Tin tặc liên quan Triều Tiên đã đánh cắp ít nhất 6,75 tỷ USD tiền mã hóa

Tin tặc liên quan Triều Tiên đã đánh cắp ít nhất 6,75 tỷ USD (khoảng 9.153 tỷ won) từ ngành tiền mã hóa, trong khi ước tính bao gồm cả các vụ chưa được xác nhận lên gần 7,8 tỷ USD (khoảng 10.577 tỷ won).

Chainalysis đưa ra mức sàn 6,75 tỷ USD cho tổng số tiền bị tin tặc liên quan Triều Tiên đánh cắp tính đến cuối năm 2025. Riêng năm 2025, số tiền bị đánh cắp đạt 2,02 tỷ USD (khoảng 2.739 tỷ won), tăng 51% so với năm trước.

Chainalysis phân tích rằng trong khoảng 45 ngày sau các cuộc tấn công quy mô lớn, dòng tiền thường tập trung di chuyển qua các dịch vụ rửa tiền nói tiếng Trung, cầu nối và giao thức trộn tiền. Cấu trúc này khiến tiền bị đánh cắp nhanh chóng phân tán qua nhiều địa chỉ và mạng lưới.

Vụ Bitget cho thấy khoảng cách giữa ước tính và quy kết

Vụ Bitget xảy ra năm 2026 cho thấy sự khác biệt giữa số tiền ước tính và thiệt hại được quy kết chắc chắn. Bitget cho biết đã điều chỉnh thiệt hại từ 351,6 triệu USD lên 387,5 triệu USD (khoảng 525,45 tỷ won) sau khi tính thêm các tài sản liên quan.

Bitget giải thích rằng kẻ tấn công đã khai thác lỗ hổng trong sản phẩm bảo mật của bên thứ ba để giành quyền truy cập nội bộ, sau đó nhập lệnh rút tiền giả vào hệ thống ví. Công ty cho biết khóa riêng và ví lạnh không bị xâm phạm.

Việc quy kết thủ phạm vẫn còn khác biệt. TRM Labs chưa quy kết vụ Bitget cho Triều Tiên, nhưng nhận định một phần đường đi của dòng tiền trùng với các vụ việc liên quan Triều Tiên trước đây. Trong khi đó, Elliptic đánh giá khả năng vụ việc có liên quan Triều Tiên là 'rất cao'.

Lazarus Group gần với một tên gọi chung mà các công ty bảo mật và cơ quan chức năng dùng để chỉ nhiều hoạt động tấn công có liên hệ với Tổng cục Trinh sát Triều Tiên (RGB), hơn là một tổ chức tin tặc đơn lẻ. Vì vậy, khó có thể khẳng định cấu trúc tổ chức thực tế chỉ dựa trên tên gọi này.

Bộ Tài chính Mỹ đã chỉ đích danh Lazarus Group, BlueNoroff và Andariel vào năm 2019 là các nhóm liên quan Triều Tiên chịu sự kiểm soát của Tổng cục Trinh sát. Microsoft phân loại một số hoạt động dưới tên Diamond Sleet và Sapphire Sleet, còn Mandiant sử dụng các tên APT38 và UNC4899.

Nhắm vào quyền truy cập nội bộ và chuỗi cung ứng

Các cuộc tấn công liên quan Triều Tiên không chỉ dừng ở việc đánh cắp khóa riêng. Kẻ tấn công nhiều lần nhắm trước vào tài khoản nhà phát triển, hệ thống vận hành ví, sản phẩm bảo mật và chuỗi cung ứng để giành quyền nội bộ, sau đó vượt qua quy trình rút tiền.

Cục Điều tra Liên bang Mỹ (FBI) quy trách nhiệm cho Triều Tiên trong vụ đánh cắp khoảng 1,5 tỷ USD tiền mã hóa (khoảng 2.040 tỷ won) từ Bybit vào tháng 2/2025. FBI gọi hoạt động này là 'TraderTraitor' và cho biết số tiền bị đánh cắp đã được chuyển đổi sang Bitcoin(BTC) cùng các tài sản khác, sau đó phân tán qua hàng nghìn địa chỉ trên nhiều blockchain.

Vụ Bybit kiện Triều Tiên đòi 1,5 tỷ USD và tiến hành đóng băng tài sản cho thấy các biện pháp pháp lý có thể tiếp diễn sau vụ đánh cắp. Những vụ tấn công này kéo dài không chỉ ở khâu di chuyển tài sản mà còn trong quá trình đóng băng và thu hồi tiền.

Tin tặc Triều Tiên cũng sử dụng tin tuyển dụng giả và hoạt động thâm nhập của nhân sự công nghệ thông tin từ xa. Chainalysis cho biết nhân sự liên quan Triều Tiên tiếp cận các sàn giao dịch, đơn vị lưu ký và doanh nghiệp Web3 để giành quyền truy cập đang nổi lên như một tuyến tấn công quan trọng.

Bộ Tư pháp Mỹ và FBI cho biết các hoạt động liên quan Triều Tiên đã sử dụng dòng mã độc AppleJeus, được ngụy trang thành phần mềm giao dịch. Khi nạn nhân cài đặt chương trình vì tưởng đó là phần mềm giao dịch hoặc ví, kẻ tấn công có thể tiếp cận thiết bị và thông tin xác thực.

Sau khi bị đánh cắp, tiền thường được chia nhỏ qua nhiều địa chỉ rồi chuyển sang các tài sản và mạng lưới khác. Trong vụ Bitget, kẻ tấn công đã phân tán Ethereum(ETH) và XRP sang các địa chỉ mới, sau đó chuyển một phần tài sản sang mạng lưới khác. TRM Labs nhận định một phần đường đi của dòng tiền trùng với vụ Bybit trước đây.

Mức 7,8 tỷ USD gần với giới hạn trên của ước tính bao gồm cả những vụ được cho là có khả năng liên quan Triều Tiên, chứ không phải tổng thiệt hại đã được xác nhận. Việc quy kết cuối cùng trong vụ Bitget và quy mô thiệt hại lũy kế sẽ được xác định sau khi các cuộc điều tra và phân tích on-chain bổ sung hoàn tất.