12,8 tỷ USD tiền mã hóa bị tin tặc liên hệ với Triều Tiên đánh cắp từ năm 2017

Tin tặc có liên hệ với Triều Tiên đã đánh cắp khoảng 12,8 tỷ USD tài sản mã hóa kể từ năm 2017. Riêng năm 2026, số tiền bị đánh cắp lên tới 7,4 tỷ USD.

TRM Labs cho biết trong phân tích công bố ngày 30 tháng 10 rằng các vụ tấn công có liên hệ với Triều Tiên chiếm 85% tổng thiệt hại do hack tiền mã hóa trên toàn cầu tính đến tháng 10 năm 2026. Phần lớn số tiền bị đánh cắp có liên hệ với Triều Tiên trong năm nay đến từ vụ hack Binance.

Cục Điều tra Liên bang Mỹ (FBI) ngày 31 tháng 10 quy trách nhiệm vụ tấn công Binance cho Triều Tiên và gọi hoạt động mạng này là “TraderTraitor”. Binance ước tính vụ việc ảnh hưởng đến lượng tài sản trị giá khoảng 6,34 tỷ USD (khoảng 8.610,4 tỷ won Hàn Quốc) và cho biết sẽ gánh khoản lỗ thay cho người dùng.

Kết quả điều tra do Binance công bố cho thấy cuộc tấn công diễn ra qua nhiều giai đoạn từ tháng 6. Một kỹ sư định cài công cụ lập trình AI đã tải xuống tệp cài đặt Homebrew bị làm giả. Công ty phát hiện dấu hiệu bất thường, thay thiết bị đó và đổi các thông tin xác thực liên quan.

Đến tháng 9, một kỹ sư phần mềm có hồ sơ nghề nghiệp tại Binance hiển thị trên nền tảng tuyển dụng nhận được lời mời làm việc. Sau buổi phỏng vấn trực tuyến với người tuyển dụng giả mạo, kỹ sư này nhận một bài tập lập trình có chứa mã độc.

Binance cho biết ngày 20 tháng 10, kẻ tấn công đã dùng máy tính của kỹ sư bị nhiễm mã độc cùng các công cụ AI nội bộ để tiếp cận quyền truy cập của những nhân viên khác, trong đó có người phụ trách vận hành ví. Qua đó, chúng xác định được token của một nhân viên có quyền triển khai container.

Ngày 29 tháng 10, kẻ tấn công dùng thông tin xác thực bị đánh cắp để truy cập máy tính của một nhân viên khác, triển khai container và chạy tập lệnh độc hại. Chúng truy cập trái phép hệ thống ký giao dịch của ví nội bộ và phê duyệt giao dịch ngoài quy trình rút tiền thông thường. Binance cho biết đã xây dựng lại hệ thống ví và các công cụ AI nội bộ nằm trong lộ trình xâm nhập.

Một nghiên cứu năm 2004 của Trường Sau đại học Hải quân Mỹ ghi nhận Học viện Mirim (Mirim Academy) được thành lập năm 1984 và đổi thành Trường Mirim College (Mirim College) hệ 5 năm vào năm 1986. Trường mới tuyển quân nhân và học sinh trung học có thành tích cao từ các địa phương; chương trình học gồm máy tính, lập trình và tác chiến điện tử.

Công ty an ninh mạng DTEX cho biết học sinh Trường Trung học cơ sở số 1 Geumseong được đào tạo máy tính 1.660 giờ trong sáu năm. Chương trình có Linux, C, C++, Windows, mạng máy tính và trí tuệ nhân tạo. Báo cáo cho biết học sinh tốt nghiệp có thể làm lập trình viên, nhân sự tác chiến mạng hoặc lao động công nghệ thông tin ở nước ngoài.

Trong thông báo truy tố năm 2021, Bộ Tư pháp Mỹ xếp vụ hack Sony Pictures năm 2014, vụ lấy cắp 81 triệu USD (khoảng 109,8 tỷ won Hàn Quốc) từ Ngân hàng Trung ương Bangladesh năm 2016 và cuộc tấn công WannaCry năm 2017 vào hoạt động của tin tặc có liên hệ với Triều Tiên.

Các sàn giao dịch tiền mã hóa và dịch vụ dựa trên blockchain cũng trở thành mục tiêu. FBI quy vụ đánh cắp 620 triệu USD (khoảng 840,1 tỷ won Hàn Quốc) từ cầu nối Ronin của Axie Infinity năm 2022 cho nhóm Lazarus và APT38. FBI cũng xác định vụ lấy cắp 1,5 tỷ USD (khoảng 2.032,5 tỷ won Hàn Quốc) từ Bybit năm 2025 là hoạt động TraderTraitor của Triều Tiên.

Tuyển dụng từ xa trong lĩnh vực công nghệ thông tin là một con đường khác để tiếp cận nội bộ doanh nghiệp. Bộ Tư pháp Mỹ cho biết trong thông báo năm 2025 rằng nhân sự có liên hệ với Triều Tiên đã dùng danh tính giả hoặc bị đánh cắp để làm việc từ xa tại hơn 100 doanh nghiệp Mỹ. Họ nhận lương; một số người còn tiếp cận được thông tin nhạy cảm và tài sản mã hóa của doanh nghiệp.

Trong báo cáo năm 2025, Nhóm Giám sát Đa phương về Trừng phạt (MSMT) nhận định nhiều khả năng toàn bộ số tiền bị đánh cắp từ Bybit đã được chuyển đổi thành tiền mặt trước tháng 9 cùng năm. Báo cáo cho biết các trung gian ở Trung Quốc, Nga và Hong Kong, cùng một đầu mối tại Campuchia, tham gia luân chuyển và chuyển đổi tiền. MSMT đánh giá hoạt động mạng và việc bố trí nhân lực công nghệ thông tin ở nước ngoài giúp Triều Tiên huy động tài chính cho các chương trình vũ khí trái phép và tên lửa đạn đạo.

TRM Labs ghi nhận trong 100 vụ hack được quy cho Triều Tiên, có 13 vụ khai thác lỗ hổng trong mã hợp đồng thông minh; số tiền bị đánh cắp trong các vụ này chiếm khoảng 1% tổng lượng tài sản bị lấy cắp có liên hệ với Triều Tiên. Tính cả vụ Binance, các vụ xâm nhập hạ tầng như khóa riêng, máy chủ và hệ thống ký giao dịch chiếm 88% tổng số tiền bị đánh cắp.