Hơn 106 triệu USD bị đánh cắp từ một tổ chức EU qua tài khoản CEX; hacker dùng ETH và Monero để rửa tiền

Tác giả: Shenchao TechFlow DeepChain Tóm tắt: Một vụ trộm lớn hiếm gặp lại xuất hiện trên bề mặt an ninh onchain. Ngày 2/11, nhà điều tra onchain nổi tiếng ZachXBT phát cảnh báo khẩn tới cộng đồng, cho biết một tổ chức được cho là của EU đã chịu tổn thất nghiêm trọng vào ngày 1/11: hơn 106 triệu USD tài sản tiền mã hóa bị rút trái phép khỏi các tài khoản tại nhiều sàn tập trung (CEX). Sau bước chuyển tiền đầu tiên, kẻ tấn công thể hiện kỹ thuật rửa tiền onchain nhanh và tinh vi trong 24 giờ qua. Khối lượng lớn stablecoin được nhanh chóng đổi sang Ethereum, sử dụng các sàn giao dịch tức thời không kiểm duyệt, định tuyến thanh khoản xuyên chuỗi và coin riêng tư Monero để tạo nhiều lớp xáo trộn, nhằm cắt đứt khả năng truy vết. Đáng chú ý hơn, dựa trên các đặc điểm hành vi rửa tiền đa chiều, ZachXBT có độ tin cậy cao rằng vụ việc không do nhóm hacker Triều Tiên khét tiếng thực hiện. Vụ cướp lớn, trải từ kiểm soát nội bộ của CEX tới mê cung hệ thống đa chuỗi phi tập trung, một lần nữa gióng cảnh báo đỏ cho phòng thủ lưu ký tài sản số cấp tổ chức và cho thấy sự tiến hóa nhanh của một mạng tội phạm chuyên nghiệp xuyên quốc gia mới. 106 triệu USD biến mất: tổ chức EU bất ngờ đối mặt lệnh rút lớn từ sàn Theo cảnh báo cộng đồng của ZachXBT, một pháp nhân đăng ký tại EU gặp sự cố an ninh đột ngột ngày 1/11. Kẻ tấn công đã rút trái phép hơn 106 triệu USD khỏi nhiều tài khoản lưu ký tại CEX đứng tên pháp nhân này. Hoạt động onchain cho thấy số tiền bị đánh cắp ban đầu được rút nhanh khỏi ví nóng của sàn dưới dạng stablecoin neo USD là USDC và USDT. Lượng lớn stablecoin nhanh chóng được phân tán tới 11 địa chỉ ví chính trong vụ trộm trong thời gian ngắn, cho thấy kẻ tấn công hiểu rõ quyền hạn tài khoản mục tiêu và quy tắc rút tiền. Danh tính cụ thể của tổ chức bị nhắm tới và chi tiết kiểm soát rủi ro của sàn đến nay chưa được công bố đầy đủ. Quy mô vụ việc lên tới hàng trăm triệu USD, trở thành một trong những sự cố an ninh cấp tổ chức lớn nhất được biết đến từ nửa cuối năm, gây chấn động mạnh tới lĩnh vực quản lý tài sản tiền mã hóa và tạo lập thanh khoản. Đổi ETH lấy Monero: định tuyến đa chuỗi dệt nên mê cung rửa tiền Sau khi kiểm soát được tiền, nhóm tấn công tiến hành rửa onchain mạnh mẽ trong 24 giờ qua. Để ngăn trước khả năng đóng băng địa chỉ onchain từ các nhà phát hành stablecoin Circle và Tether, hacker dồn đổi toàn bộ USDC sang ETH gốc qua các giao thức sàn phi tập trung. Mạng rửa tiền sau đó thâm nhập sâu vào các nền tảng xuyên chuỗi phi tập trung và sàn giao dịch tức thời. Kẻ tấn công nhanh chóng định tuyến tài sản qua các kênh giao dịch tức thời không KYC như WellWallet và Kyrrex, đồng thời dùng giao thức xuyên chuỗi như Wagyu để lặng lẽ chuyển lượng lớn tiền sang Monero (XMR), đồng tiền có tính ẩn danh cao. Ngoài việc đổi sang coin riêng tư, hacker còn nhiều lần nhảy tài sản xuyên chuỗi qua các mạng blockchain lớn, dùng cầu nối xuyên chuỗi không giám sát để chia nhỏ tiền thành các khoản siêu nhỏ. Mạng rửa tiền dạng lưới này làm tăng đáng kể chi phí phân tích cho hệ thống theo dõi AML onchain. Loại trừ Lazarus: chân dung một mạng tội phạm mạng chuyên nghiệp mới Trước đồn đoán nhóm hacker Triều Tiên đứng sau vụ việc, ZachXBT đưa ra bằng chứng kỹ thuật phản bác rất cụ thể. Ông nhấn mạnh rằng dựa trên mô hình chuyển tiền, lựa chọn kênh và nhiều lớp dấu hiệu rửa tiền, có độ tin cậy cao rằng vụ tấn công không do nhóm Lazarus được nhà nước bảo trợ thực hiện. Khác với các cầu nối xuyên chuỗi cố định và mô hình gom tiền đặc thù thường thấy của Lazarus, vụ việc này cho thấy việc khai thác mạnh các sàn giao dịch tức thời vừa và nhỏ cùng cách rút Monero nhanh hơn. Phương thức độc đáo này phù hợp hơn với đặc điểm của các nhóm tội phạm xuyên quốc gia chuyên nghiệp, có năng lực xâm nhập nội bộ. Phân tích này phơi bày thực tế nghiêm trọng hơn với ngành an ninh: ngoài các nhóm APT được nhà nước bảo trợ, mạng tội phạm mạng toàn cầu đang nhanh chóng tiếp nhận công cụ rửa tiền onchain tiên tiến. Các cụm tội phạm chuyên nghiệp có khả năng xâm nhập xuyên CEX và trộn lẫn xuyên chuỗi đang trở thành mối đe dọa hữu hình mà dòng vốn tổ chức không thể bỏ qua. Phòng thủ của sàn bị soi lại: điểm mù và cảnh báo trong lưu ký cấp tổ chức Vụ việc lớn này một lần nữa đưa an ninh tài khoản tổ chức trên CEX vào tâm điểm. Kẻ tấn công xuyên thủng hàng rào kiểm soát rủi ro giá trị cao của nhiều sàn lớn trong thời gian ngắn và rút liên tiếp 106 triệu USD, phơi bày giới hạn mong manh của hệ thống bảo mật truyền thống dựa trên khóa API hoặc thông tin xác thực. Với nhà đầu tư tổ chức nắm lượng lớn tài sản tiền mã hóa, chỉ lưu tài sản trong tài khoản giao dịch truyền thống khiến họ dễ đối diện tổn thất toàn bộ nếu hacker lợi dụng quyền hạn nhân viên nội bộ qua lừa đảo phishing hoặc kỹ thuật xã hội. Việc áp dụng tính toán đa bên (MPC) kết hợp phê duyệt trễ có khóa thời gian đã trở thành tiêu chuẩn tuyệt đối, không thể thương lượng. Hiện các hãng phân tích tuân thủ lớn đang phối hợp với các sàn toàn cầu để khẩn trương gắn cờ và chặn các giao dịch onchain liên quan 11 địa chỉ nằm trong danh sách đen. Phần lớn tiền đã biến mất vào màn che ẩn danh của Monero, khả năng thu hồi tổn thất trong vụ án quốc tế này sẽ trực tiếp kiểm tra giới hạn phối hợp tư pháp xuyên tổ chức toàn cầu trong ứng phó khẩn cấp.