FBI chỉ đích danh TraderTraitor

FBI xác định các tin tặc được nhà nước Triều Tiên hậu thuẫn là thủ phạm đứng sau vụ đánh cắp tài sản số lớn nhất từng được ghi nhận, đồng thời đặt tên chiến dịch là TraderTraitor vào ngày 31 tháng 10, hai ngày sau khi khoảng 6,34 tỷ USD rời khỏi các ví của Binance mà không được phép. Bản công bố sự cố của chính sàn giao dịch, được phát hành dưới dạng báo cáo điều tra sơ bộ, mô tả một vụ xâm nhập diễn ra qua nhiều giai đoạn từ tháng 6 đến cuối tháng 10. Theo Binance, chuỗi sự việc bắt đầu vào tháng 6, khi một kỹ sư phần mềm cố cài đặt một công cụ lập trình AI và trong quá trình đó đã tải xuống một trình cài đặt Homebrew bị cài mã độc Trojan. Công ty phát hiện bất thường, thu hồi máy tính và thay đổi thông tin xác thực liên quan. Kẻ tấn công vẫn tiếp tục nhắm vào mục tiêu. Vào tháng 9, một kỹ sư có lý lịch làm việc tại Binance hiển thị trên một nền tảng tuyển dụng đã nhận được lời mời tuyển dụng từ một quản lý tuyển dụng giả mạo, tham gia phỏng vấn qua video và được giao một nhiệm vụ phát triển có chứa mã độc ẩn trong tệp. Theo sàn giao dịch, đến ngày 20 tháng 10, kẻ xâm nhập đã sử dụng máy trạm bị lây nhiễm và các công cụ AI nội bộ để chiếm quyền truy cập của nhân viên vận hành ví, đồng thời xác định được mã thông báo truy cập của một nhân viên có quyền triển khai container. Ngày 29 tháng 10, thông tin xác thực bị đánh cắp được dùng để truy cập máy tính của một nhân viên khác, triển khai một container và chạy tập lệnh độc hại. Sau đó, hệ thống ký giao dịch ví nội bộ bị xâm nhập và các giao dịch được phê duyệt ngoài quy trình rút tiền tiêu chuẩn. Binance ước tính tài sản bị ảnh hưởng trị giá khoảng 6,34 tỷ USD và cho biết công ty sẽ tự gánh khoản lỗ thay vì chuyển sang người dùng. Công ty cũng xây dựng lại các hệ thống ví và công cụ AI nội bộ nằm trên đường tấn công của tin tặc. Trước đó, FBI từng dùng tên TraderTraitor để gọi vụ đánh cắp 1,5 tỷ USD của Bybit vào năm 2025. Điều đó khiến khoản lỗ của Binance trở thành vụ thứ hai được quy cho cùng một nhóm và, với quy mô lớn hơn Bybit hơn bốn lần, là vụ đánh cắp đơn lẻ lớn nhất trong lịch sử lĩnh vực này.

Từ Cao đẳng Mirim đến Ronin Bridge

Năng lực đứng sau vụ xâm nhập không thể hình thành chỉ sau một đêm. Triều Tiên bắt đầu tuyển chọn những học sinh có năng khiếu toán học và khoa học để phục vụ các hoạt động mạng từ thập niên 1980, nhiều thập kỷ trước khi Bitcoin ra đời. Một luận văn năm 2004 của Trường Sau đại học Hải quân Hoa Kỳ ghi nhận Học viện Mirim được thành lập năm 1984 và trở thành Cao đẳng Mirim hệ năm năm vào năm 1986, tuyển những học sinh tốt nghiệp trung học có thành tích cao và các quân nhân đang tại ngũ để học máy tính, lập trình và tác chiến điện tử. Công ty bảo mật DTEX cho biết học sinh Trường Trung học cơ sở Geumseong số 1 được học khoảng 1.660 giờ về máy tính trong sáu năm, bao gồm Linux, C và C++, Windows, mạng máy tính và AI; những học sinh tốt nghiệp xuất sắc nhất sẽ tiếp tục học tại Đại học Kim Nhật Thành hoặc Đại học Công nghệ Kim Chaek. Tính đến năm 2024, quân đội Hàn Quốc ước tính lực lượng tác chiến mạng của Triều Tiên có khoảng 8.400 người, gồm cả tin tặc và nhân viên hỗ trợ. Các chiến dịch ban đầu nhắm vào hoạt động tình báo và phá hoại, chứ không phải kiếm tiền. Bộ Tư pháp Hoa Kỳ đã liên hệ các tác nhân có liên quan đến Triều Tiên với vụ tấn công mạng Sony Pictures năm 2014, vụ đánh cắp 81 triệu USD khỏi hệ thống thanh toán kết nối SWIFT của Ngân hàng Bangladesh năm 2016, và làn sóng mã độc tống tiền WannaCry năm 2017. Tài sản số sau đó đem lại một lợi thế mà hệ thống ngân hàng không có: giá trị có thể vượt biên giới ngay khi ví trên sàn giao dịch hoặc quyền chuyển tiền bị chiếm đoạt. FBI quy trách nhiệm vụ đánh cắp khoảng 620 triệu USD năm 2022 từ Ronin Bridge của trò chơi Axie Infinity cho Lazarus và APT38, còn vụ xâm nhập Bybit trị giá 1,5 tỷ USD năm 2025 được cho là do TraderTraitor thực hiện. Một kênh thứ ba là việc làm. Bộ Tư pháp cho biết năm 2025 rằng những người lao động có liên hệ với Triều Tiên đã nhận việc làm từ xa tại hơn 100 công ty Hoa Kỳ bằng danh tính giả hoặc bị đánh cắp, nhận lương và trong một số trường hợp còn tiếp cận được dữ liệu nhạy cảm. Một báo cáo năm 2025 của Nhóm Giám sát Trừng phạt Đa phương kết luận rằng số tiền bị đánh cắp trong vụ Bybit có thể đã được chuyển đổi hoàn toàn thành tiền mặt vào tháng 9 năm đó thông qua các nhà môi giới ở Trung Quốc, Nga, Hồng Kông và Campuchia.

Chỉ 1% đến từ lỗ hổng mã nguồn

Các con số lý giải vì sao mục tiêu được lựa chọn như vậy. Theo thống kê của TRM Labs, tổng giá trị tiền mã hóa bị Triều Tiên đánh cắp kể từ năm 2017 vào khoảng 12,8 tỷ USD; riêng năm nay, tính đến tháng 10, con số là 7,4 tỷ USD, tương đương khoảng 85% tổng thiệt hại toàn cầu do các vụ tấn công mạng. Trong 100 vụ tấn công được quy cho nước này, chỉ 13 vụ khai thác lỗ hổng trong mã hợp đồng thông minh, và giá trị bị đánh cắp trong các vụ đó chỉ chiếm khoảng 1%; nếu tính cả Binance, 88% số tiền đến từ việc chiếm đoạt khóa riêng, máy chủ và hệ thống ký giao dịch. Báo cáo điều tra sau sự cố của Binance cho thấy mô hình này diễn ra xuyên suốt từng bước: kẻ tấn công giả danh nhà tuyển dụng, công cụ dành cho nhà phát triển bị cài mã độc, thông tin đăng nhập bị chiếm đoạt, rồi hệ thống ký giao dịch của ví bị tiếp cận từ bên trong. Với người dùng, bài học không chỉ nằm ở việc tự lưu ký tài sản mà còn ở lựa chọn nền tảng giao dịch; vì vậy, khi so sánh các sàn giao dịch tiền mã hóa tốt nhất, cần coi trọng các biện pháp kiểm soát lưu ký không kém gì mức phí.