Ngày 20/10/2026, các địa chỉ ví gắn liền với vụ tấn công sàn giao dịch phái sinh Drift Protocol hồi đầu năm đã bất ngờ kích hoạt trở lại, chuyển tổng cộng 25.700 ETH, trị giá khoảng 61,56 triệu USD, vào giao thức trộn tiền mã hóa Tornado Cash.

Đợt chuyển tiền diễn ra dồn dập sau khoảng hai tháng chuỗi ví này hoàn toàn không có biến động, cho thấy nhóm tấn công tiếp tục quy trình xóa dấu vết dòng tiền phi pháp.

Dòng tiền on-chain và lượng tài sản khổng lồ còn lại

Theo dữ liệu theo dõi thực tế từ nền tảng phân tích Arkham Intelligence, toàn bộ 25.700 ETH được gửi vào Tornado Cash trong khoảng thời gian khoảng hai giờ đồng hồ. Kẻ tấn công chia nhỏ dòng tiền thành các khoản nạp chuẩn hóa theo bể thanh khoản của giao thức trộn, chủ yếu là các gói 100 ETH (trị giá khoảng 237.800 USD mỗi lệnh) cùng một số khoản nhỏ 10 ETH. Bằng cách gửi tiền vào các bể cố định này, người gửi có thể rút tiền ra từ những địa chỉ ví hoàn toàn mới để cắt đứt liên kết công khai trên sổ cái blockchain.

Đây là đợt tẩu tán tài sản quy mô lớn thứ hai của vụ việc. Trước đó, vào ngày 23/07 và 24/07/2026, một địa chỉ ví mang nhãn Drift Exploiter 4 cũng từng gửi 23.095 ETH (trị giá khoảng 44,4 triệu USD ở thời điểm đó) vào cùng giao thức trộn.

Mặc dù đã chuyển đi hơn 105 triệu USD qua hai đợt, cụm 71 địa chỉ ví nằm trong danh sách theo dõi của Arkham hiện vẫn nắm giữ tới 81.454 ETH, tương đương giá trị thị trường khoảng 198,58 triệu USD. Ngoài lượng Ether khổng lồ này, cụm ví trên còn giữ khoảng 561.600 USD dưới dạng các đồng tiền mã hóa khác như USDT, USDC, Solana và USDY.

Kịch bản thâm nhập tinh vi và thực tế bồi hoàn chậm chạp

Vụ khai thác lỗ hổng nhắm vào Drift Protocol trên mạng lưới Solana xảy ra vào ngày 01/04/2026, với tổng thiệt hại được xác định lên tới 295,7 triệu USD. Kẻ tấn công đã chiếm đoạt quyền quản trị nội bộ, đưa vào một loại token giả mạo và lợi dụng nó làm tài sản thế chấp để vay rút cạn thanh khoản thật của sàn. Số tài sản bị rút ruột chủ yếu gồm 159,3 triệu USD token Jupiter Liquidity Provider (JLP) và 71,4 triệu USD đồng stablecoin USDC, sau đó phần lớn được hoán đổi sang Ether và chuyển cầu sang mạng lưới Ethereum.

Theo báo cáo điều tra do công ty an ninh mạng Mandiant công bố hồi tháng 06/2026, vụ tấn công là một chiến dịch kéo dài sáu tháng do nhóm tin tặc UNC6862 (được cho là có liên hệ với Triều Tiên) thực hiện. Nhóm này đã ngụy trang dưới danh nghĩa một quỹ đầu tư định lượng, gặp gỡ trực tiếp các thành viên dự án và thậm chí nạp 1 triệu USD tiền thật vào nền tảng để xây dựng lòng tin trước khi hành động.

Trái ngược với tốc độ rửa tiền của hacker, quá trình đền bù cho nạn nhân vẫn đang diễn ra vô cùng chậm chạp. Nền tảng Drift, hiện đã tái cấu trúc và đổi tên thành sàn giao dịch Velocity, đã mở cổng yêu cầu nhận token bồi hoàn DFX từ ngày 01/10/2026 với tỷ lệ 1 DFX cho mỗi 1 USDT thiệt hại được ghi nhận, tương ứng khoảng 299,5 triệu token. Tuy nhiên, bể thanh khoản phục hồi tại thời điểm ra mắt chỉ có vỏn vẹn 3,1 triệu USDT. Người dùng yêu cầu quy đổi sớm chỉ nhận lại khoảng 0,0104 USDT cho mỗi token DFX, tương đương vỏn vẹn khoảng 1 xu cho mỗi USD bị mất.

Quỹ bồi hoàn dự kiến sẽ được bổ sung dần nhờ trích 60% đến 90% doanh thu ròng hàng ngày của sàn Velocity cùng khoản cam kết hỗ trợ tối đa 127,5 triệu USDT từ Tether. Dù vậy, với việc gần 200 triệu USD tài sản vẫn nằm trong tay kẻ tấn công và đang dần biến mất vào các giao thức trộn, cơ hội để các nạn nhân thu hồi trọn vẹn số tiền đã mất vẫn là một hành trình xa vời.