Theo dõi đường dây rửa tiền của hacker Binance, xem 3 tỷ USD chưa được động đến sẽ trốn thoát như thế nào

Azuma

Odaily资深作者

@azuma_eth

2026-11-02 15:27 (UTC+8)

Bài viết này có khoảng 3539 từ, đọc toàn bộ bài viết mất khoảng 6 phút

Chỉ riêng một mạng lưới TRON, hacker đã rửa được 242 triệu USD trong 2 ngày, THORChain trở thành kênh đơn lẻ lớn nhất.

Tóm tắt AI

Mở rộng

Quan điểm cốt lõi:Trong vòng ba ngày sau vụ Binance bị đánh cắp 6,3 tỷ USD, kẻ tấn công đã rửa được khoảng 242 triệu USD qua mạng lưới TRON, chủ yếu sử dụng cầu cross-chain để chuyển tiền sang mạng Ethereum và Bitcoin, nhưng vẫn còn hơn 3 tỷ USD tiền bẩn về cơ bản chưa được chuyển đi.
Yếu tố then chốt:
1. Kẻ tấn công đã đánh cắp tổng cộng 628 triệu USD trên TRON, sau khi Tether đóng băng 378,7 triệu USDT, khoảng 249 triệu USD còn lại được chuyển qua nhiều đường dẫn.
2. Cầu cross-chain là kênh rửa tiền chính, liên quan đến khoảng 194 triệu USD, trong đó Relay (48 triệu), THORChain (44 triệu), Chainflip (32,1 triệu) là ba đường dẫn hàng đầu.
3. THORChain là kênh đơn lẻ lớn nhất, nhận 185,1 triệu TRX và 3,83 triệu USDT, hoán đổi ròng khoảng 48,3 triệu USD, khoảng 12% bị hao hụt do phí và trượt giá.
4. Kênh Bitget Wallet liên quan đến khoảng 41,7 triệu USD, là đường dẫn chính mà đích đến của dòng tiền chưa được làm rõ, các đích đến liên quan do dịch vụ này nắm giữ.
5. Sau khi cross-chain, phần lớn dòng tiền chảy vào mạng chính Ethereum (khoảng 53300 ETH), thêm 68,8 BTC vào mạng Bitcoin, một lượng nhỏ chảy vào Arbitrum và Base.
6. Kẻ tấn công vẫn kiểm soát hơn 3 tỷ USD tài sản trên các chain khác (18270 BTC, khoảng 519.000 ETH, 233 triệu XRP, 970.000 SOL), hiện về cơ bản chưa được chuyển đi.

Bài viết này đến từ:Nhà phân tích on-chain SomaXBT

Biên dịch｜Odaily（@OdailyChina）；Người dịch｜Azuma（@azuma_eth）

Đã ba ngày trôi qua kể từ vụ Binance bị đánh cắp 6,3 tỷ USD. Tính đến 21:27 ngày 1 tháng 11, kẻ tấn công（nhóm rửa tiền） chỉ thông qua con đường chuyển tiền duy nhất là Tron đã rửa thành công khoảng 242 triệu USD. Và sau đợt phong tỏa trước đó, kẻ tấn công vẫn đang kiểm soát khoảng 3,5 tỷ USD tiền bẩn.

Dưới đây là phân tích đầy đủ của tôi về hoạt động rửa tiền của kẻ tấn công lần này, dựa trên việc theo dõi on-chain.

Diễn biến trên chuỗi Tron

Kẻ tấn công đã đánh cắp tổng cộng 628 triệu USD trên mạng Tron（bao gồm 612,7 triệu USDT và 46,4 triệu TRX）.

Vào ngày đầu tiên xảy ra sự việc, Tether đã phong tỏa 378,7 triệu USDT, khoảng 249 triệu USD TRX còn lại do kẻ tấn công kiểm soát và tiếp tục được chuyển đi. Sau đó, số tiền này chủ yếu được chia thành ba hướng.

Hướng thứ nhất là chuyển qua cầu cross-chain, với số tiền khoảng 194 triệu USD. Trong đó, các tuyến đường sau đây đảm nhận phần lớn việc chuyển tiền：

Relay：48 triệu USD；
THORChain：44 triệu USD；
Chainflip：32,1 triệu USD；
Symbiosis：16 triệu USD；
USDT0：5,5 triệu USD；
Across：4,7 triệu USD.

Hướng thứ hai là chuyển qua các dịch vụ như Bitget Wallet, với khoảng 43 triệu USD. Trong đó, Bitget Wallet chiếm 41,7 triệu USD；ngoài ra còn có Bridgers và NEAR Intents. Đích đến cuối cùng của số tiền liên quan vẫn cần được xác nhận.

Hướng thứ ba là số tiền vẫn còn lại trên mạng Tron, với tổng cộng khoảng 26 triệu USD. Các điểm đến chính bao gồm：

JustLend：12 triệu USD；
Đổi USDT sang USDD：5,2 triệu USD；
Tài khoản dịch vụ của HitBTC：4,2 triệu USD；
Tài khoản dịch vụ của Gate：1,4 triệu USD；
ChangeHero và các dịch vụ nhỏ khác.

Khoảng 22 triệu USD còn lại bị hao hụt trong quá trình chuyển tiền do phí, trượt giá và biến động giá. Xét theo đích đến của dòng tiền sau khi cross-chain, phần lớn tiền cuối cùng đã chảy vào mạng chính Ethereum, bao gồm khoảng 53.300 ETH；ngoài ra, còn có khoảng 68,8 BTC được chuyển vào mạng Bitcoin；khoảng 15,9 triệu USDT và 1,2 triệu USDC ở lại Ethereum；4,41 triệu USDC được chuyển vào Lighter；một lượng nhỏ tiền khác chảy vào Arbitrum và Base.

Hình dưới đây thể hiện toàn bộ dòng chảy của số tiền bẩn trên mạng Tron sau khi bị phong tỏa, bao gồm các cầu cross-chain mà tiền đi qua, cũng như các chuỗi đích cuối cùng mà tiền đến.

Lộ trình tẩu thoát một：THORChain

THORChain là kênh đơn lẻ lớn nhất mà kẻ tấn công sử dụng để chuyển tiền từ mạng Tron. Kẻ tấn công đã thực hiện 2697 giao dịch nạp tiền, đưa 185,1 triệu TRX và 3,83 triệu USDT vào THORChain.

Số tiền cuối cùng được chuyển ra bao gồm：

17.019 ETH, phân tán đến 170 địa chỉ Ethereum；
53,25 BTC, phân tán đến 20 địa chỉ Bitcoin；
268.928 USDT và 90.025 USDC, chuyển vào Ethereum；
2,41 ETH chuyển vào Base；
8,01 ZEC.

Ngoài ra, 46,87 triệu TRX và 339.000 USDT đã được hoàn trả về ví Tron của kẻ tấn công, sau đó lại được chuyển ra qua các kênh khác.

Xét theo số ròng, kẻ tấn công đã đổi khoảng 48,3 triệu USD qua THORChain, cuối cùng nhận được khoảng 42,7 triệu USD, khoảng 5,7 triệu USD（12%）bị hao hụt do phí và trượt giá. Các giao diện frontend tham gia vào các giao dịch đổi này đã thu được khoảng 145.800 RUNE（tương đương khoảng 95.000 USD）tiền chia sẻ lợi nhuận từ các giao dịch liên quan.

Hình dưới đây thể hiện số tiền được chuyển ra qua THORChain cuối cùng chảy vào những blockchain nào, cũng như các ví nhận tương ứng.

Lộ trình tẩu thoát hai：Relay Protocol

Vai trò của Relay Protocol trong hoạt động rửa tiền lần này vượt xa so với trước đây.

Trong các vụ tấn công TraderTraitor trước đó, Relay hầu như không tham gia vào việc rửa tiền bẩn, nhưng trong sự việc lần này, nó đã trở thành kênh lớn thứ hai mà kẻ tấn công sử dụng để chuyển tiền từ mạng Tron. Kẻ tấn công đã thực hiện 735 giao dịch nạp tiền, chuyển 37,64 triệu USDT và 39,28 triệu TRX vào Relay.

Số tiền cuối cùng được nhận bao gồm：

14.656 ETH, phân tán đến 52 địa chỉ；
9,66 triệu USDT, phân tán đến 12 địa chỉ Ethereum；
4,41 triệu USDC, chuyển vào 43 tài khoản của DEX hợp đồng vĩnh viễn Lighter（số tiền này sau đó đã được chuyển đi toàn bộ）；
0,656 BTC, chuyển vào mạng Bitcoin.

Tốc độ chuyển tiền khá đáng kinh ngạc. Địa chỉ nhận tiền lớn nhất（0xc8D516a53e28909d9eAB92642938762eA36F9093）đã nhận tổng cộng 2804 ETH và 1,02 triệu USDT qua 97 giao dịch, trong đó có một ví Tron gần như mỗi phút lại chuyển đến đó khoảng 100.000 USDT.

Ngoài ra, 3,53 triệu TRX và 1,19 triệu USDT đã được hoàn trả về ví Tron của kẻ tấn công, sau đó lại được chuyển đi lần nữa.

Hình dưới đây thể hiện số tiền được chuyển qua Relay cuối cùng chảy vào những blockchain nào, cũng như các ví nhận tương ứng.

Lộ trình tẩu thoát ba：Chainflip

Chainflip là kênh lớn thứ ba mà kẻ tấn công sử dụng, đồng thời cũng là lộ trình hỗn loạn nhất trong toàn bộ quá trình.

Kẻ tấn công đã thực hiện 571 giao dịch nạp tiền, chuyển 49,71 triệu USDT vào Chainflip, nhưng phần lớn các giao dịch đổi đều thất bại. Mỗi lần giao dịch thất bại, tiền sẽ được hoàn trả về một ví Tron mới được tạo, sau đó kẻ tấn công lại ngay lập tức chuyển số tiền này trở lại Chainflip để thử đổi lần nữa.

Tổng cộng có 17,91 triệu USDT bị hoàn trả do giao dịch thất bại và được khởi tạo lại giao dịch chuyển tiền, trong đó một số tiền thậm chí đã được thử lại nhiều lần.

Số tiền cuối cùng được chuyển ra thành công bao gồm：

13.174 ETH, phân tán đến 196 địa chỉ Ethereum；
415.604 USDT, chuyển vào Ethereum；
14,94 BTC, chuyển vào 2 địa chỉ Bitcoin.

Hình dưới đây thể hiện số tiền được chuyển qua Chainflip cuối cùng chảy vào những blockchain nào, cũng như các ví nhận tương ứng.

Lộ trình tẩu thoát bốn：Symbiosis

Symbiosis là kênh chuyển tiền lớn thứ tư. Khác với các lộ trình trước, kẻ tấn công ở đây đã áp dụng cách thức rải rộng thay vì tập trung chuyển số tiền lớn —— chúng đã thực hiện 1367 giao dịch nạp tiền nhỏ, chuyển 49,71 triệu TRX vào Symbiosis.

Số tiền cuối cùng được nhận bao gồm：

6846 ETH, phân tán đến 402 địa chỉ Ethereum；
130.129 USDC, chuyển vào Ethereum；
14,45 ETH, chuyển vào Arbitrum.

Ngoài ra, 28 giao dịch nạp tiền（tổng cộng 1,04 triệu TRX）đổi thất bại, sau đó được hoàn trả về ví Tron của kẻ tấn công dưới dạng 336.000 USDT.

Hình dưới đây thể hiện số tiền được chuyển qua Symbiosis cuối cùng chảy vào những blockchain nào, cũng như các ví nhận tương ứng.

Các lộ trình khác

Ngoài các lộ trình chính nêu trên, kẻ tấn công còn chuyển tiền qua các kênh khác.

Dòng tiền khác được chuyển ra từ mạng Tron như sau：

Bitget Wallet： khoảng 41,7 triệu USD. Trong đó, 36,9 triệu USD được chuyển qua chức năng "đổi + cross-chain" của nó, 4,81 triệu USD được chuyển qua cầu cross-chain của nó. Đây là lộ trình vẫn còn nhiều dòng tiền chưa được làm rõ đích đến, đích đến liên quan do dịch vụ này nắm giữ, vẫn cần được xác nhận thêm.
USDT0： 5,69 triệu USDT được đổi thành 5,5 triệu USDT0, chuyển vào Ethereum, ngoài ra còn 33.500 USDT0 được chuyển vào Arbitrum. 158.500 USD còn lại không được giao thành công, vẫn đang bị giữ lại trong cầu cross-chain, có thể đã bị phong tỏa.
Across Protocol： 4,63 triệu USDT được đổi thành 1615 ETH và 991.000 USDC, chuyển vào Ethereum.
Bridgers： 1,51 triệu USD.
NEAR Intents： 171.000 USD.

Đích đến cuối cùng của dòng tiền qua hai lộ trình Bridgers và NEAR Intents vẫn cần được xác nhận.

Số tiền vẫn còn lại trên mạng Tron như sau：