Trong gần một thập kỷ, tội phạm mạng Triều Tiên đã nhắm mục tiêu vào ngành công nghiệp tiền điện tử lớn và nhỏ. Mặc dù các vụ hack này diễn ra thường xuyên, nhưng các tin tặc của quốc gia này được cho là đã thực hiện vụ trộm lớn nhất cho đến nay vào tuần trước khi 6,34 tỷ USD đã bị rút khỏi ví của sàn giao dịch tiền điện tử Binance.

Trong bản cập nhật bảo mật mới được phát hành vào thứ Ba, Binance đã nêu chi tiết những phát hiện ban đầu về cách công ty bị xâm phạm và tin tặc có thể đánh cắp hàng tỷ USD chỉ trong 20 phút. Vụ hack, theo Binance, là kết quả của việc một kỹ sư tham gia một cuộc phỏng vấn việc làm giả và tải xuống phần mềm độc hại. Sau đó, tin tặc có thể di chuyển qua mạng của công ty, khai thác công cụ AI nội bộ và có quyền truy cập vào dịch vụ ký ví cho phép chúng thực hiện các giao dịch ngoài thủ tục rút tiền thông thường.

“Điều này lẽ ra không nên xảy ra và chúng tôi xin lỗi vì mối lo ngại, sự gián đoạn và sự không chắc chắn mà nó đã gây ra cho người dùng, đối tác của chúng tôi và toàn ngành,” Binance viết trong bản cập nhật bảo mật của mình, đồng thời cho biết họ đã dành tiền để bù đắp tổn thất và đã “xây dựng lại hoặc thay thế” các hệ thống nội bộ bị ảnh hưởng trong cuộc tấn công. Công ty cho biết: “Đó không phải là một vi phạm đơn lẻ hay một sự cố lừa đảo đơn giản”.

Mặc dù hơn 6 tỷ USD đã bị đánh cắp từ tài khoản Binance, nhưng gần một nửa trong số này—trong trường hợp có thể làm như vậy—đã bị đóng băng bởi các bộ phận trong ngành tiền điện tử, có nghĩa là tin tặc không thể truy cập vào tiền. Tuy nhiên, điều đó vẫn khiến hàng tỷ USD bị kiểm soát bởi tin tặc Triều Tiên, những kẻ đang cố gắng rửa số tiền bị đánh cắp thành một hình thức có thể truy cập và rút tiền mặt. Quá trình đó có thể mất vài tháng.

Phân tích của Binance cho biết vụ hack là kết quả của nhiều tháng làm việc của tin tặc, với cuộc tấn công cuối cùng diễn ra vào ngày 29 tháng 10. Ngay sau khi tiền bắt đầu được chuyển từ ví nóng của Binance, qua hơn 10 blockchain khác nhau, nhiều công ty truy tìm tiền điện tử đã quy kết các cuộc tấn công là do tin tặc Cộng hòa Dân chủ Nhân dân Triều Tiên (DPRK), đặc biệt là nhóm TraderTraitor tinh vi trước đây đã đánh cắp hơn 1,5 tỷ USD trong một vụ hack riêng vào năm ngoái. FBI đã nhanh chóng liên kết TraderTraitor với vụ hack Binance vào ngày 31 tháng 10.

Rafe Pilling, giám đốc cấp cao về tình báo mối đe dọa tại công ty bảo mật Sophos, cho biết: “Tài khoản của Binance phù hợp với những gì chúng tôi biết về chiến lược TraderTraitor”. "Những kẻ tấn công không chỉ đơn giản là đánh cắp chìa khóa ví. Chúng còn xâm phạm các kỹ sư, sử dụng quyền truy cập đó để hiểu và di chuyển trong môi trường, cuối cùng phá hủy các hệ thống được sử dụng để ủy quyền giao dịch."

Binance không đổ lỗi trực tiếp cho chính các hacker TraderTraitor; tuy nhiên, công ty chỉ ra sự quy kết của FBI đối với Triều Tiên và thừa nhận tội phạm mạng của DPRK đã nhắm mục tiêu trước đó. “Trong suốt năm 2026, nhóm bảo mật của Binance đã phát hiện và ngăn chặn 57 trường hợp đe dọa mạng bị nghi ngờ có liên quan đến Triều Tiên,” bản cập nhật của công ty cho biết.

Binance cho biết hoạt động liên quan đến vụ hack trước tiên có thể được bắt nguồn từ tháng 6 năm nay. Vào thời điểm đó, bản cập nhật của nó cho biết, một kỹ sư mà công ty gọi là Kỹ sư A đã tải xuống “bản cài đặt Homebrew giả mạo” mà họ tìm thấy trên mạng. Mặc dù công ty cho biết việc này đã được phát hiện và xử lý nhưng thông tin về nhân viên này sau đó đã bị “tiết lộ cho hacker”.

Vào đầu tháng 9, Binance cho biết một kỹ sư phần mềm khác, chỉ được xác định là Kỹ sư B, đã được liên hệ trên “một nền tảng tìm việc hợp pháp” và sau đó tham dự một cuộc phỏng vấn video, trong đó nhà tuyển dụng giả mạo chia sẻ các tài khoản mạng xã hội và ảnh cá nhân trông có vẻ hợp pháp để khiến chúng trông có vẻ thật. Không có gì đáng ngạc nhiên khi kỹ sư của Binance tiến tới cuộc phỏng vấn vòng hai được thực hiện bằng cách sử dụng tính năng trò chuyện trực tuyến. Báo cáo của Binance cho biết: “Gần cuối cuộc phỏng vấn, Kỹ sư B được hướng dẫn tải một ‘bài tập’ chứa kho lưu trữ mã độc về máy tính làm việc của anh ấy”.

Công ty viết: “Phần mềm độc hại sử dụng các kỹ thuật che giấu và lẩn tránh phức tạp, bao gồm thay thế thành phần công cụ phát triển hợp pháp bằng phiên bản độc hại để thực thi lệnh và thiết lập liên lạc với máy chủ bên ngoài do kẻ tấn công kiểm soát”. Nó cho biết thêm rằng tin tặc đã thực hiện các bước để che giấu hoạt động của chúng, một thực tế phổ biến.

Binance cho biết, vào cuối tháng 10, hơn một tuần trước vụ hack, những kẻ tấn công đã sử dụng quyền truy cập vào máy của kỹ sư này để “giành quyền kiểm soát” ví của Kỹ sư A, người đã bị xâm phạm vài tháng trước đó và “một Kỹ sư phần mềm Ví khác C”. Sau đó, vào ngày 29 tháng 10, Binance cho biết, những kẻ tấn công đã đăng nhập vào máy tính của một nhân viên khác, Kỹ sư phần mềm C và sử dụng thông tin đăng nhập bị đánh cắp trước khi phát động cuộc tấn công. Vào buổi tối xảy ra vụ trộm, theo Binance, cuộc tấn công diễn ra nhanh chóng. Công ty viết: “Kẻ tấn công đã khai thác quyền truy cập trái phép vào dịch vụ ký ví nội bộ để bắt đầu các giao dịch ngoài quy trình rút tiền thông thường”.

Sophos's Pilling cho biết TraderTraitor “xuất sắc” trong các cuộc tấn công của mình thông qua việc lập kế hoạch chi tiết và có thể hiểu cách thức hoạt động của các dịch vụ của những kẻ mà nó hack. “Sự thỏa hiệp ban đầu chỉ là một chỗ đứng,” ông nói. “Cuộc tấn công thực sự được thiết kế cẩn thận xoay quanh cách nạn nhân thực sự chuyển tiền.”

Trong khi Binance cho biết những phát hiện của họ chỉ là bước đầu trong cuộc điều tra, các chuyên gia bảo mật và truy tìm tiền điện tử nói rằng các tin tặc đang thực hiện nỗ lực rửa tiền và rút tiền điện tử bị đánh cắp. Kể từ đầu năm 2017, theo phân tích của TRM Labs, các tin tặc có liên quan đến Triều Tiên đã đánh cắp khoảng 12 tỷ USD tiền điện tử – với hơn một nửa trong số đó đến từ các vụ trộm trong năm nay.

Bất chấp những khoản tiền khổng lồ, vẫn chưa rõ số tiền này sẽ được chuyển về Triều Tiên bao nhiêu. Như trong trường hợp của Binance, một số loại tiền điện tử có thể bị đóng băng và không thể truy cập được, trong khi các giao dịch khác có thể bị chặn bởi một số sàn giao dịch tiền điện tử. Công ty truy tìm tiền điện tử Elliptic cho biết hoạt động rửa tiền từ vụ tấn công Binance là “rất phức tạp” và có khả năng được tự động hóa. “Trong ba ngày rưỡi đầu tiên, nó đã sử dụng khoảng 12.000 ví trên 11 chuỗi khối, cứ khoảng 25 giây lại có một ví mới và hơn 40.000 giao dịch,” đồng sáng lập Elliptic và nhà khoa học trưởng Tom Robinson viết trong một bài đăng trên blog.

Theo một báo cáo được công bố năm ngoái từ Nhóm giám sát trừng phạt đa phương, bao gồm các chuyên gia từ Hoa Kỳ, Hàn Quốc và 9 quốc gia khác, nếu số tiền này có thể được rửa thành công, có khả năng nó sẽ được chuyển thành tiền mặt và được sử dụng để thúc đẩy sự phát triển chương trình vũ khí hạt nhân và hệ thống tên lửa đạn đạo của Triều Tiên. “Họ phụ thuộc rất nhiều vào ngân hàng ngầm Trung Quốc và các tổ chức hỗ trợ có trụ sở tại Trung Quốc, mặc dù đôi khi họ cũng phụ thuộc vào các tổ chức hỗ trợ ở các quốc gia khác”.

Bình luận

Quay lại đầu trang