Vì sao FBI, TRM và Chainalysis cùng quy vụ Binance cho Triều Tiên?

Ở bài trước, tôi ghi nhận rằng đến lúc chốt bài, chưa có cơ quan điều tra nào quy kết vụ Binance. Ngày 31/10 theo giờ Mỹ, FBI đã lên tiếng. Theo FBI, Triều Tiên chịu trách nhiệm cho vụ lấy hơn 6 tỷ USD tài sản ảo ngày 29/10, và cơ quan này gọi hoạt động đó là TraderTraitor.¹

Như vậy đã có bốn tổ chức cùng nêu một cái tên. Nhưng mỗi bên dựa vào một loại bằng chứng khác nhau, và phần người ngoài có thể tự kiểm lại ít hơn nhiều so với độ chắc chắn của các tuyên bố. Bài này tách ba loại bằng chứng đó, kèm hai sơ đồ: kẻ tấn công đã vào bằng cách nào, và dòng tiền đang được rửa ra sao. Thông tin chốt lúc 10:30 ngày 01/11/2026, giờ Việt Nam.

Ai đã quy kết, dựa vào đâu

Không bên nào công bố đầy đủ lập luận. Phần ai cũng kiểm lại được là dữ liệu trên chuỗi. Phần còn lại phụ thuộc vào uy tín và nguồn tin của từng bên.

Elliptic và ChainTracer thận trọng hơn

Elliptic chỉ dùng chữ “có khả năng”, và tự nêu hai điểm yếu trong lập luận của mình. Thứ nhất, lượng tiền hòa chung với vụ Bitget còn nhỏ. Thứ hai, kẻ tấn công đổi stablecoin khá chậm, đủ để đơn vị phát hành kịp phong tỏa, trong khi các nhóm gắn với Triều Tiên thường hành động nhanh hơn.⁴ Bản cập nhật cuối của Elliptic có trước tuyên bố của FBI.

ChainTracer, dự án truy vết của Hiệp hội Blockchain và Tài sản số Việt Nam, công bố báo cáo sáng 30/10 và ghi rằng danh tính, vị trí của những người đứng sau vẫn chưa được xác định.⁵ Báo cáo không giải thích vì sao không quy kết. Theo tôi, lý do rõ nhất nằm ở thời điểm: số liệu được chốt lúc 00:35 UTC, khoảng bốn giờ trước khi bằng chứng mạnh nhất xuất hiện. Nhóm cũng cho biết chưa đủ dữ liệu để tự kiểm chứng dòng tiền trên Bitcoin và Tron. Đây là suy luận của tôi, không phải giải thích của ChainTracer.

Bằng chứng thứ nhất: hai dòng tiền gặp nhau

Khoảng 04:06 UTC ngày 30/10, nhà điều tra độc lập ZachXBT ghi nhận tiền từ vụ Binance và tiền từ vụ Bitget (khoảng 387,5 triệu USD, ngày 24/9/2026) cùng đổ về địa chỉ 0x1510…feb7 trên Ethereum, sau khi đi qua THORChain.⁶ Vụ Bitget trước đó đã được Chainalysis và Elliptic quy cho Triều Tiên. Chainalysis theo dõi trực tiếp và coi đây là bằng chứng mạnh nhất.³ Elliptic dựng lại đường đi: từ một địa chỉ trên Tron, qua khoảng 28 bước trung chuyển, qua THORChain và cầu Hyperlane sang Ethereum.⁷

Có thể hình dung hai món đồ bị lấy ở hai nơi, cách nhau một tháng, rồi được mang tới cùng một tiệm cầm đồ. Đó là dấu hiệu đáng chú ý, và ai cũng tự kiểm lại được vì giao dịch nằm công khai trên chuỗi. Phép so sánh cũng cho thấy giới hạn. Một tiệm cầm đồ có thể nhận hàng của nhiều người, và các mạng lưới rửa tiền làm thuê là có thật: sau vụ Bitget, ZachXBT từng ghi nhận các nhóm rửa tiền rao nhận đơn công khai trên Discord và Telegram.⁶ Lượng tiền gặp nhau cũng nhỏ, khoảng 39 nghìn USD từ Binance so với khoảng 510 nghìn USD từ Bitget.⁷ Và vì quy kết vụ Bitget cũng là đánh giá của các hãng tư nhân, bằng chứng này chỉ mạnh bằng quy kết đứng trước nó.

Bằng chứng thứ hai: cách làm giống những vụ trước

Theo TRM, việc chuẩn bị bắt đầu từ sáng 28/10, ít nhất 36 giờ trước vụ trộm.² Ví điều hành của kẻ tấn công được nạp bằng ba khoản rút nhỏ từ Tornado Cash, dịch vụ che giấu nguồn gốc tiền. Ngày 29/10, ví này thử mã tấn công trên hai ví, diễn tập bản cuối trên ví thứ ba, rồi bốn giờ sau gắn đúng đoạn mã đó vào ví nóng Binance 14. Các chữ ký được chuẩn bị sẵn thành lô và dùng trong một đợt. TRM cho biết ba đặc điểm này đã xuất hiện ở vụ Bybit (2/2025) và KelpDAO (4/2026). Elliptic bổ sung rằng kẻ tấn công dùng chung một số dịch vụ với ba vụ trước đã được quy cho TraderTraitor là BigONE, WOO X và AFX.⁴

Điều tra viên đôi khi nhận ra kẻ trộm qua cách cạy khóa. Nhưng cách cạy khóa có thể học lại. Tornado Cash ai cũng dùng được, và chuẩn bị chữ ký trước rồi thực thi một lần là cách làm hợp lý với bất kỳ kẻ tấn công có kỷ luật nào. Loại bằng chứng này có giá trị khi cộng dồn, ít giá trị khi đứng một mình.

Bằng chứng thứ ba: phần không công khai

TRM nói đánh giá của mình dựa trên cả nguồn tin ngoài chuỗi nhưng không mô tả. FBI không công bố lập luận nào.²¹ Phần này thường gồm mã độc thu được, máy chủ điều khiển, tài khoản dùng để tiếp cận nạn nhân và tin tình báo. Như phần chìm của tảng băng, nó thường lớn hơn phần nổi, nhưng không thể công bố, vì công bố cũng là cho đối phương biết mình đang theo dõi bằng cách nào.

Phần này vẫn có trọng lượng vì FBI theo dõi TraderTraitor ít nhất từ tháng 4/2022, khi cùng CISA và Bộ Tài chính Mỹ ra cảnh báo về nhóm này,⁸ và đã quy cho nhóm này vụ DMM Bitcoin năm 2024 và vụ Bybit năm 2025.⁹¹⁰ Tôi chưa thấy quy kết nào trong số đó bị bác bỏ bằng bằng chứng ngược lại. Dù vậy, đây là kết luận của cơ quan điều tra, không phải phán quyết của tòa án. Người ngoài chỉ có thể cân nhắc uy tín của bên nói và xem nó có khớp với hai loại bằng chứng còn lại hay không.

Sơ đồ 1: kẻ tấn công vào bằng cách nào

Chi tiết đáng chú ý nhất là thứ tự. Lượt rút đầu tiên diễn ra trên XRP Ledger lúc 20:05 UTC, khoảng 15 phút trước giao dịch EIP-7702 trên Ethereum. Trên chín mạng ngoài Ethereum, ví Binance gửi tiền bằng giao dịch ký thông thường, với các loại khóa và cơ chế ký khác nhau.² Vì vậy TRM cho rằng hệ thống ký ví nóng của Binance đã bị điều khiển. Nói theo hình ảnh quen thuộc, kẻ gian có lẽ không lấy được chìa khóa, mà điều khiển được người giữ chìa. Tôi đã phân tích phần này ở bài trước.

Sơ đồ 2: dòng tiền được rửa ra sao

Stablecoin giống tiền gửi ngân hàng: đơn vị phát hành có thể phong tỏa. ETH và BTC giống tiền mặt: không ai phong tỏa được. Vì vậy việc đầu tiên kẻ tấn công làm là đổi. Chainalysis ghi nhận 325 triệu USD stablecoin được đổi sang khoảng 285 triệu USD ETH trong gần 20 phút.³ TRM tính ra giá ngầm định khoảng 2.650 USD mỗi ETH khi thị trường ở 2.300–2.350 USD, tức kẻ tấn công chấp nhận lỗ hơn 10% để đi trước lệnh phong tỏa.² Kết quả: khoảng 2,7–2,85 tỷ USD bị phong tỏa, gần như toàn bộ là stablecoin, nhưng kẻ tấn công vẫn giữ hơn 420.000 ETH và 18.270 BTC, khoảng 2,4 tỷ USD.²¹¹

Giai đoạn phân tán cho thấy dấu hiệu tự động hóa. Theo Chainalysis và Elliptic, ví phân phối chính trên Tron chuyển tiền mỗi giờ suốt 31 giờ, không nghỉ đêm, cho khoảng 150 ví chuyển tiếp; nhiều địa chỉ nhận đúng 1 TRX trước khi nhận tiền; các lệnh đổi vào THORChain lặp lại cùng một số tiền.³¹¹ Elliptic so sánh: sau vụ Bybit, nhịp rửa tiền còn theo giờ làm việc của con người. Lần này, nó giống một dây chuyền chạy liên tục.

FBI dự báo bước tiếp theo là các dịch vụ DeFi và hoán đổi tức thì. Khác với thông báo về vụ Bybit, lần này FBI nêu đích danh các nhà vận hành node THORChain trong danh sách được đề nghị chặn giao dịch.¹¹⁰

Vì sao FBI lên tiếng nhanh

Với vụ Bybit, FBI quy kết sau năm ngày. Lần này là khoảng hai ngày. Theo tôi, lý do thực tế nằm ở danh sách đi kèm: hơn 600 địa chỉ Ethereum, gần 20 địa chỉ Bitcoin và một địa chỉ Solana.¹² Danh sách ấy có tác dụng như lệnh truy nã gửi tới mọi cửa khẩu. Khi tài sản đã được gắn với một chủ thể bị Mỹ trừng phạt, sàn giao dịch, dịch vụ hoán đổi và bàn OTC có căn cứ rõ ràng để từ chối, và rủi ro pháp lý của việc tiếp nhận cũng tăng lên. Quy kết không giúp lấy lại tiền, nhưng làm việc đổi tiền ra tiền pháp định chậm và tốn kém hơn.

Đánh giá của tôi

Những điều còn bỏ ngỏ

Thứ nhất, Binance chưa công bố báo cáo nguyên nhân và chưa tự quy kết. Thứ hai, các con số còn lệch nhau: 6,36 tỷ USD trên 10 mạng theo TRM, 6,4 tỷ USD theo Chainalysis, 6,43 tỷ USD trên 11 mạng theo Elliptic, do mỗi bên định giá và đếm mạng khác nhau. Thứ ba, chưa rõ FBI dựa vào những nguồn nào. Thứ tư, chưa rõ các nhà vận hành node THORChain có chặn giao dịch theo đề nghị của FBI hay không.

Điều đáng rút ra

Khi đọc tin một vụ tấn công được quy cho Triều Tiên, tôi nghĩ nên hỏi bằng chứng thuộc loại nào. Dấu vết trên chuỗi thì ai cũng kiểm lại được. Dấu hiệu về cách làm cần nhiều vụ cộng lại mới có sức nặng. Thông tin tình báo thì chỉ có thể tin nhiều hay ít, tùy uy tín của bên đưa ra. Vụ Binance có cả ba loại cùng chỉ một hướng, nên kết luận khá chắc. Sự chắc chắn ấy đến từ việc các mảnh ghép khớp nhau, không đến từ một mảnh riêng lẻ nào.

Điều thứ hai: quy kết và thu hồi là hai việc khác nhau. Phần stablecoin được giữ lại nhờ đơn vị phát hành hành động trong chưa đầy một giờ; Tether phong tỏa ví nhận chính 37 phút sau lượt rút lớn nhất.² Phần ETH và BTC thì phụ thuộc vào việc các cửa ra, từ sàn giao dịch, dịch vụ hoán đổi tới bàn OTC, có thực sự chặn hay không.

Tên thủ phạm đã được nêu. Cửa ra của dòng tiền vẫn còn mở.