Trong báo cáo công bố hôm qua (9/11), công ty phân tích blockchain Elliptic cho biết vụ tin tặc Binance xảy ra vào cuối tháng 10, khiến khoảng 6,4 tỷ USD tài sản tiền mã hóa bị đánh cắp, đã áp dụng một thủ đoạn rửa tiền khá mới: những kẻ rửa tiền Triều Tiên tự phát hành memecoin hầu như không có người mua, rồi chuyển tiền đánh cắp thông qua các bể thanh khoản.
Tin tặc Triều Tiên tự tạo memecoin để tiền đánh cắp không phải chuyển trực tiếp qua tay người khác
Elliptic cho biết những memecoin này chỉ được dùng một lần, giá do chính kẻ rửa tiền quyết định và hầu như không có người ngoài mua. Các bước rửa tiền tiếp theo như sau:
Trong quá trình này, trước tiên họ sử dụng công cụ phát hành token công khai để tạo token mới, ghép cặp với tài sản thực như NEAR hoặc stablecoin, rồi mở bể thanh khoản trên sàn giao dịch phi tập trung.
Một nhóm ví dùng tiền bất chính mua token, nhóm ví khác lại bán token vào cùng một pool rồi rút tài sản thực.
Vì vậy, tiền bất chính không được chuyển trực tiếp từ ví mua sang ví nhận. Ví nhận trông giống như ví của một nhà giao dịch thông thường kiếm lời từ việc bán coin.
Elliptic cho biết mỗi ngày có rất nhiều meme coin ra đời, phần lớn nhanh chóng bị lãng quên. Thêm một token tồn tại ngắn ngủi cũng khó gây chú ý, còn những ví từng giao dịch meme coin dễ bị xem là ví của các nhà đầu cơ.
Liên tiếp xuất hiện từ TRON đến NEAR
Elliptic cho biết thủ đoạn này lần đầu xuất hiện trong vụ tin tặc Bybit năm 2025. Khi đó, những kẻ rửa tiền phát hành token vô giá trị trên blockchain TRON và chuyển đi ít nhất 24 triệu USD. Vụ việc này và vụ Binance lần này đều được quy cho TraderTraitor (nhóm này được cho là trực thuộc Lazarus Group).
Ngày 2 tháng 11, một token tương tự cũng được phát hiện trên blockchain TRON. Đến ngày 3 tháng 11, SOL bị đánh cắp được đổi lấy một token có sẵn nhưng ít được giao dịch, với cùng mục đích.
Các giao dịch trên blockchain NEAR cũng ghi lại đầy đủ hoạt động của những kẻ rửa tiền Triều Tiên.
Elliptic thống kê rằng từ ngày 5 đến ngày 7 tháng 11, có ít nhất 6 meme coin xuất hiện: FUK, OLCCL, MEILI, MMLI, DABI và SINU. Mỗi coin tốn khoảng 90 USD để tạo. Các ví mua vào nhận tổng cộng khoảng 117.000 NEAR tiền bất chính, tương đương khoảng 430.000 USD. Sau đó, gần như toàn bộ số tiền tương ứng rời khỏi các ví nhận; phần lớn được đổi sang stablecoin hoặc chuyển vào cầu nối xuyên chuỗi.
Elliptic cho rằng các token này được tạo ra nhằm mục đích rửa tiền, vì tất cả giao dịch bán và phần lớn giao dịch mua đều xuất phát từ các ví thuộc mạng lưới rửa tiền; mỗi token đều được bán trong vòng 3 giờ kể từ khi ra mắt.
Dấu vết rửa tiền vẫn có thể lần theo, các doanh nghiệp cần xem xét lại
Elliptic chỉ ra rằng mọi bước đều được ghi lại trên blockchain. Thủ đoạn này chỉ khiến quá trình điều tra chậm hơn, chứ dấu vết dòng tiền vẫn có thể lần theo.
Tiền bất chính đi qua token và pool thanh khoản, vòng vèo thêm vài bước. Điều tra viên phải lần lượt tháo gỡ từng lớp mới xác định được tiền trong ví nhận thực chất có nguồn gốc từ tài sản bị đánh cắp. Rửa tiền là cuộc chạy đua với thời gian: nếu tiền được chuyển đi trước khi bị đánh dấu là tiền bất chính thì việc quy đổi thành tiền mặt sẽ dễ hơn. Vì vậy, việc làm chậm quá trình truy vết có lợi cho những kẻ rửa tiền.
Hiện số tiền luân chuyển qua meme coin còn hạn chế, nhưng khoảng 11,8 triệu NEAR bị đánh cắp (tương đương khoảng 43,7 triệu USD) vẫn chưa được di chuyển. Với tin tặc, thủ đoạn này có chi phí rất thấp và có thể xử lý số tiền lớn hơn.
Elliptic khuyến nghị các nhóm tuân thủ không nên mặc định rằng tiền đến từ pool thanh khoản là sạch, đặc biệt khi có liên quan đến token mới được tạo. Những dấu hiệu cảnh báo cần chú ý gồm chỉ có một số ít ví giao dịch trong pool, và ví mới nhận tiền không lâu trước khi giao dịch. Các doanh nghiệp cũng có thể đối chiếu với danh sách đen các địa chỉ liên quan đến vụ tin tặc Binance do công ty công bố, đồng thời rà soát lại số tiền đã nhận khi danh sách được cập nhật.
Báo cáo cũng chỉ ra rằng những kẻ rửa tiền Triều Tiên thường kết hợp nhiều kỹ thuật chi phí thấp; tự tạo meme coin chỉ là một phần trong số đó.
Ngoài ra, dù FBI và nhiều công ty an ninh mạng Mỹ đều xác định vụ tin tặc Binance có liên quan đến một nhóm tin tặc do Triều Tiên nuôi dưỡng, Kim Yo-jong, em gái lãnh đạo Triều Tiên Kim Jong-un và là quan chức cấp cao của Đảng Lao động, đã phủ nhận điều này. Bà nhấn mạnh rằng nếu Mỹ không từ bỏ chính sách thù địch với Triều Tiên, Bình Nhưỡng không có lý do gì phải ngồi vào bàn đàm phán với Mỹ.
Đọc thêm:
Theo dấu hoạt động rửa tiền của tin tặc Binance: cứ 25 giây tạo một ví mới, đi qua 11 blockchain, chưa có bằng chứng AI tham gia
Giải mã thủ đoạn rửa tiền của tin tặc Binance: xuất hiện mô hình chưa từng thấy, từng bán tháo token trị giá 5 triệu USD nhưng chỉ đổi được 71 USD
Bài viết “Tin tặc Triều Tiên đánh cắp 6,4 tỷ USD từ Binance, rửa tiền bằng cách phát hành meme coin chẳng ai quan tâm; 6 đồng coin này đều là công cụ gây án” được đăng lần đầu trên “Crypto City”.