Tin tặc Triều Tiên dùng meme coin "dùng một lần" để rửa tiền sau vụ tấn công Binance

Các tin tặc Triều Tiên bị cáo buộc đứng sau vụ tấn công sàn giao dịch tiền mã hóa Binance đang sử dụng một thủ đoạn mới để che giấu dòng tiền đánh cắp: tự phát hành các đồng meme coin gần như không có giá trị, sau đó dùng chúng làm công cụ trung chuyển tài sản.

Theo báo cáo công bố ngày 9/11 (giờ địa phương) của công ty phân tích blockchain Elliptic, do nhà sáng lập Tom Robinson thực hiện, nhóm tin tặc đã tạo ra các đồng meme coin chỉ tồn tại trong thời gian ngắn nhằm ngụy trang nguồn gốc và đường đi của số tiền bị đánh cắp.

Meme coin là loại tiền mã hóa thường được phát hành dựa trên các trào lưu hoặc hình ảnh hài hước trên mạng xã hội, có giá trị biến động mạnh tùy theo mức độ quan tâm của nhà đầu tư. Tuy nhiên, nhóm tin tặc Triều Tiên đã biến loại tài sản này thành công cụ phục vụ hoạt động rửa tiền.

Thủ đoạn được triển khai qua nhiều bước. Trước tiên, tin tặc tự tạo ra những đồng meme coin gần như không có giá trị, sau đó dùng ví chứa tài sản đánh cắp để mua các đồng tiền này. Tiếp đó, chúng sử dụng meme coin để mua lại số tài sản bị đánh cắp từ những ví không có lịch sử giao dịch đáng ngờ.

Sau quá trình này, ví đang nắm giữ tài sản có thể trông giống như ví của một nhà đầu tư đầu cơ thông thường, bất ngờ thu được lợi nhuận lớn từ việc giao dịch meme coin. Nhờ vậy, nguồn gốc bất hợp pháp của dòng tiền trở nên khó nhận diện hơn.

Ông Tom Robinson cho biết mỗi ngày có hàng nghìn meme coin mới được tạo ra rồi biến mất chỉ sau vài ngày. Vì vậy, việc xuất hiện thêm những đồng tiền tồn tại trong thời gian ngắn thường không thu hút sự chú ý.

Theo Elliptic, nhóm tin tặc đã phát hành sáu loại meme coin mới mang tên FUK, OLCCL, MEILI, MMLI, DABI và SINU. Tổng số tiền được xác định đã rửa qua phương thức này lên tới 430.000 USD, tương đương khoảng 580 triệu won.

Để tạo vẻ ngoài giống các dự án tiền mã hóa thông thường, chúng còn sử dụng hình ảnh khỉ đeo nơ màu hồng làm biểu tượng cho một số đồng coin. Một số đồng khác có hình ảnh tỷ phú Elon Musk, CEO của SpaceX và Tesla, kèm dòng chữ “Elon 2028 President”.

Đáng chú ý, các đồng meme coin này không được giao dịch với nhà đầu tư bên ngoài mà chỉ luân chuyển giữa những ví có liên hệ với nhóm tin tặc, sau đó bị bỏ đi. Chuỗi giao dịch được tổ chức liên tiếp: số tiền thu được từ việc bán một đồng coin được dùng để phát hành đồng tiếp theo chỉ sau 2-13 phút.

Elliptic cho biết thủ đoạn tương tự cũng từng được sử dụng trong vụ tấn công sàn giao dịch Bybit hồi năm ngoái, vốn cũng bị nghi do tin tặc Triều Tiên thực hiện.

Dù toàn bộ giao dịch trên blockchain đều để lại dấu vết và dòng tiền không thể bị che giấu hoàn toàn, việc liên tục tạo ví mới và sử dụng các đồng tiền trung gian giúp tin tặc kéo dài thời gian truy vết của cơ quan điều tra.

Quy mô hoạt động rửa tiền sau vụ tấn công Binance cũng rất lớn. Chỉ trong vòng một tuần sau khi chiếm đoạt tài sản, nhóm tin tặc đã sử dụng hơn 20.000 ví để thực hiện trên 65.000 giao dịch. Tính trung bình, cứ khoảng 30 giây lại có một ví mới được tạo và cứ 10 giây lại phát sinh một giao dịch.

Theo thống kê của Elliptic, trong tổng số 6,43 tỷ USD tài sản bị đánh cắp, khoảng 2,85 tỷ USD đã bị phong tỏa hoặc thu giữ, trong khi 3,13 tỷ USD vẫn nằm trong tay tin tặc.