Hàng triệu USD tiền mã hóa bị đánh cắp từ vụ tấn công sàn Phemex đang được di dời, một phần đến Tornado Cash.
Trích xuất dữ liệu on-chain, vào ngày 19/02, nhóm hacker vụ Phemex đã bắt đầu phân tán số tiền mã hóa đánh cắp sang nhiều ví khác nhau, đồng thời sử dụng nhiều nền tảng như Tornado Cash để che đậy dòng tiền.
Theo phát hiện của công ty Global Ledger (Thụy Sĩ), hacker đã chuyển hơn 2.080 ETH (khoảng 6 triệu USD) sang 14 ví mới. Ví chính liên quan đến vụ tấn công hiện chỉ còn chưa đến 3.600 ETH.
Vào chiều tối ngày 23/01/2025, sàn giao dịch Phemex đến từ Singapore đã bị hacker “ghé thăm”, gây ra tổng thiệt hại hơn 70 triệu USD.
Hacker đã rút đồng thời nhiều loại tài sản trên nhiều blockchain được Phemex hỗ trợ. Token sau đó được swap sang đồng native token của từng blockchain, ưu tiên những stablecoin mà có thể bị đóng băng, rồi mới đến những đồng tiền khác.
Theo thống kê, vụ hack Phemex đã chứng kiến hơn 275 giao dịch chỉ riêng trên các blockchain tương thích với Ethereum Virtual Machine (EVM), cũng đủ cho thấy mức độ phức tạp của cuộc tấn công.
Tương tự vụ hack ban đầu, quá trình tẩu tán tài sản hôm nay cũng được tính toán kỹ lưỡng, qua nhiều bước trung gian phức tạp, nhiều giao thức và nền tảng khác nhau.
Chẳng hạn, một ví mới đã nhận 601,34 ETH qua 5 giao dịch riêng biệt, sau đó hợp nhất số tiền này vào một địa chỉ mới trên cầu nối cross-chain Across Protocol, rồi tiếp tục tẩu tán sang một địa chỉ khác.
Ngoài Tornado Cash, hacker còn sử dụng các nền tảng trộn tiền khác như eXch. Chúng còn tận dụng Wintermute, DLN Trade protocol và THORChain để chuyển đổi tài sản thành các loại tiền mã hóa khác, giúp quá trình rửa tiền trở nên khó truy vết hơn.
Một phần số tiền bị đánh cắp được chuyển đến các sàn OKX và CoinEx, có khả năng hacker đang loay hoay rút tiền mặt. Song, phần lớn tài sản vẫn đang được di chuyển qua các công cụ on-chain như dịch vụ cầu nối của Bitget và ví ChangeNOW.
Mặc dù lượng tiền chuyển đi vào ngày 19/02 chỉ chiếm một phần nhỏ trong tổng số 85 triệu USD bị đánh cắp từ Phemex, xong hacker đã rút tiền “nhỏ giọt” trong nhiều tuần qua, thay vì một giao dịch lớn ngay tức khắc. Một số giao dịch trước đó bao gồm việc rút 50 BTC và 4 triệu XRP từ sàn giao dịch này, ngoài ETH.
Các công ty bảo mật blockchain hiện đang theo dõi chặt chẽ các giao dịch này và phối hợp với các sàn lớn để xác định danh tính của hacker. Tuy nhiên, với chiến thuật rửa tiền ngày càng tinh vi, quá trình điều tra có thể kéo dài và gặp nhiều khó khăn.
Theo Global Ledger, ít nhất 32.210 ETH đã được gửi đến Tornado Cash kể từ đầu năm 2025, trong đó khoảng 40% (36,6 triệu USD) có dính líu đến các vụ hack. Tornado Cash từng bị chính phủ Hoa Kỳ áp đặt lệnh trừng phạt hồi năm 2023.
Tuy nhiên, gần đây Tòa phúc thẩm Liên bang của Mỹ đã đảo ngược lệnh trừng phạt của Bộ Tài chính. Tòa án lập luận các hợp đồng thông minh của Tornado Cash “không phải là tài sản của một tổ chức hay chính phủ ngoại quốc, do đó không thể bị đưa vào diện trừng phạt theo như Đạo luật Quyền hạn Kinh tế Khẩn cấp Quốc tế”.
