Các công ty và nhà điều tra tiền điện tử đang chạy đua để đóng băng và truy tìm hàng tỷ đô la tiền kỹ thuật số bị đánh cắp sau vụ trộm tiền điện tử lớn nhất mọi thời đại. Vào thứ Năm, bắt đầu từ khoảng 4 giờ chiều theo giờ ET, tin tặc đã bắt đầu nhanh chóng rút khoảng 6,3 tỷ USD tiền điện tử, trải rộng trên nhiều chuỗi khối, từ ví của sàn giao dịch tiền điện tử Binance.

Sau vụ trộm, Binance gần như ngay lập tức đình chỉ tất cả các khoản tiền gửi và rút tiền từ các dịch vụ của mình như một phần của cuộc điều tra về vụ hack và cho biết họ đang nỗ lực xác định ai đứng sau vụ vi phạm. Công ty, cùng với các công ty tiền điện tử khác, cho biết cho đến nay họ đã có thể đóng băng khoảng một nửa số tiền bị đánh cắp – về cơ bản là ngăn chặn tin tặc chuyển tiền đi xa hơn hoặc cố gắng rút tiền ra. Tuy nhiên, phần lớn số tiền điện tử còn lại có thể không thể bị đóng băng.

Ba công ty truy tìm tiền điện tử đã nhanh chóng liên kết cuộc tấn công có khả năng xảy ra với tin tặc Triều Tiên. Tom Robinson, nhà khoa học trưởng và đồng sáng lập của Elliptic, nói với WIRED: “Chúng tôi nghĩ rằng Triều Tiên có thể phải chịu trách nhiệm. “Nếu Triều Tiên đứng đằng sau, vụ trộm này sẽ gần như tăng gấp đôi mọi thứ mà chế độ này đã đánh cắp bằng tiền điện tử cho đến nay.”

Theo phân tích của công ty truy tìm tiền điện tử TRM Labs, phần lớn số tiền điện tử bị đánh cắp đã bị đánh cắp trong khoảng thời gian khoảng 20 phút vào ngày 29 tháng 10. Theo phân tích của TRM, các ví thuộc về Binance trên ít nhất mười blockchain – bao gồm Ethereum, Bitcoin, Tron và Solana – đã bị rút hết và gửi đến nhiều địa chỉ do một kẻ tấn công kiểm soát. TRM cho biết trong một bài đăng trên blog: “Việc chuẩn bị đã bắt đầu ít nhất 36 giờ trước khi vụ trộm xảy ra. Công ty cho biết một trong những ví của kẻ tấn công đã nhận được ba lần rút tiền nhỏ trong thời gian thử nghiệm, trước khi mở rộng hoạt động sau đó.

TRM cho biết: “Đầu ngày 29 tháng 10, kẻ điều hành đã triển khai đoạn mã đầu tiên cho cuộc tấn công và thử nghiệm nó trên hai ví”. "Cuối ngày hôm đó, nó đã thử nghiệm phiên bản cuối cùng trên ví thứ ba, sau đó chuyển tiền thử nghiệm trở lại chính nó. Bốn giờ sau buổi thử nghiệm đó, mã tương tự đã được cài đặt trên ví nóng Binance." Ví nóng là ví tiền điện tử được kết nối internet và cho phép sàn giao dịch tiền điện tử xử lý việc rút tiền của khách hàng. Các nhà phân tích cho biết số tiền đã bị rút khỏi ví nóng trên các chuỗi khối bị ảnh hưởng.

Cả Binance hoặc các quan chức thực thi pháp luật đều không nêu tên bất kỳ mối liên hệ đáng ngờ nào giữa cuộc tấn công và tin tặc Triều Tiên, nhưng các nhà nghiên cứu cho biết có sự trùng lặp với các cuộc tấn công tiền điện tử trước đó từ TraderTraitor. Trong những năm gần đây, tin tặc Triều Tiên đã nhiều lần nhắm mục tiêu vào các công ty tiền điện tử và đánh cắp hàng trăm triệu USD trong các vụ trộm tiền điện tử. Nhiều nhóm hack của Triều Tiên có thể nhắm mục tiêu vào các công ty trong lĩnh vực này nhưng TraderTraitor đã trở thành chuyên gia, thực hiện các cuộc tấn công không thường xuyên nhưng có quy mô lớn.

Các chiến thuật được sử dụng trong vụ hack dường như bắt chước các phương pháp trước đây được sử dụng bởi một nhóm tin tặc ưu tú của Triều Tiên, được biết đến với cái tên TraderTraitor. Các công ty truy tìm tiền điện tử TRM Labs và Chainalysis đều nói rằng họ tin rằng TraderTraitor có thể đứng sau vụ tấn công, trong khi Robinson cho biết Elliptic chưa liên kết cụ thể nó với nhóm nhưng nhận thấy sự chồng chéo trong hoạt động.

Trong các hoạt động hack rộng khắp của Triều Tiên – thường được thiết kế để kiếm tiền cho chế độ bị trừng phạt và đàn áp cao – TraderTraitor đã nổi bật trong những năm gần đây vì sự tinh vi và nhắm mục tiêu vào các công ty tài chính phi tập trung và tiền điện tử. Năm ngoái, FBI đã chỉ định TraderTraitor chịu trách nhiệm về vụ hack 1,5 tỷ USD nhằm vào sàn giao dịch tiền điện tử Bybit.

Binance đã không trả lời các câu hỏi của WIRED về việc liệu họ có tin rằng tin tặc Triều Tiên đứng sau vụ trộm khổng lồ hay không, chỉ ra một tuyên bố rằng họ sẽ bù đắp mọi thiệt hại từ vụ hack và đang làm việc với các quan chức thực thi pháp luật để xác định ai chịu trách nhiệm.

Công ty cho biết trong một tuyên bố: “Cuộc điều tra ban đầu của chúng tôi cho thấy rằng sự cố bảo mật có thể liên quan đến một máy tính xách tay bị xâm nhập, tuy nhiên, cuộc điều tra sau đó của chúng tôi đã phát hiện ra các điểm vi phạm bổ sung”. “Đây là một cuộc tấn công phức tạp và chúng tôi đang làm tất cả những gì có thể để phối hợp với cơ quan thực thi pháp luật để giải quyết nó.”

Rafe Pilling, giám đốc cấp cao về tình báo mối đe dọa tại công ty bảo mật Sophos, nói với WIRED: “Những người này đặc biệt là những nghệ sĩ trong việc thâm nhập vào các tổ chức tài chính phân tán này”. "TraderTraitor dường như tập trung vào các hoạt động lớn hơn này. Trước đây, họ đã phát triển các ứng dụng giả mạo của riêng mình và cố gắng sử dụng chúng để xâm nhập vào các tổ chức."

TRM và Chainalysis ban đầu đã liên kết cuộc tấn công với TraderTraitor và cho biết các quyết định này dựa trên phân tích của họ về cả hoạt động trong chuỗi và ngoài chuỗi. Blog nghiên cứu của Chainalysis cho biết: “Bằng chứng mạnh mẽ nhất xuất hiện khi các nhà điều tra của Chainalysis quan sát trong thời gian thực số tiền bị đánh cắp từ Binance cùng với số tiền bị đánh cắp trong vụ khai thác Bitget vào tháng trước, được cho là do các tác nhân Triều Tiên thực hiện”.

"Binance cho biết cuộc tấn công bắt đầu từ máy tính xách tay của một kỹ sư bị xâm nhập. Nhắm mục tiêu vào nhân viên công ty tiền điện tử là dấu hiệu đặc trưng của TraderTraitor," Robinson của Elliptic nói. “Kẻ tấn công đã nạp tiền vào ví của họ thông qua Tornado Cash và diễn tập trước cuộc tấn công, như trong Bybit.”

Mặc dù khoảng 3 tỷ USD tiền điện tử ban đầu đã bị đóng băng sau vụ tấn công, nhưng có khả năng những kẻ đứng sau nó vẫn có thể lấy đi số tiền khổng lồ vì không phải tất cả số tiền điện tử bị đánh cắp đều có thể bị đóng băng. Nghiên cứu từ Chainalysis cho biết công ty đang nhìn thấy “các mô hình rửa tiền mà chúng tôi chưa từng thấy trước đây” và hàng nghìn giao dịch đang được xử lý nhanh chóng cho thấy rằng họ đang sử dụng “tự động hóa để che giấu dấu vết của tiền”.

Robinson của Elliptic nói rằng cho đến nay, khoảng 2,8 tỷ USD, tương đương khoảng 44% tổng số tiền bị đánh cắp, đã bị các công ty tiền điện tử và sàn giao dịch đóng băng, trong đó hầu hết đều là stablecoin. Robinson nói: “3,3 tỷ USD còn lại chủ yếu là Bitcoin, Ether và XRP, những thứ không ai có thể đóng băng”. "Nó chỉ có thể bị dừng khi nó đến một sàn giao dịch hoặc dịch vụ khác. Một số sẽ bị bắt trong những tháng tới, nhưng tôi không hy vọng cổ phiếu bị đóng băng sẽ tăng thêm nữa."

Bình luận

Quay lại đầu trang