Trong văn phòng tuân thủ của DMM Bitcoin, sàn giao dịch tiền điện tử lớn thứ năm của Nhật Bản, một bảng điều khiển giám sát đã chuyển sang màu đỏ vào lúc 13h26 theo giờ Tokyo vào thứ Sáu, ngày 31 tháng 5 năm 2024. Một "rò rỉ không được phép" – một từ ngữ euphemism được chọn cẩn thận bởi công ty – vừa lấy đi 4.502,9 Bitcoin từ ví của họ. Với giá thị trường, đó là 305 triệu USD. Hoặc khoảng 48 tỷ yên. Trong một giao dịch duy nhất, sàn giao dịch đã mất hơn GDP của Tuvalu.
Vụ đánh cắp cuối cùng đã được xác nhận là vụ đánh cắp tiền điện tử lớn thứ tám trong lịch sử và lớn nhất kể từ khi FTX sụp đổ với số tiền 477 triệu USD vào tháng 11 năm 2022. Tuy nhiên, số tiền đó chỉ là khởi đầu. Sự xâm nhập vào DMM Bitcoin đã tiết lộ một điều khó chịu hơn nhiều cho ngành: tuân thủ quy định không đồng nghĩa với an toàn. Các quy định khắt khe của Cơ quan Dịch vụ Tài chính (FSA) của Nhật Bản yêu cầu DMM giữ 95% số tiền của khách hàng trong kho lưu trữ lạnh. Tuy nhiên, 4.502 BTC – có lẽ là phần lớn các nguồn dự trữ lạnh – đã biến mất trong một buổi chiều.
Đây là câu chuyện về cách nhóm TraderTraitor của Triều Tiên đã sử dụng hai tháng để biến một tin nhắn trên LinkedIn thành một khoản tiền 305 triệu USD, lý do tại sao các quy định về tiền điện tử khắc nghiệt nhất của Nhật Bản không thể ngăn chặn nó, và những gì mọi sàn giao dịch – bao gồm cả các sàn ở Việt Nam – cần phải hiểu về khu vực đe dọa mới.
Chuỗi tấn công: Từ LinkedIn đến 305 triệu USD trong hai tháng
Cuộc tấn công không bắt đầu vào ngày 31 tháng 5. Nó bắt đầu vào tháng 3 năm 2024, khi một nhân viên của Triều Tiên đóng vai một nhà tuyển dụng đã gửi một tin nhắn trên LinkedIn đến một nhân viên của Ginco, một nhà cung cấp cơ sở hạ tầng ví tiền điện tử của Nhật Bản. Tin nhắn này rất bình thường: một cơ hội việc làm, một đánh giá kỹ thuật và một liên kết GitHub đến một "thử nghiệm trước khi nhận việc" được viết bằng Python.
Người nhân viên của Ginco, không hề biết, đã sao chép mã nguồn vào tài khoản GitHub cá nhân của họ. Câu chuyện bắt đầu từ hành động đơn giản đó – sao chép mã nguồn vào kho lưu trữ cá nhân – khi mã độc đã thu thập cookie phiên của trình duyệt của nhân viên, cho phép kẻ tấn công truy cập liên tục vào hệ thống truyền thông nội bộ của Ginco. Và đáng lo ngại hơn, các hệ thống này không được mã hóa.
Trong hai tháng, kẻ tấn công đã quan sát và chờ đợi. Họ đã phân tích mối quan hệ giữa Ginco và các khách hàng, bao gồm DMM Bitcoin. Họ đã tìm hiểu nhịp độ của các yêu cầu giao dịch hợp pháp, ngôn ngữ được sử dụng bởi nhân viên DMM và các quy trình phê duyệt.
Sau đó, vào cuối tháng 5, kẻ tấn công đã thực hiện hành động. Sử dụng thông tin đăng nhập của Ginco bị xâm phạm, họ giả làm hệ thống truyền thông của Ginco và gửi yêu cầu giao dịch bị chỉnh sửa cho một nhân viên của DMM Bitcoin. Yêu cầu này trông hợp lệ. Nó tuân theo định dạng đúng. Nó đến từ kênh mong đợi. Nhân viên của DMM đã chấp thuận nó.
4,502.9 BTC đã được chuyển ra khỏi ví của DMM trong một giao dịch duy nhất. Khi mọi người nhận ra, số tiền đã được chia thành nhiều phần.
Vectơ chuỗi cung ứng: Tại sao việc tấn công vào Ginco là một quyết định tuyệt vời
Hầu hết các vụ tấn công vào sàn giao dịch đều nhắm trực tiếp vào sàn giao dịch: lừa đảo người quản trị, khai thác lỗ hổng trong hợp đồng thông minh, làm suy yếu khóa riêng của ví nóng. Vụ tấn công DMM khác biệt. Đó là một vụ tấn công chuỗi cung ứng – nhắm vào một nhà cung cấp đáng tin cậy để đạt được phần thưởng thực sự.
Ginco cung cấp cơ sở hạ tầng ví cho nhiều sàn giao dịch Nhật Bản. Việc đánh cắp thông tin của một nhân viên Ginco cho phép kẻ tấn công có thể truy cập vào tất cả các sàn giao dịch sử dụng hệ thống của Ginco. Đây là mô hình tương tự được thấy trong vụ tấn công SolarWinds (2020) và vụ tấn công chuỗi cung ứng 3CX (2023): đánh cắp thông tin của một nhà cung cấp phần mềm đáng tin cậy, sau đó sử dụng quyền truy cập hợp pháp của họ để xâm nhập vào khách hàng.
Sự sáng ngời – và sự kinh hoàng – của cách tiếp cận này:
- Không tránh được các biện pháp phòng thủ của Exchange: Tường lửa, MFA, chính sách lưu trữ ổn định và kiểm tra tuân thủ FSA của DMM đều không có ý nghĩa. Sự tấn công đến từ một kênh tin cậy.
Khái niệm gốc: Điều này thể hiện một chuyển đổi cơ bản trong việc mô hình hóa mối đe dọa của các giao dịch. Các giao dịch chi hàng triệu USD để bảo mật cơ sở hạ tầng của mình, nhưng thường có tầm nhìn hạn chế về thái độ bảo mật của nhà cung cấp. "Nhà cung cấp đáng tin cậy" trở thành liên kết yếu nhất.
Chuỗi hoạt động rửa tiền: loại bỏ các chuỗi, trộn và che giấu thời gian
Trong vòng vài giờ, các công ty phân tích blockchain như Elliptic, Blocksec và sau đó là Merkle Science đã xác định được cách thức chuyển dữ liệu. Mẫu mã này phù hợp với phương pháp của nhóm Lazarus – tinh vi, tự động và được thiết kế để đánh bại cả việc theo dõi tự động và các nhà điều tra người.
Bước 1: Cắt chia ban đầu (lệnh Peel Chain)
4,502.9 BTC được chia ngay lập tức thành 10 ví ~500 BTC mỗi ví. Cách thức "lột lớp" này tạo ra một chuỗi liên tiếp: mỗi bước tiếp theo lột đi một lượng nhỏ hơn (499 BTC → 39 BTC ở bước thứ ba), tạo ra một cây địa chỉ tăng lên theo cấp số nhân, khiến các công cụ phân tích đồ thị không thể xử lý.
Bước 2: Tích hợp máy trộn
Tiền đã được gọt bỏ được đưa vào các công cụ trộn tiền điện tử – các dịch vụ kết hợp các khoản gửi từ nhiều người dùng và tái phân phối chúng, phá vỡ mối liên kết giữa đầu vào và đầu ra trên chuỗi. Merkle Science đã xác định việc sử dụng:
Bước 3: Tối ưu thời gian
Điều quan trọng nhất là các kẻ tấn công đã sử dụng lịch trình rút tiền của mixer – một tính năng trong giao diện người dùng mixer hiện đại cho phép người dùng trì hoãn việc rút tiền trong vài giờ hoặc vài ngày. Tiền nằm trong kho chứa của mixer, liên tục được trộn lẫn, trước khi xuất hiện với các khoảng thời gian không thể dự đoán được. Điều này làm phá vỡ phân tích mối quan hệ thời gian (ghi nhớ thời điểm nạp tiền với thời điểm rút tiền).
Bước 4: Micro phân phối
Các sản phẩm cuối cùng được tạo ra với tăng cường 10-20 BTC trên hàng trăm ví. Tại mức độ chi tiết này, các khoản tiền có thể được thanh toán trực tiếp cho các nhà cung cấp trên darknet – không cần bất kỳ rào cản chuyển đổi sang tiền pháp định nào. Nếu mục tiêu là mua vũ khí, hàng hóa trốn tránh các lệnh trừng phạt hoặc tài trợ cho các hoạt động mạng, tiền mã hóa là lớp thanh toán cuối cùng.
Khám phá gốc rễ: Quá trình rửa tiền đòi hỏi cơ sở hạ tầng chuyên dụng – quyền truy cập vào máy trộn, các kịch bản tự động, quản lý hàng trăm ví và phối hợp thời gian. Đây không phải là một nhóm hacker; đây là một đơn vị hoạt động trong lĩnh vực mạng được tài trợ bởi nhà nước với ngân sách an ninh hoạt động. Tỉ lệ sử dụng nguồn lực chứng minh rằng Triều Tiên được tài trợ bởi chính phủ.
Nguồn: TraderTraitor, Lazarus và mối liên hệ với Triều Tiên
Ngày 23 tháng 12 năm 2024 – gần bảy tháng sau khi bị tấn công – FBI, Cơ quan Cảnh sát Quốc gia Nhật Bản (NPA) và Trung tâm tội phạm mạng của Bộ Quốc phòng Hoa Kỳ đã phát hành một tuyên bố chung chính thức xác định TraderTraitor (còn được gọi là Jade Sleet, UNC4899, Slow Pisces) là người thực hiện cuộc tấn công.
Điều này có ý nghĩa vì ba lý do:
- Định lượng chính thức của chính phủ – không chỉ là những dự đoán của các nhà phân tích blockchain
Nhà điều tra độc lập ZachXBT đã liên kết các mô hình rửa tiền với nhóm Lazarus (người chịu trách nhiệm về vụ tấn công cầu Ronin trị giá 600 triệu USD, vụ tấn công cầu Harmony trị giá 100 triệu USD và hàng chục vụ tấn công khác). Chainalysis cho biết các hacker từ Triều Tiên đã đánh cắp 1,3 tỷ USD trong 47 vụ tấn công chỉ trong năm 2024 – tương đương khoảng 60% tổng lượng tấn công tiền điện tử trong năm đó.
Hình ảnh chiến lược: Triều Tiên sử dụng trộm tiền điện tử như một mechanism để tránh các biện pháp trừng phạt. Khi các dịch vụ ngân hàng truyền thống bị cắt, tiền điện tử cung cấp một loại tài sản không bị kiểm duyệt, có tính thanh khoản trên toàn cầu, có thể được chuyển đổi thành hàng hóa, dịch vụ và tiền tệ cứng thông qua các mạng không minh bạch. Sự xâm nhập vào DMM không chỉ là trộm cắp – đó là nguồn thu nhập cho chương trình vũ khí.
Tại sao quy định về kho lạnh 95% của Nhật Bản thất bại
Có thể nói rằng Nhật Bản có các quy định về giao dịch tiền điện tử nghiêm ngặt nhất trên thế giới. Sau các sự kiện Mt. Gox (2014) và Coincheck (2018), FSA đã yêu cầu:
DMM Bitcoin đã tuân thủ đầy đủ. Tuy nhiên, 4.502 BTC – chắc chắn là các tài khoản dự trữ – đã bị đánh cắp.
Khuyết điểm của các quy định: Các quy định chỉ giải quyết các kiểm soát kỹ thuật (quản lý khóa, phân chia mạng, đường dẫn kiểm toán). Chúng không giải quyết các quan hệ tin cậy trong chuỗi cung ứng hoặc công nghệ xã hội của nhân viên nhà cung cấp. Người tấn công không phá vỡ kho lưu trữ ổn định của DMM. Họ đã phá vỡ các quy trình cho phép rút tiền từ kho lưu trữ ổn định bằng cách làm suy yếu nhà cung cấp đáng tin cậy hỗ trợ cho quá trình này.
Đây là một sai lầm về thiết kế quy định: tuân thủ ≠ khả năng thích ứng . Một hệ thống tuân thủ hoàn hảo vẫn có thể thất bại nếu các giả định về tin cậy bị vi phạm.
Kết quả: một sàn giao dịch bị sụp đổ
DMM Bitcoin đã hứa hoàn trả toàn bộ số tiền bằng tài sản của các công ty liên kết. Họ đã tạm dừng việc rút tiền và giao dịch trực tiếp. Họ đã thuê các nhà kiểm toán bên ngoài. Nhưng thiệt hại đã xảy ra.
Tháng 12 năm 2024, DMM Bitcoin thông báo sẽ tạm dừng hoạt động vào tháng 3 năm 2025, chuyển toàn bộ tài sản của khách hàng (JPY và tiền điện tử) sang SBI VC Trade, một công ty con của tập đoàn tài chính SBI Holdings. Sàn giao dịch đã mất 305 triệu USD không thể vượt qua vòng xoáy suy thoái về uy tín: khách hàng bỏ chạy, khối lượng giao dịch sụt giảm và mô hình kinh doanh trở nên không khả thi.
Đây là một mô hình: Coincheck đã sống sót sau vụ tấn công trị giá 533 triệu USD (2018) vì đã được mua lại bởi tập đoàn Monex. Mt. Gox không thể sống sót (2014). DMM Bitcoin cũng không thể sống sót (2024). Sự khác biệt là nguồn vốn dự phòng, sự hỗ trợ của công ty mẹ và uy tín quản lý.
Những bài học cho thị trường giao dịch tăng trưởng của Việt Nam
Sàn giao dịch tiền điện tử của Việt Nam đang phát triển nhanh chóng. Các sàn giao dịch địa phương hoạt động theo các quy định đang phát triển của Ngân hàng Nhà nước Việt Nam và Bộ Tài chính. Sự xâm nhập vào DMM mang lại những cảnh báo cụ thể:
1. Quản lý rủi ro nhà cung cấp là không thể thương lượng
Mọi sàn giao dịch sử dụng cơ sở hạ tầng ví của bên thứ ba, các giải pháp quản lý và dịch vụ quản lý khóa phải thực hiện đánh giá liên tục về an ninh đối với các nhà cung cấp đó – không chỉ là việc thực hiện thẩm định ban đầu. Các yêu cầu bảo mật theo hợp đồng, các SLA thông báo sự cố và kiểm tra xâm nhập hệ thống của nhà cung cấp nên là bắt buộc.
2. Dạy dỗ kỹ thuật xã hội phải được mở rộng cho các nhà cung cấp
Người nhân viên của Ginco không phải là nhân viên của DMM. Tuy nhiên, thỏa thuận của họ đã phá hủy DMM. Các sàn giao dịch nên yêu cầu các nhà cung cấp chứng minh rằng họ có đào tạo thường xuyên chống lừa đảo, các bài tập mô phỏng LinkedIn/nhân viên tuyển dụng giả, và các phương pháp phát triển an toàn (không có các giao tiếp nội bộ không được mã hóa).
3. Tủ lạnh không đồng nghĩa với an toàn không thể thay đổi
"Túi tiền lạnh" là một thuật ngữ trong marketing. Nếu lễ ký kết có sự tham gia của con người, API của nhà cung cấp hoặc lớp điều phối kết nối internet, nó sẽ dễ bị tấn công. Tính toán đa bên (MPC), các mô-đun bảo mật phần cứng (HSM) và việc ký kết bằng cách sử dụng xác minh lễ nghi vật lý là điều tối thiểu cho việc lưu trữ lạnh thực sự.
4. Tích hợp phân tích blockchain là rất quan trọng
Kinh nghiệm của DMM dựa vào Elliptic, Chainalysis và Merkle Science sau khi bị tấn công là một hành động phản ứng. Còn việc tích hợp tích cực – kiểm tra ví thời gian thực, phát hiện các dấu hiệu bất thường trong mô hình rút tiền và cảnh báo các giao dịch qua các máy trộn – có thể làm chậm hoặc hạn chế quá trình trộm cắp.
5. Kế hoạch xử lý sự cố phải bao gồm các kịch bản "Exchange chết"
Thoát khỏi hoạt động của DMM cho thấy rằng ngay cả khi có những lời hứa về bồi thường, một sàn giao dịch vẫn có thể thất bại. Các sàn giao dịch Việt Nam nên đã thỏa thuận trước về các thỏa thuận chuyển giao tài sản với các đối tác có khả năng thanh toán (như thỏa thuận SBI VC Trade của DMM) và bảo hiểm bao gồm sự gián đoạn kinh doanh, không chỉ là mất tài sản.
Hỏi đáp
Là DMM Bitcoin hack một vụ tấn công DeFi?
Không, đây là một cuộc tấn công vào sàn giao dịch tập trung (CEX) thông qua kỹ thuật kỹ thuật xã hội và vi phạm chuỗi cung ứng. Không có hợp đồng thông minh, các quy trình DeFi hoặc các lỗ hổng trong chuỗi tham gia. Cuộc tấn công nhắm vào các yếu điểm về con người và quy trình trong chuỗi công việc hoạt động của sàn giao dịch.
Số tiền bị đánh cắp thực sự là bao nhiêu – 305 triệu USD hay 308 triệu USD?
Hai con số này đều chính xác tại các thời điểm khác nhau. Số tiền cố định là 4,502.9 BTC. Vào thời điểm bị đánh cắp (ngày 31 tháng 5 năm 2024), nó có giá trị khoảng 305 triệu USD. Sau đó vài giờ, phân tích của Elliptic ước tính giá trị của nó là khoảng 308 triệu USD do biến động giá BTC. Số BTC là sự thật khách quan.
Khách hàng của DMM có bị mất tiền không?
DMM đã hứa hoàn trả toàn bộ bằng tài sản của các công ty thành viên. Đến khi công bố việc đóng cửa (tháng 12 năm 2024), tài sản đã được chuyển sang SBI VC Trade. Sự hoàn trả này có vẻ đáng tin cậy do sức mạnh tài chính của SBI Holdings, nhưng quá trình này đã kéo dài 7 tháng trở lên – trong đó khách hàng không có quyền truy cập vào tài sản.
Có thể điều này xảy ra với một sàn giao dịch Việt Nam không?
Có. Vectơ tấn công (LinkedIn → nhân viên nhà cung cấp → chiếm quyền phiên → chuỗi cung ứng) không phụ thuộc vào địa lý. Nhân lực công nghệ tại Việt Nam ngày càng phát triển và hoạt động trên LinkedIn. Các nhà cung cấp cơ sở hạ tầng ví địa phương hiện có. Cấu trúc pháp lý cho lưu trữ ổn định tương tự. Cảnh báo cũng giống nhau.
TraderTraitor vs Lazarus Group là gì?
Lazarus Group là tên chung cho cơ quan tấn công mạng chính được nhà nước Triều Tiên tài trợ (APT38). TraderTraitor (Jade Sleet, UNC4899, Slow Pisces) là một nhóm chuyên sâu tập trung vào việc đánh cắp tiền điện tử. Họ chia sẻ cơ sở hạ tầng, các công cụ và các mạng rửa tiền, nhưng có thể có các nhiệm vụ hoạt động khác nhau. FBI cho rằng DMM thuộc về TraderTraitor; các mẫu rửa tiền phù hợp với Lazarus.
Kết luận: Mô hình bình thường mới
Sự tấn công vào DMM Bitcoin không phải là một hiện tượng bất thường. Đó là một minh chứng về một loại tấn công mới: kỹ thuật xã hội trong chuỗi cung ứng, nhằm vào các mối quan hệ tin cậy giữa các sàn giao dịch và các nhà cung cấp hạ tầng. Kết hợp với cơ sở hạ tầng rửa tiền cấp quốc gia (lưới lồng, máy trộn, che giấu thời gian), nó tạo ra một mô hình đe dọa nơi tuân thủ kỹ thuật là cần thiết nhưng không đủ.
Đối với các sàn giao dịch, các cơ quan quản lý và người dùng ở Việt Nam, bài học rõ ràng là: an ninh không phải là một danh sách kiểm tra. Đó là một quá trình liên tục để xác minh mọi giả định về tin cậy – đặc biệt là những giả định bạn thừa hưởng từ các nhà cung cấp.
4,502.9 BTC đã rời khỏi ví của DMM vào ngày 31 tháng 5 năm 2024, không chỉ làm giàu cho một chính quyền thù địch. Họ cũng đã tiết lộ một điểm yếu hệ thống tồn tại trong mọi sàn giao dịch dựa trên cơ sở hạ tầng của bên thứ ba mà không có xác minh liên tục và đối đầu về độ an toàn của cơ sở hạ tầng đó.
DMM tiếp theo đã nằm trong tầm ngắm. Câu hỏi duy nhất là các nhà bảo vệ đã học được bài học này hay chưa.
Những điểm chính: - Vectơ tấn công: kỹ thuật xã hội trên LinkedIn → nhân viên của nhà cung cấp ví Ginco → mã độc trên GitHub → đánh cắp cookie phiên → vi phạm chuỗi cung ứng → can thiệp vào giao dịch DMM