Chiêu rửa tiền kỳ lạ của hacker sàn Binance: Tự tạo tiền ảo, tự mua, tự bán

Không chỉ chuyển tiền qua hàng chục nghìn ví điện tử, nhóm tin tặc đứng sau vụ đánh cắp 6,3 tỷ USD từ Binance còn nghĩ ra một cách che giấu dòng tiền khá bất ngờ: tự tạo những đồng memecoin vô giá trị, sau đó đóng vai cả người mua lẫn người bán.

Ngày 9/11, công ty phân tích blockchain Elliptic công bố phát hiện mới về cách nhóm tin tặc bị cáo buộc đang tìm cách che giấu nguồn gốc số tiền mã hóa đánh cắp từ sàn Binance. Thay vì chỉ sử dụng các công cụ trộn tiền hoặc chuyển tài sản qua nhiều blockchain, nhóm tấn công đã tự tạo ít nhất sáu đồng memecoin trên mạng NEAR, sau đó tổ chức các giao dịch mua bán giữa những ví điện tử do chính mình kiểm soát.

Theo Elliptic, khoảng 117.000 NEAR, tương đương 430.000 USD, đã được chuyển qua sáu đồng tiền mới tạo trong giai đoạn từ ngày 5 đến 7/11. Mục tiêu của hoạt động này không phải kiếm lợi nhuận từ biến động giá, mà nhằm khiến số tiền đánh cắp trông giống khoản thu được từ giao dịch tiền mã hóa hợp pháp.

Phát hiện mới xuất hiện khi cuộc truy tìm hàng tỷ USD tài sản bị đánh cắp từ Binance vẫn đang diễn ra. Các nhà điều tra nhận định thủ đoạn sử dụng memecoin tuy chưa giúp tin tặc chuyển đi số tiền quá lớn, nhưng có thể trở thành công cụ đáng lo ngại vì chi phí thấp, dễ thực hiện và khó phát hiện nếu chỉ kiểm tra các giao dịch riêng lẻ.

(Ảnh minh họa)

Hacker tự 'đẻ' memecoin rồi mua bán với chính mình để rửa tiền

Theo báo cáo của Elliptic, sáu đồng memecoin được nhóm tin tặc tạo ra mang tên FUK, OLCCL, MEILI, MMLI, DABI và SINU. Đồng FUK xuất hiện đầu tiên vào ngày 5/11. Bốn đồng OLCCL, MEILI, MMLI và DABI được tạo trong ngày 6/11, còn SINU ra đời ngày 7/11.

Giống nhiều memecoin đang lưu hành trên thị trường, những đồng tiền này sử dụng hình ảnh và tên gọi mang tính hài hước. Biểu tượng của chúng gồm khỉ hoạt hình đeo nơ hồng, vịt đứng trước lá cờ Mỹ, tinh tinh, cáo và một huy hiệu vàng đang bốc cháy.

Đặc biệt, một đồng tiền sử dụng hình ảnh tỷ phú Elon Musk cùng dòng chữ "Elon 2028 President". Elliptic nhấn mạnh không có bằng chứng cho thấy Elon Musk liên quan đến đồng tiền này.

Tuy nhiên, khác với những memecoin thông thường được phát hành nhằm thu hút cộng đồng đầu tư, sáu đồng tiền nói trên gần như không có người mua thực sự bên ngoài mạng lưới ví liên quan đến vụ tấn công.

Elliptic phát hiện toàn bộ giao dịch bán của cả sáu token đều được thực hiện bởi những ví thuộc mạng lưới che giấu dòng tiền. Với năm token, toàn bộ giao dịch mua cũng đến từ chính mạng lưới này.

Riêng FUK ghi nhận một số giao dịch mua nhỏ từ bên ngoài trong ngày đầu tiên, nhưng chỉ chiếm chưa đến 1% tổng khối lượng giao dịch. Ba đồng DABI, MMLI và SINU thậm chí chỉ có một ví chuyên mua và một ví chuyên bán.

Theo Elliptic, mỗi đồng memecoin chỉ tốn khoảng 25 NEAR, tương đương 90 USD, để tạo ra. Sau khi được phát hành, chúng nhanh chóng ghi nhận lượng giao dịch lớn trước khi bị bỏ lại. Tất cả sáu token đều được giao dịch lần đầu trong vòng ba giờ sau khi phát hành và thực hiện ít nhất 75% tổng khối lượng giao dịch chỉ trong một ngày.

Đến ngày 8/11, không còn đồng nào tiếp tục được giao dịch. Trong buổi chiều cùng ngày, những người tạo ra bốn token đã rút phần thanh khoản còn lại khỏi các bể giao dịch.

Số tiền thu được từ đồng memecoin trước đó còn được sử dụng để tạo đồng tiếp theo. Elliptic xác định năm trong sáu địa chỉ phát hành token nhận tiền từ ví vừa bán một đồng tiền trước đó, chỉ khoảng 2–13 phút trước khi token mới ra đời. Những dấu hiệu này khiến Elliptic kết luận đây là một chuỗi giao dịch được thiết kế có chủ đích nhằm che giấu nguồn gốc tài sản, chứ không phải hoạt động đầu cơ memecoin thông thường.

Các memecoin được cho là công cụ giúp các hacker rửa tiền. Ảnh: Elliptic

Mua bán giả giúp tiền đánh cắp biến thành doanh thu giao dịch

Về bản chất, thủ đoạn của nhóm tin tặc khai thác cơ chế hoạt động của các bể thanh khoản trên sàn giao dịch phi tập trung (DEX). Đầu tiên, nhóm tấn công tạo một đồng token mới, sau đó ghép token này với NEAR trong một bể thanh khoản. Bể thanh khoản cho phép người dùng hoán đổi hai loại tài sản với nhau mà không cần có người mua và người bán trực tiếp khớp lệnh.

Tiếp theo, nhóm sử dụng một số ví chứa NEAR đánh cắp được để mua đồng memecoin vừa phát hành. Ở chiều ngược lại, những ví khác trong cùng mạng lưới sẽ bán memecoin vào bể thanh khoản để nhận NEAR. Như vậy, tiền bị đánh cắp đi vào bể thanh khoản từ một nhóm ví và được rút ra từ nhóm ví khác, nhưng không xuất hiện giao dịch chuyển tiền trực tiếp giữa hai bên.

Nếu chỉ nhìn vào lịch sử giao dịch của ví nhận tiền, số NEAR này có thể trông giống khoản thu từ việc bán một đồng memecoin, thay vì tài sản có nguồn gốc từ vụ hack Binance.

Tom Robinson, đồng sáng lập kiêm Giám đốc khoa học của Elliptic, giải thích với CoinDesk rằng những kẻ tấn công đã tạo sáu token và tự giao dịch với chính mình, khiến tài sản đánh cắp mang dáng vẻ của doanh thu giao dịch.

Theo Elliptic, gần như toàn bộ 117.000 NEAR được đưa vào các bể thanh khoản đã xuất hiện trở lại tại những ví nhận tiền. Sau đó, phần lớn tài sản tiếp tục được chuyển thành stablecoin hoặc đưa qua các cầu nối blockchain để di chuyển sang mạng khác.

Thủ đoạn này không hoàn toàn mới. Trong vụ đánh cắp khoảng 1,5 tỷ USD tại Bybit năm 2025, Elliptic từng phát hiện nhóm tin tặc sử dụng token vô giá trị trên mạng TRON, kết hợp với bể thanh khoản stablecoin, để chuyển ít nhất 24 triệu USD tài sản.

Sau vụ hack Binance, Elliptic cũng phát hiện một token tương tự trên TRON ngày 2/11. Một ngày sau, nhóm tấn công sử dụng những token có thanh khoản thấp trên Solana để chuyển SOL đánh cắp thành USDC, trước khi đưa tiền sang blockchain khác. Tuy nhiên, trong trường hợp Solana, nhóm sử dụng các token đã tồn tại thay vì tự phát hành token mới.

Elliptic cho rằng phương thức sử dụng memecoin không thể xóa hoàn toàn dấu vết tài sản, bởi mọi giao dịch vẫn được ghi nhận công khai trên blockchain. Các nhà điều tra có thể lần theo dòng tiền, nhưng phải mất thêm thời gian để bóc tách những giao dịch trung gian.

Đây chính là lợi thế mà nhóm tin tặc muốn khai thác. Chỉ với khoảng 90 USD để tạo một token, chúng có thể liên tục phát hành, giao dịch và loại bỏ những đồng tiền không còn cần thiết, khiến quá trình truy vết trở nên phức tạp hơn.

Mức 430.000 USD đã đi qua sáu memecoin vẫn rất nhỏ so với tổng giá trị vụ tấn công. Theo Elliptic, khoảng 11,8 triệu NEAR, trị giá 43,7 triệu USD, liên quan đến vụ đánh cắp vẫn chưa được di chuyển tại thời điểm công bố báo cáo.

Theo Elliptic, lượng tiền thực sự được chuyển thành tiền pháp định đến nay có thể vẫn rất nhỏ. Việc đưa tài sản qua memecoin, bể thanh khoản hoặc những giao thức hoán đổi không đồng nghĩa nhóm tấn công đã thành công trong việc rút tiền mặt.

Binance ráo riết săn tìm 6,3 tỷ USD bị đánh cắp, hacker đã tẩu tán 333 triệu USD

Một tuần sau vụ hack 6,3 tỷ USD tại Binance, nhóm tin tặc đã đưa ít nhất 333 triệu USD qua các tuyến chuyển đổi tài sản và dịch vụ tiền mã hóa. Hoạt...

Bấm xem >>