được phân tán qua nhiều ví, sau đó bán đổi lấy USDC; tiếp đó, số tiền thu được bằng stablecoin được chuyển cầu nối sang Ethereum để mua ether (ETH). Bước cuối cùng được mô tả là hoán đổi ETH lấy bitcoin (BTC) thông qua THORChain, một sàn giao dịch xuyên chuỗi được thiết kế để cho phép chuyển đổi tài sản mà không cần dựa vào sổ lệnh tập trung truyền thống.

Đối với nhà đầu tư và nhà giao dịch, những chi tiết này quan trọng vì chúng cho thấy tin tặc có thể chuyển một lượng tiền mã hóa lớn, biến động mạnh thành nhiều dạng tài sản có tính thanh khoản trên các hệ sinh thái khác nhau như thế nào—thường là trước khi lực lượng phòng vệ kịp phản ứng hoặc đóng băng tiền. Điều này cũng giúp lý giải vì sao các tuyến thanh khoản xuyên chuỗi như THORChain thường trở thành trọng tâm giám sát trong các sự cố lớn.

Chi tiết vụ xâm nhập Binance và cuộc truy tìm thủ phạm

Binance tiết lộ hệ thống của họ đã bị xâm nhập sau khi kẻ tấn công dùng chiêu dụ phỏng vấn xin việc giả và phần mềm độc hại để chiếm quyền truy cập vào thiết bị của nhân viên. Sàn giao dịch mô tả sự cố này là vụ tấn công lớn nhất từ trước đến nay, đồng thời cho biết sau đó họ đã bù đắp 98% số token bị ảnh hưởng và sẽ chịu phần tổn thất còn lại.

Về phía điều tra, hôm thứ Bảy, Cục Điều tra Liên bang Hoa Kỳ (FBI) quy trách nhiệm vụ tấn công cho nhóm tin tặc TraderTraitor của Triều Tiên, đồng thời kêu gọi các nhà cung cấp dịch vụ tiền mã hóa—nêu đích danh cả các đơn vị vận hành THORNode—chặn những giao dịch có liên quan đến tài sản bị đánh cắp.

Triều Tiên nhanh chóng đáp trả. Kim Yo Jong, em gái của nhà lãnh đạo Triều Tiên Kim Jong Un, bác bỏ cáo buộc của FBI là “những lời lẽ nực cười”, theo bài đưa tin được dẫn trong nguồn.

Tranh cãi về việc quy trách nhiệm không phải là chuyện hiếm trong các vụ tấn công mạng, nhưng điểm đáng chú ý ở đây là tính cụ thể trong hoạt động: các cơ quan quản lý và điều tra đã thúc đẩy việc chặn giao dịch có mục tiêu trên một số phần của hạ tầng xuyên chuỗi, cho thấy nhà chức trách tin rằng tuyến rửa tiền không chỉ là hệ quả tình cờ.

Việc THORChain tạm dừng hoán đổi và lý do hoạt động rửa tiền chậm lại (rồi tiếp tục)

Khả năng xử lý giao dịch hoán đổi của THORChain trở thành một phần của câu chuyện sau khi dịch vụ tạm dừng rồi được khôi phục. Bài đưa tin trước đó được trích dẫn trong báo cáo cho biết THORChain đã ngừng giao dịch Bitcoin, Ethereum và các chuỗi khác sau một sự cố liên quan đến Ethereum: việc tái tổ chức khối làm lộ ra lỗi hoàn tiền.

Khi THORChain nối lại giao dịch vào thứ Tư, việc khôi phục dịch vụ cho phép các giao dịch hoán đổi xuyên chuỗi tiếp tục trên nhiều mạng. Theo dẫn chiếu trong báo cáo, Chainalysis cho biết việc tạm dừng đã vô tình trì hoãn hoạt động rửa tiền liên quan đến những kẻ tấn công Binance—một điểm thực tiễn quan trọng. Ngay cả khi tin tặc chuẩn bị các kế hoạch nhiều bước, việc tạm dừng hoạt động trên những tuyến mà chúng dựa vào có thể giúp kéo dài thời gian cho công tác giám sát, phối hợp và áp dụng các biện pháp kiểm soát rủi ro tiềm năng.

Song song đó, các nhà phân tích tìm cách định lượng phương thức thực hiện của những kẻ tấn công. SomaXBT ước tính khoảng 54% trong hơn 47.600 giao dịch của chúng trên Tron và Solana được tự động hóa, cho thấy nhiều khả năng chúng dùng các kịch bản tự động để hoán đổi và phân tán tiền, thay vì chỉ chuyển tiền thủ công.

Các tuyến rửa tiền mở rộng và những điều cần theo dõi tiếp theo

Mô hình rửa tiền được báo cáo cũng cho thấy sự linh hoạt về địa lý và chuỗi. Theo thông tin đưa ra, những kẻ tấn công Binance đã mở rộng hoạt động sang Solana vào Chủ nhật sau khi rút gần hết tiền khỏi các ví lưu trữ tạm thời trên Tron. Chainalysis ước tính tổng giá trị khoảng 500 triệu USD đã được luân chuyển qua Tron, bao gồm nhiều lần chuyển giữa các ví—hành vi phù hợp với nỗ lực che giấu nguồn gốc tiền bằng cách di chuyển nhanh và lặp đi lặp lại.

Báo cáo cũng đặt THORChain trong bối cảnh rộng hơn của hoạt động rửa tiền dai dẳng. Các nhóm tin tặc có liên hệ với Triều Tiên bị nghi đã sử dụng THORChain để rửa tiền thu được từ những vụ tấn công lớn khác, trong đó có vụ tấn công Bybit trị giá 1,4 tỷ USD được đề cập trong nguồn.

Đối với độc giả, câu hỏi quan trọng chưa có lời giải là liệu nhà chức trách có thể ngăn chặn hiệu quả quy trình rửa tiền mà không cản trở việc sử dụng xuyên chuỗi hợp pháp hay không. Những điểm cần theo dõi trước mắt là (1) liệu việc chuyển đổi tài sản bị đánh cắp có tiếp tục dịch chuyển sang các nền tảng thanh khoản khác hay không, và (2) các biện pháp kiểm soát vận hành cùng công cụ giám sát có thể xác định và ngăn chặn việc tái sử dụng những tuyến xuyên chuỗi tương tự nhanh đến mức nào.

Bài viết này ban đầu được đăng với tiêu đề Những kẻ tấn công Binance chuyển 81% SOL bị đánh cắp, dùng THORChain để luân chuyển tiền trên Crypto Breaking News – nguồn tin đáng tin cậy của bạn về tin tức tiền mã hóa, Bitcoin và cập nhật blockchain.