Một giao dịch lạ, một câu chuyện mới.
2290 ETH, tương đương 4.39 triệu USD, vừa rời khỏi một địa chỉ nằm trong cụm ví liên kết với kẻ tấn công Solana OG và chui vào Tornado Cash. Điểm bất thường không nằm ở con số. Điểm bất thường nằm ở dấu chấm lặng: cùng cụm địa chỉ này, khoảng hai tuần trước, đã thực hiện một giao dịch tương tự.
Hai lần. Cùng một công cụ. Cùng một vệt máu trên chuỗi.
Dữ liệu đã nói. Ai nghe?
Bối cảnh: Từ vụ tấn công 14 triệu USD đến chiến dịch tẩu tán
Solana OG — thuật ngữ chỉ những người chơi kỳ cựu trong hệ sinh thái Solana — đã hứng chịu một vụ tấn công trị giá khoảng 14.2 triệu USD vào cuối tháng 7. Tài sản bị đánh cắp bao gồm ETH, stablecoin và nhiều loại token khác, sau đó được hợp nhất về một cụm địa chỉ trên Ethereum mainnet. Từ đó, dòng tiền bắt đầu di chuyển theo một khuôn mẫu quá quen thuộc trong giới tội phạm mạng: phân mảnh, xáo trộn, và nuốt chửng bởi Tornado Cash.
Tornado Cash, với cơ chế ZK-SNARK, cho phép người dùng gửi ETH vào một bể ẩn danh và rút ra bằng một địa chỉ hoàn toàn mới. Mối liên hệ giữa địa chỉ gửi và địa chỉ rút bị cắt đứt về mặt toán học. Từ tháng 8/2022, giao thức này đã nằm trong danh sách SDN của OFAC — nhưng lệnh trừng phạt dường như chỉ làm cho nó trở nên hấp dẫn hơn với những kẻ cần xóa dấu vết.
Không phải may mắn; là mẫu. Khi một kẻ tấn công quay lại cùng một công cụ lần thứ hai, hắn đang xác nhận một điều: Tornado Cash, dù bị trừng phạt, vẫn là lựa chọn tối ưu cho việc rửa tiền quy mô lớn trên Ethereum.
Phân tích hành vi trên chuỗi: Đọc vị kẻ tẩu tán
Số liệu không biết nói dối. Hãy nhìn vào dữ liệu trước khi phán xét.
Chiến lược phân mảnh
2290 ETH không được chuyển trong một giao dịch duy nhất. Nó được tách thành nhiều lệnh, mỗi lệnh nằm gọn trong các mệnh giá phổ biến của Tornado Cash: 100, 10, 1 ETH. Đây là kỹ thuật phân mảnh kinh điển — đập vỡ lượng tài sản lớn thành nhiều mảnh nhỏ, mỗi mảnh nằm dưới ngưỡng chú ý của hệ thống cảnh báo rủi ro tại các sàn giao dịch.
Theo kinh nghiệm xây dựng pipeline dữ liệu real-time của tôi, các cụm địa chỉ liên kết với tội phạm mạng hầu như luôn chọn mệnh giá lớn nhất có thể — 100 ETH — cho những khoản chuyển đầu tiên, trước khi dùng mệnh giá nhỏ hơn để xáo trộn thêm. Một địa chỉ gửi 1 ETH vào bể ẩn danh có thể là một người dùng bình thường. Nhưng một cụm địa chỉ gửi 2290 ETH trong vòng chưa đầy 48 giờ thì không phải người dùng thông thường. Đó là một chiến dịch.
Nhịp thời gian
Khoảng cách giữa lần chuyển thứ nhất và lần chuyển thứ hai là hai tuần. Không quá ngắn để gây chú ý, không quá dài để mất đà. Đây là hành vi có chủ đích, có kế hoạch. Hắn đang quan sát phản ứng từ cơ quan điều tra và các công ty phân tích chuỗi.
Tôi đã thấy khuôn mẫu này ở những vụ rửa tiền khác: kẻ tấn công chia nhỏ thời gian thành từng đợt, mỗi đợt cách nhau 7-14 ngày, để đánh giá xem liệu địa chỉ của mình có bị đưa vào danh sách đen hay không. Nếu không có phản ứng, chúng tiếp tục đợt tiếp theo với khối lượng lớn hơn.
Lựa chọn Tornado Cash thay vì cầu nối
Kẻ tấn công có thể dùng cầu nối để nhảy sang Solana, Arbitrum hoặc Base — khuếch tán dấu vết sang các hệ sinh thái khác. Nhưng hắn chọn ở lại Ethereum và sử dụng Tornado Cash.
Có ba lý do. Thứ nhất, Tornado Cash có thanh khoản sâu nhất trong số các giao thức ẩn danh — đảm bảo khả năng rút tiền mà không gây trượt giá quá lớn. Thứ hai, sau hai năm bị trừng phạt, các nhà điều hành Relayer đã quen với việc xử lý giao dịch từ các địa chỉ bẩn, khiến chi phí giao dịch vẫn ở mức chấp nhận được. Thứ ba, có thể hắn tin rằng vùng tối sau lệnh trừng phạt lại là nơi ít bị giám sát nhất — hiệu ứng đèn dầu: nơi tối nhất lại là nơi sáng nhất dưới ánh đèn pha của cơ quan thực thi.
Nhưng đây là điểm mù. Từ góc nhìn của một nhà phân tích dữ liệu, việc sử dụng cùng một công cụ hai lần liên tiếp không phải là chiến lược thông minh. Nó tạo ra một khuôn mẫu nhận diện. Các đơn vị phân tích chuỗi như Chainalysis hay Elliptic có thể dễ dàng gom nhóm tất cả các giao dịch này vào một cụm, rồi đối chiếu với dữ liệu trao đổi để tìm ra điểm thoát.
Góc nhìn ngược: Lệnh trừng phạt có vô tình nuôi dưỡng vùng tối?
Đây là điểm khiến tôi dừng lại.
OFAC trừng phạt Tornado Cash năm 2022 với mục tiêu chặn dòng tiền bất hợp pháp. Nhưng nhìn vào thực tế: giao thức này vẫn hoạt động, vẫn có thanh khoản, và vẫn được lựa chọn bởi những kẻ tấn công có tổ chức. Lệnh trừng phạt đã đẩy các nhà phát triển vào vòng lao lý, nhưng không thể xóa được hợp đồng thông minh đang chạy trên Ethereum.
Điều gì xảy ra khi bạn biến một công cụ thành bất hợp pháp? Bạn không làm cho nó biến mất. Bạn chỉ đẩy nó xuống vùng tối, nơi chỉ những kẻ có động cơ mạnh nhất — tội phạm — dám chạm vào. Người dùng cá nhân có nhu cầu bảo mật tài chính hợp pháp sẽ rời bỏ. Nhưng kẻ tấn công mang 14 triệu USD tài sản bất chính thì không có lựa chọn nào tốt hơn.
Tương quan giữa lệnh trừng phạt và sự gia tăng sử dụng Tornado Cash cho mục đích tội phạm không nhất thiết là quan hệ nhân quả. Nhưng dữ liệu cho thấy một thực tế khó chịu: vùng tối càng bị siết, nó càng trở thành nơi trú ẩn của những kẻ thực sự cần ẩn thân. Điều này cũng đặt ra câu hỏi lớn hơn về các tầng tương tác trong hệ sinh thái. Nếu mọi công cụ bảo mật mạnh mẽ đều bị đẩy vào vùng cấm, hệ sinh thái sẽ ngày càng tách biệt rõ rệt giữa "khu vực sáng" — nơi mọi giao dịch đều có thể bị theo dõi — và "khu vực tối" — nơi tội phạm ngự trị.
Những tín hiệu cần theo dõi
Khoảng 9.8 triệu USD vẫn nằm trong các ví do kẻ tấn công kiểm soát. Nếu hắn tiếp tục chiến thuật "rỉ máu" — mỗi lần chuyển một lượng nhỏ qua Tornado Cash — thì số phận của số tiền này gần như chắc chắn sẽ nối gót 2290 ETH.
Hãy theo dõi ba tín hiệu cụ thể trong những tuần tới.
Thứ nhất, một địa chỉ rút tiền từ Tornado Cash rồi nạp vào sàn giao dịch. Thời điểm đó, cơ quan điều tra sẽ có lý do để đóng băng tài sản. Thứ hai, khối lượng giao dịch trong các pool Tornado Cash tăng đột biến trong vòng 48 giờ — dấu hiệu cho thấy một đợt rửa tiền mới đang diễn ra. Thứ ba, tin tức về hoạt động của cơ quan thực thi pháp luật.
Nếu không có phản ứng, kẻ tấn công sẽ tiếp tục. Điều này không phải là suy đoán. Đó là khuôn mẫu. Và trong thị trường giảm, khi thanh khoản co hẹp và các sàn giao dịch siết chặt quy trình KYC, các vụ rửa tiền quy mô lớn trở nên dễ bị phát hiện hơn — nhưng cũng dễ bị bỏ qua hơn khi khối lượng giao dịch toàn thị trường giảm sâu.
Kết luận mở
Mỗi giao dịch trong một vụ rửa tiền đều để lại dấu vân tay. Cụm địa chỉ này đã hai lần chạm vào Tornado Cash. Lần thứ ba sẽ đến — 9.8 triệu USD còn lại là quá lớn để từ bỏ.
Tornado Cash là kết quả của một thí nghiệm xã hội lớn hơn: khi công nghệ bảo mật vô hạn gặp phải trách nhiệm hữu hạn của con người. Và khi đó, câu hỏi không còn là kẻ tấn công có bị bắt hay không — mà là hệ sinh thái của chúng ta sẽ phản ứng ra sao khi vùng tối ngày càng trở nên đặc quánh.
Dữ liệu đã nói. Nhưng câu chuyện vẫn chưa kết thúc.