Vụ tấn công vào sàn giao dịch tiền mã hóa Nobitex của Iran vào ngày 18/6/2025 là một trong những sự kiện nổi bật trong bối cảnh xung đột số giữa Iran và Israel, với nhóm hacker “Predatory Sparrow” (Gonjeshke Darande) tự nhận trách nhiệm.[^elliptic] Dưới đây là chi tiết mở rộng về vụ việc, bao gồm bối cảnh, diễn biến, tác động, và ý nghĩa địa chính trị:

## 1. Bối cảnh vụ tấn công

- **Nobitex và vai trò trong nền kinh tế Iran**: Nobitex là sàn giao dịch tiền mã hóa lớn nhất Iran, tuyên bố có hơn 7-10 triệu người dùng.[^nguoidung] Đây là nền tảng quan trọng giúp Iran vượt qua các lệnh trừng phạt quốc tế, chuyển đổi tài sản nội địa thành tài sản toàn cầu, và hỗ trợ các giao dịch tài chính trong bối cảnh hệ thống ngân hàng truyền thống bị hạn chế. Các báo cáo từ Elliptic và Chainalysis cho thấy Nobitex có liên kết với Vệ binh Cách mạng Hồi giáo (IRGC), các nhóm như Hamas, Houthi, và Palestinian Islamic Jihad, cũng như các hoạt động ransomware bị trừng phạt.[^lienket]

- **Xung đột Israel-Iran**: Vụ tấn công diễn ra trong bối cảnh căng thẳng quân sự leo thang giữa Israel và Iran, với các cuộc không kích và đáp trả bằng tên lửa từ ngày 13/6/2025. Predatory Sparrow, được cho là có liên hệ với tình báo Israel (dù chưa có xác nhận chính thức), đã thực hiện các cuộc tấn công mạng nhằm vào cơ sở hạ tầng tài chính của Iran, bao gồm Ngân hàng Sepah thuộc IRGC một ngày trước đó (17/6/2025).[^sepah]

- **Predatory Sparrow**: Nhóm hacker này, xuất hiện từ năm 2021, nổi tiếng với các cuộc tấn công phá hoại nhằm vào cơ sở hạ tầng Iran, như hệ thống trạm xăng (2021), nhà máy thép, và gần đây là Ngân hàng Sepah.[^lichsu] Họ thường để lại các thông điệp chống IRGC và nhắm vào các mục tiêu được cho là hỗ trợ tài trợ khủng bố hoặc né trừng phạt.

## 2. Diễn biến vụ tấn công

- **Thời điểm và quy mô**: Vụ tấn công bắt đầu khoảng 6:00 sáng giờ Iran (28/3/1404 theo lịch Iran) ngày 18/6/2025. Hacker đã khai thác lỗ hổng kiểm soát truy cập (access control failures) để xâm nhập hệ thống nội bộ và rút hơn 90 triệu USD từ các ví nóng của Nobitex trên nhiều blockchain, bao gồm:

  - 49,3 triệu USD trên mạng TRON.

  - 24,3 triệu USD trên các chuỗi tương thích EVM (Ethereum Virtual Machine).

  - 2 triệu USD Bitcoin.

  - 6,7 triệu USD Dogecoin.[^chuoi]

  - Ngoài ra còn có Ethereum, Ripple, Solana, TON, và hơn 20 token khác.

- **Phương thức tấn công**: Hacker sử dụng các địa chỉ ví “vanity” (địa chỉ tùy chỉnh) chứa thông điệp khiêu khích như “TKFuckiRGCTerroristsNoBiTEXy2r7mNX” và “0xffFFfFFffFFffFfFffFFfFfFfFFFFfFfFFFFDead”.[^vanity] Những địa chỉ này được tạo mà không có khóa riêng (private key) hoặc khóa bị hủy, khiến số tiền bị “đốt” (burned), tức là không thể truy cập hay sử dụng.[^dot] Đây là hành động mang tính biểu tượng, nhằm phá hoại hơn là trục lợi tài chính.

- **Thông điệp chính trị**: Predatory Sparrow cáo buộc Nobitex là công cụ trọng yếu của chính quyền Iran để tài trợ khủng bố toàn cầu và né tránh trừng phạt. Họ đe dọa công bố mã nguồn và dữ liệu nội bộ của Nobitex trong vòng 24 giờ,[^madoc] đồng thời cảnh báo người dùng rút tài sản khỏi sàn để tránh rủi ro.

- **Phản ứng của Nobitex**:

  - Sàn ngay lập tức xác nhận vụ “xâm nhập trái phép” vào ví nóng và hệ thống thông báo, tạm ngừng mọi truy cập và đưa website cùng ứng dụng ngoại tuyến để điều tra. Các bài đăng của Nobitex trên X ([@nobitexmarket](https://x.com/nobitexmarket)) cập nhật phản ứng của sàn nhưng không tiết lộ chi tiết về thiệt hại hoặc nguyên nhân.

  - Nobitex cam kết bồi thường toàn bộ thiệt hại bằng quỹ bảo hiểm và nguồn lực nội bộ, đồng thời khẳng định tài sản trong ví lạnh (cold wallets) vẫn an toàn.[^nobitex]

  - Họ hợp tác với Cảnh sát Không gian mạng Iran (FATA) và các cơ quan khác để truy tìm tài sản bị đánh cắp, đồng thời chuyển các ví nóng sang ví lạnh mới để tăng cường bảo mật.

## 3. Tác động tức thời

- **Tài chính**: Tổng thiệt hại ước tính từ 81,7 triệu USD (theo ZachXBT) đến hơn 90 triệu USD (theo Elliptic, Chainalysis, TRM Labs).[^uoctinh][^trm] Giá trị ví gắn nhãn Nobitex trên nền tảng phân tích Arkham giảm 90%, từ 1,8 tỷ USD (16/6) xuống 96 triệu USD (18/6).[^arkham]

- **Hạ tầng kỹ thuật số Iran**: Vụ tấn công gây gián đoạn lớn cho hệ thống tài chính số của Iran. Website và ứng dụng Nobitex ngừng hoạt động, ảnh hưởng đến hàng triệu người dùng. Một số báo cáo ghi nhận tình trạng mất kết nối internet gần như hoàn toàn tại Iran, với lưu lượng mạng giảm 98% so với tuần trước, theo Cloudflare.[^internet]

- **Người dùng thường**: Dù Predatory Sparrow tuyên bố nhắm vào IRGC, nhiều người dân Iran phụ thuộc vào Nobitex để bảo vệ tài sản trước lạm phát và trừng phạt. Vụ tấn công gây thiệt hại cho các nhà đầu tư cá nhân, làm gia tăng hoảng loạn trong bối cảnh chiến tranh.

- **Phản ứng của chính phủ Iran**: Ngân hàng Trung ương Iran áp đặt lệnh giới nghiêm hoạt động cho các sàn giao dịch tiền mã hóa trong nước, giới hạn giờ giao dịch từ 10:00 sáng đến 8:00 tối, nhằm kiểm soát rủi ro hệ thống và ổn định thị trường.[^gioinghiem]

## 4. Ý nghĩa địa chính trị và chiến tranh mạng

- **Chiến tranh số Israel-Iran**: Vụ tấn công đánh dấu sự chuyển dịch từ các cuộc tấn công vật lý sang chiến trường blockchain, nơi các ví tiền mã hóa trở thành mục tiêu chiến lược. Predatory Sparrow tận dụng công nghệ blockchain để gửi thông điệp công khai qua các địa chỉ ví, biến vụ hack thành một hành động tuyên truyền.

- **Tấn công phá hoại hơn là trục lợi**: Việc “đốt” 90 triệu USD thay vì chuyển tiền cho thấy mục tiêu chính là làm suy yếu nền kinh tế số của Iran, đặc biệt là các cơ quan như IRGC, vốn bị cáo buộc sử dụng Nobitex để rửa tiền và tài trợ các nhóm vũ trang.

- **Tác động đến thị trường crypto toàn cầu**: Vụ việc nằm trong chuỗi 18 vụ hack lớn trong năm 2025, với tổng thiệt hại toàn ngành vượt 2,1 tỷ USD, chủ yếu do lỗi ví, quản lý khóa, và lừa đảo kỹ thuật xã hội.[^certik] Nó nhấn mạnh rủi ro bảo mật của các ví nóng và vai trò ngày càng lớn của tiền mã hóa trong các xung đột địa chính trị.

- **Câu hỏi về Predatory Sparrow**: Dù không có bằng chứng trực tiếp liên kết nhóm này với Israel, nhiều nhà phân tích cho rằng Predatory Sparrow mang dấu hiệu của một nhóm được nhà nước hậu thuẫn, có thể thuộc đơn vị tình báo mạng Israel như Unit 8200. Các hành động của họ thường trùng hợp với các sự kiện địa chính trị, củng cố giả thuyết này.[^danhtinh]

## 5. Phân tích kỹ thuật và bảo mật

- **Lỗ hổng bảo mật**: Theo Cyvers, vụ tấn công xuất phát từ lỗi kiểm soát truy cập, cho phép hacker xâm nhập hệ thống nội bộ và rút tiền từ ví nóng trên nhiều blockchain. Điều đáng chú ý là số tiền bị đánh cắp vẫn chưa được di chuyển khỏi các ví ban đầu, cho thấy ý định phá hoại hơn là trục lợi.[^cyvers]

- **“Đốt” tiền trên blockchain**: Các địa chỉ ví vanity như “F\*ckIRGCTerrorists” chứa chuỗi ký tự dài đến mức việc tìm khóa riêng tương ứng đòi hỏi chi phí tính toán khổng lồ, bất khả thi với công nghệ hiện tại; vì vậy nhiều khả năng không ai nắm khóa riêng của các địa chỉ này và số tiền gửi vào coi như bị đốt vĩnh viễn.[^vanitykhoa] Điều này cho thấy ý đồ phá hoại có chủ đích của nhóm hacker, đồng thời là một hình thức phá hoại tài chính độc đáo.

- **Khả năng phục hồi**: Một số nhà phân tích, như Yehor Rudytsia (Hacken), cho rằng chỉ có thể khôi phục một phần tài sản nếu công ty phát hành stablecoin (Tether, đơn vị phát hành USDT) tái phát hành 55 triệu USD stablecoin bị đánh cắp.[^hacken] Tuy nhiên, điều này khó xảy ra: USDT do Tether phát hành tập trung, việc đóng băng hay tái phát hành hoàn toàn phụ thuộc vào quyết định của công ty này, không phải điều blockchain tự xử lý được.

## 6. Phản ứng và triển vọng tương lai

- **Từ Nobitex**: Sàn đang nỗ lực khôi phục dịch vụ, tăng cường bảo mật, và cam kết bồi thường. Tuy nhiên, việc website và ứng dụng vẫn ngoại tuyến (tính đến 19/6/2025) cho thấy thách thức lớn trong việc khắc phục.

- **Từ cộng đồng quốc tế**: Các công ty phân tích blockchain như Elliptic, Chainalysis, và TRM Labs đang theo dõi chặt chẽ các luồng tài sản liên quan đến Iran, cập nhật công cụ tuân thủ để phát hiện rủi ro tài trợ khủng bố và né trừng phạt.

- **Tác động dài hạn**:

  - Iran có thể tăng cường cách ly mạng (internet isolation) để bảo vệ cơ sở hạ tầng số, nhưng điều này có thể làm giảm khả năng tiếp cận tài chính toàn cầu của người dân.

  - Các sàn giao dịch tiền mã hóa trên toàn cầu sẽ phải xem xét lại bảo mật ví nóng, đặc biệt khi chúng trở thành mục tiêu trong các cuộc chiến tranh mạng.

  - Vụ việc có thể thúc đẩy các quy định quốc tế chặt chẽ hơn về tiền mã hóa, đặc biệt liên quan đến các sàn giao dịch bị cáo buộc hỗ trợ né trừng phạt.

## Kết luận

Vụ tấn công Nobitex là một cột mốc quan trọng trong chiến tranh mạng hiện đại, cho thấy tiền mã hóa không chỉ là công cụ tài chính mà còn là vũ khí trong các cuộc xung đột địa chính trị. Với hơn 90 triệu USD bị “đốt” và thông điệp chống IRGC được ghi trực tiếp trên blockchain, Predatory Sparrow đã biến vụ hack thành một tuyên ngôn chính trị mạnh mẽ. Trong khi Nobitex cố gắng khắc phục và Iran tìm cách ổn định nền kinh tế số, vụ việc này sẽ tiếp tục để lại dư âm lớn, cả về mặt kỹ thuật lẫn chính trị.

---

*Đính chính (21/10/2026): bản trước viết các địa chỉ vanity “được tạo ra với chi phí tính toán khổng lồ”, cho thấy “nguồn lực lớn” của nhóm hacker; thực tế, theo Elliptic, chính vì không thể tìm khóa riêng cho các địa chỉ này nên số tiền coi như bị đốt, nay sửa cho khớp. Bản trước cho rằng USDT khó được tái phát hành “do bản chất phi tập trung của blockchain”; USDT do Tether phát hành tập trung, nay sửa lại. Bỏ mục “Nguồn thông tin và lưu ý”, chuyển nguồn vào chú thích. Bỏ tên Rafe Pilling (Sophos) vì chưa tìm được nguồn gốc nhận định; giữ ý chung của giới phân tích.*

*Bài viết đăng lần đầu trên [Substack](https://phdtrung.substack.com/p/nobitex-san-giao-dich-cryoto-cua) ngày 19/06/2025.*

[^elliptic]: Theo [Elliptic, 18/6/2025](https://www.elliptic.co/blog/iranian-crypto-exchange-nobitex-hacked-pro-israel-group): hơn 90 triệu USD đã bị chuyển từ ví Nobitex sang địa chỉ của hacker; Predatory Sparrow nhận trách nhiệm, nhưng Elliptic lưu ý chưa có xác nhận độc lập rằng chính nhóm này đã chuyển số tiền.
[^nguoidung]: Con số do Nobitex tự công bố (“hơn 7 triệu người dùng”), theo [Elliptic](https://www.elliptic.co/blog/iranian-crypto-exchange-nobitex-hacked-pro-israel-group).
[^lienket]: [Elliptic](https://www.elliptic.co/blog/iranian-crypto-exchange-nobitex-hacked-pro-israel-group) dẫn giao dịch on-chain giữa Nobitex và địa chỉ của hai cá nhân bị OFAC trừng phạt tháng 9/2022 vì phát tán ransomware, các ví liên quan Hamas, Palestinian Islamic Jihad và Houthi; các điều tra nguồn mở còn liên hệ Nobitex với đối tác kinh doanh có quan hệ với IRGC.
[^sepah]: Theo [CyberScoop, 18/6/2025](https://cyberscoop.com/iran-nobitex-cyberattack-predatory-sparrow/), chưa đầy 24 giờ trước vụ Nobitex, nhóm này nhận đã tấn công ngân hàng nhà nước Sepah, gây gián đoạn dịch vụ.
[^lichsu]: Nhóm từng nhận trách nhiệm các vụ tấn công đường sắt quốc gia và hệ thống trạm xăng Iran năm 2021 ([Security Affairs, 18/12/2023](https://securityaffairs.com/156065/hacking/pro-israel-predatory-sparrow-iran-fuel-stations.html)); ngày 27/6/2022, nhóm nhận đã tấn công ba công ty thép nhà nước, khiến Khuzestan Steel phải dừng sản xuất ([RFE/RL, 27/6/2022](https://www.rferl.org/a/iran-khuzestan-steel-cyberattack-halts-production/31916878.html)).
[^dot]: Elliptic nhận định nhóm tấn công nhiều khả năng không nắm khóa riêng của các địa chỉ “vanity” chứa biến thể cụm “F\*ckIRGCterrorists”, nên số tiền coi như bị đốt ([Elliptic](https://www.elliptic.co/blog/iranian-crypto-exchange-nobitex-hacked-pro-israel-group); [CyberScoop](https://cyberscoop.com/iran-nobitex-cyberattack-predatory-sparrow/)).
[^madoc]: Nhóm đe dọa công bố mã nguồn và thông tin mạng nội bộ của Nobitex trước sáng thứ Năm (19/6/2025), theo [CyberScoop](https://cyberscoop.com/iran-nobitex-cyberattack-predatory-sparrow/).
[^nobitex]: Thông báo của Nobitex ngày 18/6/2025, theo [crypto.news](https://crypto.news/iran-crypto-exchange-nobitex-hacked-israel-hackers-2025/): phát hiện truy cập trái phép vào hạ tầng ví nóng và báo cáo, cam kết bồi thường toàn bộ bằng quỹ bảo hiểm và nguồn lực nội bộ; tài sản trong ví lạnh an toàn.
[^uoctinh]: ZachXBT ước tính khoảng 81,7 triệu USD, theo [crypto.news](https://crypto.news/iran-crypto-exchange-nobitex-hacked-israel-hackers-2025/); [Elliptic](https://www.elliptic.co/blog/iranian-crypto-exchange-nobitex-hacked-pro-israel-group) xác định hơn 90 triệu USD; [Cointelegraph, 19/6/2025](https://cointelegraph.com/news/iran-crypto-curfew-nobitex-100m-hack) dẫn ước tính ít nhất 100 triệu USD.
[^internet]: [Cloudflare](https://blog.cloudflare.com/q2-2025-internet-disruption-summary/) ghi nhận lưu lượng Internet của Iran mất gần như hoàn toàn từ 12:50 UTC ngày 18/6/2025, phục hồi một phần từ ngày 21/6 và trở lại bình thường ngày 25/6/2025; báo cáo không nêu tỷ lệ phần trăm cụ thể.
[^gioinghiem]: Theo [Cointelegraph, 19/6/2025](https://cointelegraph.com/news/iran-crypto-curfew-nobitex-100m-hack), dẫn các báo cáo được Chainalysis trích: các sàn trong nước chỉ được hoạt động từ 10:00 đến 20:00; biện pháp được cho là do ngân hàng trung ương Iran áp đặt.
[^chuoi]: Theo [Decrypt, 18/6/2025](https://decrypt.co/325757/pro-israel-hacker-group-drains-burns-90-million-from-iranian-bitcoin-exchange), dẫn công ty bảo mật Cyvers: 49,3 triệu USD trên Tron, 24,3 triệu USD trên các chuỗi tương thích EVM, 2 triệu USD Bitcoin và 6,7 triệu USD Dogecoin; vụ việc do “lỗi kiểm soát truy cập” (access control failures).
[^vanity]: Theo [Cointelegraph, 18/6/2025](https://cointelegraph.com/news/iranian-crypto-exchange-nobitex-exploited-for-73m-zachxbt): 49 triệu USD đầu tiên bị rút qua địa chỉ “TKFuckiRGCTerroristsNoBiTEXy2r7mNX”, địa chỉ thứ hai là “0xffFFfFFffFFffFfFffFFfFfFfFFFFfFfFFFFDead”.
[^arkham]: Theo [Cointelegraph, 18/6/2025](https://cointelegraph.com/news/iranian-crypto-exchange-nobitex-exploited-for-73m-zachxbt), dẫn dữ liệu Arkham: tổng giá trị trong ví gắn nhãn Nobitex giảm hơn 90%, từ hơn 1,8 tỷ USD (16/6) xuống 96 triệu USD (18/6). Cyvers lưu ý Nobitex thường xuyên chuyển ví nóng, nên số liệu này có thể không phản ánh đầy đủ thiệt hại.
[^trm]: [TRM Labs, 18/6/2025](https://www.trmlabs.com/resources/blog/irans-largest-crypto-exchange-targeted-in-90m-hack): gần 90 triệu USD bị lấy trên TRON, Ethereum và Bitcoin; Gonjeshke Darande (Predatory Sparrow), nhóm có liên hệ được nêu với Israel, nhận trách nhiệm.
[^vanitykhoa]: Elliptic nhận định việc tạo các địa chỉ vanity dài như vậy kèm khóa riêng là bất khả thi về tính toán, nên nhóm tấn công nhiều khả năng không nắm khóa ([Elliptic](https://www.elliptic.co/blog/iranian-crypto-exchange-nobitex-hacked-pro-israel-group)).
[^danhtinh]: Ghi chú: danh tính thực sự của Predatory Sparrow và chi tiết kỹ thuật của lỗ hổng chưa được xác minh độc lập; [Elliptic](https://www.elliptic.co/blog/iranian-crypto-exchange-nobitex-hacked-pro-israel-group) lưu ý chưa có xác nhận độc lập rằng chính nhóm này đã chuyển số tiền.
[^certik]: Theo [Cointelegraph, 18/6/2025](https://cointelegraph.com/news/iranian-crypto-exchange-nobitex-exploited-for-73m-zachxbt), dẫn CertiK: hơn 2,1 tỷ USD tài sản số bị đánh cắp từ đầu năm 2025, phần lớn do xâm phạm ví, quản lý khóa kém và sự cố vận hành; lừa đảo kỹ thuật xã hội ngày càng phổ biến. Nguồn không nêu con số 18 vụ.
[^cyvers]: Hakan Unal (Cyvers) nói vụ tấn công xuất phát từ lỗi nghiêm trọng trong kiểm soát truy cập, cho phép xâm nhập hệ thống nội bộ và rút tiền từ ví nóng trên nhiều blockchain, và số tiền bị đánh cắp vẫn chưa di chuyển, theo [Cointelegraph, 18/6/2025](https://cointelegraph.com/news/iranian-crypto-exchange-nobitex-exploited-for-73m-zachxbt) và [Decrypt](https://decrypt.co/325757/pro-israel-hacker-group-drains-burns-90-million-from-iranian-bitcoin-exchange).
[^hacken]: Yehor Rudytsia (Hacken) nói với [Cointelegraph, 18/6/2025](https://cointelegraph.com/news/iranian-crypto-exchange-nobitex-exploited-for-73m-zachxbt) rằng vụ việc là “một tuyên bố chính trị hơn là một vụ trộm vì tiền”; khả năng thu hồi một phần duy nhất là nếu USDT tái phát hành 55 triệu USD stablecoin bị đánh cắp.