Từ chiếc máy tính bị hack đến 6,3 tỷ đô la Mỹ bị đánh cắp: Binance ơi, có ổn không?

Ngày 29/10, Changpeng Zhao - nhà đồng sáng lập kiêm cựu CEO Binance - đăng một status trên mạng xã hội X (trước đây là Twitter):

Thoạt nhìn, status trên chỉ là một lời khuyên cơ bản về an ninh mạng. Nhưng trên thực tế, đây là lời cầu cứu trong giây phút hoảng loạn khi chứng kiến tài khoản công ty đang bị bòn rút ngay trước mắt mình.

Khoảng 4h20 chiều ngày 29/10 (Eastern Time), chỉ trong vòng 20 phút, 6,3 tỷ đô la Mỹ ồ ạt chảy ra khỏi các tài khoản của Binance. FBI nhanh chóng vào cuộc. Mùi dũi chỉ đích danh một tổ chức khét tiếng, vốn có liên quan đến hàng loạt vụ án tài chính trong suốt thập kỷ qua.

Điều gì đã xảy ra và ai là người đứng sau cuộc tấn công này?

Cách để cướp ngân hàng online

Sau khủng hoảng tài chính năm 2008, niềm tin của người dân Mỹ vào ngân hàng bị ảnh hưởng nghiêm trọng. Một năm sau, cryptocurrency (tiền mã hóa, hay còn gọi là tiền ảo) ra đời nhằm tạo ra thể chế tài chính phi tập trung, tránh sự kiểm soát và chi phối từ ngân hàng và chính phủ.

Theo tuyên ngôn của Satoshi Nakamoto – người tạo ra đồng Bitcoin đầu tiên, người dùng tiền ảo không cần thông qua các tổ chức trung gian, không cần trả phí dịch vụ khi chuyển khoản xuyên quốc gia, cũng như không cần định danh hay xác thực. Nói nôm na, bạn chỉ cần kết nối Internet là có thể tạo ra được một hoặc n “địa chỉ ví” (mỗi địa chỉ là một chuỗi ký tự ngẫu nhiên). Để chuyển và nhận tiền, bạn cần một “chìa khóa số” bí mật.

Cơ chế này trở thành nhược điểm chí mạng nếu bạn vô tình để lộ “chìa khóa số”. Đây là điều đã xảy ra với Binance – sàn giao dịch tiền điện tử lớn nhất thế giới.

Theo điều tra sơ bộ, máy tính của một kỹ sư Binance đã bị malware xâm nhập. Hacker đã giả danh thành nhân viên HR qua một trang web tuyển dụng chính thống, dàn dựng phỏng vấn và yêu cầu kỹ sư tải xuống “bài test” có giấu mã độc. Xét về bản chất, hình thức hack này không khác với các email lừa đảo, dụ dỗ người nhận click vào link tại Việt Nam.

Sau khi sở hữu “chìa khóa số”, nhóm hacker đã vơ vét 6,3 tỷ USD từ Binance. Điều này chẳng khác nào một vụ cướp ngân hàng chớp nhoáng. Tính đến thời điểm hiện tại, đây có thể là vụ cướp có giá trị thiệt hại lớn nhất trong lịch sử, vượt qua cả vụ hack ByBit trị giá 1,5 tỷ USD và vụ Saddam Hussein đánh cắp 1 tỷ USD từ Ngân hàng Trung ương Iraq.

Trò chơi mèo vờn chuột và cuộc đua để lấy lại 6,3 tỷ USD

Tính đến ngày 01/11, Binance đã thành công phong tỏa số crypto trị giá 3 tỷ USD. Số crypto còn lại vẫn nằm trong tay hacker. Binance và các cơ quan chức năng đang chạy đua để lấy lại số tiền này trước khi thủ phạm kịp rút và rửa tiền.

Rửa tiền là hành vi che giấu nguồn gốc bất hợp pháp của dòng tiền có được từ buôn bán ma túy, tài trợ khủng bố, tham nhũng… và khoác cho nó tấm áo “tiền hợp pháp”. Ngày nay, với sự phát triển của crypto, rửa tiền đã đi lên một tầm cao mới.

Cryptocurrency có hai đặc tính tưởng chừng trái ngược: ẩn danh và công khai.

Tính ẩn danh xuất hiện vì người dùng không cần xác minh họ tên, gương mặt, địa chỉ… khi mở tài khoản, thanh toán hay chuyển số crypto trị giá hàng tỷ đô. Vì vậy, vào thời điểm mới ra đời, crypto là phương thức thanh toán ưa thích của giới tội phạm.

Nhưng đồng thời, toàn bộ các giao dịch crypto từ thời sơ khai lập địa đều được công khai: chúng không bị giấu trong sổ cái ngân hàng hay sao kê cá nhân mà hoàn toàn được công bố trên Internet.

Hai đặc tính trên tạo nên một hiệu ứng đặc biệt: bạn có thể kiểm tra có bao nhiêu tiền đã di chuyển từ ví A sang ví B, nhưng bạn sẽ không biết người sở hữu ví A và ví B là ai – một cá nhân, một tổ chức hay một băng nhóm tội phạm khét tiếng.

Hiệu ứng này là khởi nguồn cho cuộc rượt đuổi giữa Binance và hacker: Binance cần xác định danh tính thực của chủ sở hữu ví, trong khi hacker tìm mọi cách để che giấu dấu vết.

Làm thế nào để biến tiền bẩn thành tiền sạch?

Trong các vụ gian lận crypto, sau khi hacker cuỗm tiền và chuyển vào một địa chỉ ví công khai, bên bị hack sẽ đánh dấu đây là “ví tiền bẩn” và đưa ra cảnh báo để mọi người không giao dịch với địa chỉ ví này. Vì vậy, hacker cần thực hiện các thủ tục rửa tiền để xóa sạch dấu vết “tiền bẩn”.

Phương thức cơ bản nhất là “coin hopping”. Nếu người ta phân loại tiền pháp định (tiền truyền thống do nhà nước in) thành USD, JPY, VND… thì cryptocurrency có các đồng Bitcoin, Ether, Zcash... Tuy Bitcoin phổ biến nhất, nhưng một số đồng tiền khác có tính năng bảo mật cao hơn. Tội phạm rửa tiền sẽ đổi Bitcoin sang Zcash, rồi đổi Zcash sang Monero, tiếp đó đổi Monero sang Ether… để tránh bị truy vết.

Coin hopping vẫn có nhược điểm: nếu cảnh sát đủ kiên nhẫn thì vẫn có thể tra được vì các giao dịch crypto đều được công khai.

Bên cạnh đó, không phải ai cũng chấp nhận thanh toán bằng crypto. Chẳng chóng thì chầy, tội phạm sẽ phải chuyển đổi tiền điện tử thành tiền pháp định thông qua các tổ chức tài chính truyền thống như ngân hàng. Phía cảnh sát có thể truy vết thời điểm và địa điểm số tiền trong “ví tiền bẩn” được chuyển đổi thành tiền pháp định, sau đó yêu cầu ngân hàng cung cấp thông tin về danh tính người nhận tiền.

Để giải quyết vấn đề, hacker sử dụng công cụ trộn tiền điện tử (cryptocurrency tumbler). Giả sử bạn vừa dùng malware để tống tiền nạn nhân. Để rửa khoản tiền đen này, bạn chuyển tiền vào ví của một công ty trộn tiền. Họ sẽ trộn tiền của bạn vào tiền của nhiều người khác, sau đó chuyển phần của bạn vào một địa chỉ ví mới do bạn sở hữu. Số tiền kiếm được từ con đường bất hợp pháp nay đã trắng trẻo và thơm tho lạ thường. Bạn có thể chuyển nó thành tiền pháp định, mở công ty, mua bán xa xỉ phẩm… mà đỡ lo sợ bị công an sờ gáy.

Một yếu tố khác khiến công tác điều tra trở nên vất vả hơn là mức độ tự động hóa ngày càng cao. Các công cụ hiện đại cho phép tội phạm thực hiện hàng nghìn giao dịch chỉ trong thời gian ngắn. Tiền nhảy từ ví A sang ví B, từ ví B sang ví C, thậm chí chạy ngược lại vào ví A trước khi tỏa đi theo những chuỗi giao dịch hoàn toàn mới.

Tất cả đan xen, chồng chéo thành một mạng nhện mịt mù, khiến quá trình truy vết tiêu tốn một lượng chất xám và thời gian khổng lồ.

Ai là người đứng sau vụ tấn công vào Binance?

Theo Chainanalysis – tổ chức điều tra các vụ án liên quan đến tiền điện tử, thủ phạm rất có thể là nhóm tin tặc Triều Tiên TraderTraitor, thuộc tổ chức Lazarus. Đây cũng là tổ chức bị nghi ngờ đứng sau vụ hack sàn giao dịch ByBit trị giá 1,5 tỷ USD.

Trái ngược với định kiến về một Triều Tiên nghèo nàn lạc hậu, đất nước này sở hữu đội ngũ hacker hùng hậu và tài năng bậc nhất thế giới, với các “chiến tích” đáng nể: từ tấn công ngân hàng, phát tán mã độc tống tiền đến đánh cắp tiền điện tử từ các sàn giao dịch trực tuyến. Năm 2017, mã độc WannaCry 2.0 đã làm tê liệt các mạng lưới thông tin tại Mỹ, châu Âu và châu Á, bao gồm hệ thống máy tính của Boeing và dịch vụ y tế Anh.

Nhưng về góc độ bi hài, không một ai hiểu rõ cảm giác chua chát này hơn là Sony Pictures.

Năm 2014, Sony ra mắt phim hài The Interview, xoay quanh hai nhà báo xui xẻo bị C.I.A. chiêu mộ để ám sát Kim Jong-un. Tuy nhiên, Sony đã chọn sai thời điểm.

Lúc bấy giờ, Kim Jong-un mới lên nắm quyền được ba năm. The Interview không phải là một trò đùa vô hại – nó là một sự bôi nhọ và thách thức. Vài tháng sau khi trailer phim được công bố, một nhóm hacker Triều Tiên thành công xâm nhập vào server của Sony và nắm giữ nhiều dữ liệu nhạy cảm, gồm các kịch bản phim chưa ra mắt, bảng lương nhân viên, email trao đổi với đối tác…

Mây mù bao trùm Sony. Nhiều nhân viên đã bật khóc vì lo ngại dữ liệu cá nhân và người nhà bị lộ. Ban lãnh đạo điêu đứng trước những tin nhắn đe dọa. Cả công ty buộc phải chuyển sang trạng thái analog – không máy tính, không Internet – trong nhiều ngày.

Chính sách đào tạo hacker của Triều Tiên

Thành công của đội ngũ tin tặc Triều Tiên đến từ chính sách giáo dục chuyên biệt. Ngay từ tấm bé, những em có năng khiếu toán sẽ theo học các lớp chuyên, được tiếp xúc với máy tính từ sớm. Sau đó, họ có cơ hội xuất ngoại để tranh tài tại các kỳ thi toán học quốc tế và được cử sang nước ngoài làm việc, thường là Trung Quốc và một số quốc gia Đông Nam Á.

Sau một thời gian phát triển kỹ năng thực chiến, những cá nhân xuất sắc nhất sẽ quay về thủ đô Pyongyang để cống hiến cho nước nhà.

Cần nhấn mạnh rằng, vị thế chính trị đặc thù của Triều Tiên khiến việc triển khai các chính sách ngoại giao truyền thống trở nên khó khăn.

Triều Tiên không hề xa lạ với các biện pháp trừng phạt kinh tế do Mỹ và phương Tây áp đặt. Tình trạng cô lập thương mại khiến quốc gia này tìm đến những cách thức “sáng tạo” để duy trì dòng tiền. Theo phán đoán của Liên Hợp Quốc, phần lớn số tiền thu được từ các vụ hack toàn cầu được dùng cho mục đích quân sự, đặc biệt là chương trình tên lửa hạt nhân. Vì lẽ này, các nước phương Tây buộc phải dè chừng trước khi áp dụng các biện pháp ngoại giao cứng rắn.

Mặc cho những lời buộc tội, Triều Tiên chưa bao giờ thừa nhận vai trò của mình. Và thế là, cả Binance và Mỹ đứng trước một tình huống khó: phản kích cũng không được, ngó lơ cũng không xong – và tệ nhất là, đừng mong lấy lại tiền.

Tóm lại là...

Thị trường crypto vẫn đứng vững. Rất nhanh sau khi vụ hack xảy ra, Binance đã lên tiếng trấn an khách hàng. Công ty vẫn còn đủ quỹ dự trữ để bù vào lượng crypto thất thoát. Thị trường vẫn còn niềm tin vào Binance nói chung và tiền ảo nói riêng.

Tuy nhiên, cộng hưởng với vụ hack sàn giao dịch ByBit, nhiều người bắt đầu bày tỏ sự lo ngại.

Crypto đang đối mặt với một nghịch lý: tiền mã hóa ra đời với tham vọng loại bỏ những thủ tục rườm rà và sự quan liêu của hệ thống tài chính truyền thống. Thế nhưng, đôi khi chính những quy trình tưởng chừng phiền hà ấy lại đóng vai trò như một lớp bảo vệ, giúp ngăn chặn hoặc ít nhất làm chậm lại các cuộc tấn công tài chính quy mô lớn.

Xét trên chiều dài lịch sử, cryptocurrency vẫn còn ở giai đoạn sơ khai. Làm thế nào để kết hợp những tiến bộ công nghệ với các bài học kinh nghiệm về an ninh tài chính, từ đó xây dựng một hệ thống tiền tệ cởi mở nhưng vẫn đủ an toàn, không trở thành công cụ bị các tổ chức tội phạm hay những thế lực chính trị mờ ám lợi dụng?

Đó là câu chuyện mang tính tương lai và tổ chức. Còn chúng ta học được cái gì?

Có lẽ bài học lớn nhất chính là lời khuyên của Changpeng Zhao: đừng mở email và tùy tiện tải file lạ về máy.