Báo cáo mới tiết lộ tầm ảnh hưởng đáng báo động của tin tặc tiền mã hóa Triều Tiên

Theo một báo cáo được công bố bởi Nhóm Giám Sát Trừng Phạt Đa Phương (MSMT), các hacker liên quan đến Triều Tiên đã đánh cắp một số tài sản ảo khổng lồ trị giá 2.83 tỷ USD từ năm 2024 đến tháng 09/2025.

Báo cáo nhấn mạnh rằng Bình Nhưỡng không chỉ giỏi trong việc trộm cắp mà còn sở hữu các phương pháp tinh vi để thanh lý các khoản thu bất hợp pháp.

Doanh thu từ hacking chiếm một phần ba ngoại tệ của quốc gia

MSMT là một liên minh đa quốc gia gồm 11 quốc gia, bao gồm Mỹ, Hàn Quốc và Nhật Bản. Nó được thành lập vào tháng 10/2024 để hỗ trợ thực hiện các lệnh trừng phạt của Hội đồng Bảo an Liên Hợp Quốc đối với Triều Tiên.

Theo MSMT, 2.83 tỷ USD bị đánh cắp từ năm 2024 đến tháng 09/2025 là một con số quan trọng.

“Khoản thu từ việc trộm cắp tài sản ảo của Triều Tiên trong năm 2024 chiếm khoảng một phần ba tổng thu nhập ngoại tệ của quốc gia này,” nhóm ghi nhận.

Quy mô trộm cắp đã tăng tốc đáng kể, với 1.64 tỷ USD bị đánh cắp chỉ trong năm 2025, tăng hơn 50% so với 1.19 tỷ USD trong năm 2024, mặc dù con số năm 2025 chưa bao gồm quý cuối cùng.

Vụ hack Bybit và tổ chức TraderTraitor

MSMT đã xác định vụ hack vào tháng 02/2025 của sàn giao dịch toàn cầu Bybit là một nguyên nhân chính dẫn đến sự gia tăng doanh thu bất hợp pháp trong năm 2025. Cuộc tấn công này được cho là do TraderTraitor, một trong những tổ chức hacker tinh vi nhất của Triều Tiên, thực hiện.

Cuộc điều tra cho thấy nhóm này đã thu thập thông tin liên quan đến SafeWallet, nhà cung cấp ví đa chữ ký được Bybit sử dụng. Sau đó, họ đã truy cập trái phép thông qua các email lừa đảo.

Họ đã sử dụng mã độc để truy cập vào mạng nội bộ, ngụy trang các chuyển khoản bên ngoài thành các chuyển động tài sản nội bộ. Điều này cho phép họ chiếm quyền kiểm soát hợp đồng thông minh của ví lạnh.

MSMT lưu ý rằng trong các vụ hack lớn trong hai năm qua, Triều Tiên thường thích nhắm vào các nhà cung cấp dịch vụ bên thứ ba kết nối với các sàn giao dịch. Điều này được thực hiện thay vì tấn công trực tiếp vào các sàn giao dịch.

Cơ chế rửa tiền chín bước

MSMT đã chi tiết một quy trình rửa tiền chín bước tỉ mỉ mà Triều Tiên sử dụng để chuyển đổi tài sản ảo bị đánh cắp thành tiền pháp định:

1. Kẻ tấn công đổi tài sản bị đánh cắp lấy các loại tiền điện tử như ETH trên một sàn giao dịch phi tập trung (DEX).

2. Họ ‘trộn’ các quỹ bằng cách sử dụng các dịch vụ như Tornado Cash, Wasabi Wallet, hoặc Railgun.

3. Họ chuyển đổi ETH sang BTC thông qua các dịch vụ cầu nối.

4. Họ chuyển quỹ vào ví lạnh sau khi đi qua các tài khoản sàn giao dịch tập trung.

5. Họ phân tán tài sản vào các ví khác nhau sau một vòng trộn thứ hai.

6. Họ đổi BTC lấy TRX (Tron) bằng cách sử dụng giao dịch cầu nối và P2P.

7. Họ chuyển đổi TRX sang stablecoin USDT.

8. Họ chuyển USDT đến một nhà môi giới Over-the-Counter (OTC).

9. Nhà môi giới OTC thanh lý tài sản thành tiền pháp định địa phương.

Mạng lưới toàn cầu hỗ trợ rút tiền mặt

Giai đoạn khó khăn nhất là chuyển đổi tiền điện tử thành tiền pháp định có thể sử dụng. Điều này được thực hiện thông qua các nhà môi giới OTC và các công ty tài chính ở các nước thứ ba, bao gồm Trung Quốc, Nga và Campuchia.

Báo cáo đã nêu tên các cá nhân cụ thể. Bao gồm các công dân Trung Quốc Ye Dinrong và Tan Yongzhi của Công ty Công nghệ Mạng Shenzhen Chain Element và nhà giao dịch P2P Wang Yicong.

Họ bị cáo buộc đã hợp tác với các thực thể Triều Tiên để cung cấp giấy tờ giả mạo và hỗ trợ rửa tiền tài sản. Các trung gian Nga cũng bị liên quan trong việc thanh lý khoảng 60 triệu USD từ vụ hack Bybit.

Hơn nữa, Huione Pay, một nhà cung cấp dịch vụ tài chính thuộc Huione Group của Campuchia, đã được sử dụng để rửa tiền.

“Một công dân Triều Tiên đã duy trì mối quan hệ cá nhân với các cộng sự của Huione Pay và hợp tác với họ để rút tiền mặt từ tài sản ảo vào cuối năm 2023,” MSMT cho biết.

MSMT đã bày tỏ lo ngại với chính phủ Campuchia vào tháng 10 và tháng 12/2024. Những lo ngại này liên quan đến các hoạt động của Huione Pay hỗ trợ các hacker mạng Triều Tiên được Liên Hợp Quốc chỉ định. Kết quả là Ngân hàng Quốc gia Campuchia đã từ chối gia hạn giấy phép thanh toán của Huione Pay; tuy nhiên, công ty vẫn tiếp tục hoạt động tại quốc gia này.