Tin tặc Triều Tiên đã tìm ra cách sử dụng mới cho các đồng meme vô giá trị: chuyển tiền mã hóa bị đánh cắp mà không liên kết trực tiếp ví chứa chiến lợi phẩm với ví nhận tiền. Trong vụ tấn công Binance trị giá 6,3 tỷ USD, khoảng 430.000 USD tiền NEAR bị đánh cắp đã đi qua sáu token tự tạo.

Dưới đây là cách tin tặc sử dụng phương thức này để rửa tiền mã hóa — một thủ đoạn chúng cũng từng dùng trước đây, trong đó có vụ tấn công Bybit.

Triều Tiên có cách mới để rửa tiền mã hóa bị đánh cắp

Công ty phân tích blockchain Elliptic cho biết TraderTraitor, một nhóm tin tặc Triều Tiên có liên hệ với Lazarus Group, đang sử dụng các đồng meme tồn tại trong thời gian ngắn để chuyển tiền mã hóa bị đánh cắp và che giấu dấu vết. Nhóm này hiện đang dùng phương thức đó để rửa một phần trong số 6,3 tỷ USD bị đánh cắp trong vụ tấn công Binance ngày 29 tháng 10 năm 2026.

Những kẻ rửa tiền của Triều Tiên đang tạo ra các meme coin của riêng mình để chuyển số tiền đánh cắp từ Binance.

Từ ngày 5 đến ngày 7 tháng 11, chúng đã phát hành ít nhất sáu token trên NEAR, được trang trí bằng logo meme coin như một con khỉ đeo nơ hồng và một con vịt trước lá cờ Mỹ. NEAR bị đánh cắp đã…

— Elliptic (@elliptic) November 9, 2026

Từ ngày 5 đến ngày 7 tháng 11, các tin tặc đã tạo sáu token trên blockchain NEAR, gồm FUK, OLCCL, MEILI, MMLI, DABI và SINU. Chi phí tạo mỗi token chỉ là 25 NEAR, tương đương khoảng 90 USD.

Sau đó, chúng ghép các token với NEAR trong các bể thanh khoản trên một sàn giao dịch phi tập trung. Khoảng 117.000 NEAR, trị giá khoảng 430.000 USD, đã được luân chuyển qua các token này. Một phần số tiền sau đó được chuyển đổi thành stablecoin hoặc chuyển sang các blockchain khác.

Điểm khiến hoạt động này đáng chú ý là gần như toàn bộ giao dịch đều đến từ các ví có liên hệ với tin tặc. Giao dịch cũng dừng lại ngay sau khi các token hoàn thành mục đích. Điều này cho thấy các token được tạo ra đặc biệt để chuyển tiền bị đánh cắp, chứ không phải để xây dựng các dự án meme coin thông thường.

Chiến lược meme coin bốn bước của Triều Tiên

Bước 1: Tạo một token vô giá trị

Tin tặc tạo một meme coin mới bằng công cụ tạo token công khai. Chi phí phát hành mỗi token chỉ là một lượng NEAR nhỏ.

Bước 2: Tạo một bể thanh khoản

Chúng ghép token mới tạo với một loại tiền mã hóa thật trên sàn giao dịch phi tập trung.

Bước 3: Giao dịch tiền mã hóa bị đánh cắp thông qua token

Một ví chứa tiền mã hóa bị đánh cắp mua meme token mới tạo, trong khi một ví khác bán token đó trở lại thông qua chính bể thanh khoản ấy.

Bước 4: Chuyển số tiền thu hồi được

Ví nhận sẽ nhận lại loại tiền mã hóa ban đầu, sau đó có thể đổi sang stablecoin hoặc chuyển qua các blockchain khác nhau.

Vì sao chiến lược này khiến việc truy vết tiền mã hóa khó hơn

Kỹ thuật này không khiến số tiền bị đánh cắp trở nên vô hình. Mọi giao dịch vẫn được ghi lại trên chuỗi, giúp các điều tra viên lần theo dòng tiền. Tuy nhiên, mỗi lần hoán đổi bổ sung lại khiến các điều tra viên phải tốn thêm công sức

Triều Tiên từng sử dụng cách tiếp cận tương tự. Sau vụ tấn công Bybit năm 2025, Elliptic xác định ít nhất 24 triệu USD đã được luân chuyển qua một token vô giá trị được tạo trên Tron.

Ngay cả vụ Binance cũng cho thấy các tin tặc có liên hệ với Triều Tiên đang sử dụng những phương thức chi phí thấp trên Tron, Solana và NEAR để chuyển tiền bị đánh cắp và khiến các cuộc điều tra trở nên khó khăn hơn.