Vụ hack rsETH gần 3 tỉ USD bị nghi do Lazarus Group, tiền bẩn ồ ạt chảy qua THORChain và bridge cross-chain

Theo CoinDesk đưa tin ngày 20 tháng 4 năm 2026 (giờ địa phương), vụ *rsETH* bị đánh cắp gần *3 tỉ đô la Mỹ* đang bước vào giai đoạn rửa tiền quy mô lớn. Các nhà phân tích on-chain cho rằng dòng tiền bị chiếm đoạt có dấu hiệu trùng khớp với các vụ tấn công liên quan đến sàn BTC Turk và Bybit, qua đó làm dấy lên nghi ngờ đây tiếp tục là chiến dịch của nhóm tin tặc Triều Tiên *Lazarus Group*.

Ngay sau vụ tấn công, những kẻ đứng sau đã triển khai mạng lưới rửa tiền dày đặc thông qua nhiều *blockchain bridge* và công cụ ẩn danh. Đáng chú ý, LayerZero – điểm xuất phát của số *rsETH* bị đánh cắp – cũng xuất hiện trong sơ đồ di chuyển tài sản, cho thấy dòng tiền liên tục “nhảy” qua nhiều mạng lưới khác nhau thay vì chỉ đi theo một tuyến cố định.

Theo dữ liệu on-chain do nhà phân tích Specter tổng hợp, chỉ trong 12 giờ đầu sau khi *rsETH* bị rút cạn, hacker đã sử dụng tới 370 địa chỉ ví để thực hiện hơn 1.600 giao dịch, tương đương cứ khoảng 25 giây lại có một lần chuyển tiền. Tính đến sáng thứ Tư, khoảng 116 triệu đô la Mỹ đã được chuyển đổi sang Bitcoin(BTC), trong khi hơn 61 triệu đô la Mỹ vẫn nằm rải rác tại các ví chưa rõ danh tính.

Một phần số tiền bị đánh cắp đã bị chặn lại nhờ động thái can thiệp của Ủy ban an ninh Arbitrum(ARB). Cơ quan này thông báo đã thu hồi được hơn 30.000 ETH, khiến khoản lợi nhuận “thực thu” của hacker giảm từ khoảng 245 triệu đô la Mỹ xuống còn chừng 175 triệu đô la Mỹ. Tuy nhiên, tốc độ rửa tiền vẫn ở mức cao, khiến rủi ro lan sang toàn bộ thị trường tài chính phi tập trung *DeFi* tiếp tục gia tăng.

Quá trình rửa tiền không đi theo một đường thẳng. Một phần tài sản được chuyển qua các giao thức tập trung vào quyền riêng tư như Umbra, nhưng trọng tâm vẫn là thông qua *THORChain*. Specter ước tính khoảng 99% lượng tài sản đã rửa đều đi qua giao thức cross-chain này. Dữ liệu trên bảng điều khiển THORChain cho thấy riêng trong ngày thứ Ba, hệ thống đã ghi nhận trên 100.000 đô la Mỹ tiền phí liên kết (affiliate fee). Nhà điều tra on-chain Tanuki42 nhấn mạnh, tổng phí gần đây đã vượt gấp đôi doanh thu lũy kế từ đầu năm, phản ánh áp lực đột biến từ các dòng tiền “đen”.

Sự cố *rsETH* là vụ tấn công lớn thứ hai trong lĩnh vực *DeFi* chỉ trong vòng một tháng, nâng tổng thiệt hại của các vụ hack lớn gần đây lên hơn 500 triệu đô la Mỹ, chưa kể hàng loạt vụ tấn công quy mô nhỏ và chiến dịch lừa đảo *phishing* rải rác trên nhiều chuỗi. Điều này đang khiến tâm lý mệt mỏi, “bội thực” tin xấu lan rộng trong cộng đồng nhà đầu tư.

Thiệt hại cũng chưa dừng lại sau sự cố ban đầu. Tối hôm trước, thị trường tiếp tục ghi nhận thêm khoảng 3,5 triệu đô la Mỹ bị thất thoát. Dự án bảo mật Volo cho biết đã hai lần cập nhật tình hình, khẳng định thu hồi được 500.000 đô la Mỹ cùng 19,6 BTC (tương đương khoảng 1,3 triệu đô la Mỹ). Tuy vậy, cùng một hợp đồng drainer được cho là đã được tái sử dụng trong một chiến dịch phishing riêng biệt, đánh cắp khoảng 600.000 đô la Mỹ từ 4 nạn nhân chỉ trong vòng 11 giờ.

bình luận: Với việc tiền đánh cắp được rửa nhanh qua *bridge* và các công cụ tăng cường quyền riêng tư, vụ *rsETH* một lần nữa cho thấy điểm yếu mang tính cấu trúc trong hệ sinh thái *DeFi*: bảo mật ứng dụng và hạ tầng cross-chain chưa theo kịp tốc độ phát triển sản phẩm. Nếu các giao thức không sớm siết chặt quy trình audit mã nguồn, giám sát on-chain theo thời gian thực và hợp tác chặt chẽ hơn với cơ quan thực thi pháp luật, những vụ việc tương tự nhiều khả năng sẽ tiếp tục lặp lại với quy mô ngày càng lớn.