Nhóm tin tặc đánh cắp 6,3 tỉ USD từ Binance Holdings Ltd. trong vụ trộm lớn nhất lịch sử tiền mã hóa đã tìm đến một trong những loại tài sản mang tính trào lưu nhất của lĩnh vực này để rửa một phần số tiền: Memecoin (Memecoin là loại tiền mã hóa lấy cảm hứng từ hình ảnh hài hước hoặc trào lưu trên internet, có giá trị chủ yếu dựa vào sự quan tâm của cộng đồng và hoạt động đầu cơ - Biên tập).

Theo công ty phân tích blockchain Elliptic, ít nhất sáu token mới đã được tạo trên mạng blockchain NEAR chỉ trong vài ngày sau vụ trộm, giúp nhóm tấn công luân chuyển khoảng 430.000 USD tiền mã hóa đánh cắp. Thủ đoạn này nhằm che giấu đường đi của dòng tiền, thay vì lừa những nhà giao dịch không hay biết đổi tiền sạch lấy tài sản bị đánh cắp, qua đó gây khó khăn cho việc truy vết đích đến cuối cùng của số tiền bất chính.

Elliptic cho biết cả sáu token, gồm FUK, OLCCL, MEILI, MMLI, DABI và SINU, đều được giao dịch sôi động trong vài giờ sau khi tạo lập rồi bị bỏ mặc. Tin tặc dùng token NEAR đánh cắp từ Binance để mua các memecoin trên những sàn giao dịch phi tập trung, qua đó nhận lại số NEAR bị đánh cắp trong các ví không có liên hệ rõ ràng ở phía đối ứng của giao dịch. Khoảng 44 triệu USD dưới dạng NEAR bị đánh cắp vẫn chưa được dịch chuyển.

Các token sử dụng logo theo phong cách quen thuộc của memecoin. Theo Elliptic, một token có hình con khỉ đeo nơ hồng, trong khi token khác dùng hình Elon Musk bên dưới dòng chữ “Elon làm tổng thống năm 2028”. Công ty cho biết không có dấu hiệu nào cho thấy tổng giám đốc Tesla có liên quan đến token này.

“Hàng ngàn memecoin được phát hành và giao dịch, phần lớn chìm vào quên lãng chỉ sau vài ngày, nên thêm một token tồn tại ngắn ngủi với logo hoạt hình cũng ít thu hút sự chú ý,” Tom Robinson, nhà sáng lập kiêm nhà khoa học trưởng của Elliptic, viết trong bài đăng trên blog hôm thứ Hai. “Một ví có lịch sử giao dịch memecoin mới trông giống ví của người đầu cơ hơn là của kẻ rửa tiền, trừ khi có người kiểm tra nguồn gốc dòng tiền.”

Thủ đoạn này lần đầu được phát hiện vào năm ngoái sau một vụ trộm khác, khi những tin tặc bị nghi đến từ Triều Tiên rửa ít nhất 24 triệu USD đánh cắp từ sàn giao dịch tiền mã hóa Bybit thông qua memecoin. Giới chức Mỹ cũng quy trách nhiệm cho Triều Tiên trong vụ tấn công Binance ngày 29.10, xác định nhóm TraderTraitor là thủ phạm.

Mạng lưới công cụ phức tạp mà tin tặc sử dụng để rửa tiền đã thu hút nhiều chú ý sau vụ trộm Binance. Tài sản bị đánh cắp được chuyển qua hàng nghìn ví số và nhiều blockchain nhằm che giấu nguồn gốc. Công ty bảo mật blockchain Chainalysis gần đây nhấn mạnh vai trò của các mạng lưới rửa tiền Trung Quốc trong việc chuyển số tài sản này thành tiền mặt.

Mức độ tự động hóa của các giao dịch cũng là điểm đáng chú ý trong vụ việc. Trong bài đăng ngày 7.11, Elliptic cho biết chỉ trong một tuần sau vụ tấn công, hoạt động rửa tiền đã sử dụng hơn 20.000 ví và thực hiện ít nhất 65.000 giao dịch, tương đương khoảng 30 giây lại sử dụng một ví mới và 10 giây hoàn tất một giao dịch.

Theo Elliptic, khoảng 3,13 tỉ USD vẫn nằm trong tay tin tặc tại các ví có liên quan đến vụ trộm, chủ yếu dưới dạng Bitcoin và Ether. Nhóm tấn công có thể đã chọn chuyển đổi tối đa số tài sản đánh cắp sang hai đồng tiền này vì chúng không thể bị bên phát hành đóng băng, giúp kéo dài đáng kể thời gian có thể rửa tiền. Tin tặc đã sử dụng các mạng lưới phi tập trung và công cụ chú trọng quyền riêng tư như THORChain, Privacy Cash và Wasabi Wallet để thực hiện giao dịch.

Trong buổi phát trực tiếp hôm thứ Hai, đồng tổng giám đốc Binance Richard Teng cho biết thêm 2,85 tỉ USD tiền mã hóa bị đánh cắp đã được đóng băng hoặc chặn lại. Phần lớn số này là stablecoin, loại tiền mã hóa hướng tới duy trì giá trị ngang bằng với một tài sản khác như USD. Với loại tài sản này, các tổ chức phát hành như Tether và Circle Internet Group Inc. có thể can thiệp để ngăn token được đổi thành tiền thật.