Điều tra tiết lộ các liên kết rửa tiền tornado cash trong vụ hack ví tiền điện tử trị giá $282 triệu đô la

Công tác pháp y mới về vụ hack ví $282 triệu đã phát hiện hoạt động rửa tiền qua Tornado Cash diễn ra mạnh mẽ sau vụ trộm ban đầu.

CertiK liên kết luồng rửa tiền qua mixer với vụ mất $282 triệu ví

Công ty an ninh blockchain CertiK đã truy vết các luồng Tornado Cash trị giá $63 triệu đến vụ vi phạm ví crypto ngày 10 tháng 1, làm rò rỉ $282 triệu. Nhóm đã xác định hoạt động rửa tiền mới và xác nhận các chuyển động gần đây của quỹ liên quan đến vụ vi phạm ban đầu. Hơn nữa, mối liên kết mới này mở rộng đáng kể dòng thời gian hoạt động sau vụ trộm.

Theo CertiK, kẻ tấn công đã chuyển hướng tài sản bị đánh cắp qua nhiều blockchain trước khi gửi qua giao thức bảo mật. Công ty phát hiện các chuyển khoản có cấu trúc đẩy Ether (ETH) qua một chuỗi địa chỉ trước khi gửi vào Tornado Cash. Pattern này gần như phản ánh phương pháp rửa tiền trong các vụ trộm crypto quy mô lớn trước đó.

Chuyển động chéo chuỗi và chuyển nhóm có cấu trúc

Điều tra cho thấy phần lớn Bitcoin (BTC) bị đánh cắp ban đầu đã được chuyển qua Ethereum rồi đổi thành ETH. CertiK nhấn mạnh một địa chỉ nhận đã tích lũy 19.600 ETH sau hoạt động chuyển chéo chuỗi này. Tuy nhiên, các khoản này nhanh chóng bị phân nhỏ thành các phần nhỏ hơn, rồi lại chuyển đi trước khi gửi vào Tornado Cash.

Con số $63 triệu chỉ phản ánh một phần giá trị bị đánh cắp tổng thể nhưng thể hiện phương pháp có hệ thống của hoạt động này. Các nhà phân tích nhận thấy các chuyển nhóm lặp lại, được sắp xếp có chủ đích để giảm khả năng phân tích trên chuỗi và kéo dài chuỗi rửa tiền. Thêm vào đó, việc sử dụng Tornado Cash theo từng giai đoạn đều đặn nhấn mạnh ý định duy trì của kẻ tấn công nhằm làm phức tạp việc truy vết ví crypto bị tấn công.

Chuyên gia nhận định rằng các mô hình rửa tiền qua chuyển nhóm này ngày càng phổ biến trong các vụ trộm tinh vi. Kẻ tấn công liên tục chuyển quỹ qua các địa chỉ mới và các chuỗi khác nhau, dùng khoảng thời gian và số lượng khác nhau để tránh bị phát hiện rõ ràng. Do đó, mỗi lần nhảy qua mixer đều làm giảm khả năng xác định trực tiếp ví bị hack ban đầu.

Hạn chế truy vết sau khi quỹ vào Tornado Cash

Các nhóm an ninh crypto nhấn mạnh rằng các khoản gửi vào Tornado Cash làm giảm đáng kể khả năng thu hồi quỹ crypto sau khi quá trình trộn hoàn tất. Các mixer phá vỡ các liên kết rõ ràng giữa địa chỉ gửi và nhận, làm giảm khả năng phân tích trên chuỗi truyền thống. Tương tự, việc truy vết toàn bộ các lối thoát trở nên khó hơn nhiều sau khi quỹ rời khỏi pool.

Vụ việc ngày 10 tháng 1 theo cùng mô hình, với các nhảy ví bổ sung thực hiện ngay trước mỗi lần gửi vào mixer. Các nhà điều tra xác nhận rằng các bước nhảy phút chót này tạo ra khoảng cách lớn hơn từ ví nguồn. Hơn nữa, khi quỹ chuyển vào Tornado Cash, đó là một rào cản quyết định cho hầu hết các nỗ lực theo dõi tiếp theo.

Các công ty an ninh cũng báo cáo rằng các biện pháp giảm thiểu sau khi rửa tiền qua tornado cash đã bắt đầu rất hạn chế. Một số nền tảng tập trung đã có thể phát hiện và phong tỏa các phần nhỏ liên quan đến dịch vụ của họ. Tuy nhiên, các phần này chỉ chiếm một phần nhỏ trong tổng volume, và phần lớn tài sản đã chuyển ra khỏi phạm vi trong giai đoạn mixer ban đầu.

Tấn công xã hội dẫn đến mất toàn bộ ví

Điều tra ban đầu về vụ vi phạm cho thấy hoạt động bắt đầu bằng một cuộc tấn công xã hội nhằm chiếm quyền ví. Kẻ tấn công giả danh nhân viên hỗ trợ hợp pháp và thuyết phục nạn nhân tiết lộ cụm seed quan trọng để truy cập ví. Kết quả, kẻ xâm nhập đã kiểm soát trực tiếp lượng Bitcoin và Litecoin (LTC) đáng kể trong tài khoản bị xâm phạm.

Ví chứa hơn 1.459 BTC và hơn 2 triệu LTC trước khi bị trộm, theo dữ liệu phục hồi của CertiK. Một phần trong số này đã được chuyển đổi thành các tài sản kỹ thuật số khác trong các giai đoạn đầu của quá trình rửa tiền. Hơn nữa, các phần quỹ đã được chuyển qua nhiều mạng khác nhau, sử dụng các chiến thuật rửa tiền chéo chuỗi trước khi chuyển cuối cùng vào mixer Tornado Cash.

Các nhà phân tích an ninh tiếp tục theo dõi các hoạt động mới từ các địa chỉ liên quan đến vụ hack, mặc dù họ dự đoán chỉ có tiến bộ từng bước. Việc sử dụng lặp đi lặp lại giao thức Tornado Cash nhấn mạnh một kế hoạch có chủ đích nhằm xóa bỏ dấu vết giao dịch và khai thác thiết kế của mixer. Tổng thể, vụ việc cho thấy cách phối hợp giữa tấn công xã hội, chuyển chéo chuỗi và gửi vào mixer có thể hạn chế đáng kể khả năng thu hồi trong các vụ trộm crypto quy mô lớn.