Vì sao FBI, TRM và Chainalysis cùng quy vụ Binance cho Triều Tiên?

Chỉ hai ngày sau vụ tấn công Binance, FBI đã công bố danh sách hàng trăm địa chỉ ví tiền mã hóa cần ngăn chặn, đồng thời quy trách nhiệm cho nhóm hacker có liên hệ với Triều Tiên.

Theo ông Phan Đức Trung - Chủ tịch Hiệp hội Blockchain và Tài sản số Việt Nam (VBA), việc xác định nghi phạm mới chỉ là bước đầu, trong khi khả năng thu hồi tài sản vẫn phụ thuộc vào việc kiểm soát các dòng tiền bị đánh cắp.

   ông Phan Đức Trung - Chủ tịch Hiệp hội Blockchain và Tài sản số Việt Nam (VBA)  

Ngày 31/10/2026 (giờ Mỹ), Cục Điều tra Liên bang Mỹ (FBI) quy trách nhiệm vụ tấn công Binance cho Triều Tiên, đồng thời công bố danh sách hàng trăm địa chỉ ví cần ngăn chặn.

Ông Trung nhận định, phản ứng lần này của FBI nhanh hơn đáng kể so với những vụ việc trước đó, cho thấy mức độ quan tâm của cơ quan điều tra Mỹ đối với vụ tấn công.

Đáng chú ý, trước khi FBI chính thức lên tiếng, ba công ty phân tích blockchain gồm TRM Labs, Chainalysis và Elliptic cũng đã đề cập đến TraderTraitor. 

4 tổ chức cùng nhắc tên TraderTraitor

TRM Labs, công ty phân tích blockchain của Mỹ được thành lập năm 2018 tại San Francisco, là một trong những đơn vị đầu tiên đưa ra nhận định về vụ việc.

Chỉ vài giờ sau vụ tấn công ngày 29/10 (giờ Mỹ), TRM Labs đã kết luận vụ việc có liên quan đến TraderTraitor, dựa trên dữ liệu giao dịch trên blockchain và các nguồn thông tin ngoài chuỗi không được công bố.

Tiếp đó, vào lúc 04h30 UTC ngày 30/10, Chainalysis, một công ty phân tích dữ liệu blockchain khác của Mỹ, cũng chỉ ra dấu vết liên quan đến TraderTraitor.

Cơ sở được Chainalysis đưa ra là dòng tiền từ vụ tấn công Binance và dòng tiền từ vụ tấn công Bitget trước đó đã hội tụ tại cùng một địa chỉ ví.

Trong khi đó, Elliptic, công ty phân tích blockchain và quản lý rủi ro tài sản số thành lập tại Anh năm 2013, cũng đề cập đến TraderTraitor nhưng thận trọng hơn khi cho biết chưa thể đưa ra kết luận chắc chắn.

Sau 3 doanh nghiệp phân tích blockchain, FBI trở thành cơ quan thực thi pháp luật chính thức lên tiếng quy trách nhiệm cho nhóm hacker có liên hệ với Triều Tiên.

Dù không công bố chi tiết lập luận dẫn đến kết luận trên, FBI đã đưa ra danh sách các địa chỉ ví cần ngăn chặn, bao gồm hơn 600 địa chỉ Ethereum, gần 20 địa chỉ Bitcoin và một địa chỉ Solana.

Thông tin từ FBI về vụ hack sàn Binance

Theo ông Phan Đức Trung, danh sách này có ý nghĩa đặc biệt quan trọng trong việc ngăn chặn dòng tiền bị đánh cắp.

Có thể hình dung đây như một danh sách truy nã được gửi đến các cửa khẩu. Khi tài sản được xác định có liên quan đến một chủ thể bị Mỹ trừng phạt, các sàn giao dịch, dịch vụ hoán đổi tài sản mã hóa và các đơn vị giao dịch phi tập trung qua trung gian (OTC) sẽ có cơ sở để từ chối tiếp nhận.

Đồng thời, rủi ro pháp lý đối với các đơn vị tiếp nhận dòng tiền này cũng gia tăng, qua đó có thể làm chậm quá trình chuyển đổi tài sản bị đánh cắp thành tiền pháp định.

Tuy nhiên, không phải tất cả các đơn vị phân tích đều đã đi đến cùng một kết luận.

Trong báo cáo công bố sáng 30/10, ChainTracer - chương trình truy vết của Hiệp hội Blockchain và Tài sản số Việt Nam, cho biết chưa xác định được danh tính và vị trí của những người trực tiếp đứng sau vụ tấn công.

Đơn vị này cũng không kết luận TraderTraitor là thủ phạm, đồng thời thừa nhận chưa có đủ dữ liệu để tự kiểm chứng dòng tiền trên hai mạng blockchain Bitcoin và Tron.

Những dấu vết dẫn tới nhóm hacker Triều Tiên

Từ những thông tin đã công bố, ông Phan Đức Trung đánh giá khả năng TraderTraitor, nhóm hacker được cho là có nguồn gốc từ Triều Tiên, đứng sau vụ tấn công Binance là rất cao.

"Tôi cho rằng khả năng TraderTraitor có nguồn gốc từ Triều Tiên đứng sau vụ việc này là rất cao bởi cả 3 bằng chứng của các đơn vị độc lập công bố đều chỉ về chung một hướng", ông Trung nhận định.

Theo Chủ tịch VBA, kết luận của FBI có thêm cơ sở đáng chú ý khi cơ quan này sở hữu nguồn thông tin điều tra độc lập, có tiền lệ quy kết nhất quán và đã theo dõi hoạt động của TraderTraitor ít nhất từ tháng 4/2022.

Trước đó, FBI từng phối hợp với Cơ quan An ninh mạng và An ninh cơ sở hạ tầng Mỹ (CISA) cùng Bộ Tài chính Mỹ phát cảnh báo về nhóm hacker này.

TraderTraitor cũng từng bị FBI quy trách nhiệm trong vụ tấn công sàn DMM Bitcoin năm 2024 và Bybit năm 2025.

Ông Trung cho biết chưa ghi nhận trường hợp nào trong các kết luận nói trên bị bác bỏ bằng những bằng chứng ngược lại.

Dù vậy, ông nhấn mạnh cần phân biệt rõ kết luận của cơ quan điều tra với phán quyết của tòa án. Việc FBI xác định một nhóm hacker đứng sau vụ tấn công không đồng nghĩa trách nhiệm pháp lý của nhóm này đã được xác lập bằng một bản án.

Xác định được nghi phạm, nhưng tiền có thu hồi được?

Theo ông Phan Đức Trung, vấn đề quan trọng hơn sau những công bố của FBI và các công ty phân tích blockchain là khả năng ngăn chặn, thu hồi số tài sản đã bị đánh cắp. Bởi việc công bố bằng chứng và thu hồi tài sản là hai quá trình hoàn toàn khác nhau.

Trong vụ tấn công Binance, một phần tài sản dưới dạng stablecoin đã được giữ lại nhờ phản ứng nhanh của các tổ chức phát hành, diễn ra trong chưa đầy một giờ.

Đáng chú ý, Tether đã phong tỏa ví nhận tiền chính chỉ 37 phút sau lượt rút tài sản lớn nhất.

Tuy nhiên, với lượng tài sản bị rút dưới dạng ETH và BTC, khả năng ngăn chặn và thu hồi vẫn phụ thuộc đáng kể vào hành động của các đơn vị đóng vai trò cửa ngõ chuyển đổi tài sản.

Các đơn vị này bao gồm sàn giao dịch tiền mã hóa, dịch vụ hoán đổi tài sản và các tổ chức cung cấp giao dịch OTC.

Nếu những địa chỉ ví đã được cảnh báo tiếp tục có thể chuyển tài sản qua các nền tảng trung gian, dòng tiền bị đánh cắp vẫn có cơ hội được luân chuyển, phân tán hoặc chuyển đổi thành tiền pháp định. 

Ngược lại, việc các đơn vị đồng loạt chặn những địa chỉ có liên quan sẽ làm thu hẹp khả năng chuyển đổi tài sản của nhóm tấn công, đồng thời tạo thêm cơ hội cho quá trình truy vết và thu hồi.

Như vậy, dù FBI cùng nhiều tổ chức phân tích blockchain đã hướng nghi vấn về TraderTraitor, hiệu quả xử lý vụ việc vẫn phụ thuộc vào khả năng phối hợp giữa các bên tham gia thị trường tài sản mã hóa. 

"Nói một cách khác, tên nghi phạm đã được đề cập nhưng cửa ra của dòng tiền vẫn đang mở", ông Phan Đức Trung nhận định./.