Số Bitcoin chưa dịch chuyển là manh mối, không phải chiến lợi phẩm đã thu hồi
Bitcoin bị đánh cắp trong vụ hack Binance là phần tài sản số bị chiếm đoạt khỏi sàn và được phân tán tới các địa chỉ trên blockchain, nơi giao dịch có thể quan sát nhưng quyền kiểm soát vẫn thuộc người nắm khóa riêng. Theo dữ liệu được nêu trong các báo cáo, khoảng 18.270 BTC nằm trong 19 ví và chưa bị động đến; số dư này là dấu vết đáng theo dõi, chứ không phải tài sản mà nhà điều tra có thể tự ý chuyển đi. FBI ngày 31/10 xác định nhóm TraderTraitor có liên hệ với Triều Tiên là thủ phạm vụ tấn công, sau khi hơn 6 tỷ USD tài sản số bị rút khỏi Binance. Việc phần Bitcoin này còn nằm yên khiến cuộc điều tra có một điểm bám cụ thể, nhưng cũng phơi bày giới hạn của truy vết: biết tiền ở đâu không đồng nghĩa biết ai có thể ký giao dịch.
Con số 19 ví đáng chú ý vì chúng giữ một phần tài sản chưa hòa vào các luồng chuyển đổi tiếp theo. Trong khi đó, FBI cho biết phần lớn tài sản bị đánh cắp đã được chuyển đổi sang Ethereum, còn cảnh báo tin tặc có thể tiếp tục dùng các phương thức khác để rửa tiền. Sự tương phản này giải thích vì sao giới điều tra không thể chỉ chờ một giao dịch lớn: từng nhánh tài sản có thể đi theo lộ trình khác nhau, qua nhiều mạng lưới và dịch vụ. Theo dữ liệu trên chuỗi được dẫn lại, số Bitcoin được chia thành các lô tại 19 địa chỉ, với giao dịch đã được xác nhận ở độ cao khối Bitcoin 973732. Những địa chỉ ấy cung cấp tín hiệu để nhận biết tiền có di chuyển hay không, nhưng chưa tự trả lời được cách thu hồi.
Dấu vết công khai đối đầu với cách rửa tiền nhiều tầng
Giá trị điều tra của các ví nằm ở khả năng theo dõi dòng tiền theo thời gian. Bitcoin ghi lại giao dịch trên blockchain công khai, nên nhà phân tích có thể nhận diện khi số dư chuyển sang địa chỉ mới và liên kết các giao dịch với những dấu vết đã biết. Tuy vậy, mỗi lần chuyển tiếp có thể làm mạng lưới địa chỉ phức tạp hơn; tài sản còn có thể được hoán đổi sang token khác hoặc đi qua dịch vụ tài chính phi tập trung. FBI cùng các cơ quan phối hợp đã công bố hơn 600 địa chỉ Ethereum, gần 20 địa chỉ Bitcoin và một địa chỉ Solana liên quan, đồng thời kêu gọi các nền tảng và đơn vị trong hệ sinh thái chặn giao dịch từ những địa chỉ này. Cảnh báo đó cho thấy truy vết chỉ hiệu quả hơn khi các bên cùng hành động. Một địa chỉ bị gắn cờ vẫn có thể tồn tại, còn đường chuyển tiền có thể tiếp tục phân nhánh.
Khó khăn cốt lõi không phải là blockchain che giấu mọi giao dịch, mà là khoảng cách giữa quan sát và quyền can thiệp. Các nhà điều tra có thể theo dõi mọi chuyển động của số Bitcoin bị đánh cắp, nhưng việc có thể theo dõi thôi không đủ để họ có quyền chuyển nhượng số Bitcoin đó. Nếu tài sản chưa đi vào một sàn hoặc dịch vụ có thể phối hợp phong tỏa, việc gắn nhãn địa chỉ không tự động khóa được khóa riêng của chủ ví. Bởi vậy, 19 ví chưa động đến vừa là cơ hội cảnh báo sớm, vừa là lời nhắc rằng công khai dữ liệu không bảo đảm thu hồi. Giám sát giúp phát hiện thời điểm dòng tiền đổi hướng; để biến phát hiện thành hành động, cơ quan chức năng vẫn cần sự hợp tác của các bên nắm quyền kiểm soát hạ tầng liên quan.
Tác động đã tới người dùng, dù họ không phải gánh khoản mất mát
Vụ tấn công bắt đầu ngày 29/10, với cuộc điều tra sơ bộ của Binance cho rằng điểm xâm nhập có liên quan tới máy tính xách tay của một kỹ sư phần mềm bị tấn công. FBI công bố cáo buộc hai ngày sau đó, trong bối cảnh tài sản đã được chuyển đổi và nguy cơ rửa tiền vẫn còn. Người dùng không đứng ngoài hậu quả: vụ việc gây chấn động thị trường, khiến giá nhiều đồng tiền điện tử giảm trong phiên 30/10, còn Binance tạm ngừng rút tiền để bảo đảm an toàn hệ thống. Công ty cam kết bù đắp thiệt hại để khách hàng không phải chịu tổn thất tài chính. Dù vậy, lời cam kết không xóa được câu hỏi về an ninh vận hành: một điểm xâm nhập nội bộ có thể tạo ra hậu quả vượt xa một tài khoản cá nhân, buộc cả sàn lẫn khách hàng chờ xác minh và khôi phục dịch vụ.
Bối cảnh này khiến việc giám sát ví có ý nghĩa vượt khỏi mục tiêu tìm lại tài sản. Nếu các địa chỉ bị theo dõi phát sinh giao dịch, thông tin có thể giúp sàn, nhà phát hành tài sản số và đơn vị phân tích phản ứng trước khi tiền tiếp tục đổi dạng hoặc đi qua thêm trung gian. Nhưng không nên nhầm khả năng phát hiện với khả năng ngăn chặn: tin tặc Triều Tiên bị cáo buộc có thể đổi cách thức rửa tiền, còn các địa chỉ mới có thể xuất hiện trong quá trình phân tán. Theo dữ liệu do FBI công bố, phần lớn tài sản bị đánh cắp đã được đổi sang Ethereum. Đây là lý do các địa chỉ Bitcoin chưa dịch chuyển vẫn được canh chừng: chúng là một trong số ít phần của vụ việc còn có thể quan sát trực tiếp, không phải bằng chứng rằng việc thu hồi đã cận kề.
Theo dõi lâu dài vẫn cần thiết, nhưng không thể thay thế quyền thu hồi
Mười chín ví còn nguyên số dư không làm vụ hack Binance trở nên dễ giải quyết; chúng chỉ giữ lại một đường dây có thể kiểm tra liên tục. Nếu tiền chuyển đi, nhà điều tra có thể lần theo các giao dịch kế tiếp, đối chiếu địa chỉ mới và cảnh báo những nền tảng có khả năng tiếp nhận tài sản. Nếu tiền tiếp tục nằm yên, trạng thái đó vẫn giúp giới chức biết các khoản này chưa hòa vào luồng chuyển đổi đã quan sát. Cả hai kết quả đều có ích cho giám sát, nhưng không kết quả nào tự tạo ra quyền tịch thu. Phân quyền là ưu điểm của Bitcoin đối với người dùng hợp pháp, song cũng khiến cơ quan chức năng không thể yêu cầu một đơn vị trung tâm khóa mọi ví. Vì vậy, theo dõi lâu dài là cần thiết, nhưng kỳ vọng rằng chỉ nhìn thấy giao dịch sẽ lấy lại được tiền là không thực tế.
Điều đáng quan tâm nhất không chỉ là số Bitcoin còn nằm im, mà là khoảng cách giữa một dấu vết rõ ràng trên chuỗi và khả năng hành động ngoài đời. Các ví tiền điện tử có thể được quan sát, cảnh báo và nối với những giao dịch mới; quyền kiểm soát tài sản lại phụ thuộc vào khóa riêng và sự hợp tác của các trung gian nếu dòng tiền chạm tới họ. Bởi thế, việc theo dõi 19 địa chỉ là công việc bền bỉ chứ không phải màn kết thúc của cuộc điều tra. Nó có thể giúp nhà chức trách giám sát dòng tiền liên quan đến vụ hack, phát hiện bước dịch chuyển tiếp theo và phối hợp phản ứng. Nhưng muốn biến manh mối thành thu hồi, cần nhiều hơn dữ liệu blockchain: cần đầu mối pháp lý và sự phối hợp kịp thời giữa các bên liên quan.
