Một thực thể doanh nghiệp hoặc quỹ đầu tư chưa rõ danh tính tại Liên minh châu Âu (EU) có thể đã bị đánh cắp hơn 106 triệu USD tài sản tiền mã hóa từ tài khoản lưu ký tại nhiều sàn giao dịch tập trung vào ngày 01/11, theo thông tin điều tra on-chain từ chuyên gia bảo mật độc lập ZachXBT.
Vụ việc nối dài chuỗi sự cố bảo mật nghiêm trọng trong tuần qua, sau vụ tấn công 40 triệu USD vào sàn Mercado Bitcoin, và phản ánh xu hướng dòng tiền bẩn tìm kiếm kênh ẩn danh tương tự các vụ chuyển tiền vào công cụ xáo trộn giao dịch.
Lộ trình tẩu tán qua Ethereum, sàn tức thì và Monero
Theo phân tích của ZachXBT, kẻ tấn công đã tiếp cận và rút sạch số dư bằng hai đồng stablecoin neo giá USD là USDC và USDT từ tài khoản của nạn nhân. Để tránh rủi ro bị các tổ chức phát hành như Tether hay Circle can thiệp đóng băng hợp đồng thông minh on-chain, đối tượng đã nhanh chóng hoán đổi toàn bộ USDC sang đồng Ether (ETH) trong vòng 24 giờ sau đó.
Tiếp theo, dòng tiền bị phân tán qua các nền tảng giao dịch tức thì (instant exchange) như WellWallet và Kyrrez, trước khi được chuyển đổi một phần sang đồng tiền bảo mật Monero (XMR) thông qua dịch vụ Wagyu.
Đặc tính công nghệ của Monero giúp che giấu hoàn toàn địa chỉ gửi, nhận và giá trị giao dịch, khiến các công cụ theo dõi chuỗi khối truyền thống gần như không thể truy vết đường đi tiếp theo của dòng tiền sau khi đã chuyển đổi.
Không có dấu hiệu của nhóm tin tặc Triều Tiên
ZachXBT đã công bố danh sách 11 địa chỉ ví liên quan trực tiếp đến vụ rút tiền nghi vấn này. Tuy nhiên, danh tính cụ thể của tổ chức bị hại cũng như các sàn giao dịch bị can thiệp tài khoản vẫn chưa được công bố chính thức, và các đơn vị liên quan chưa lên tiếng xác nhận con số thiệt hại.
Đáng chú ý, chuyên gia điều tra khẳng định với độ tin cậy cao rằng vụ việc này không phải do nhóm tin tặc Lazarus Group của Triều Tiên thực hiện, dựa trên các dấu hiệu kỹ thuật và quy trình rửa tiền khác biệt so với thói quen của tổ chức này.
Sự cố tiếp tục gióng lên hồi chuông cảnh báo về rủi ro bảo mật tài khoản tổ chức (institutional accounts) trên các sàn giao dịch tập trung, khi kẻ tấn công có thể đã chiếm đoạt thông tin xác thực API hoặc xâm nhập thiết bị nội bộ của chính nạn nhân.