Từ vụ Drift Protocol hack đến chiến dịch rửa tiền quy mô lớn
Drift Protocol hack là vụ tấn công nhắm vào một sàn phái sinh phi tập trung trên Solana, nơi hacker chuẩn bị trong nhiều tháng, giả danh tổ chức giao dịch chuyên nghiệp để chiếm quyền quản trị, cài tài sản giả và rút sạch thanh khoản, sau đó dùng Tornado Cash để che giấu nguồn gốc số ETH bị đánh cắp, làm dấy lên lo ngại nghiêm trọng về bảo mật tiền điện tử và nguy cơ rửa tiền trong toàn bộ hệ sinh thái. Vụ việc không chỉ là một cú sốc kỹ thuật, mà là lời cảnh báo rằng các nhóm tin tặc có tổ chức đang coi DeFi như “mỏ vàng” có thể khai thác lâu dài. Khi hơn 61 triệu USD giá trị ETH bị chuyển vào Tornado Cash trong vài giờ, thị trường phải đối mặt với câu hỏi khó: hệ sinh thái tiền điện tử đã sẵn sàng cho kiểu tấn công lai giữa kỹ thuật, xã hội và tài chính này hay chưa.
Tornado Cash rửa tiền: cách hacker Drift che giấu dòng ETH bị đánh cắp
Sau gần hai tháng im ắng, các ví liên quan đến Drift Protocol hack bất ngờ hoạt động trở lại, chuyển tổng cộng 25.700 ETH vào Tornado Cash trong khoảng hai giờ. Đây là công cụ trộn tiền mã hóa được dùng để che giấu dấu vết giao dịch trên blockchain, xáo trộn dòng nạp và rút để che mờ nguồn gốc tài sản. Các giao dịch được chia nhỏ thành từng lô 100 ETH xen kẽ một số khoản 10 ETH, đúng theo mệnh giá nạp cố định mà Tornado Cash hỗ trợ. Cách làm này cho phép hacker rút tài sản về các địa chỉ mới mà không để lộ liên hệ trực tiếp với ví ban đầu, biến việc truy vết bằng dữ liệu on-chain công khai trở nên khó khăn hơn nhiều. Theo các nền tảng phân tích, một địa chỉ gắn nhãn Drift Exploiter 5 đã gửi tiền vào hợp đồng mixer, trong khi tổng lượng ETH dịch chuyển trong ngày có thể lên tới 25.700 ETH. Đây là minh chứng sống động cho việc Tornado Cash đang bị dùng như công cụ che giấu nguồn gốc và đích đến của tiền điện tử bất hợp pháp.
Chiến dịch tấn công tinh vi: bảo mật tiền điện tử không còn là chuyện hợp đồng thông minh
Điều đáng sợ ở Drift Protocol hack không phải chỉ là số ETH bị đánh cắp, mà là cách tấn công được thiết kế như một chiến dịch xâm nhập dài hạn. Các nhà điều tra đánh giá đây không đơn thuần là khai thác lỗ hổng hợp đồng thông minh, mà dựa trên việc xây dựng quan hệ tin cậy, chiếm quyền truy cập nội bộ rồi chiếm đoạt tài sản. Nhóm hacker giả danh công ty giao dịch định lượng, gặp gỡ trực tiếp đội ngũ Drift, gửi 1 triệu USD vào nền tảng để tạo dựng uy tín trước khi chiếm quyền quản trị hệ thống vault và đưa token giả vào giao thức. Sau đó, chúng bị cáo buộc lợi dụng lỗ hổng ẩn trong Cursor và VS Code để xâm nhập thiết bị của một thành viên hội đồng an ninh và đánh cắp khóa quản trị. Cuộc điều tra của một công ty an ninh mạng đã xác định UNC6862, nhóm tin tặc có liên hệ với Triều Tiên, là bên đứng sau vụ tấn công. Câu chuyện này cho thấy bảo mật tiền điện tử giờ phải bao trùm từ công cụ phát triển, quy trình nội bộ đến quản trị cộng đồng, chứ không thể chỉ dừng ở việc audit hợp đồng.
Người dùng chịu thiệt: quỹ bồi thường chỉ mới bù được khoảng 1% tổn thất
Trong khi hàng chục nghìn ETH vẫn nằm trong tay hacker, người dùng Drift lại đang gánh hậu quả trực tiếp. Nền tảng đã khởi động chương trình phân phối token DFX từ ngày 01/10, với mỗi người dùng được phân bổ 1 DFX cho mỗi 1 USDT thiệt hại đã được xác minh, tổng cộng khoảng 299,5 triệu DFX dành cho chương trình. Tuy nhiên, tại thời điểm công bố, quỹ bồi thường chỉ có khoảng 3,1 triệu USDT, tương đương khả năng thu hồi khoảng 1% số tiền đã mất từ nguồn quỹ ban đầu. Việc dòng tiền tiếp tục được luân chuyển qua Tornado Cash càng làm triển vọng thu hồi tài sản của nạn nhân thêm ảm đạm. Nền tảng đã tái khởi động hoạt động giao dịch, đổi tên thành Velocity và cam kết trích 60–90% doanh thu ròng hằng ngày vào quỹ, đồng thời cho biết sẽ tiếp tục dùng doanh thu tương lai để bổ sung nguồn bồi thường. Nhưng khi hacker vẫn nắm giữ khoảng 81.454 ETH cùng nhiều tài sản khác, khoảng cách giữa thiệt hại thực tế và khả năng bù đắp vẫn là nỗi đau dài hạn cho cộng đồng.
Hệ sinh thái tiền điện tử cần gì sau cú sốc Tornado Cash rửa tiền?
Việc hàng chục nghìn ETH bị đánh cắp từ Drift Protocol hack chảy vào Tornado Cash không chỉ là câu chuyện của một dự án, mà là phép thử cho toàn bộ hệ sinh thái tiền điện tử. Khi mixer được dùng để xóa dấu vết, cơ quan thực thi pháp luật khó phong tỏa và thu hồi tài sản, còn nhà đầu tư nhỏ lẻ gần như bất lực trước rủi ro rửa tiền và xả hàng quy mô lớn. Điều này đặt ra ba yêu cầu cấp bách: các dự án DeFi phải nâng chuẩn bảo mật tiền điện tử, từ công cụ phát triển đến quản trị nội bộ; cộng đồng cần nhìn thẳng vào rủi ro pháp lý của việc dùng công cụ trộn tiền; và nhà làm luật phải xây dựng khung giám sát phù hợp với đặc thù on-chain, thay vì chỉ phản ứng sau mỗi vụ hack. Nếu hệ sinh thái tiếp tục chấp nhận việc Tornado Cash rửa tiền như “chuyện bình thường”, thì mỗi người dùng DeFi đang mặc định chấp nhận rằng tài sản của mình có thể biến mất chỉ trong vài phút, và cơ hội lấy lại gần như bằng không.
