Năm kỷ lục của các vụ trộm tiền mã hóa: cứ 100 đồng bị hack thì 85 đồng về một nhóm — và điều đó chạm tới người Việt ở đâu
Đọc nhanh trong 30 giây
▸
Theo TRM Labs, tính tới 29/10/2026, các vụ hack tiền mã hóa trong năm đã lấy đi khoảng 8,7 tỷ đô — mức cao nhất từng ghi nhận
Trong đó khoảng 7,4 tỷ đô, tức chừng 85%, được quy cho các nhóm tin tặc của Triều Tiên.
▸
Từ năm 2017 tới nay, TRM đếm được khoảng 12,8 tỷ đô Triều Tiên lấy qua khoảng 100 vụ
Riêng 5 vụ lớn nhất — Binance, Bybit, Ronin, Bitget, DMM Bitcoin — chiếm khoảng 9,1 tỷ đô.
▸
Các vụ lớn gần đây đều đi qua cùng một cửa: con người và quy trình ký, không phải phá ổ khóa
Máy tính của 1 kỹ sư, giao diện ký bị tráo, thiết bị của bên thứ ba.
▸
Tiền trộm được cuối cùng phải đổi ra tiền thật qua tay một người bán nào đó — và đó là chỗ câu chuyện chạm vào người Việt
Phần cuối bài nói vì sao.
Số liệu trong bài là của TRM Labs, công bố ngày 30/10/2026, trừ chỗ ghi khác. Chainalysis dùng phương pháp khác nên ra con số hơi khác — bài có ghi.
Một năm phá mọi kỷ lục
Hãng điều tra chuỗi khối TRM Labs công bố tổng kết ngày 30/10/2026, một ngày sau vụ Binance. Theo TRM, từ đầu năm tới 29/10, các vụ hack nhắm vào tiền mã hóa đã lấy đi khoảng 8,7 tỷ đô — cao nhất trong mọi năm họ từng đo. Trong đó khoảng 7,4 tỷ đô được quy cho Triều Tiên.
Đặt 2 con số cạnh nhau: cứ 100 đồng bị hack trong năm 2026, khoảng 85 đồng đã vào tay một nhóm duy nhất.
Chainalysis, hãng phân tích còn lại hay được trích, dùng cách đếm khác nên ra con số khác: theo bài tổng hợp của CryptoBriefing, Chainalysis ước tỷ lệ của Triều Tiên trong năm nay vào khoảng 89%. Hai hãng chênh nhau vài điểm phần trăm, nhưng cùng một kết luận: phần lớn tiền bị hack năm nay đi về một chỗ.
Năm 2026 qua 4 vụ
4 vụ được quy cho Triều Tiên trong năm 2026
1
Tháng 4 — Drift Protocol và KelpDAO, khoảng 577 triệu đô cộng lại
Theo TRM, 2 vụ này chiếm khoảng 76% giá trị bị hack trong 4 tháng đầu năm.
2
Tháng 9 — Bitget, khoảng 387,5 triệu đô theo con số sàn tự công bố
Nhà này đã kể trong bài về Bitget. Giám đốc Bitget nói cách tấn công rất khớp với các mẫu đã biết của tin tặc Triều Tiên.
3
Tháng 10 — Binance, khoảng 6,3 tới 6,4 tỷ đô
FBI xác nhận ngày 31/10 thủ phạm là nhóm TraderTraitor. Chainalysis lần ra tiền từ Binance chảy chung đường với tiền từ Bitget.
=
Riêng vụ Binance đã chiếm khoảng 85% phần của Triều Tiên trong cả năm
6,3 trên 7,4 tỷ đô. Một năm kỷ lục, nhưng được làm nên chủ yếu bởi 1 vụ.
Số tiền của từng vụ là ước tính của các bên điều tra và có thể còn được điều chỉnh. Con số Bitget lấy theo công bố của sàn; một số báo dùng con số 351 triệu đô, là lần đếm đầu tiên.
Cửa vào không đổi: con người và quy trình ký
Nếu chỉ nhìn con số, dễ nghĩ đây là chuyện của những cỗ máy phá mã siêu hạng. Nhìn vào cách từng vụ diễn ra thì thấy điều ngược lại. Nhà này đã kể kỹ 2 vụ trong năm; đặt thêm vụ Bybit tháng 2/2025 — vụ lớn nhất trước Binance — vào cạnh:
3 vụ lớn, 3 cửa vào — không cửa nào là phá khóa
1
Bybit, 02/2025, khoảng 1,5 tỷ đô — giao diện ký bị tráo
Theo báo cáo pháp y được công bố, mã độc được cài vào hạ tầng của nhà cung cấp ví nhiều chữ ký. Người ký thấy một giao dịch bình thường trên màn hình, trong khi giao dịch thật là một thứ khác.
2
Bitget, 09/2026 — thiết bị của bên thứ ba
Theo báo cáo sơ bộ, kẻ tấn công đi qua lỗ hổng trong thiết bị bảo mật của một nhà cung cấp, làm giả dữ liệu để quy trình duyệt của sàn tự ký lệnh rút.
3
Binance, 10/2026 — máy tính của 1 kỹ sư
Theo Binance, máy tính xách tay của một kỹ sư vận hành bị cài mã độc, rồi kẻ tấn công vào tới hệ thống duyệt giao dịch.
Cả 3 lần, khóa riêng không bị bẻ. Thứ bị lừa là người, hoặc phần mềm mà người dùng để nhìn và ký.
Đây là bài học tôi muốn bạn mang về, vì nó áp đúng cho ví của chính bạn: ổ khóa tốt đến đâu cũng không cứu được một chữ ký trao nhầm. Kẻ tấn công giỏi nhất thế giới không tốn công phá khóa. Họ tìm người đang cầm khóa.
Tiền trộm được đi đâu, và vì sao nó chạm tới người Việt
Lấy được tiền mới là nửa đường. Nửa còn lại là biến nó thành thứ tiêu được. Theo FBI, nhóm này đã chuyển phần lớn tài sản sang Ethereum và có thể tiếp tục rửa qua các giao thức tài chính phi tập trung và các dịch vụ hoán đổi tức thời. Chainalysis mô tả dấu vết: hàng nghìn giao dịch trong thời gian ngắn, tiền quay vòng qua lại giữa các địa chỉ, nhiều địa chỉ trước tiên nhận đúng 1 đồng TRX rồi mới nhận tiền lớn.
Nhưng dù quay vòng bao nhiêu lần trên chuỗi, ở bước cuối, số coin đó vẫn phải đổi sang tiền thật qua tay một người mua bán nào đó. Đây là suy luận của tôi, không phải kết luận của một báo cáo cụ thể nào về Việt Nam: người bán coin cho người lạ, ở bất kỳ nước nào, đều có thể là người nhận đồng tiền ở đầu kia của chuỗi đó.
Đó cũng là lý do câu chuyện ở Paris cuối tháng 10 liên quan tới bạn. Kỳ họp FATF cuối tháng 10 đã quyết định đẩy nhanh việc thực thi chuẩn về tài sản ảo trên toàn cầu — nhà này đã kể trong bài về FATF và danh sách xám. Ở Việt Nam, Điều 33a của Luật 23/2026/QH16, có hiệu lực từ 01/12/2026, liệt kê 15 dấu hiệu giao dịch đáng ngờ mà tổ chức phải soi.
Việc làm được ngay, từ hôm nay
3 việc làm ngay, không tốn đồng nào
1
Trước khi ký bất cứ thứ gì trong ví, đọc chữ trên màn hình — và tự hỏi màn hình đó có đáng tin không
Bài học của Bybit: thứ hiện trên màn hình có thể không phải thứ bạn đang ký.
2
Mua bán trực tiếp với người lạ thì chỉ giao dịch khi biết rõ đối tác, và chỉ nhận tiền từ tài khoản đúng tên
Việc quy trách nhiệm cho Triều Tiên dựa trên kết luận của FBI và các hãng điều tra chuỗi khối. Bài nêu tên các sàn vì đó là chủ thể của tin, không phải để khen hay chê.
Chúc bạn khai ngộ Master Xuân Hùng
P.s: Sống trong mục tiêu. Từ mục tiêu, con đường sẽ hiện dần ra.
NHẬT KÝ ĐỌC LUẬT · MIỄN PHÍ
Bài sau tới thẳng hộp thư bạn
Mỗi bài tôi đều mở văn bản gốc ra đọc, dẫn số hiệu và ghi ngày hiệu lực để bạn tự kiểm chứng lại. Để email là không phải nhớ quay lại.
Còn một bước nữa thôi
Tôi vừa gửi một lá thư sang hộp thư của bạn. Mở ra và bấm nút xác nhận trong đó — bấm xong bạn mới thật sự vào danh sách.
Thư chưa thấy sau vài phút thì ngó giúp tôi mục Quảng cáo hoặc Spam, và kéo nó về Hộp thư chính để những thư sau không đi lạc.
