{"content":"Ở [bài trước]({{\u003c relref \"khong-lo-khoa-rieng-binance.md\" \u003e}}), tôi ghi nhận rằng đến lúc chốt bài, chưa có cơ quan điều tra nào quy kết vụ Binance. Ngày 31/10 theo giờ Mỹ, FBI đã lên tiếng. Theo FBI, Triều Tiên chịu trách nhiệm cho vụ lấy hơn 6 tỷ USD tài sản ảo ngày 29/10, và cơ quan này gọi hoạt động đó là TraderTraitor.[^fbi]\n\nNhư vậy đã có bốn tổ chức cùng nêu một cái tên. Nhưng mỗi bên dựa vào một loại bằng chứng khác nhau, và phần người ngoài có thể tự kiểm lại ít hơn nhiều so với độ chắc chắn của các tuyên bố. Bài này tách ba loại bằng chứng đó, kèm hai sơ đồ: kẻ tấn công đã vào bằng cách nào, và dòng tiền đang được rửa ra sao. Thông tin chốt lúc 10:30 ngày 01/11/2026, giờ Việt Nam.\n\n## Ai đã quy kết, dựa vào đâu\n\n| Tổ chức | Thời điểm | Kết luận | Căn cứ công khai |\n|---|---|---|---|\n| TRM Labs | 29/10 giờ Mỹ, vài giờ sau vụ việc | TraderTraitor, độ tin cậy cao | Dữ liệu trên chuỗi và nguồn tin ngoài chuỗi không công bố[^trm] |\n| Chainalysis | 04:30 UTC ngày 30/10 | TraderTraitor | Tiền vụ Binance hòa chung với tiền vụ Bitget tại một địa chỉ[^cha] |\n| Elliptic | 30/10, cập nhật 05:00 UTC ngày 31/10 | \"Có khả năng\" là TraderTraitor; nói rõ chưa chắc chắn | Như trên, cộng điểm giống các vụ trước của nhóm này[^ell2] |\n| ChainTracer (Việt Nam) | Sáng 30/10, số liệu tới 07:35 giờ Việt Nam | Không quy kết | Truy vết dòng tiền trên Ethereum[^ct] |\n| FBI, cùng USSS và IRS-CI | 31/10 giờ Mỹ | Triều Tiên chịu trách nhiệm | Không công bố lập luận; kèm danh sách địa chỉ đề nghị chặn[^fbi] |\n\nKhông bên nào công bố đầy đủ lập luận. Phần ai cũng kiểm lại được là dữ liệu trên chuỗi. Phần còn lại phụ thuộc vào uy tín và nguồn tin của từng bên.\n\n## Elliptic và ChainTracer thận trọng hơn\n\nElliptic chỉ dùng chữ \"có khả năng\", và tự nêu hai điểm yếu trong lập luận của mình. Thứ nhất, lượng tiền hòa chung với vụ Bitget còn nhỏ. Thứ hai, kẻ tấn công đổi stablecoin khá chậm, đủ để đơn vị phát hành kịp phong tỏa, trong khi các nhóm gắn với Triều Tiên thường hành động nhanh hơn.[^ell2] Bản cập nhật cuối của Elliptic có trước tuyên bố của FBI.\n\nChainTracer, dự án truy vết của Hiệp hội Blockchain và Tài sản số Việt Nam, công bố báo cáo sáng 30/10 và ghi rằng danh tính, vị trí của những người đứng sau vẫn chưa được xác định.[^ct] Báo cáo không giải thích vì sao không quy kết. Theo tôi, lý do rõ nhất nằm ở thời điểm: số liệu được chốt lúc 00:35 UTC, khoảng bốn giờ trước khi bằng chứng mạnh nhất xuất hiện. Nhóm cũng cho biết chưa đủ dữ liệu để tự kiểm chứng dòng tiền trên Bitcoin và Tron. Đây là suy luận của tôi, không phải giải thích của ChainTracer.\n\n## Bằng chứng thứ nhất: hai dòng tiền gặp nhau\n\nKhoảng 04:06 UTC ngày 30/10, nhà điều tra độc lập ZachXBT ghi nhận tiền từ vụ Binance và tiền từ vụ Bitget (khoảng 387,5 triệu USD, ngày 24/9/2026) cùng đổ về địa chỉ `0x1510…feb7` trên Ethereum, sau khi đi qua THORChain.[^zach] Vụ Bitget trước đó đã được Chainalysis và Elliptic quy cho Triều Tiên. Chainalysis theo dõi trực tiếp và coi đây là bằng chứng mạnh nhất.[^cha] Elliptic dựng lại đường đi: từ một địa chỉ trên Tron, qua khoảng 28 bước trung chuyển, qua THORChain và cầu Hyperlane sang Ethereum.[^skar]\n\nCó thể hình dung hai món đồ bị lấy ở hai nơi, cách nhau một tháng, rồi được mang tới cùng một tiệm cầm đồ. Đó là dấu hiệu đáng chú ý, và ai cũng tự kiểm lại được vì giao dịch nằm công khai trên chuỗi. Phép so sánh cũng cho thấy giới hạn. Một tiệm cầm đồ có thể nhận hàng của nhiều người, và các mạng lưới rửa tiền làm thuê là có thật: sau vụ Bitget, ZachXBT từng ghi nhận các nhóm rửa tiền rao nhận đơn công khai trên Discord và Telegram.[^zach] Lượng tiền gặp nhau cũng nhỏ, khoảng 39 nghìn USD từ Binance so với khoảng 510 nghìn USD từ Bitget.[^skar] Và vì quy kết vụ Bitget cũng là đánh giá của các hãng tư nhân, bằng chứng này chỉ mạnh bằng quy kết đứng trước nó.\n\n## Bằng chứng thứ hai: cách làm giống những vụ trước\n\nTheo TRM, việc chuẩn bị bắt đầu từ sáng 28/10, ít nhất 36 giờ trước vụ trộm.[^trm] Ví điều hành của kẻ tấn công được nạp bằng ba khoản rút nhỏ từ Tornado Cash, dịch vụ che giấu nguồn gốc tiền. Ngày 29/10, ví này thử mã tấn công trên hai ví, diễn tập bản cuối trên ví thứ ba, rồi bốn giờ sau gắn đúng đoạn mã đó vào ví nóng Binance 14. Các chữ ký được chuẩn bị sẵn thành lô và dùng trong một đợt. TRM cho biết ba đặc điểm này đã xuất hiện ở vụ Bybit (2/2025) và KelpDAO (4/2026). Elliptic bổ sung rằng kẻ tấn công dùng chung một số dịch vụ với ba vụ trước đã được quy cho TraderTraitor là BigONE, WOO X và AFX.[^ell2]\n\nĐiều tra viên đôi khi nhận ra kẻ trộm qua cách cạy khóa. Nhưng cách cạy khóa có thể học lại. Tornado Cash ai cũng dùng được, và chuẩn bị chữ ký trước rồi thực thi một lần là cách làm hợp lý với bất kỳ kẻ tấn công có kỷ luật nào. Loại bằng chứng này có giá trị khi cộng dồn, ít giá trị khi đứng một mình.\n\n## Bằng chứng thứ ba: phần không công khai\n\nTRM nói đánh giá của mình dựa trên cả nguồn tin ngoài chuỗi nhưng không mô tả. FBI không công bố lập luận nào.[^trm][^fbi] Phần này thường gồm mã độc thu được, máy chủ điều khiển, tài khoản dùng để tiếp cận nạn nhân và tin tình báo. Như phần chìm của tảng băng, nó thường lớn hơn phần nổi, nhưng không thể công bố, vì công bố cũng là cho đối phương biết mình đang theo dõi bằng cách nào.\n\nPhần này vẫn có trọng lượng vì FBI theo dõi TraderTraitor ít nhất từ tháng 4/2022, khi cùng CISA và Bộ Tài chính Mỹ ra cảnh báo về nhóm này,[^cisa] và đã quy cho nhóm này vụ DMM Bitcoin năm 2024 và vụ Bybit năm 2025.[^dmm][^bybit] Tôi chưa thấy quy kết nào trong số đó bị bác bỏ bằng bằng chứng ngược lại. Dù vậy, đây là kết luận của cơ quan điều tra, không phải phán quyết của tòa án. Người ngoài chỉ có thể cân nhắc uy tín của bên nói và xem nó có khớp với hai loại bằng chứng còn lại hay không.\n\n## Sơ đồ 1: kẻ tấn công vào bằng cách nào\n\n{{\u003c diagram \"quy-ket-trieu-tien-binance/tan-cong\" \"Theo các mốc giờ của TRM Labs; điểm xâm nhập theo thông báo ban đầu của Binance ngày 30/10. Ô vàng là giả thuyết của TRM, chưa được Binance xác nhận. 20:05 UTC ngày 29/10 là 03:05 sáng 30/10 giờ Việt Nam.\" \u003e}}\n\nChi tiết đáng chú ý nhất là thứ tự. Lượt rút đầu tiên diễn ra trên XRP Ledger lúc 20:05 UTC, khoảng 15 phút trước giao dịch EIP-7702 trên Ethereum. Trên chín mạng ngoài Ethereum, ví Binance gửi tiền bằng giao dịch ký thông thường, với các loại khóa và cơ chế ký khác nhau.[^trm] Vì vậy TRM cho rằng hệ thống ký ví nóng của Binance đã bị điều khiển. Nói theo hình ảnh quen thuộc, kẻ gian có lẽ không lấy được chìa khóa, mà điều khiển được người giữ chìa. Tôi đã phân tích phần này ở [bài trước]({{\u003c relref \"khong-lo-khoa-rieng-binance.md\" \u003e}}).\n\n## Sơ đồ 2: dòng tiền được rửa ra sao\n\n{{\u003c diagram \"quy-ket-trieu-tien-binance/rua-tien\" \"Số liệu theo TRM Labs, Chainalysis và Elliptic, tới ngày 31/10/2026. Vùng đường xiên được vẽ rối có chủ đích để minh họa mạng ví trung chuyển, không thể hiện đúng số ví. Ô viền đứt là dự báo của FBI và TRM.\" \u003e}}\n\nStablecoin giống tiền gửi ngân hàng: đơn vị phát hành có thể phong tỏa. ETH và BTC giống tiền mặt: không ai phong tỏa được. Vì vậy việc đầu tiên kẻ tấn công làm là đổi. Chainalysis ghi nhận 325 triệu USD stablecoin được đổi sang khoảng 285 triệu USD ETH trong gần 20 phút.[^cha] TRM tính ra giá ngầm định khoảng 2.650 USD mỗi ETH khi thị trường ở 2.300–2.350 USD, tức kẻ tấn công chấp nhận lỗ hơn 10% để đi trước lệnh phong tỏa.[^trm] Kết quả: khoảng 2,7–2,85 tỷ USD bị phong tỏa, gần như toàn bộ là stablecoin, nhưng kẻ tấn công vẫn giữ hơn 420.000 ETH và 18.270 BTC, khoảng 2,4 tỷ USD.[^trm][^ell]\n\nGiai đoạn phân tán cho thấy dấu hiệu tự động hóa. Theo Chainalysis và Elliptic, ví phân phối chính trên Tron chuyển tiền mỗi giờ suốt 31 giờ, không nghỉ đêm, cho khoảng 150 ví chuyển tiếp; nhiều địa chỉ nhận đúng 1 TRX trước khi nhận tiền; các lệnh đổi vào THORChain lặp lại cùng một số tiền.[^cha][^ell] Elliptic so sánh: sau vụ Bybit, nhịp rửa tiền còn theo giờ làm việc của con người. Lần này, nó giống một dây chuyền chạy liên tục.\n\nFBI dự báo bước tiếp theo là các dịch vụ DeFi và hoán đổi tức thì. Khác với thông báo về vụ Bybit, lần này FBI nêu đích danh các nhà vận hành node THORChain trong danh sách được đề nghị chặn giao dịch.[^fbi][^bybit]\n\n## Vì sao FBI lên tiếng nhanh\n\nVới vụ Bybit, FBI quy kết sau năm ngày. Lần này là khoảng hai ngày. Theo tôi, lý do thực tế nằm ở danh sách đi kèm: hơn 600 địa chỉ Ethereum, gần 20 địa chỉ Bitcoin và một địa chỉ Solana.[^cd] Danh sách ấy có tác dụng như lệnh truy nã gửi tới mọi cửa khẩu. Khi tài sản đã được gắn với một chủ thể bị Mỹ trừng phạt, sàn giao dịch, dịch vụ hoán đổi và bàn OTC có căn cứ rõ ràng để từ chối, và rủi ro pháp lý của việc tiếp nhận cũng tăng lên. Quy kết không giúp lấy lại tiền, nhưng làm việc đổi tiền ra tiền pháp định chậm và tốn kém hơn.\n\n## Đánh giá của tôi\n\n\u003e [!OPINION]\n\u003e Phần này là quan điểm cá nhân, dựa trên các nguồn đã dẫn. Xác suất là ước lượng chủ quan.\n\n| Nhận định | Xác suất | Độ tin cậy | Lý do chính |\n|---|---|---|---|\n| TraderTraitor (Triều Tiên) đứng sau vụ Binance | 90–95% | Cao | Ba loại bằng chứng cùng chỉ một hướng; FBI có nguồn riêng và tiền lệ nhất quán |\n| Ba loại bằng chứng thực sự độc lập với nhau | ~50% | Thấp | Các bên có thể dùng dữ liệu của nhau; các hãng dựa vào quy kết vụ Bitget của nhau |\n| Thu hồi phần lớn 2,4 tỷ USD ETH và BTC trong 12 tháng | Dưới 10% | Trung bình | Sau vụ Bybit, chỉ khoảng 3% bị phong tỏa sau chưa đầy hai tuần[^skar] |\n| Bằng chứng ngoài chuỗi được công khai, chẳng hạn qua cáo trạng, trong 12 tháng | 15–20% | Thấp | Các vụ TraderTraitor trước hiếm khi đi tới hồ sơ công khai đầy đủ |\n\n## Những điều còn bỏ ngỏ\n\nThứ nhất, Binance chưa công bố báo cáo nguyên nhân và chưa tự quy kết. Thứ hai, các con số còn lệch nhau: 6,36 tỷ USD trên 10 mạng theo TRM, 6,4 tỷ USD theo Chainalysis, 6,43 tỷ USD trên 11 mạng theo Elliptic, do mỗi bên định giá và đếm mạng khác nhau. Thứ ba, chưa rõ FBI dựa vào những nguồn nào. Thứ tư, chưa rõ các nhà vận hành node THORChain có chặn giao dịch theo đề nghị của FBI hay không.\n\n## Điều đáng rút ra\n\nKhi đọc tin một vụ tấn công được quy cho Triều Tiên, tôi nghĩ nên hỏi bằng chứng thuộc loại nào. Dấu vết trên chuỗi thì ai cũng kiểm lại được. Dấu hiệu về cách làm cần nhiều vụ cộng lại mới có sức nặng. Thông tin tình báo thì chỉ có thể tin nhiều hay ít, tùy uy tín của bên đưa ra. Vụ Binance có cả ba loại cùng chỉ một hướng, nên kết luận khá chắc. Sự chắc chắn ấy đến từ việc các mảnh ghép khớp nhau, không đến từ một mảnh riêng lẻ nào.\n\nĐiều thứ hai: quy kết và thu hồi là hai việc khác nhau. Phần stablecoin được giữ lại nhờ đơn vị phát hành hành động trong chưa đầy một giờ; Tether phong tỏa ví nhận chính 37 phút sau lượt rút lớn nhất.[^trm] Phần ETH và BTC thì phụ thuộc vào việc các cửa ra, từ sàn giao dịch, dịch vụ hoán đổi tới bàn OTC, có thực sự chặn hay không.\n\nTên thủ phạm đã được nêu. Cửa ra của dòng tiền vẫn còn mở.\n\n[^fbi]: FBI, [North Korea Responsible for $6 Billion+ Binance Attack](https://www.fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack), 31/10/2026.\n[^trm]: TRM Labs, [North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History](https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history), 29/10/2026; số liệu tới 00:30 UTC ngày 30/10/2026.\n[^cha]: Chainalysis, [The $6.4 Billion Binance Hack: Tracing the North Korea Link](https://www.chainalysis.com/blog/binance-exploit-latest-findings-and-response/), 30/10/2026, cập nhật 22:50 UTC cùng ngày.\n[^ell2]: Elliptic, [The largest theft in history: North Korea likely behind the $6.4 billion Binance hack](https://www.elliptic.co/insights/binance-largest-hack-in-history/), 30/10/2026, cập nhật 05:00 UTC ngày 31/10/2026.\n[^ct]: Báo cáo của ChainTracer, theo [Kenh14](https://kenh14.vn/nhom-chuyen-gia-viet-truy-vet-hon-1-ty-usd-tien-ma-hoa-trong-vu-tan-cong-binance-lon-nhat-lich-su-215261030122935439.chn) và [CafeF](https://cafef.vn/nhom-chuyen-gia-viet-truy-vet-hon-1-ty-usd-tien-ma-hoa-trong-vu-tan-cong-binance-lon-nhat-lich-su-188261030110521557.chn), 30/10/2026; dữ liệu từ tối 29/10 tới 07:35 ngày 30/10, giờ Việt Nam.\n[^zach]: ZachXBT, [bài đăng trên X](https://x.com/zachxbt/status/2116030284261179538), 30/10/2026; địa chỉ hòa chung 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.\n[^skar]: Kancelaria Skarbiec, [Binance Hack: Laundering $6.4 Billion and the Limits of Freezing](https://kancelaria-skarbiec.pl/en/binance-hack-money-laundering-2/), 31/10/2026, tổng hợp số liệu của Elliptic; số liệu Bybit theo phát biểu của CEO Bybit ngày 4/3/2025.\n[^cisa]: CISA, FBI và Bộ Tài chính Mỹ, [AA22-108A: TraderTraitor](https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-108a), 18/4/2022.\n[^dmm]: FBI, DC3 và Cảnh sát Quốc gia Nhật Bản quy vụ DMM Bitcoin (308 triệu USD) cho TraderTraitor, 23/12/2024; [mục lưu trữ trên Malpedia](https://malpedia.caad.fkie.fraunhofer.de/library/2e268fba-9072-45bb-ba9c-c3a1337e6b0a/).\n[^bybit]: FBI, [PSA I-022625-PSA](https://www.ic3.gov/PSA/2025/PSA250226), 26/2/2025.\n[^ell]: Elliptic, [The Binance hack is laundering on autopilot](https://www.elliptic.co/insights/the-binance-hack-is-laundering-on-autopilot/), cập nhật trực tiếp, truy cập 01/11/2026.\n[^cd]: CoinDesk, [FBI confirms North Korea's role in $6 billion Binance hack](https://www.coindesk.com/policy/2026/10/31/fbi-confirms-north-korea-s-role-in-usd6-billion-binance-hack-asks-defi-community-to-block-btc-eth-sol-addresses), 31/10/2026.\n","jws":"eyJhbGciOiJFZERTQSIsImtpZCI6ImRpZDp3ZWI6YmxvZy5waGR0cnVuZy5jb20ja2V5LTEifQ.eyJkaWQiOiJkaWQ6d2ViOmJsb2cucGhkdHJ1bmcuY29tIiwia2lkIjoiZGlkOndlYjpibG9nLnBoZHRydW5nLmNvbSNrZXktMSIsInNoYTI1NiI6IjhkYTEyMzJjYjA3NGViOTQyNDVlYTU4NDE3Njc2ZDFmOWQ1MjczZWIyNzJhMGVjMjM4MzFjMmU3YWM3MzlmMmQiLCJzaWduZWRBdCI6IjIwMjYtMTEtMDFUMjM6NTU6MzErMDc6MDAiLCJ0eXBlIjoiYmxvZy1wb3N0LXNpZ25hdHVyZS12MSIsInVybCI6Imh0dHBzOi8vYmxvZy5waGR0cnVuZy5jb20vcG9zdHMvcXV5LWtldC10cmlldS10aWVuLWJpbmFuY2UvIn0.O5r1k7bveVh4TsWkhfTtmXh0tqhtS4cYK0r7YLlBHx4AviZC8yM9Y1iP_P1Uu2ro6uRlAtSnfjXfA4l5EGdsCw","payload":{"did":"did:web:blog.phdtrung.com","kid":"did:web:blog.phdtrung.com#key-1","sha256":"8da1232cb074eb94245ea58417676d1f9d5273eb272a0ec23831c2e7ac739f2d","signedAt":"2026-11-01T23:55:31+07:00","type":"blog-post-signature-v1","url":"https://blog.phdtrung.com/posts/quy-ket-trieu-tien-binance/"}}