Năm "béo" của hacker Bắc Triều Tiên: Năm 2025, số tiền trộm cắp lập kỷ lục mới

2025年 đối với nhóm hacker Triều Tiên chắc chắn là một năm bội thu. Theo báo cáo về các cuộc tấn công của hacker năm 2025 do Chainalysis phát hành, mặc dù số lần tấn công của hacker Triều Tiên giảm mạnh, nhưng số tiền bị trộm cắp đã lập kỷ lục lịch sử. Hiện tượng có vẻ mâu thuẫn này phản ánh các nhóm tội phạm mạng cấp quốc gia ngày càng tinh vi trong phương thức thực hiện các vụ án.

Đằng sau năm bội thu: Giảm tấn công nhưng tăng trộm cắp tài chính

Năm 2025, toàn bộ hệ sinh thái tiền mã hóa đối mặt với thử thách nghiêm trọng. Theo thống kê, tổng số tiền bị đánh cắp trong năm vượt quá 3,4 tỷ USD, trong đó riêng vụ tấn công hacker lớn tại Bybit vào tháng 2 đã gây thiệt hại 1,5 tỷ USD.

Hacker Triều Tiên trong năm “bội thu” này thể hiện đặc biệt nổi bật. Năm 2025, họ đã trộm được tổng giá trị tiền mã hóa lên tới 2,02 tỷ USD, tăng 51% so với 1,339 tỷ USD của năm 2024. Thật đáng chú ý hơn nữa, đây là năm ghi nhận mức độ trộm cắp nghiêm trọng nhất trong lịch sử các vụ trộm tiền mã hóa của Triều Tiên, với tổng số tiền bị trộm đã lên tới 6,75 tỷ USD.

Dữ liệu còn gây sốc hơn nữa khi các cuộc tấn công do Triều Tiên phát động chiếm tới 76% tổng số các vụ xâm nhập, lập kỷ lục mới. Mặc dù số vụ tấn công đã giảm 74% so với trước, nhưng số tiền bị trộm lại tăng mạnh. Điều này cho thấy hacker Triều Tiên đang thực hiện các cuộc tấn công có mục tiêu cao hơn với hiệu quả cao hơn — họ giảm tần suất tấn công, nhưng tập trung vào các mục tiêu có giá trị lớn hơn.

Mạng lưới rửa tiền đặc biệt: Đặc điểm hoạt động của hacker Triều Tiên

Việc hacker Triều Tiên đạt được thành tích “bội thu” trong năm không thể tách rời khỏi mô hình rửa tiền độc đáo và mạng lưới hoạt động của họ. Các hoạt động rửa tiền của họ khác hoàn toàn so với các tội phạm mạng khác.

Đặc điểm “phân đoạn” trong hoạt động rửa tiền

Hoạt động rửa tiền của hacker Triều Tiên thể hiện rõ mô hình “phân đoạn”, hơn 60% khối lượng giao dịch tập trung dưới 50.000 USD. Điều này hoàn toàn khác biệt so với cách hoạt động của các hacker khác — trong số các khoản chuyển tiền trên chuỗi của các hacker khác, hơn 60% nằm trong khoảng từ 1 triệu đến trên 10 triệu USD, được thực hiện theo từng đợt.

Ưu tiên rõ rệt đối với các dịch vụ đặc thù

So với các hacker khác, hacker Triều Tiên thể hiện rõ các mô hình ưa thích trong hoạt động rửa tiền:

• Chuyển tiền và dịch vụ bảo đảm bằng tiếng Trung (+355% đến trên 1000%): Đây là đặc điểm nổi bật nhất, hacker Triều Tiên cực kỳ phụ thuộc vào các dịch vụ bảo đảm bằng tiếng Trung và mạng lưới rửa tiền do nhiều nhà rửa tiền có khả năng kiểm soát yếu hơn trong khu vực này tổ chức. Sở thích này cao hơn nhiều so với các tội phạm khác.

• Dịch vụ cầu nối chuỗi chéo (+97%): Phụ thuộc nhiều vào các cầu nối chuỗi chéo để chuyển tài sản giữa các blockchain khác nhau, nhằm tăng độ khó truy vết.

• Dịch vụ trộn tiền (+100%): Sử dụng nhiều dịch vụ trộn tiền hơn để che giấu dấu vết dòng tiền.

• Dịch vụ chuyên nghiệp (+356%): Chiến lược sử dụng các dịch vụ như Huione để hỗ trợ hoạt động rửa tiền.

Ngược lại, hacker Triều Tiên rõ ràng tránh các kênh rửa tiền phổ biến của các hacker khác như: các giao thức vay mượn (-80%), sàn giao dịch không KYC (-75%), P2P (-64%), CEX (-25%) và DEX (-42%).

Chu kỳ chuyển tiền 45 ngày: Tiết lộ quy trình rửa tiền nhiều giai đoạn

Việc dòng tiền bị đánh cắp tràn vào đầu năm 2025 cung cấp thông tin quý giá cho các cơ quan thực thi pháp luật. Qua phân tích hoạt động trên chuỗi, các nhà nghiên cứu phát hiện hacker Triều Tiên tuân theo một lộ trình rửa tiền có cấu trúc, nhiều giai đoạn, kéo dài khoảng 45 ngày.

Giai đoạn 1: Phân lớp ngay lập tức (ngày 0-5)

Trong vài ngày đầu sau vụ tấn công, chúng tôi quan sát thấy một loạt hoạt động bất thường:

• Lượng dòng tiền bị đánh cắp từ các giao thức DeFi tăng mạnh nhất (+370%), trở thành điểm chạm chính
• Giao dịch dịch vụ trộn tiền tăng mạnh (+135-150%), tạo lớp mơ hồ đầu tiên
• Giai đoạn này tượng trưng cho bước “đầu tiên” khẩn cấp, nhằm phân biệt rõ ràng với hành vi trộm cắp ban đầu

Giai đoạn 2: Tổng hợp sơ bộ (ngày 6-10)

Sau tuần thứ hai, chiến lược rửa tiền bắt đầu chuyển sang các dịch vụ giúp dòng tiền hòa nhập vào hệ sinh thái rộng hơn:

• Các sàn giao dịch ít hạn chế KYC (+37%) và CEX (+32%) bắt đầu tiếp nhận dòng tiền
• Hoạt động rửa tiền qua các dịch vụ trộn lớp thứ hai (+76%) tiếp tục với cường độ thấp hơn
• Các cầu nối chuỗi chéo (như XMRt, +141%) giúp phân tán và che giấu dòng tiền giữa các blockchain
• Đây là giai đoạn chuyển tiếp quan trọng, dòng tiền bắt đầu chảy về các kênh thoát ra tiềm năng

Giai đoạn 3: Tổng hợp dài hạn (ngày 20-45)

Giai đoạn cuối rõ ràng hướng tới các dịch vụ có thể cuối cùng quy đổi thành tiền mặt hoặc các tài sản khác:

• Các sàn giao dịch không KYC (+82%) và dịch vụ bảo đảm như “bảo đảm khoai tây” (+87%) tăng rõ rệt
• Các sàn giao dịch tức thời (+61%) và nền tảng tiếng Trung (như Huion, +45%) trở thành điểm cuối cùng để quy đổi
• CEX (+50%) cũng tiếp nhận dòng tiền, cho thấy có các nỗ lực phức tạp nhằm pha trộn dòng tiền với nguồn hợp pháp
• Các khu vực pháp lý ít quản lý hơn như mạng lưới rửa tiền tiếng Trung (+33%) và các nền tảng như Grinex (+39%) hoàn thiện mô hình này

Khoảng thời gian rửa tiền thường kéo dài 45 ngày này cung cấp thông tin quan trọng cho các đội ngũ pháp lý và tuân thủ. Mô hình này duy trì nhất quán trong nhiều năm qua, cho thấy hacker Triều Tiên gặp hạn chế trong hoạt động, có thể liên quan đến việc hạn chế tiếp cận các cơ sở tài chính và cần phối hợp với các trung gian nhất định.

Nguy cơ đối với người dùng cá nhân vẫn gia tăng

Trong năm “bội thu” 2025, một xu hướng đáng lo ngại khác là các cuộc tấn công vào ví cá nhân gia tăng.

Sự mở rộng quy mô các vụ trộm cắp

Năm 2025, số vụ trộm ví cá nhân tăng vọt lên 158.000 vụ, gần gấp ba lần so với 54.000 vụ năm 2022. Số người bị ảnh hưởng từ 40.000 người năm 2022 đã tăng lên ít nhất 80.000 người vào năm 2025. Sự tăng trưởng rõ rệt này có thể bắt nguồn từ việc sử dụng rộng rãi hơn tiền mã hóa. Ví dụ, trong một trong những blockchain có nhiều ví cá nhân hoạt động nhất là Solana, số vụ trộm cắp chiếm tới khoảng 26.500 nạn nhân.

Số tiền bị trộm mỗi nạn nhân lại giảm

Dù số vụ và số người bị ảnh hưởng tăng, tổng số tiền bị trộm từ mỗi nạn nhân trong năm 2025 đã giảm từ đỉnh 1,5 tỷ USD của năm 2024 xuống còn 713 triệu USD. Điều này cho thấy các hacker mở rộng mục tiêu người dùng, nhưng số tiền bị trộm mỗi người giảm — một chuyển biến đáng chú ý.

Nguy cơ không đều nhau

Tỷ lệ mất tiền cao nhất ở Ethereum và Tron (được đo bằng tỷ lệ tội phạm trên mỗi 100.000 ví), mặc dù các nền tảng như Base và Solana có số lượng người dùng lớn, nhưng tỷ lệ bị ảnh hưởng lại thấp hơn. Điều này cho thấy rủi ro an ninh đối với ví cá nhân trong hệ sinh thái tiền mã hóa không đồng đều, ngoài yếu tố kỹ thuật, đặc điểm cộng đồng người dùng, các ứng dụng phổ biến và hạ tầng tội phạm cũng đóng vai trò quan trọng trong việc quyết định tỷ lệ bị trộm cắp.

An toàn DeFi có bước chuyển bất ngờ

Dù hacker Triều Tiên trong năm 2025 đã có “năm bội thu”, nhưng trong hệ sinh thái tiền mã hóa cũng xuất hiện những tín hiệu tích cực — tình hình an toàn của lĩnh vực DeFi đang được cải thiện.

TVL của DeFi tăng lên trong khi thiệt hại do tấn công duy trì ổn định

Dữ liệu cho thấy ba giai đoạn rõ rệt:

• Giai đoạn 1 (2020-2021): TVL của DeFi và thiệt hại do hacker gây ra cùng tăng trưởng
• Giai đoạn 2 (2022-2023): hai chỉ số cùng giảm
• Giai đoạn 3 (2024-2025): TVL phục hồi, thiệt hại do hacker duy trì ổn định

Sự khác biệt này đặc biệt rõ rệt. TVL của DeFi đã phục hồi rõ rệt sau mức thấp của năm 2023, nhưng thiệt hại do các vụ tấn công hacker gây ra không tăng theo. Dù hàng tỷ USD đã chảy trở lại các giao thức này, các vụ tấn công DeFi vẫn duy trì ở mức thấp, đánh dấu một bước thay đổi quan trọng.

Có hai yếu tố giải thích cho sự khác biệt này. Thứ nhất là nâng cao an ninh — các giao thức DeFi có thể đang áp dụng các biện pháp an toàn hiệu quả hơn so với giai đoạn 2020-2021. Thứ hai là chuyển hướng mục tiêu — sự gia tăng các vụ trộm ví cá nhân và tấn công các dịch vụ tập trung cho thấy các hacker đang chuyển hướng sang các mục tiêu khác.

Thành công phòng thủ của giao thức Venus

Vụ tấn công vào giao thức Venus cuối năm 2025 đã thể hiện rõ việc các biện pháp an toàn được cải thiện đang mang lại hiệu quả thực tế.

Thời điểm đó, hacker lợi dụng một tài khoản Zoom bị xâm nhập để lấy quyền truy cập hệ thống, rồi dụ một người dùng cấp quyền ủy thác trị giá 13 triệu USD vào tài khoản của họ. Điều này có thể gây hậu quả thảm khốc, nhưng Venus đã kích hoạt nền tảng giám sát an ninh Hexagate từ trước một tháng.

Nền tảng này đã phát hiện hoạt động đáng ngờ trước 18 giờ vụ tấn công, và ngay lập tức gửi cảnh báo khi các giao dịch độc hại bắt đầu diễn ra. Trong vòng 20 phút, Venus đã tạm dừng giao thức, ngăn chặn mọi dòng chảy tài chính. Phản ứng sau đó còn nhanh và quyết đoán hơn:

• Trong vòng 5 giờ, hoàn tất kiểm tra an ninh và khôi phục một số chức năng
• Trong vòng 7 giờ, cưỡng chế thanh lý ví của kẻ tấn công
• Trong vòng 12 giờ, thu hồi toàn bộ số tiền bị trộm và khôi phục dịch vụ

Điều đáng chú ý nhất là Venus đã thông qua một đề xuất quản trị, phong tỏa 3 triệu USD tài sản do kẻ tấn công vẫn kiểm soát. Kẻ tấn công không những không có lợi, mà còn mất tiền.

Tiến hóa phương thức tấn công của hacker Triều Tiên và các mối đe dọa trong tương lai

Việc hacker Triều Tiên đạt thành tích “bội thu” trong năm 2025 không chỉ do số tiền bị trộm tăng lên, mà còn do các phương thức tấn công của họ không ngừng tiến hóa.

Từ xâm nhập nội bộ đến kỹ thuật xã hội phức tạp

Hacker Triều Tiên ngày càng nhiều hơn trong việc cài đặt nhân viên IT vào các dịch vụ tiền mã hóa để lấy quyền truy cập đặc quyền. Nhưng gần đây, các tổ chức hacker liên quan đến Triều Tiên đã hoàn toàn đảo lộn mô hình này. Họ không còn chỉ đơn thuần xin việc rồi trà trộn như nhân viên, mà ngày càng giả danh các nhà tuyển dụng của các công ty Web3 và AI danh tiếng, tổ chức các quy trình tuyển dụng giả mạo, cuối cùng lấy được chứng thực đăng nhập, mã nguồn và quyền truy cập VPN hoặc SSO của các nạn nhân.

Ở cấp cao, các phương thức xã hội tương tự xuất hiện dưới dạng liên hệ giả danh nhà đầu tư chiến lược hoặc nhà mua lại, sử dụng các cuộc họp giới thiệu và điều tra giả để dò tìm thông tin hệ thống nhạy cảm và hạ tầng có giá trị cao. Sự tiến hóa này dựa trên nền tảng của các hành vi lừa đảo nhân viên IT trong quá khứ.

Tấn công chính xác vào các mục tiêu giá trị cao

Từ 2022 đến 2025, hacker Triều Tiên chiếm lĩnh các mục tiêu có giá trị cao nhất, trong khi các cuộc tấn công không tập trung vào các quy mô trộm cắp bình thường. Mô hình này cho thấy, khi hacker Triều Tiên tấn công, họ nhắm vào các dịch vụ lớn để gây ảnh hưởng tối đa.

Điều chỉnh chiến lược nhịp độ tấn công một cách chiến lược

Trong ba cuộc tấn công lớn nhất năm 2025, thiệt hại chiếm tới 69% tổng thiệt hại, và tỷ lệ giữa các cuộc tấn công lớn nhất so với trung bình lần đầu vượt qua ngưỡng 1000 lần. Ảnh hưởng của vụ việc tại Bybit đối với mô hình hoạt động hàng năm của họ cho thấy, khi Triều Tiên thực hiện thành công các vụ trộm lớn, họ sẽ giảm nhịp độ hoạt động, chuyển sang tập trung vào rửa tiền.

Thách thức mới trong năm 2026

Năm 2025, thành tích “bội thu” của hacker Triều Tiên đã phản ánh rõ ràng trạng thái phức tạp của an ninh trong lĩnh vực tiền mã hóa ngày nay. Dù khả năng phòng thủ của các giao thức DeFi đang được cải thiện, dù các vụ việc như Venus cho thấy phản ứng an toàn thành công, nhưng thực tế các vụ trộm cắp lớn nhất trong lịch sử vẫn diễn ra, cho thấy toàn bộ hệ sinh thái tiền mã hóa vẫn đối mặt với các mối đe dọa nghiêm trọng.

Đối với ngành công nghiệp tiền mã hóa, sự tiến hóa này đòi hỏi phải nâng cao cảnh giác đối với các mục tiêu giá trị cao, và tăng khả năng nhận diện các mô hình rửa tiền đặc thù của Triều Tiên. Sở thích liên tục của họ đối với các dịch vụ bảo đảm bằng tiếng Trung, cầu nối chuỗi chéo và các khoản chuyển khoản nhất định cung cấp cơ hội để phát hiện, giúp phân biệt họ với các tội phạm khác, đồng thời hỗ trợ các nhà điều tra trong việc nhận diện đặc điểm hành vi trên chuỗi của họ.

Khi Triều Tiên tiếp tục sử dụng tiền mã hóa để tài trợ cho các ưu tiên quốc gia và tránh các lệnh trừng phạt quốc tế, ngành công nghiệp tiền mã hóa cần nhận thức rõ rằng, hoạt động của Triều Tiên khác hoàn toàn so với các tội phạm mạng điển hình. Thành tích kỷ lục của họ trong năm 2025 — trong khi giảm 74% các cuộc tấn công đã biết, nhưng tổng số tiền bị trộm cắp lại tăng mạnh — cho thấy chỉ mới phần nổi của hoạt động của họ đã được nhìn thấy.

Thách thức then chốt trong năm 2026 là làm thế nào để phát hiện và ngăn chặn các hoạt động tấn công quy mô lớn như vụ Bybit trước khi chúng xảy ra. Điều này đòi hỏi ngành phải nâng cao khả năng phòng thủ an ninh, đồng thời liên tục theo dõi và phân tích các mô hình hoạt động đặc thù của hacker Triều Tiên, để cung cấp dữ liệu hỗ trợ cho các chiến lược phòng vệ trong tương lai.