Vụ hack 6,3 tỷ USD của Binance được xác định liên quan đến TraderTraitor, có mối quan hệ gì với Lazarus?

Ngày 1 tháng 11, Cục Điều tra Liên bang Mỹ đã ra thông báo, quy trách nhiệm vụ 6,3 tỷ USD bị đánh cắp từ Binance ngày 29 tháng 10 cho Triều Tiên. Trong thông báo có dùng một từ: TraderTraitor.

Nếu tìm kiếm cái tên này, sẽ thấy 1,5 tỷ của Bybit, 300 triệu của Bitget, cùng vài vụ án tiền mã hóa lớn những năm trước, đều có liên quan đến cái tên này.

TraderTraitor không phải một công ty, cũng không phải một ô trên sơ đồ tổ chức. Nó là mật danh chính phủ Mỹ đặt cho một loại hành vi.

Tháng 4 năm 2022, FBI, Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Mỹ (CISA), Bộ Tài chính Mỹ đã cùng ra một thông báo, số hiệu AA22-108A. Đó là lần đầu tiên từ này xuất hiện chính thức. Khi đó nó chỉ vài loại trojan ngụy trang thành phần mềm giao dịch tiền mã hóa, như DAFOM, TokenAIS, CryptAIS, giao diện làm ra vẻ chuyên nghiệp, cài vào là bắt đầu đánh cắp khóa riêng tư.

Những kẻ làm việc này, giới chuyên môn vẫn gọi là Lazarus Group, APT38, BlueNoroff, Stardust Chollima, đây không phải bốn đội. Lazarus, tức La-xa-rơ là tên gọi chung; APT38 (Mandiant), BlueNoroff (Kaspersky), Stardust Chollima (CrowdStrike) là ba cái tên khác nhau mà các công ty an ninh khác nhau đặt cho cùng một đường dây kiếm tiền.

Hai năm sau, nhãn này gắn vào hành vi cụ thể. Ngày 23 tháng 12 năm 2024, FBI, Trung tâm Tội phạm Mạng Bộ Quốc phòng Mỹ, Cục Cảnh sát Quốc gia Nhật Bản cùng công bố quy kết vụ DMM bị đánh cắp 300 triệu USD, lần đầu dùng cách nói "tác nhân mạng Triều Tiên được theo dõi với tên TraderTraitor", đồng thời liệt kê ba bí danh của nó: Jade Sleet (cách gọi của Microsoft), UNC4899 (cách gọi của Google), Slow Pisces (cách gọi của Palo Alto).

Hiện thông tin đã khá rõ ràng, TraderTraitor là bộ phận trong tập đoàn lớn Lazarus, chuyên làm tài sản mã hóa, và cũng là nguồn thu nhập lớn nhất hiện nay. Ít nhất từ năm 2020 nó chỉ nhắm vào blockchain — nền tảng giao dịch, DeFi, nhà cung cấp dịch vụ ví, quỹ tiền mã hóa, cùng những cá nhân nắm giữ lượng lớn coin.

Từ cướp ngân hàng đến cướp nền tảng giao dịch

Lazarus là một cái tên ô dù, bên dưới có đủ thứ, năm 2014 xóa ổ cứng Sony Pictures, năm 2016 chuyển tiền ra khỏi ngân hàng trung ương Bangladesh.

Ví dụ như vụ Ngân hàng Trung ương Bangladesh, kẻ ra tay khi đó được gọi là APT38, còn có tên BlueNoroff. Tháng 2 năm 2016, chúng làm giả lệnh SWIFT (hệ thống điện báo quốc tế dùng để chuyển tiền giữa các ngân hàng), định chuyển 1 tỷ USD từ tài khoản của Ngân hàng Trung ương Bangladesh tại Fed New York. Cuối cùng chỉ lấy được 81 triệu, vì một lệnh chuyển tiền bị sai chính tả nên bị ngân hàng trung gian chặn lại.

Bộ kỹ năng nghiên cứu quy trình vận hành ngân hàng, tìm ra kẽ hở trong khâu phê duyệt thủ công, làm giả lệnh đó, sau này được chuyển nguyên xi sang các sàn giao dịch tiền mã hóa.

Khoảng quanh năm 2020. Chúng bắt đầu nâng cấp thủ đoạn, nhắm vào giới crypto. Lý do cũng dễ đoán: có tiền mà chưa có quản lý, thanh khoản lại khá tốt.

Có mấy kiểu ra tay.

Thứ nhất là tuyển dụng giả. Headhunter tìm bạn trên LinkedIn, nói chuyện rất hợp, cuối cùng gửi một "bài kiểm tra lập trình trước khi vào làm", hoặc một gói cài đặt "công cụ nội bộ". Cài vào là máy tính thuộc về chúng. Vụ Ronin mất 620 triệu USD chính là như vậy.

Thứ hai là chuỗi cung ứng. Không lừa người nữa, chuyển sang làm nhiễm bẩn chuỗi công cụ của lập trình viên: repo độc hại trên GitHub, gói bị đầu độc trên npm, các nhà cung cấp dịch vụ định danh như JumpCloud. Một người dính bẫy, cả một chuỗi công ty phía sau cùng dính theo.

Thứ ba là sửa thẳng giao dịch. Trong vụ DMM của Nhật, chúng đánh cắp thông tin đăng nhập của đối phương, xâm nhập vào kênh liên lạc nội bộ của công ty ví Ginco, rồi sửa một lệnh chuyển tiền lẽ ra bình thường. Trong vụ Bybit, chúng xâm nhập máy tính của một lập trình viên Safe{Wallet}, chèn một đoạn script vào frontend trang web, người ký nhìn thấy vẫn là trang bình thường, nhưng thứ được ký lại là một giao dịch khác.

Cũng bao gồm cả vụ Binance lần này.

Kẻ tấn công chuẩn bị trước 36 giờ, ký sẵn 50 giấy ủy quyền EIP-7702, tức một tính năng mới của Ethereum, cho phép ví tạm thời "thuê" một đoạn chương trình để dùng, rồi để ví nóng của Binance tự chuyển tiền ra; 40 phút, xuyên qua 10 mạng lưới. Một công ty bảo mật kết luận: rất có thể chúng đã chạm được vào hệ thống chữ ký của Binance.

Số tiền tổ chức này gây án

Mười hai vụ nổi tiếng nhất, 9,7 tỷ USD.

Riêng Binance 6,3 tỷ. Mười một vụ còn lại, từ 2022 đến 2026, cộng tất cả lại là 3,44 tỷ.

Bybit 1,5 tỷ USD, là giao diện người dùng bị sửa đổi; Ronin 620 triệu USD, là tin tuyển dụng bị lừa mở; Bitget 388 triệu USD, là lệnh rút tiền giả mạo được viết vào hệ thống ví.

DMM 308 triệu USD, WazirX 235 triệu USD, Harmony và Atomic mỗi bên 100 triệu USD, Alphapo 60 triệu USD, CoinEx 55 triệu USD, Stake 41 triệu USD, CoinsPaid 37 triệu USD.

Trong hình chỉ có ba vụ Binance, Bybit, DMM được chính phủ Mỹ trực tiếp điểm danh TraderTraitor. Ronin, Harmony, Stake, Alphapo, CoinsPaid, Atomic được FBI xếp vào Lazarus/APT38; WazirX được điểm danh trong tuyên bố chung Mỹ-Nhật-Hàn tháng 1 năm 2025; CoinEx chỉ có suy đoán từ các tổ chức phân tích on-chain. Vụ Bitget được nhiều tổ chức nghi ngờ liên quan đến TraderTraitor, nhưng đều chưa có quy kết chính thức.

Theo thống kê của TRM, Triều Tiên từ năm 2017 đến nay đã thực hiện một trăm vụ, tổng cộng khoảng 12,8 tỷ USD; từ đầu năm đến nay 7,4 tỷ USD; trong tổng số tài sản mã hóa bị đánh cắp trên toàn cầu năm 2026, 85% được ghi vào sổ Triều Tiên. Bảng này chỉ là mười hai vụ trong số đó.

Người có thể đối mặt

Hacker Triều Tiên được giới chức Mỹ điểm danh và còn để lại ảnh, không chỉ một người. Park Jin Hyok, Jon Chang Hyok, Kim Il đều có trong bản cáo trạng tháng 2 năm 2021; năm 2024 có thêm Rim Jong Hyok, treo thưởng 10 triệu USD.

Park Jin Hyok bị FBI truy nã

Park Jin Hyok là một trong những người bị truy tố sớm nhất: tháng 6 năm 2018, Bộ Tư pháp Mỹ đưa ra cáo buộc hình sự đối với ông, cùng năm tháng 9 được giải mật. Bản cáo trạng nói rằng âm mưu ông tham gia bao gồm vụ tấn công Sony Pictures năm 2014, WannaCry năm 2017, và 81 triệu USD bị chuyển khỏi ngân hàng trung ương Bangladesh năm 2016. Ông vẫn đang bỏ trốn, chưa từng ra hầu tòa.

Theo dấu vụ trộm Binance

Binance đã dùng vốn công ty, quỹ SAFU và quỹ bảo hiểm hợp đồng tương lai để bù đắp khoảng 90%, 10% còn lại là các token có tính thanh khoản kém; toàn bộ tổn thất do công ty gánh chịu, không do người dùng gánh chịu.

Tính đến ngày 1 tháng 11, khoảng 2,7 tỷ USD, tương đương khoảng 42%, đã bị các nhà phát hành stablecoin và Ủy ban An ninh Arbitrum phong tỏa. Kẻ tấn công vẫn còn nắm giữ 420.000 ETH và 18.270 BTC, tương đương khoảng 2,4 tỷ USD.

Con đường rửa tiền vẫn là thao tác thông thường: hoán đổi chuỗi qua cầu cross-chain, đổi tiền qua các dịch vụ như THORChain, trộn tiền qua mixer để trộn lẫn và phân tán tiền của nhiều người, cuối cùng là giao dịch OTC.

Lần này có vài tình tiết nhỏ, THORChain gần đây do một lần tổ chức lại chuỗi Ethereum đã vô tình làm chậm quá trình rửa tiền bị đánh cắp trong sự kiện tấn công Binance. Lần tổ chức lại chuỗi này khiến THORChain hoàn tiền sai lặp lại cho một người dùng gửi 10 ETH, từ đó kích hoạt giao thức tạm dừng khẩn cấp, tạm thời chặn tất cả người dùng thực hiện hoán đổi cross-chain, trong đó có cả những kẻ rửa tiền liên quan đến tổ chức hacker Triều Tiên.

Lần trước tiền bị đánh cắp của Bitget đã đi qua THORChain, THORChain không hề phong tỏa một chút nào, nói rằng phi tập trung không thể phong tỏa, nhưng lần trước khi chính mình bị đánh cắp thì không nói như vậy.
Đợi khi THORChain khôi phục dịch vụ, nếu lần này tiền bị đánh cắp của Binance vẫn đi qua THORChain, không biết họ còn có lý do gì để thoái thác nữa.

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia