Hacker Triều Tiên tự chế memecoin để rửa tiền từ vụ hack Binance. Ảnh: Reuters
6 memecoin che đường đi của tiền đánh cắp
Nhóm tin tặc Triều Tiên đứng sau vụ tấn công Binance gây thiệt hại 6,3 tỷ USD đang sử dụng memecoin tự tạo để rửa tiền đánh cắp. Theo công ty phân tích blockchain Elliptic, nhóm này đã luân chuyển khoảng 117.000 NEAR, tương đương 430.000 USD, qua 6 memecoin tự phát hành trong vòng ba ngày, từ 05-07/11/2026.
North Korea’s launderers are creating their own meme coins to move funds stolen from Binance. Between November 5 and 7, they launched at least six tokens on NEAR, dressed up with meme-coin logos such as a monkey in a pink bow and a duck in front of a US flag. Stolen NEAR went into a liquidity pool through one set of wallets and came out through another, so no transfer links the two directly. About 117,000 NEAR (around $430,000) passed through the six tokens before they were abandoned. Almost nobody outside the laundering network bought them. They exist only to put a pool between the stolen funds and the next wallet. The trail can still be followed on-chain. For compliance teams, funds arriving from a liquidity pool are not clean by default, especially when the token is only days old. @tomrobin explains how the technique works and the warning signs to screen for: https://t.co/Q4VtlIGlFp
— Elliptic (@elliptic) November 9, 2026
Thay vì chuyển tiền trực tiếp giữa các ví, tin tặc tạo ra hoạt động mua bán giả trên sàn giao dịch phi tập trung (DEX), biến dòng tiền đánh cắp thành khoản thu có vẻ như đến từ giao dịch tiền mã hóa. Phương thức này khiến quá trình truy vết phức tạp hơn, song không xóa được dấu vết trên blockchain.
Elliptic chỉ ra 6 memecoin được sử dụng gồm FUK, OLCCL, MEILI, MMLI, DABI và SINU. Chúng mang hình ảnh quen thuộc của thị trường memecoin như khỉ, vịt, tinh tinh, cáo, huy hiệu vàng và một hình ảnh Elon Musk kèm dòng chữ "Elon 2028 President".
Mỗi token được ghép cặp với NEAR trong một bể thanh khoản riêng. Tin tặc sử dụng hai nhóm ví khác nhau để thực hiện giao dịch: nhóm thứ nhất dùng NEAR đánh cắp mua memecoin, nhóm còn lại bán chính số token đó để thu lại NEAR.
Quy trình hoạt động của token meme tự chế. Nguồn: Elliptic
Gần như toàn bộ hoạt động mua bán các token trên đều xuất phát từ các ví thuộc mạng lưới rửa tiền. Các ví trong nhóm này thực hiện toàn bộ lệnh bán và mua gần như toàn bộ nguồn cung của năm token. Lượng giao dịch từ bên ngoài chỉ chiếm chưa đến 1% khối lượng của FUK.
Năm trong sáu ví tạo token được cấp vốn từ những ví vừa bán memecoin trước đó. Khoảng cách giữa các giao dịch chỉ từ 2-13 phút. Mỗi token chỉ tốn khoảng 25 NEAR, tương đương 90 USD, để phát hành. Phần lớn khối lượng giao dịch dồn vào chưa đầy một ngày. Đến 08/11, cả sáu token đều ngừng hoạt động và nhóm phát hành đã rút thanh khoản khỏi bốn bể giao dịch.
Sau màn kịch tự biên, phần lớn số tiền thu về được đổi sang stablecoin hoặc chuyển qua các cầu nối xuyên chuỗi. Song, con số này chỉ chiếm một phần rất nhỏ trong tổng tài sản bị đánh cắp.
TraderTraitor bành trướng mạng lưới rửa tiền
Sáu memecoin trên NEAR không phải công cụ duy nhất mà nhóm TraderTraitor sử dụng. Elliptic phát hiện nhóm này còn “thi triển” những biến thể tương tự trên TRON và Solana.
Ngày 02/11, tin tặc tạo ra một token mới trên TRON, ghép cặp với stablecoin trong bể thanh khoản để luân chuyển tiền đánh cắp. Một ngày sau, chúng chuyển SOL sang các token có thanh khoản thấp trên Solana, bán lấy USDC rồi đưa tài sản sang blockchain khác. Khác với token trên TRON và NEAR, các token Solana đã tồn tại từ trước, không phải do nhóm tin tặc tự phát hành.
Sau vụ hack Bybit năm 2025, nhóm hacker này cũng từng tạo ra một token vô giá trị trên TRON, ghép cặp với stablecoin và sử dụng các ví riêng để mua bán qua bể thanh khoản. Elliptic ước tính ít nhất 24 triệu USD tiền đánh cắp đã được luân chuyển bằng phương thức này.
Elliptic lập luận chiến thuật trên không giúp tin tặc xóa dấu vết giao dịch. Mọi hoạt động vẫn được ghi lại trên blockchain, nhưng các lớp hoán đổi bổ sung khiến việc xác định mối liên hệ giữa ví nguồn và ví nhận mất thêm thời gian. Khoảng thời gian này có thể giúp tin tặc chuyển tiền sang những địa chỉ khác trước khi các đơn vị giám sát kịp đưa ví liên quan vào danh sách cảnh báo.
Bức tranh rửa tiền sau vụ tấn công Binance còn phức tạp hơn nhiều. Trong bản cập nhật ngày 09/11, Elliptic ghi nhận hơn 20.000 ví trên 16 blockchain, tương tác với ít nhất 36 dịch vụ và thực hiện hơn 65.000 giao dịch. Mạng lưới này đã phân tán tài sản qua 11 blockchain kể từ ngày xảy ra vụ tấn công 29/10.
Khoảng 3 tỷ USD tài sản đánh cắp vẫn nằm trong các địa chỉ liên quan đến vụ việc, chủ yếu dưới dạng ETH và BTC. Trong khi đó, khoảng 130 BTC, trị giá 10 triệu USD, đã được đưa qua các giao dịch trộn tiền kiểu CoinJoin. Riêng từ ngày 08/11, khoảng 7.000 ETH, tương đương 15 triệu USD, được chuyển vào Tornado Cash.
Elliptic cũng ghi nhận khoảng 124 triệu USD tài sản đánh cắp đã được chuyển đổi sang Bitcoin. Đây là một trong những hướng tẩu tán đáng chú ý bởi Bitcoin không thể bị một đơn vị phát hành trung tâm đóng băng như USDT hay USDC.
Cục Điều tra Liên bang Mỹ (FBI) khẳng định nhóm TraderTraitor có liên hệ với Triều Tiên đứng sau vụ tấn công Binance. Cơ quan này đã phối hợp với Cơ quan Mật vụ Mỹ và bộ phận điều tra hình sự thuộc Sở Thuế vụ Mỹ (IRS-CI), đồng thời kêu gọi các đơn vị vận hành THORChain, dịch vụ hoán đổi tức thời, nền tảng DeFi và nhà cung cấp dịch vụ tài sản số chặn giao dịch liên quan.
Elliptic cũng duy trì blacklist công khai các địa chỉ liên quan đến vụ tấn công để hỗ trợ doanh nghiệp sàng lọc dòng tiền. Công ty cảnh báo các đơn vị tuân thủ không nên mặc định tiền nhận từ bể thanh khoản là tài sản hợp pháp, đặc biệt khi giao dịch liên quan đến những token vừa được tạo.
Theo báo cáo sự cố ngày 03/11, Binance cho biết nhóm tin tặc đã chuẩn bị chiến dịch xâm nhập trong nhiều tháng, sử dụng phần mềm phát triển chứa mã độc, tuyển dụng giả và công cụ AI nội bộ bị xâm phạm. Đến nay, sàn đã đóng băng hoặc thu hồi khoảng 2,85 tỷ USD tài sản, đồng thời sử dụng nguồn tiền của công ty để bù đắp khoảng 98% số tài sản bị ảnh hưởng.
Coin68 tổng hợp
