Hacker Triều Tiên đã lấy 7.61 tỷ USD năm 2026 mà không cần phá mã

Theo công ty phân tích blockchain BitOK, các hacker Triều Tiên đã đánh cắp khoảng 7.61 tỷ USD tiền điện tử qua 38 vụ việc từ tháng 01 đến tháng 10/2026. Trong 6 vụ tấn công lớn nhất, họ không khai thác lỗ hổng mã nguồn mà chiếm quyền kiểm soát những người và hệ thống có quyền ký xác nhận rút tiền.

Các hoạt động đóng băng và tịch thu đã giữ lại được 2.86 tỷ USD, còn lại 4.75 tỷ USD đã bị thất thoát. Riêng sàn Binance chiếm tới 6.41 tỷ USD trong tổng số này, còn lại là 32 vụ trộm nhỏ nhắm tới cá nhân và doanh nghiệp với tổng giá trị 178.4 triệu USD.

Tại sao kiểm tra mã nguồn không ngăn được hacker Triều Tiên

Theo báo cáo của BitOK, mọi giao dịch rút tiền trong 6 vụ tấn công lớn nhất đều có chữ ký hợp lệ hoặc vượt qua các kiểm tra thông thường. Tại Binance, điểm yếu đến từ chiếc laptop của một kỹ sư DevOps và một dịch vụ ký xác nhận giao dịch.

Kết quả này tương tự các phát hiện trước đó về cách vụ hack Binance diễn ra vào tháng 10. Ở các nơi khác, hacker đã chiếm quyền điều khiển ví multisig tại Drift (nền tảng giao dịch trên Solana), một hệ thống xác nhận bắc cầu tại KelpDAO và ví hệ thống tại Bitget.

Trước mỗi vụ trộm, các hacker kiểm tra thử quy trình bằng những khoản tiền nhỏ. Ví dụ, hợp đồng tấn công Binance đã được thử nghiệm công khai 4 tiếng trước khi vụ trộm diễn ra.

Lịch làm việc của nhóm này giống nhân viên văn phòng. Trong một mẫu 540 giao dịch, có 48% hoạt động diễn ra từ 16 giờ đến 21 giờ theo giờ Bình Nhưỡng.

Họ thậm chí còn nghỉ làm vào các ngày lễ của Triều Tiên, không ghi nhận bất kỳ giao dịch nào trong các ngày này. Thứ Bảy, Chủ Nhật và Thứ Hai cộng lại chỉ chiếm 10% tổng số giao dịch.

Tuy nhiên, khi bắt đầu tấn công, mọi thói quen đều thay đổi. Hệ thống tự động được kích hoạt, tiền di chuyển liên tục suốt ngày đêm.

Chỉ vài phút để đổi coin, nhưng phải mất vài ngày mới làm mờ dấu vết

Tốc độ quyết định việc có thể đóng băng tài sản hay không. Trong vòng vài phút, hacker Triều Tiên đã chuyển đổi stablecoin thành ETH hoặc thế chấp tài sản bị đánh cắp để vay ETH, vì ETH không bị nhà phát hành đóng băng.

Sau vụ tấn công cầu nối rsETH vào tháng 4, 52,440 ETH đầu tiên đã rời khỏi các giao thức cho vay chỉ sau hơn 8 phút. Sau đó, số tiền này “nằm yên” từ 2.5 đến 5 ngày trước khi được tự động chuyển qua THORChain, một giao thức hoán đổi liên chuỗi.

Việc rửa tiền khá rẻ. Trong 2,257 giao dịch hoán đổi liên quan đến Binance với tổng trị giá 55.8 triệu USD, chi phí chỉ chiếm 0.50% tổng số tiền.

Vì vậy, chỉ có thể đóng băng tài sản khi stablecoin chưa bị chuyển đi. Tại Binance, 43% số tiền bị đánh cắp đã bị khóa hoặc tịch thu, trong khi tổng các vụ lớn khác chỉ đạt 6%.

Dù vậy, tốc độ vẫn là yếu tố quyết định. Tether chỉ nhận được yêu cầu đóng băng sau 34 phút kể từ khi Binance bị rút tiền. Lúc này, 345 triệu USDT đã rời khỏi địa chỉ gốc.

Chỉ với 0.27 ETH, lộ tung tích 5 vụ tấn công liên tiếp

Dấu vết rõ ràng nhất bắt nguồn từ một sai sót khi làm sạch ví. Sau khi chuyển 5,047 ETH qua Umbra (công cụ bảo mật giúp ẩn địa chỉ) và cầu nối Stargate, hacker gom số coin lẻ còn lại vào một ví chung.

Ngày 31/08, 150 địa chỉ đã chuyển tiền về ví thu gom này chỉ trong 3 phút 36 giây, liên kết vụ đánh cắp AFX và vụ lừa đảo ngày 28/08. Địa chỉ Bitget cũng xuất hiện trong tháng 09. Tổng cộng, ví này chỉ nhận 0.27 ETH.

Các địa chỉ thu gom này giúp liên kết 5 vụ tấn công của hacker Triều Tiên, từ KelpDAO tháng 04 đến Binance tháng 10. Theo BitOK, điều này cho thấy khả năng chỉ có một nhóm đứng phía sau khâu rửa tiền, dù có thể nhiều nhóm khác nhau thực hiện các vụ hack.

“Chỉ một số dư nhỏ lẻ lại trở thành dấu vết rõ ràng nhất của nhóm hacker trong năm vừa qua,” BitOK cho biết.

Chìa khóa ký giao dịch trở thành mục tiêu tấn công mới

Chainalysis đã xác nhận vụ Bitget do hacker Triều Tiên thực hiện vào tháng 10. Dữ liệu từ BitOK cho thấy nhóm hacker này đang áp dụng cùng một kịch bản trên cả sàn tập trung và các giao thức DeFi.

Lỗ hổng lớn hiện nay không còn nằm ở hợp đồng thông minh mà chuyển sang con người, thiết bị và dịch vụ ký giao dịch. Việc đóng băng tài sản chỉ thực sự hiệu quả trong vài phút đầu, còn Binance hiện đã bù đắp phần lớn thiệt hại cho người dùng từ nguồn quỹ dự phòng của sàn.