Chainalysis ngày 30/10 (giờ địa phương) cho biết vụ hack trị giá 6,4 tỷ USD nhắm vào Binance nhiều khả năng do “TraderTraitor”, nhóm tội phạm mạng bị cho là có liên hệ với Triều Tiên, thực hiện. Theo công ty phân tích blockchain này, đây là vụ đánh cắp lớn nhất trong lịch sử tài sản số.

Theo Chainalysis, cuộc tấn công bắt đầu vào khoảng 16h20 ngày 29/10 theo giờ Bờ Đông Mỹ. Kẻ tấn công sử dụng một ví tác nghiệp từng nhận tiền thông qua Tornado Cash.

Tin tặc đã lợi dụng quy trình xác thực chữ ký hợp lệ để khiến ví nóng của Binance thực thi đoạn mã do chúng triển khai. Sau đó, tài sản bị rút khỏi sàn trên nhiều blockchain thông qua các giao dịch mang chữ ký hợp lệ.

Sau khi chiếm đoạt tài sản, kẻ tấn công nhanh chóng tìm cách chuyển đổi stablecoin sang các loại tài sản khác, do stablecoin có thể bị đơn vị phát hành phong tỏa. Chainalysis cho biết khoảng 500 triệu USD stablecoin đã được chuyển sang một ví riêng. Trong vòng khoảng 20 phút, 325 triệu USD được hoán đổi sang lượng Ethereum trị giá 285 triệu USD. Khoảng 10 phút sau, 175 triệu USD còn lại được chuyển sang một ví trung gian.

Hoạt động phong tỏa tài sản bắt đầu vào khoảng 17h14 cùng ngày. Chainalysis cho biết đã phối hợp với cơ quan thực thi pháp luật, các đơn vị phát hành stablecoin và các bên liên quan trong ngành để truy vết dòng tiền, đồng thời chia sẻ sớm các đầu mối phục vụ điều tra. Tính đến thời điểm công bố, khoảng 2,8 tỷ USD đã bị đóng băng.

Một trong những cơ sở chính cho nhận định trên là dấu vết dòng tiền trên chuỗi giữa vụ Binance và vụ hack Bitget hồi tháng trước. Chainalysis cho biết đã ghi nhận theo thời gian thực việc số tiền bị đánh cắp từ Binance đan xen với dòng tiền từ vụ Bitget. Vụ tấn công vào Bitget trước đó cũng được xác định là do các đối tượng có liên hệ với Triều Tiên thực hiện.

Báo cáo cũng cho thấy khả năng quy trình rửa tiền đã được tự động hóa. Hàng nghìn giao dịch được tạo ra trong thời gian ngắn, với dòng tiền liên tục dịch chuyển qua nhiều ví hoặc luân chuyển trở lại các ví từng sử dụng. Nhiều ví lặp lại cùng một mô thức: nhận đúng 1 Tron (TRX), sau đó nhận thêm tiền rồi tiếp tục chuyển sang ví khác. Theo Chainalysis, kẻ tấn công có thể đã sử dụng chương trình tự động nhằm làm phức tạp quá trình lần theo dòng tiền.

Chainalysis dự báo trong vài ngày tới, số tài sản bị đánh cắp có thể tiếp tục được dịch chuyển. Công ty nhấn mạnh rằng các sàn giao dịch tài sản số, do nắm giữ lượng tài sản lớn, luôn là mục tiêu tấn công thường xuyên và cần xây dựng cơ chế ứng phó sự cố đủ nhanh.