Một tuần sau vụ hack 6,3 tỷ USD tại Binance, nhóm tin tặc đã đưa ít nhất 333 triệu USD qua các tuyến chuyển đổi tài sản và dịch vụ tiền mã hóa. Hoạt động này đang tăng tốc với XRP, trong khi mạng lưới che giấu dòng tiền đã mở rộng lên hơn 20.000 ví trên 16 blockchain, khiến cuộc truy tìm tài sản ngày càng phức tạp.
333 triệu USD được chuyển đi
Theo Bitquery, tính đến 10h UTC ngày 6/11, tương đương 17h giờ Việt Nam, khoảng 333 triệu USD tài sản liên quan đến vụ hack Binance đã được đưa khỏi blockchain ban đầu, chuyển vào các dịch vụ trộn tiền hoặc tới địa chỉ thuộc các sàn giao dịch. Con số này tương đương khoảng 10% tổng giá trị 3,5 tỷ USD tài sản không bị phong tỏa sau vụ tấn công.
Điểm bất ngờ nằm ở tốc độ xử lý tài sản trên mạng TRON. Chỉ trong hai ngày rưỡi, nhóm tấn công đã di chuyển khoảng 82% lượng tài sản có thể chuyển đi trên blockchain này. Sau một tuần, tỷ lệ tăng lên khoảng 84%.
Để so sánh, Bitquery dẫn dữ liệu của các chuyên gia theo dõi vụ hack Bybit tháng 2/2025, cho thấy nhóm tấn công khi đó chỉ chuyển đổi khoảng 27% lượng ETH đánh cắp sau bốn ngày rưỡi và khoảng 56% sau bảy ngày rưỡi. Dù phương pháp thống kê và loại tài sản giữa hai vụ tấn công không hoàn toàn tương đồng, tốc độ di chuyển trên TRON của nhóm tin tặc Binance vẫn nổi bật.
Tuy nhiên, nếu tính toàn bộ tài sản chưa bị phong tỏa, tốc độ chuyển đổi sau vụ Binance lại thấp hơn Bybit. Nguyên nhân là phần lớn Bitcoin và Ether vẫn được giữ trong các ví ban đầu, chưa được đưa qua những tuyến chuyển đổi mà Bitquery sử dụng để xác định tài sản đã được tẩu tán.
Một diễn biến mới xuất hiện trong hai ngày 5–6/11 khi nhóm tin tặc bắt đầu tăng tốc chuyển đổi XRP. Theo Bitquery, sau nhiều ngày gần như không có hoạt động đáng kể, nhóm tấn công đã đưa khoảng 57 triệu USD XRP qua giao thức THORChain chỉ trong 19 giờ cuối của kỳ thống kê.
Đến bản cập nhật lúc 8h UTC ngày 7/11, Elliptic ghi nhận lượng XRP đã được hoán đổi tăng lên khoảng 100 triệu USD, phần lớn chuyển thành Bitcoin. Khoảng 173 triệu USD XRP vẫn nằm trong các địa chỉ liên quan đến vụ đánh cắp. Nhóm tấn công đang từng bước chuyển trọng tâm sang những tài sản trước đó chưa được xử lý, thay vì chỉ tập trung vào TRON và Solana như những ngày đầu.
Bitquery cũng lần đầu công bố bảng phân tích chi tiết các tuyến chuyển đổi. THORChain đứng đầu với khoảng 113 triệu USD, trong đó 57 triệu USD đến từ XRP và 56 triệu USD từ TRON. Tiếp theo là Relay với 56 triệu USD, công cụ chuyển USDC xuyên chuỗi CCTP của Circle với 53 triệu USD, cùng các nền tảng Chainflip và Symbiosis.
Một tuyến khác đáng chú ý là hợp đồng hoán đổi BWSwapRouterV1, nơi khoảng 35 triệu USD đã được chuyển đến một địa chỉ trung gian có liên hệ giao dịch với địa chỉ nạp tiền tại Bitget.
Dữ liệu mới còn chỉ ra khoảng 7,7 triệu USD tài sản trên Solana được đưa vào công cụ trộn tiền Privacy Cash trong ngày 3–4/11. Trước đó, báo cáo ngày 5/11 của Bitquery chưa ghi nhận hoạt động này.
Một phát hiện khác là khoảng 4,4 triệu USD đã đi tới các địa chỉ nạp tiền tại sàn HitBTC. Tuy nhiên, việc tài sản xuất hiện tại địa chỉ của sàn giao dịch không đồng nghĩa đã được bán thành tiền pháp định hoặc chủ sở hữu của nền tảng biết về nguồn gốc số tiền.
Bitquery cũng phát hiện nhiều tuyến chuyển đổi tưởng chừng độc lập cuối cùng lại hội tụ tại cùng một nhóm ví Bitcoin. Tính đến thời điểm chốt dữ liệu, các giao dịch XRP qua THORChain đã tạo ra khoảng 620 BTC được chuyển tới 28 địa chỉ Bitcoin, đồng thời những địa chỉ này cũng nhận tiền từ các tuyến chuyển đổi ETH, AVAX và TRX. Dù tiền được chia nhỏ và di chuyển qua nhiều blockchain, các nhà phân tích vẫn có thể nhận diện những điểm tập trung tài sản ở giai đoạn cuối.
Hơn 20.000 ví, 65.000 giao dịch giao dịch che giấu dòng tiền
Trong bản cập nhật ngày 7/11, Elliptic cho biết quy mô hoạt động chuyển đổi và phân tán tài sản đã mở rộng lên hơn 20.000 ví, trải rộng trên 16 blockchain và ít nhất 36 dịch vụ tiền mã hóa.
Tổng số giao dịch được ghi nhận vượt 65.000, tương đương trung bình khoảng một ví mới được tạo sau mỗi 30 giây và một giao dịch được thực hiện sau mỗi 10 giây trong thời gian theo dõi.
Elliptic đánh giá hoạt động này có tính tự động hóa cao, thể hiện qua các giao dịch lặp lại với quy mô, thời điểm và cách thức xử lý tương tự nhau. Tuy nhiên, công ty chưa tìm thấy bằng chứng cho thấy các tác nhân AI tự chủ đang trực tiếp đưa ra quyết định chuyển tiền. Dữ liệu phù hợp hơn với những chương trình tự động được con người thiết lập và giám sát.
Một phát hiện quan trọng khác là lượng Bitcoin được chuyển đổi từ các tài sản đánh cắp khác tiếp tục gia tăng. Theo Elliptic, đến sáng 7/11, khoảng 2.300 BTC, trị giá ước tính 175 triệu USD, đã được hình thành từ quá trình hoán đổi các tài sản như XRP, SOL và TRX. Đây là lượng Bitcoin được tạo ra sau các giao dịch chuyển đổi, không bao gồm số BTC bị đánh cắp trực tiếp từ Binance.
Việc chuyển sang Bitcoin giúp nhóm tấn công tránh được cơ chế phong tỏa trực tiếp mà các tổ chức phát hành stablecoin như Tether và Circle có thể áp dụng đối với USDT hoặc USDC. Dù vậy, Bitcoin vẫn sử dụng sổ cái công khai, cho phép cơ quan điều tra tiếp tục theo dõi lịch sử giao dịch.
Để khiến quá trình truy vết khó khăn hơn, nhóm tấn công đã sử dụng các cơ chế trộn giao dịch như CoinJoin theo kiểu Wasabi Wallet, đồng thời đưa một phần ETH và SOL vào những nhóm thanh khoản có tính riêng tư.
Elliptic ghi nhận khoảng 88 BTC, tương đương 6,7 triệu USD, đã đi qua các giao dịch trộn kiểu Wasabi tính đến ngày 7/11. Một phần tài sản khác được chuyển vào Privacy Cash nhằm làm gián đoạn khả năng liên kết trực tiếp giữa địa chỉ gửi và nhận.
Trong công bố ngày 8/11, Chainalysis cho biết THORChain đã xử lý hơn 46 triệu USD tài sản liên quan đến vụ Binance trong 72 giờ đầu, tạo ra hơn 200.000 USD phí cho các đơn vị vận hành mạng. Con số này làm nổi bật một vấn đề mới trong cuộc điều tra: Các dịch vụ hỗ trợ chuyển đổi tiền mã hóa có thể thu phí đáng kể từ các giao dịch liên quan đến tài sản bị đánh cắp, ngay cả khi không trực tiếp tham gia vụ tấn công.
Theo The Wall Street Journal, các nhà phát triển giao thức phi tập trung cho rằng họ không thể hoặc không nên đơn phương ngăn chặn mọi giao dịch. Trong khi đó, cơ quan thực thi pháp luật và những người chỉ trích đặt câu hỏi về trách nhiệm của các nền tảng khi tài sản có nguồn gốc phạm pháp tiếp tục được chuyển qua hệ thống.
Dù mạng lưới chuyển tiền ngày càng phức tạp, Elliptic nhận định lượng tài sản thực sự được chuyển thành tiền có thể sử dụng bên ngoài hệ thống tiền mã hóa vẫn rất nhỏ. Đến ngày 7/11, khoảng 3,13 tỷ USD tài sản tiếp tục nằm trong những địa chỉ được xác định có liên quan đến vụ tấn công, chủ yếu là Bitcoin và Ether.
Phần lớn số Bitcoin bị đánh cắp trực tiếp vẫn nằm trong 19 địa chỉ tiếp nhận ban đầu. Các ví ETH lớn nhất cũng chưa ghi nhận hoạt động chuyển tiền đáng kể.
Elliptic cho rằng giai đoạn tiếp theo có thể chứng kiến nhóm tin tặc tiếp tục chia nhỏ ETH, chuyển sang Bitcoin và tìm cách giao dịch thông qua các nhà môi giới OTC hoặc những mạng lưới trung gian. Tuy nhiên, đây mới là dự báo dựa trên các chiến dịch tấn công trước đây, không phải hoạt động đã được xác nhận.
Báo cáo của Bitquery cũng chỉ ra giới hạn của quá trình truy vết. Khoảng 71 triệu USD đã chuyển tới những ví mà đơn vị này chưa thể tiếp tục theo dõi đầy đủ. Ngoài ra, việc xác định quyền kiểm soát một số địa chỉ có thể khiến ước tính tài sản đã được chuyển đổi dao động trong khoảng 315–344 triệu USD, thay vì chính xác tuyệt đối ở mức 333 triệu USD.
