727 FinanceNhìn lại vụ Bybit, cách hacker chuyển đổi 500.000 ETH thành BTC trong 10 ngày, hé lộ toàn bộ quá trình rửa tiền xuyên chuỗi và rút tiền mặt OTC ngầm. Áp lực bán ETH tập trung, tác động lên BTC hạn chế, và hacker không phải nguyên nhân chính của đợt giảm mạnh.
Tác giả: SoSoValue Research
Vào tối ngày 29 tháng 10, Binance đã hứng chịu một cuộc tấn công được nghi ngờ là lớn nhất trong lịch sử. Chainalysis ước tính số tiền bị đánh cắp vào khoảng 5,9 tỷ USD, và thám tử on-chain ZachXBT cho rằng rất có thể do Lazarus của Triều Tiên thực hiện.
Nhiều người lo ngại: các hacker sẽ xử lý số coin này như thế nào? Liệu chúng có xả hàng không? Để trả lời câu hỏi này, tài liệu tham khảo tốt nhất là vụ Bybit do cùng nhóm này thực hiện vào tháng 2 năm 2025.
I. Nhìn lại Bybit: 500.000 ETH, toàn bộ chuyển đổi sang BTC trong vòng 10 ngày
Ngày 21 tháng 2 năm 2025, khoảng 500.000 ETH đã bị đánh cắp khỏi Bybit, trị giá khoảng 1,4 tỷ USD vào thời điểm đó, trở thành vụ trộm tiền mã hóa lớn nhất trong lịch sử tính đến thời điểm ấy.
Các hacker đã di chuyển rất nhanh:
● Ngày 1: Đầu tiên chuyển đổi các phái sinh staking như stETH và mETH thành ETH gốc, sau đó phân tách ra trên một lượng lớn địa chỉ.
● Ngày 5: Ít nhất 160.000 ETH đã được chuyển cross-chain qua THORChain.
● Ngày 9: Thêm 62.200 ETH được chuyển trong một ngày, nâng tổng lũy kế lên khoảng 343.000 ETH đã được di chuyển.
● Ngày 10–12: Arkham xác nhận khoảng 500.000 ETH đã được bridge toàn bộ từ Ethereum sang BTC gốc.
Những kênh nào đã được sử dụng?
● THORChain (giao thức cross-chain phi tập trung): khoảng 72%, 361.000 ETH
● eXch (nền tảng giao dịch không KYC): khoảng 16%, 79.700 ETH
● OKX Web3 Wallet: khoảng 8%, 40.000 ETH
THORChain do đó đã kiếm được khoảng 5,5 triệu USD phí, thu hút chỉ trích mạnh mẽ từ cộng đồng. eXch sau đó tuyên bố đóng cửa vào ngày 1 tháng 5 năm 2025.
Cuối cùng có thể thu hồi được bao nhiêu? Hai tháng sau, CEO của Bybit công bố số liệu cho thấy 68,6% vẫn có thể truy vết, 27,6% đã "biến mất", và chỉ 3,8% đã bị đóng băng.
Kết luận: Gần như toàn bộ ETH bị đánh cắp đã được chuyển đổi thành BTC, và chưa đến 4% thực sự được thu hồi.
II. Tại sao hacker buộc phải chuyển đổi sang BTC?
1. Không ai có thể đóng băng nó
2. USDT và USDC có tổ chức phát hành có thể đưa địa chỉ vào danh sách đen bất cứ lúc nào. Trong sự cố Binance này, Tether và Circle đã nhanh chóng đóng băng khoảng 2,4 tỷ USD stablecoin. Bản thân ETH không thể bị đóng băng, nhưng các DEX, giao thức cho vay và cross-chain bridge trong hệ sinh thái Ethereum đều có thể chặn nó. Không có những "trạm kiểm soát" như vậy trên chuỗi Bitcoin.
3. Thanh khoản sâu nhất và mức độ chấp nhận cao nhất
4. Bất kỳ nhà giao dịch phi sàn nào ở bất kỳ đâu trên thế giới đều chấp nhận BTC. MIT Technology Review đã chỉ ra từ năm 2020 rằng các hacker cuối cùng có xu hướng quay lại Bitcoin vì không có loại coin nào khác được chấp nhận rộng rãi như vậy hoặc dễ chuyển đổi thành tiền mặt đến thế.
5. Phù hợp để lưu trữ dài hạn
6. Lazarus là một tổ chức hacker cấp nhà nước và không vội sử dụng tiền. BTC có thể được nắm giữ trong nhiều tháng hoặc thậm chí nhiều năm, chờ cho sự chú ý lắng xuống trước khi rút tiền theo từng đợt.
III. Sau khi chuyển đổi sang BTC, làm thế nào để rút tiền?
Câu trả lời là: rút tiền thông qua các nhà giao dịch OTC (over-the-counter) ngầm.Bộ Tài chính Hoa Kỳ chỉ ra rằng Triều Tiên thường sử dụng các đại lý giao dịch phi tập trung để chuyển đổi tài sản tiền mã hóa bị đánh cắp thành tiền tệ truyền thống, và hầu hết các đại lý này đều ở Trung Quốc, tránh sự giám sát của các tổ chức tài chính và cơ quan quản lý.
Con đường tổng quát:
ETH bị đánh cắp → cầu nối sang BTC → tách và trộn → thường được chuyển đổi thành USDT trên chuỗi Tron → đại lý ngầm → tiền pháp định hoặc giá trị hiện vật
Các đại lý "phá chuỗi" như thế nào? Thông qua "giao dịch gương."
Các đại lý đồng thời có một nhóm người mua khác cần tiền mã hóa nhưng không quan tâm đến nguồn gốc của nó, chẳng hạn như những người cố gắng chuyển tiền ra nước ngoài, các nền tảng cờ bạc trực tuyến và lừa đảo, và thương mại xuyên biên giới thị trường xám. Đại lý bán tiền của tin tặc cho những người này, sau đó trao tiền pháp định địa phương do những người này trả cho những người được tin tặc chỉ định. Truy vết trên chuỗi kết thúc tại đại lý, trong khi tiền ngoài chuỗi đến từ các bên hoàn toàn không liên quan.
Tiền pháp định cuối cùng đi đâu? Các vụ án công khai bao gồm:
● Tài khoản ngân hàng và thẻ UnionPay. Một báo cáo của Nhóm Giám sát Trừng phạt Đa phương (MSMT) chỉ ra rằng lực lượng mạng của Triều Tiên đã sử dụng hệ thống tài chính của Trung Quốc, bao gồm thẻ tín dụng UnionPay và các ngân hàng thương mại, để rút tiền mặt từ tài sản tiền mã hóa bị đánh cắp.
● Thẻ quà tặng. Hai công dân Trung Quốc bị Bộ Tư pháp Hoa Kỳ truy tố vào năm 2020 bị cáo buộc chuyển đổi tiền của Triều Tiên thành nhân dân tệ hoặc thẻ quà tặng Apple để rút tiền mặt.
● Các nền tảng tài chính xám ở Đông Nam Á, chẳng hạn như Tập đoàn Huione của Campuchia.
● Các khu vực liên quan bao gồm Trung Quốc, Nga, Argentina, Campuchia, Việt Nam, UAE và các nước khác.
IV. "BTC bị gắn cờ không thể vào sàn giao dịch sao?"
Đây là câu hỏi phổ biến nhất. Câu trả lời có ba điểm:
1. Tiền bẩn hoàn toàn không cần vào các sàn giao dịch tuân thủ. Chúng được bán cho người mua trong nền kinh tế xám, những người sử dụng tiền để tiếp tục lưu thông và thanh toán và sẽ không gửi chúng vào Binance hay Coinbase.
2. Gắn cờ không phải là nhãn "đen-trắng" vĩnh viễn mà là điểm số rủi ro. Sau nhiều lớp chuyển tiếp, trộn và pha lẫn với các quỹ khác, việc truy vết chuyển từ "chắc chắn" sang "xác suất." Đây là lý do tại sao 27,6% số tiền trong vụ Bybit "biến mất."
3. Các đại lý bù đắp rủi ro bằng phí cao. Các đại lý biết đó là tiền bẩn và thu phí cao hơn nhiều so với mức bình thường. Ví, thẻ ngân hàng và công ty vỏ bọc được thay thế sau khi sử dụng, và rủi ro bị trừng phạt và đóng băng đều được tính vào giá.
Tất nhiên, con đường này cũng có chi phí: phí trộn, phí xuyên chuỗi, chiết khấu đại lý và phần bị đóng băng có thể dẫn đến tổn thất đáng kể. Nhưng đối với một quốc gia bị trừng phạt gần như không có nguồn ngoại hối nào khác, thu hồi được một nửa vẫn là lợi ích khổng lồ. Báo cáo của MSMT ước tính rằng Triều Tiên đã đánh cắp khoảng 2,84 tỷ USD tài sản tiền mã hóa từ tháng 1 năm 2024 đến tháng 9 năm 2025.
V. Điều này có ý nghĩa gì đối với thị trường?● Áp lực bán ETH tập trung ở giai đoạn đầu. Quá trình hacker chuyển ETH thành BTC bao gồm việc bán thực tế trên chuỗi. Vụ Bybit mất khoảng 10 ngày và có thể dùng làm tham chiếu.
● Áp lực bán BTC nhỏ và phân tán. Sau khi chuyển thành BTC, việc rút tiền chủ yếu diễn ra thông qua các giao dịch đối ứng ngoài sàn và có thể kéo dài hàng tháng hoặc thậm chí hàng năm, phần lớn không đi qua sổ lệnh của sàn giao dịch, nên tác động trực tiếp đến giá là rất nhỏ.
● Hacker không phải là nguyên nhân chính gây ra các đợt giảm lớn. Vào ngày xảy ra vụ trộm Bybit, ETH giảm khoảng 8%, và đợt giảm lớn sau đó chủ yếu đến từ các yếu tố vĩ mô như thuế quan và thanh lý đòn bẩy.
Điều gì khác biệt ở vụ Binance này? Phần lớn tài sản bị đánh cắp là stablecoin, đã được đóng băng phần lớn; lượng ETH không thể đóng băng trực tiếp vào khoảng 195.000 coin, trị giá khoảng 440 triệu USD, quy mô nhỏ hơn vụ Bybit. Ngoài ra, hacker đang sử dụng các giao thức như Uniswap và Aave để chuyển stablecoin thành ETH, nên lượng ETH nắm giữ cuối cùng của họ có thể tăng lên.
Điều đáng theo dõi tiếp theo: thay đổi lưu lượng trong các giao thức cross-chain như THORChain và Chainflip, đây là tín hiệu trực tiếp về tốc độ hacker chuyển ETH thành BTC.
Bài viết này chỉ nhằm mục đích giáo dục và không cấu thành lời khuyên đầu tư. Vụ Binance vẫn đang diễn biến và dữ liệu liên quan có thể được cập nhật.