Vụ Binance: Tin tặc tẩu tán 6,3 tỷ USD tiền số qua THORChain và Wasabi Wallet bằng cách nào?

Sau vụ tấn công khiến Binance thiệt hại 6,3 tỷ USD, nhóm tin tặc đã chia nhỏ tài sản, luân chuyển qua hàng nghìn ví và nhiều nền tảng tiền mã hóa để che giấu nguồn gốc dòng tiền. Theo Chainalysis, công ty phân tích blockchain, chỉ vài phút sau vụ tấn công, số tiền bị đánh cắp đã được phân tán vào hơn 10.000 ví điện tử. Cách làm này khiến việc truy vết trở nên đặc biệt khó khăn.

Vụ việc diễn ra vào tuần trước. Ngoài quy mô thiệt hại, chiến dịch rửa tiền được triển khai ngay sau đó cũng thu hút sự chú ý. Các đối tượng tìm cách đưa tài sản qua nhiều hệ thống để né tránh cơ quan điều tra và các biện pháp phong tỏa từ doanh nghiệp trong ngành.

Chia nhỏ, chuyển chuỗi và trộn giao dịch: mạng lưới che dấu vết

Từ hàng nghìn ví ban đầu, nhóm tin tặc tiếp tục chuyển tài sản qua nhiều mạng blockchain và dịch vụ trộn giao dịch. Mạng lưới chồng chéo này làm các đơn vị truy vết khó lần theo dòng tiền.

Chỉ vài giờ sau vụ tấn công, khoảng một nửa số tài sản đã bị phong tỏa khi các tổ chức phát hành stablecoin như Tether và Circle chặn những ví liên quan. Tuy nhiên, theo các đơn vị chuyên truy vết blockchain, khoảng 3,3 tỷ USD vẫn nằm trong tay nhóm tin tặc.

THORChain: cầu nối giữa các blockchain và khoản phí hàng trăm nghìn USD

Một trong những nền tảng được sử dụng là THORChain, dịch vụ cho phép hoán đổi tiền mã hóa giữa các mạng blockchain khác nhau. Chainalysis cho biết trong 72 giờ sau vụ tấn công, THORChain đã xử lý hơn 46 triệu USD có nguồn gốc từ vụ đánh cắp. Nền tảng thu về hơn 200.000 USD phí giao dịch, khoản tiền được phân phối cho những người tham gia vận hành hệ thống.

THORChain không phải cái tên xa lạ trong các vụ đánh cắp lớn. Năm 2025, sau khi sàn Bybit tại Dubai bị lấy đi 1,5 tỷ USD, nhóm tin tặc đã thực hiện gần 1 tỷ USD giao dịch qua nền tảng này. Chainalysis ước tính những người vận hành THORChain thu về ít nhất 12 triệu USD phí từ hoạt động đó.

Wasabi Wallet và vai trò của một bên điều phối duy nhất

Một dịch vụ khác xuất hiện trong hành trình luân chuyển tài sản là Wasabi Wallet. Gần 4 triệu USD đã đi qua nền tảng này trong cùng khoảng thời gian. Dịch vụ hỗ trợ che giấu nguồn gốc tiền mã hóa khi tài sản được chuyển giữa các ví Bitcoin.

Cơ chế của Wasabi Wallet dựa vào một bên điều phối, chịu trách nhiệm tập hợp và xử lý giao dịch nhằm làm mờ dấu vết dòng tiền. Dữ liệu từ một nền tảng theo dõi cho thấy hiện chỉ có một đơn vị điều phối xử lý hơn 99% giao dịch trên hệ thống. Người đứng sau là một nhà phát triển người Mỹ dùng bí danh Kruw. Theo Chainalysis, thu nhập của người này từ việc điều phối chỉ ở mức không đáng kể.

Nền tảng	Chức năng	Số liệu trong vụ Binance
THORChain	Hoán đổi tiền mã hóa giữa các mạng blockchain	Hơn 46 triệu USD trong 72 giờ; hơn 200.000 USD phí giao dịch
Wasabi Wallet	Che giấu nguồn gốc tiền khi chuyển giữa các ví Bitcoin	Gần 4 triệu USD trong cùng khoảng thời gian

FBI lên tiếng, nhưng các dịch vụ vẫn hoạt động

Cuối tuần trước, Cục Điều tra Liên bang Mỹ (FBI) kêu gọi các dịch vụ tiền mã hóa ngăn chặn giao dịch liên quan đến vụ tấn công Binance và nêu đích danh một số người vận hành các nút mạng THORChain. Dù vậy, nền tảng này vẫn tiếp tục hoạt động, còn các ví liên quan đến vụ đánh cắp cũng vẫn dùng Wasabi Wallet.

Phi tập trung đến đâu thì được miễn trách nhiệm?

Các nhà phát triển THORChain và Wasabi Wallet cho rằng họ không thể hoặc không có nghĩa vụ can thiệp vào từng giao dịch. Trong một chương trình phát thanh trực tuyến hồi tháng 10, Chad Barraford, nhà đồng sáng lập THORChain, khẳng định hệ thống không được thiết kế để chặn riêng lẻ từng giao dịch hoặc ví. Trong khi tổ chức tài chính truyền thống phải giám sát và báo cáo giao dịch đáng ngờ, lĩnh vực tài chính phi tập trung hiện chưa chịu sự quản lý chặt chẽ tương tự.

Ở chiều ngược lại, Scott Armstrong, luật sư từng là công tố viên liên bang điều tra các vụ án tiền mã hóa, nhận định việc cung cấp công cụ giúp người dùng tránh bị truy vết sau các vụ tấn công dường như đã trở thành một phần hoạt động kinh doanh của một số dịch vụ. Về phần mình, Kruw từng giải thích việc duy trì dịch vụ bảo vệ quyền riêng tư xuất phát từ niềm tin vào tự do cá nhân và chủ nghĩa tư bản vô chính phủ.

Lập luận rằng nhà phát triển không thể kiểm soát giao dịch cũng làm dấy lên nghi vấn về mức độ phi tập trung thực sự. Giới điều tra và nhà đầu tư đặt câu hỏi liệu các hệ thống này có thật sự không chịu chi phối của một nhóm cá nhân. Tại Mỹ, các công tố viên từng truy tố người điều hành một số dịch vụ blockchain với cáo buộc cố ý hỗ trợ tội phạm rửa tiền, và một số vụ đã kết thúc bằng bản án kết tội.

Khóa quản trị gây tranh cãi và 111 nút mạng

Quyền kiểm soát THORChain từng là trọng tâm một vụ kiện năm 2025. Các nhà đầu tư của một nền tảng cho vay xây dựng trên THORChain khởi kiện hai nhà phát triển Chad Barraford và John-Paul Thorbjornsen, đặt nghi vấn về tính phi tập trung của hệ thống. Theo đơn kiện, cả hai từng có quyền sử dụng một khóa quản trị đặc biệt để can thiệp vào hoạt động nền tảng. Nguyên đơn cáo buộc ông Thorbjornsen dùng công cụ này để tìm cách ngăn hệ thống cho vay sụp đổ.

Ông Barraford bác bỏ các cáo buộc và không phản hồi yêu cầu bình luận của Wall Street Journal về việc THORChain bị dùng trong vụ tấn công Binance. Ông Thorbjornsen, cựu phi công không quân Australia, cho biết ông không còn trực tiếp tham gia vận hành. Theo ông, khóa quản trị gây tranh cãi đã bị loại bỏ, còn hệ thống hiện do 111 nút mạng của một số người chưa công bố danh tính vận hành.

Ông Thorbjornsen khẳng định THORChain có mức độ phi tập trung cao hơn đáng kể so với nhiều nền tảng khác. Ông cũng nhấn mạnh việc thu phí là hoạt động bình thường của các hệ thống blockchain khi có người sử dụng.