Vụ trộm tiền mã hóa lớn nhất lịch sử: Điều gì đã xảy ra với Bybit?
Ngày 21 tháng 2 năm 2025, thế giới chứng kiến vụ đánh cắp tiền mã hóa lớn nhất từng được ghi nhận. Gần 1,5 tỷ USD tài sản số biến mất khỏi Bybit, một sàn giao dịch tiền mã hóa có trụ sở tại Dubai, trong một vụ xâm nhập gây chấn động chỉ diễn ra trong chốc lát. Quy mô và mức độ tinh vi của cuộc tấn công đã gây chấn động hệ thống tài chính toàn cầu, phơi bày không chỉ những lỗ hổng trong các thị trường tiền mã hóa đang phát triển nhanh chóng ở châu Á mà còn cả tầm hoạt động đáng báo động của các nhóm tin tặc được Triều Tiên hậu thuẫn.
Nội dung
- Vụ trộm tiền mã hóa lớn nhất lịch sử: Điều gì đã xảy ra với Bybit?
- Vụ tấn công diễn ra như thế nào?
- Hệ quả tức thời và phản ứng của ngành
- Ai đứng sau vụ tấn công? Nhóm Lazarus và TraderTraitor của Triều Tiên
- Chiến thuật của nhóm Lazarus
- Triều Tiên đã rửa số tiền mã hóa bị đánh cắp như thế nào?
- Tài chính phi tập trung: Con dao hai lưỡi
- Vì sao Triều Tiên nhắm vào tiền mã hóa và hệ lụy toàn cầu là gì?
- Yếu tố con người: Thao túng tâm lý và lỗ hổng đám mây
- Hệ sinh thái tiền mã hóa ở châu Á: Mắt xích yếu?
- Phản ứng của ngành và cơ quan quản lý
- Lực lượng mạng của Triều Tiên: Mối đe dọa ngày càng lớn
- Các vụ tấn công nổi bật trước đây
- Thách thức đối với cơ quan thực thi pháp luật và hướng đi tiếp theo
- Bài học về quy định và an ninh
- Tóm tắt
Bybit, một trong những sàn giao dịch tiền mã hóa lớn nhất thế giới với hơn 60 triệu người dùng, trở thành tâm điểm của một kỷ nguyên tội phạm mạng mới. Theo công ty phân tích blockchain Chainalysis, vụ tấn công chiếm gần 70% tổng tài sản số bị đánh cắp trên toàn cầu trong nửa đầu năm 2025. Sự việc làm nổi rõ những rạn nứt ngày càng lớn trong hệ sinh thái số, đồng thời báo hiệu tin tặc Triều Tiên đang gia tăng nguy hiểm về chiến thuật lẫn tham vọng.
Vụ tấn công diễn ra như thế nào?
Vụ xâm nhập bắt đầu bằng một giao dịch có vẻ thông thường. Ben Zhou, CEO của Bybit, phê duyệt giao dịch dường như là một lệnh chuyển Ether (ETH), loại tiền mã hóa phổ biến, giữa các tài khoản của công ty. Ông không hay biết rằng tin tặc đã xâm nhập phần mềm giao diện mà Bybit sử dụng để quản lý các giao dịch này. Chỉ trong vài phút, những kẻ tấn công đã kiểm soát được một ví chứa 401.000 ETH, trị giá 1,5 tỷ USD vào thời điểm đó, rồi chuyển số tiền này đến các địa chỉ do chúng kiểm soát.
Các cuộc điều tra cho thấy tin tặc đã khai thác lỗ hổng trong Safe, một sản phẩm phần mềm miễn phí mà Bybit dùng để lưu trữ và quản lý tài sản số. Bằng cách thao túng giao diện người dùng của Safe và chèn mã độc, chúng lừa Bybit phê duyệt giao dịch gian lận. Vụ xâm nhập không chỉ là một sự cố kỹ thuật mà còn là lời nhắc nhở rõ ràng về những rủi ro từ việc phụ thuộc vào phần mềm bên thứ ba trong lĩnh vực tài chính số.
Hệ quả tức thời và phản ứng của ngành
Tác động xảy ra ngay lập tức và rất nghiêm trọng. Thị trường tiền mã hóa lao dốc, Bitcoin giảm 20% so với mức đỉnh hồi tháng 1. Niềm tin vào ngành suy giảm, nhất là khi vụ tấn công xảy ra đúng lúc các nhà hoạch định chính sách ở Mỹ và những nơi khác đang tranh luận về các quy định mới nhằm thúc đẩy việc sử dụng rộng rãi tài sản số.
Bybit trấn an khách hàng rằng tiền của họ sẽ được bảo đảm và triển khai chương trình thưởng truy tìm, đề nghị trả tới 10% giá trị tài sản thu hồi được cho những người có thể giúp lần theo dấu vết và phong tỏa số tiền mã hóa bị đánh cắp. Chỉ trong vài tuần, hơn 40 triệu USD tiền bị đánh cắp đã được xác định và phong tỏa, đồng thời hơn 4 triệu USD tiền thưởng được chi trả cho những người đóng góp. Tuy nhiên, các chuyên gia cảnh báo phần lớn tài sản bị đánh cắp đã “biến mất khỏi tầm theo dõi”, được rửa tiền qua các kênh tinh vi và nhiều khả năng không thể thu hồi.
Ai đứng sau vụ tấn công? Nhóm Lazarus và TraderTraitor của Triều Tiên
Triều Tiên hiếm khi nhận trách nhiệm về các cuộc tấn công mạng, nhưng bằng chứng trong vụ Bybit rất thuyết phục. FBI cùng các công ty an ninh mạng quốc tế quy trách nhiệm vụ tấn công cho nhóm Lazarus khét tiếng của Triều Tiên và nhánh trực thuộc có tên TraderTraitor. Những tin tặc được nhà nước hậu thuẫn này nổi tiếng với các vụ đánh cắp táo tợn, dùng số tiền thu được để tài trợ cho các chương trình hạt nhân và tên lửa của chính quyền.
Theo FBI, chiến dịch “TraderTraitor” kết hợp các thủ đoạn thao túng tâm lý, tấn công chuỗi cung ứng và khai thác lỗ hổng kỹ thuật. Nhóm này thường nhắm vào các tổ chức blockchain và tiền mã hóa, sử dụng lời mời làm việc giả cùng phần mềm mã nguồn mở độc hại để xâm nhập mục tiêu. Khi đã vào được hệ thống, chúng triển khai mã độc để đánh cắp thông tin đăng nhập, lấy khóa ví tiền mã hóa và cuối cùng chuyển những khoản tài sản số khổng lồ đến các địa chỉ do Triều Tiên kiểm soát.
Chiến thuật của nhóm Lazarus
Chiến thuật của nhóm Lazarus đã thay đổi nhanh chóng. Trong những năm gần đây, nhóm này đã:
- Sử dụng các chiến dịch lừa đảo qua những nền tảng như LinkedIn, Slack và Telegram để dụ nhân viên tải mã độc.
- Xâm nhập máy tính của nhà phát triển và chèn mã độc vào chuỗi cung ứng phần mềm.
- Khai thác lỗ hổng trong dịch vụ đám mây và phần mềm lưu trữ, như đã thấy trong vụ tấn công Bybit.
- Tận dụng các công cụ tài chính phi tập trung (DeFi), cầu nối liên chuỗi và dịch vụ trộn tiền mã hóa để rửa tiền bị đánh cắp, che giấu nguồn gốc.
Tiến sĩ Tom Robinson, đồng sáng lập công ty phân tích blockchain Elliptic, giải thích về hiệu quả hoạt động của nhóm:
Triều Tiên giỏi rửa tiền mã hóa nhất, có lẽ nhờ sử dụng các công cụ tự động và làm việc theo ca để chuyển tiền mã hóa thành tiền mặt.Hoạt động của nhóm kết hợp năng lực tinh vi của một quốc gia với sự linh hoạt của tội phạm mạng, khiến chúng trở thành mối đe dọa đáng gờm đối với hệ thống tài chính toàn cầu.
Triều Tiên đã rửa số tiền mã hóa bị đánh cắp như thế nào?
Một trong những khía cạnh đáng lo ngại nhất của vụ trộm Bybit là tốc độ và hiệu quả rửa tiền. Trong vòng 48 giờ, ít nhất 160 triệu USD đã được chuyển qua các kênh bất hợp pháp; đến cuối tuần đầu tiên, hơn 400 triệu USD đã được dịch chuyển. Đến đầu tháng 3, giai đoạn đầu của quá trình rửa tiền đã hoàn tất: phần lớn Ethereum bị đánh cắp được đổi sang Bitcoin và phân tán qua hàng nghìn ví.
Tài chính phi tập trung: Con dao hai lưỡi
Tin tặc phụ thuộc nhiều vào các giao thức tài chính phi tập trung (DeFi), đặc biệt là các cầu nối liên chuỗi như THORchain, để hoán đổi tài sản và xóa dấu vết. Những công cụ này được thiết kế nhằm cho phép chuyển tiền liền mạch giữa các loại tiền mã hóa khác nhau mà không cần trung gian, nhưng cũng khiến cơ quan thực thi pháp luật khó theo dõi và phong tỏa các khoản tiền bất hợp pháp.
Sau khi chuyển Ethereum bị đánh cắp sang Bitcoin qua cầu nối, tin tặc gửi các khoản tiền lớn vào những dịch vụ trộn tiền mã hóa như Wasabi và CryptoMixer. Các dịch vụ này trộn giao dịch của nhiều người dùng, khiến việc truy ra nguồn gốc của từng đồng tiền gần như bất khả thi. Dù tính minh bạch của blockchain cho phép công khai theo dõi giao dịch, quy mô và độ phức tạp của quá trình rửa tiền đã khiến các nhóm tuân thủ và điều tra quá tải.
Bất chấp những nỗ lực đó, một phần đáng kể số Bitcoin đã chuyển đổi vẫn chưa được động đến, cho thấy tin tặc có thể đang chuẩn bị bán tháo trên quy mô lớn hoặc tiếp tục che giấu nguồn tiền thông qua các mạng lưới giao dịch phi tập trung, đặc biệt ở những khu vực thực thi pháp luật lỏng lẻo như một số nơi tại Trung Quốc.
Vì sao Triều Tiên nhắm vào tiền mã hóa và hệ lụy toàn cầu là gì?
Triều Tiên chuyển sang đánh cắp tiền mã hóa vì tình thế bắt buộc. Bị cô lập bởi các lệnh trừng phạt quốc tế và đối mặt với những khó khăn kinh tế nghiêm trọng, chính quyền nước này coi tội phạm mạng là nguồn thu ngoại tệ mạnh chủ yếu. Liên Hợp Quốc ước tính Triều Tiên đã đánh cắp hơn 3 tỷ USD tiền mã hóa kể từ năm 2017, phần lớn được cho là dùng để tài trợ các chương trình vũ khí.
Vụ tấn công Bybit là một phần của xu hướng rộng hơn. Chỉ trong nửa đầu năm 2025, hơn 2,17 tỷ USD tiền mã hóa đã bị đánh cắp trên toàn thế giới, trong đó tin tặc Triều Tiên chịu trách nhiệm cho gần 70% tổng số này. Làn sóng tội phạm mạng gia tăng gây hệ lụy toàn cầu, làm suy giảm niềm tin vào tài chính số và thúc đẩy lời kêu gọi siết chặt quy định cũng như tăng cường hợp tác quốc tế.
Yếu tố con người: Thao túng tâm lý và lỗ hổng đám mây
Khai thác kỹ thuật chỉ là một phần của câu chuyện. Tin tặc Triều Tiên ngày càng thành thạo các thủ đoạn thao túng tâm lý, lừa nhân viên cấp quyền truy cập vào những hệ thống nhạy cảm. Chúng thường giả danh nhà tuyển dụng hoặc nhân viên công nghệ thông tin, đưa ra cơ hội việc làm giả để dụ nạn nhân tải mã độc hoặc tiết lộ thông tin đăng nhập. Những chiến thuật này đặc biệt hiệu quả với các công ty tiền mã hóa sử dụng dịch vụ đám mây, vốn thường dựa vào lực lượng lao động làm việc từ xa và phần mềm của bên thứ ba.
Benjamin Read, nhà nghiên cứu an ninh tại Wiz, nhận định:
TraderTraitor tập trung khai thác các lỗ hổng trên đám mây vì đó là nơi lưu trữ dữ liệu và tiền bạc, nhất là với các công ty tiền mã hóa mới thành lập sử dụng hạ tầng ưu tiên đám mây.Ngành càng phát triển, bề mặt tấn công dành cho các tác nhân đe dọa tinh vi càng mở rộng.
Hệ sinh thái tiền mã hóa ở châu Á: Mắt xích yếu?
Vụ tấn công Bybit đã phơi bày những lỗ hổng đáng kể trong lĩnh vực tài chính số của châu Á. Tăng trưởng nhanh, khoảng trống pháp lý và sự phụ thuộc vào phần mềm bên thứ ba đã biến khu vực này thành mục tiêu hàng đầu của tội phạm mạng. Theo Chainalysis, sự việc “phơi bày những rạn nứt an ninh ngày càng lớn trong hệ sinh thái số của châu Á và báo hiệu một kỷ nguyên tội phạm mạng mới đã bắt đầu”.
Dù đặt trụ sở tại Dubai, Bybit có cơ sở người dùng và trọng tâm hoạt động gắn bó sâu sắc với châu Á. Làn sóng bùng nổ tiền mã hóa trong khu vực đã vượt xa tốc độ phát triển các tiêu chuẩn an ninh vững chắc, khiến các sàn giao dịch và nhà đầu tư dễ bị tổn thương trước những cuộc tấn công ngày càng tinh vi.
Phản ứng của ngành và cơ quan quản lý
Sau vụ tấn công Bybit, các lãnh đạo ngành và cơ quan quản lý đang đánh giá lại cách tiếp cận đối với vấn đề an ninh. Bybit cam kết bù đắp tổn thất cho khách hàng và đang phối hợp với các chuyên gia pháp chứng để truy tìm, thu hồi tài sản bị đánh cắp. Trong khi đó, các chính phủ và cơ quan thực thi pháp luật kêu gọi tăng cường hợp tác quốc tế và xây dựng các giao thức an ninh tiêu chuẩn cho sàn giao dịch tiền mã hóa.
Chính phủ Mỹ dưới thời chính quyền Trump coi tiền mã hóa là trọng tâm trong chính sách công nghệ, với mục tiêu đưa nước này trở thành quốc gia dẫn đầu toàn cầu về tài chính số. Tuy nhiên, vụ tấn công Bybit cho thấy nhu cầu cấp bách phải siết chặt quy định và cải thiện các biện pháp an ninh để bảo vệ người tiêu dùng, duy trì niềm tin vào ngành.
Lực lượng mạng của Triều Tiên: Mối đe dọa ngày càng lớn
Nhóm Lazarus và các nhánh trực thuộc, trong đó có TraderTraitor, đại diện cho năng lực mạng tiên tiến nhất của Triều Tiên. Các nhóm này được cho là có hàng nghìn nhân sự, làm việc theo ca để tối đa hóa hiệu quả. Hoạt động của chúng được tổ chức bài bản, kết hợp nguồn lực của một quốc gia với sự linh hoạt của các tổ chức tội phạm mạng.
Chiến lược mạng của Triều Tiên có nhiều mặt. Ngoài trực tiếp đánh cắp tài sản, chính quyền nước này còn sử dụng nhân viên công nghệ thông tin làm việc từ xa để xâm nhập các công ty công nghệ, đánh cắp tài sản trí tuệ và tống tiền doanh nghiệp. Tiền thu được từ các hoạt động này được chuyển về Bình Nhưỡng, hỗ trợ các chương trình vũ khí chịu lệnh trừng phạt và duy trì nền kinh tế đang gặp khó khăn.
Theo Chainalysis, tin tặc Triều Tiên chiếm 61% tổng số tiền mã hóa bị đánh cắp trong năm 2024 và có thể vượt tỷ lệ này trong năm 2025. Khả năng thích nghi và đổi mới, từ dùng AI tạo email lừa đảo thuyết phục, khai thác công nghệ mới đến nhắm vào cả sàn giao dịch lớn lẫn ví cá nhân, khiến chúng trở thành mối đe dọa dai dẳng và không ngừng biến đổi.
Các vụ tấn công nổi bật trước đây
Vụ tấn công Bybit chỉ là vụ mới nhất trong chuỗi các vụ trộm tiền mã hóa lớn bị quy cho Triều Tiên. Những sự cố đáng chú ý gồm:
- Vụ tấn công Ronin Bridge năm 2022 (đánh cắp 600 triệu USD)
- Vụ xâm nhập Atomic Wallet năm 2023 (đánh cắp 100 triệu USD)
- Vụ tấn công UpBit năm 2019 (đánh cắp 41 triệu USD)
- Vụ trộm KuCoin năm 2020 (đánh cắp 275 triệu USD)
Mỗi vụ tấn công đều cho thấy mức độ tinh vi về kỹ thuật và quy mô hoạt động ngày càng tăng; vụ Bybit lập kỷ lục mới ở cả hai phương diện.
Thách thức đối với cơ quan thực thi pháp luật và hướng đi tiếp theo
Dù công nghệ blockchain minh bạch, với mọi giao dịch được ghi nhận công khai, cơ quan thực thi pháp luật vẫn gặp nhiều khó khăn trong việc truy tìm và thu hồi tiền mã hóa bị đánh cắp. Việc sử dụng dịch vụ trộn tiền, cầu nối liên chuỗi và sàn giao dịch phi tập trung cho phép tin tặc nhanh chóng dịch chuyển và che giấu dòng tiền, thường vượt quá khả năng phản ứng của các điều tra viên.
Hợp tác quốc tế là điều thiết yếu. FBI đã công bố danh sách các địa chỉ ví có liên quan đến tin tặc Triều Tiên và kêu gọi các sàn giao dịch cùng nhà cung cấp dịch vụ chặn giao dịch từ những địa chỉ này. Tuy nhiên, không phải công ty tiền mã hóa nào cũng sẵn sàng hoặc có thể tuân thủ, trong khi tính phi tập trung của ngành khiến việc thực thi càng phức tạp.
Một số tiến triển đã đạt được. Chương trình thưởng của Bybit và sự hợp tác với các công ty phân tích blockchain đã giúp phong tỏa lượng tài sản bị đánh cắp trị giá hàng chục triệu USD. Dù vậy, các chuyên gia vẫn bi quan về khả năng thu hồi phần lớn số tiền, xét đến chuyên môn của Triều Tiên và phạm vi hoạt động toàn cầu của các mạng lưới rửa tiền nước này.
Bài học về quy định và an ninh
Vụ tấn công Bybit đã thúc đẩy lời kêu gọi:
- Áp dụng tiêu chuẩn an ninh nghiêm ngặt hơn cho các sàn giao dịch tiền mã hóa, bao gồm kiểm toán định kỳ và đánh giá phần mềm bên thứ ba
- Tăng cường minh bạch và chia sẻ thông tin giữa các doanh nghiệp trong ngành với cơ quan thực thi pháp luật
- Xây dựng khuôn khổ pháp lý quốc tế để xử lý tính chất xuyên biên giới của tội phạm tiền mã hóa
- Nâng cao nhận thức cộng đồng và giáo dục về rủi ro từ các thủ đoạn thao túng tâm lý và tấn công lừa đảo
Xây dựng niềm tin vào hệ thống tài chính số đòi hỏi nỗ lực phối hợp giữa ngành công nghiệp, cơ quan quản lý và người tiêu dùng.
Tóm tắt
- Vụ tấn công Bybit ngày 21 tháng 2 năm 2025 khiến 1,5 tỷ USD tài sản tiền mã hóa bị đánh cắp, trở thành vụ trộm lớn nhất lịch sử thuộc loại này.
- Nhóm Lazarus của Triều Tiên và nhánh TraderTraitor bị quy trách nhiệm về vụ tấn công, với sự kết hợp giữa khai thác lỗ hổng kỹ thuật và thao túng tâm lý.
- Số tiền bị đánh cắp nhanh chóng được rửa qua các công cụ tài chính phi tập trung, cầu nối liên chuỗi và dịch vụ trộn tiền mã hóa, khiến việc thu hồi trở nên khó khăn.
- Các hoạt động tội phạm mạng của Triều Tiên được cho là nhằm tài trợ các chương trình hạt nhân và tên lửa, tạo ra mối đe dọa an ninh toàn cầu.
- Sự việc phơi bày những lỗ hổng đáng kể trong hệ sinh thái tiền mã hóa ở châu Á và cho thấy cần tăng cường các biện pháp an ninh, quản lý trên toàn thế giới.
- Phản ứng của ngành và cơ quan thực thi pháp luật đã giúp phong tỏa một phần tài sản bị đánh cắp, nhưng phần lớn vẫn không thể thu hồi.
- Vụ tấn công Bybit nhấn mạnh nhu cầu cấp bách về hợp tác quốc tế, tiêu chuẩn an ninh vững chắc và nâng cao nhận thức cộng đồng để bảo vệ tương lai của tài chính số.
