Triều Tiên bị quy liên quan vụ đánh cắp 7,4 tỷ USD tiền mã hóa trong năm nay

Ước tính đến ngày 29 tháng 10, các nhóm tin tặc liên quan đến Triều Tiên đã đánh cắp 7,4 tỷ USD (khoảng 9.975,2 tỷ won Hàn Quốc) tiền mã hóa trong năm nay. Các vụ việc bị xếp vào nhóm có liên hệ với Triều Tiên chiếm 85% tổng thiệt hại do tin tặc tấn công tiền mã hóa trên toàn cầu trong năm.

Ước tính cả năm và tiêu chí phân loại

Trong phân tích công bố ngày 30 tháng 10, TRM Labs thống kê tổng số tiền mã hóa bị đánh cắp trong các vụ việc liên quan đến Triều Tiên kể từ năm 2017 là 12,8 tỷ USD (khoảng 17.254,4 tỷ won Hàn Quốc). Tổng số tính từ đầu năm nay là 7,4 tỷ USD (khoảng 9.975,2 tỷ won Hàn Quốc), với ngày chốt dữ liệu là 29 tháng 10.

TRM Labs xếp 85% thiệt hại do các vụ tấn công tiền mã hóa trên toàn cầu trong năm nay vào nhóm có liên hệ với Triều Tiên. Do dữ liệu được chốt trước khi năm kết thúc, đây chưa phải tổng thiệt hại cuối cùng của cả năm.

Tiêu chí phân loại cũng ảnh hưởng đến tổng số. TRM Labs chưa kết luận vụ tấn công Bitget do Triều Tiên thực hiện, nhưng vẫn đưa vụ việc vào tổng số các vụ có liên hệ với Triều Tiên.

Vụ việc tại Binance cho thấy đường đi của cuộc tấn công

Sự cố tại Binance cũng làm tăng thiệt hại trong năm nay. TRM Labs theo dõi khoảng 6,36 tỷ USD (khoảng 8.573,3 tỷ won Hàn Quốc) rời khỏi ví Binance trên 10 blockchain trong khoảng 20 phút, bắt đầu từ 5 giờ 05 sáng ngày 30 tháng 10 (giờ Hàn Quốc). Trong cuộc điều tra ban đầu ngày 3 tháng 11, Binance cho biết quy mô tài sản bị ảnh hưởng là 6,34 tỷ USD (khoảng 8.546,3 tỷ won Hàn Quốc). Do phạm vi thống kê và thời điểm định giá khác nhau, không thể gộp hai con số thành một mức thiệt hại cuối cùng.

Binance cho biết trong cuộc điều tra ban đầu rằng kẻ tấn công đã truy cập trái phép dịch vụ ký giao dịch của ví nội bộ và thực hiện giao dịch ngoài quy trình rút tiền thông thường. Quá trình tấn công có liên quan đến các cuộc phỏng vấn tuyển dụng giả mạo, tải phần mềm độc hại và xâm nhập công cụ cùng thiết bị nội bộ.

Kẻ tấn công sử dụng tính năng EIP-7702 của Ethereum (ETH) để khiến ví nóng ủy quyền thực thi cho hợp đồng thông minh do chúng kiểm soát. EIP-7702 cho phép tài khoản bên ngoài giao một số quyền thực thi cho hợp đồng thông minh. Ví nóng là ví kết nối Internet, được dùng cho các hoạt động như xử lý rút tiền. Binance cho biết chưa tìm thấy bằng chứng cho thấy khóa riêng của ví bị lộ.

Vụ việc này khác với kiểu tấn công khai thác trực tiếp lỗ hổng trong mã hợp đồng thông minh. Phần mềm độc hại được dùng trong quá trình tấn công, còn hợp đồng thông minh của phía tấn công được dùng để chuyển tài sản. Trước đó, TokenPost đã đưa tin về phân tích của TRM Labs cho rằng quá trình chuẩn bị tấn công bắt đầu ít nhất 36 giờ trước khi tài sản bị đánh cắp.

TRM Labs phân tích rằng trong 100 vụ việc liên quan đến Triều Tiên được phân loại theo kiểu tấn công kể từ năm 2022, có 13 vụ khai thác lỗ hổng mã. Thiệt hại của 13 vụ này chiếm khoảng 1% tổng số tài sản bị đánh cắp trong các vụ liên quan đến Triều Tiên. Nếu tính cả vụ Binance, các cuộc tấn công nhắm vào hạ tầng như khóa, máy chủ và hệ thống ký giao dịch chiếm 88% tổng số tài sản bị đánh cắp.

Cục Điều tra Liên bang Mỹ (FBI) quy trách nhiệm vụ việc tại Binance cho Triều Tiên và gọi hoạt động mạng này là TraderTraitor. Ngày 2 tháng 11, bà Kim Yo Jong, Phó trưởng ban Ủy ban Trung ương Đảng Lao động Triều Tiên, ra tuyên bố bác bỏ mối liên hệ của Triều Tiên, gọi đánh giá của Mỹ là hành động khiêu khích chính trị và là “tuyên bố vô lý”.

Tiền bị đóng băng và số dư khách hàng được bù đắp là hai việc khác nhau

TRM Labs thống kê khoảng 2,7 tỷ USD (khoảng 3.639,6 tỷ won Hàn Quốc) đã bị đóng băng trong vụ Binance, tính đến 9 giờ 30 sáng ngày 30 tháng 10 (giờ Hàn Quốc). Tại cùng thời điểm, nhóm này ước tính kẻ tấn công đang nắm khoảng 2,4 tỷ USD (khoảng 3.235,2 tỷ won Hàn Quốc) bằng Bitcoin (BTC) và Ethereum, những tài sản mà đơn vị phát hành không thể đơn phương đóng băng.

Ngày 3 tháng 11, Binance cho biết khoảng 2,85 tỷ USD (khoảng 3.841,8 tỷ won Hàn Quốc) tài sản đã bị đóng băng hoặc chặn. Con số này khác với mức TRM Labs đưa ra về thời điểm và phạm vi thống kê.

BitOK gộp tài sản bị đóng băng, tiêu hủy hoặc tịch thu và thống kê tổng cộng khoảng 2,79 tỷ USD (khoảng 3.760,9 tỷ won Hàn Quốc). Không thể dùng số liệu tài sản bị đóng băng, chặn hoặc tịch thu thay cho số tài sản bị đánh cắp đã thu hồi.

Ngày 4 tháng 11, Binance thông báo đã dùng nguồn tiền riêng để bù đắp khoảng 98% tài sản bị ảnh hưởng. Đây là tỷ lệ số dư khách hàng được bù đắp, không phải tỷ lệ tài sản bị đánh cắp đã được thu hồi.

Binance thông báo sẽ lần lượt mở lại việc rút thêm tài sản từ 13 giờ ngày 6 tháng 11 (giờ Hàn Quốc), theo kết quả kiểm tra bảo mật. Thời điểm công bố là giờ bắt đầu mở lại theo từng đợt, không đồng nghĩa toàn bộ dịch vụ đã hoạt động bình thường.