Một mạng lưới được dựng để gây nhiễu
Rửa tiền crypto là quá trình làm cho tài sản có nguồn gốc bất hợp pháp khó bị nhận diện bằng cách chia nhỏ, chuyển qua nhiều địa chỉ và sử dụng các dịch vụ tài chính khác nhau. Sau vụ hack Binance ngày 29/10, quy mô và tốc độ của quá trình này nổi bật hơn cả: Elliptic cho biết tài sản bị đánh cắp đã đi qua khoảng 12.000 ví tiền mã hóa trên 11 blockchain trong chưa đầy bốn ngày, qua hơn 40.000 giao dịch. Đây không phải dòng tiền đơn giản chạy từ ví này sang ví khác. Nó là một mạng lưới có vẻ được tự động hóa, nơi luồng chuyển lặp lại khiến nhà điều tra phải phân biệt hoạt động có ý nghĩa với nhiễu. Binance cho biết vụ việc bắt đầu từ máy tính xách tay bị xâm nhập của một kỹ sư DevOps, qua đó kẻ tấn công tiếp cận được hệ thống có quyền gửi lệnh rút tiền. Báo cáo sau đó cho biết có thêm điểm xâm nhập và biện pháp phê duyệt cũng bị vượt qua.
Chia nhỏ, quay vòng, rồi đổi đường
Thủ thuật đáng chú ý không chỉ nằm ở số lượng địa chỉ mà còn ở cách chúng được sử dụng. Chainalysis phát hiện các giao dịch chuyển qua lại giữa những địa chỉ, có lần quay về ví từng dùng; nhiều địa chỉ trên TRON còn nhận đúng 1 TRX làm phí trước khi chuyển tiếp số dư lớn hơn. Trên mạng này, 638 triệu TRX tạo thành 2,12 tỷ TRX lượt luân chuyển qua 2.575 ví và 14.166 giao dịch. Phần lớn vòng chuyển không đồng nghĩa với tiền đã thoát khỏi hệ thống, nhưng làm tăng khối lượng dữ liệu mà đội truy vết blockchain phải sàng lọc. Elliptic ghi nhận nhịp hoạt động tương đương một ví mới mỗi 25 giây, đồng thời nhận định đây là tự động hóa bằng phần mềm thông thường, không phải bằng chứng về tác nhân AI. Tốc độ ấy cho thấy ưu thế của kẻ tấn công nằm ở khả năng tạo nhiều nhánh cùng lúc.
DeFi làm mờ liên kết trực tiếp
Các giao thức tài chính phi tập trung mở thêm một lớp che dấu: kẻ tấn công có thể gửi tài sản vào kho cho vay rồi rút sang địa chỉ khác, thay vì chuyển thẳng giữa hai ví. Theo Elliptic, những hợp đồng này nhận tiền gửi và xử lý rút tiền, tạo khoảng cách giữa địa chỉ nạp và địa chỉ nhận. Cùng lúc, các sàn phi tập trung và dịch vụ hoán đổi liên chuỗi giúp đổi tài sản hoặc chuyển hoạt động sang mạng khác. Chainalysis mô tả cách phối hợp các giao thức, hàng nghìn ví và luồng giao dịch là kiểu rửa tiền chưa từng thấy, bởi nó gây khó cho cả truy vết lẫn phong tỏa. Nhận định này không có nghĩa mọi dấu vết đều biến mất: dữ liệu giao dịch vẫn tồn tại, nhưng việc nối các mảnh thành một dòng tiền đáng tin cậy đòi hỏi đối chiếu nhiều mạng và loại bỏ những vòng lặp đánh lạc hướng.
Khả năng phong tỏa có giới hạn
Vụ việc phơi bày khác biệt quan trọng giữa tài sản có tổ chức phát hành và tài sản gốc trên blockchain. Stablecoin có thể bị đơn vị phát hành đóng băng; còn ETH, BTC, XRP, SOL và TRX không có một tổ chức phát hành duy nhất có thể khóa chúng từ xa. Theo số liệu được công bố ngày 1/11, một phần tài sản đã bị phong tỏa, trong khi hàng tỷ USD giá trị tài sản gốc vẫn nằm trong các địa chỉ liên quan; khoảng 63–67 triệu USD đã ra khỏi tầm theo dõi, chủ yếu qua hoán đổi liên chuỗi từ TRON. Những con số này cho thấy truy vết blockchain không đồng nghĩa với thu hồi: nhà phân tích có thể nhận diện luồng tiền mà không có quyền ngăn mọi giao dịch. Binance cho biết đã dùng vốn riêng bù đắp 95% tài sản bị mất, mở lại rút tiền từng đợt trên 15 mạng và dự kiến công bố báo cáo bằng chứng dự trữ ngày 3/11. Elliptic dự báo nỗ lực rút tiền qua môi giới ngoài sàn có thể tiếp diễn trong những tháng tới.
Truy vết cần vượt khỏi việc đếm ví
Bài học của vụ hack Binance không phải là ví càng nhiều thì tiền càng vô hình. Thách thức là nhận ra giao dịch nào chỉ tạo vòng lặp, giao dịch nào chuyển tài sản sang giao thức khác, và điểm nào dòng tiền thực sự rời khỏi phạm vi giám sát. Chainalysis gọi phương thức này chưa từng thấy; Elliptic cung cấp bức tranh định lượng về tốc độ, số ví và số blockchain. Hai góc nhìn bổ sung cho nhau: một bên nhấn mạnh tính mới của chiến thuật, bên kia cho thấy quy mô dữ liệu cần phân tích. Nhưng khả năng phát hiện không thể thay thế cơ chế phối hợp phong tỏa giữa các nền tảng, giao thức và đơn vị phát hành. Kết luận là rõ ràng: công cụ truy vết cần theo dõi đồng thời nhiều chuỗi và hành vi tự động, còn việc ngăn tiền bị rút đi vẫn phụ thuộc vào tốc độ phản ứng và quyền kiểm soát tài sản.
