## 2025年 là một năm "bội thu" đối với tội phạm mạng của Triều Tiên: số tiền trộm cắp lập kỷ lục và chu kỳ rửa tiền khoảng 45 ngày

Trong bối cảnh ngành công nghiệp tiền mã hóa phát triển nhanh chóng, các mối đe dọa về an ninh cũng ngày càng phức tạp hơn. Đặc biệt, việc các nhóm hacker của Triều Tiên trộm cắp tài sản mã hóa đã đạt mức cao nhất trong lịch sử vào năm 2025. Theo phân tích mới nhất của Chainalysis, các vụ trộm cắp trong năm này không chỉ gây chấn động toàn ngành mà còn làm nổi bật việc các thủ đoạn tấn công ngày càng tinh vi hơn.

### Gây thiệt hại kỷ lục: Hơn 2,02 tỷ USD

Năm 2025, số tiền mã hóa bị các hacker của Triều Tiên trộm cắp ít nhất đạt 2,02 tỷ USD, tăng 51% so với năm 2024. Đồng thời, tổng số tiền bị trộm cắp tích lũy đã vượt mốc 6,75 tỷ USD.

Điều thú vị là, mặc dù số vụ tấn công giảm, nhưng số tiền bị trộm cắp trung bình trên mỗi vụ lại tăng mạnh. Xu hướng này cho thấy các hacker đã chuyển sang chiến lược "ít nhưng chất lượng cao". Họ giảm số lần tấn công, tập trung vào các mục tiêu lớn hơn và lấy đi nhiều tài sản hơn.

Dữ liệu cho thấy, từ tháng 1 đến đầu tháng 12 năm 2025, tổng số tiền bị trộm trong toàn ngành mã hóa đã vượt quá 3,4 tỷ USD, trong đó một số vụ hack lớn chiếm tới 69% tổng thiệt hại. Khoảng cách giữa các vụ trộm lớn nhất và trung bình đã mở rộng chưa từng có, lên tới 1000 lần.

### Tiến hóa phương thức tấn công: Từ xâm nhập nội bộ đến lừa đảo tuyển dụng

Lý do tại sao các hacker của Triều Tiên vẫn là mối đe dọa lớn nhất đối với ngành công nghiệp mã hóa không chỉ dựa trên năng lực kỹ thuật đơn thuần. Các phương thức tấn công của họ đã tiến hóa theo thời gian, chuyển sang các chiến lược dựa trên kỹ thuật xã hội hơn.

Trước đây, hacker chỉ đơn giản nộp đơn xin việc để xâm nhập vào nhân viên, sau đó lấy quyền truy cập đặc quyền. Hiện nay, họ đã áp dụng các chiến lược phức tạp hơn. Giả danh các nhà tuyển dụng của các công ty Web3 hoặc AI nổi tiếng, thực hiện các quy trình tuyển dụng giả để lừa đảo ứng viên. Trong các cuộc phỏng vấn, họ lấy cắp thông tin đăng nhập, mã nguồn, thậm chí cả quyền truy cập VPN của nơi làm việc.

Trong các cuộc tấn công nhằm vào các lãnh đạo điều hành, các nhóm hacker giả danh nhà đầu tư hoặc người mua lại để trích xuất thông tin mật trong các cuộc họp chiến lược hoặc quá trình thẩm định. Các chiến lược tấn công đa tầng này cho thấy Triều Tiên không chỉ là một mối đe dọa kỹ thuật mà còn là một quốc gia tội phạm mạng có tổ chức.

### Mẫu hình rửa tiền đặc trưng: Chu kỳ 45 ngày

Việc nhanh chóng và hiệu quả trong việc chuyển đổi số tiền bị trộm thành tiền mặt là điều quan trọng không kém đối với hacker. Hoạt động rửa tiền của Triều Tiên thể hiện một mô hình rõ rệt khác biệt so với các nhóm tội phạm khác.

Đặc biệt, họ phụ thuộc mạnh vào các dịch vụ rửa tiền bằng tiếng Trung và các nhà môi giới OTC. Điều này cho thấy các nhóm hacker của Triều Tiên hợp tác chặt chẽ với các mạng lưới bất hợp pháp ở khu vực Châu Á - Thái Bình Dương. Thêm vào đó, tần suất sử dụng các cầu nối chuỗi chéo và các giao thức trộn lẫn cũng cao, nhằm tạo ra các bước đa tầng để khó theo dõi hơn.

Phân tích cho thấy, sau các vụ trộm lớn, số tiền bị trộm sẽ trải qua một chu kỳ rửa tiền có cấu trúc khoảng 45 ngày:

**Giai đoạn 1 (0–5 ngày): Phân tán ngay lập tức**
Trong vài ngày đầu, các hacker chuyển số tiền bị trộm vào các giao thức DeFi hoặc dịch vụ trộn lẫn. Hoạt động trong giai đoạn này thường tăng gấp hơn 3 lần so với bình thường.

**Giai đoạn 2 (6–10 ngày): Tích hợp ban đầu**
Chuyển tiền vào các nền tảng giao dịch có yêu cầu KYC lỏng lẻo hoặc các sàn CEX. Đồng thời, các cầu nối chuỗi chéo được sử dụng để phân tán số tiền qua nhiều chuỗi khối.

**Giai đoạn 3 (20–45 ngày): Giai đoạn cuối cùng**
Số tiền tập trung vào các dịch vụ có thể giúp hợp pháp hóa tiền. Các nền tảng tiếng Trung và dịch vụ thế chấp được sử dụng phổ biến. Đến giai đoạn này, số tiền đã được pha trộn thành tài sản hợp pháp.

Mô hình này lặp lại qua nhiều năm cho thấy Triều Tiên đang gặp phải hạn chế trong vận hành. Việc tiếp cận hạn chế với hạ tầng tài chính và phụ thuộc vào các trung gian nhất định có thể tạo ra các chu kỳ dự đoán được như vậy.

### Mối đe dọa đối với người dùng cá nhân tăng nhanh

Trong khi các biện pháp bảo mật ngày càng được nâng cao, các cuộc tấn công vào ví cá nhân lại gia tăng. Năm 2025, số vụ trộm cắp tăng vọt lên 158.000 vụ, gấp gần 3 lần so với 54.000 vụ năm 2022. Số người bị ảnh hưởng cũng tăng gấp đôi, từ 40.000 lên 80.000 người.

Điều đáng chú ý là, mặc dù tổng số vụ trộm tăng, nhưng thiệt hại trung bình trên mỗi vụ lại giảm. So với 15 tỷ USD năm 2024, tổng thiệt hại năm 2025 giảm còn 713 triệu USD. Điều này cho thấy chiến lược của các hacker đã thay đổi. Trong khi nhắm vào nhiều người dùng cá nhân, số tiền trộm cắp trung bình trên mỗi vụ lại nhỏ hơn.

Phân tích theo từng chuỗi khối cho thấy, tỷ lệ trộm cắp trên Ethereum và Tron đặc biệt cao. Ethereum có số lượng người dùng lớn, nên thiệt hại tập trung nhiều, còn Tron dù có số lượng người dùng ít hơn nhưng tỷ lệ trộm cắp cao hơn.

### Cải thiện an ninh DeFi: Các ví dụ thành công đặc biệt

Hiện tượng thú vị là, tình hình an ninh của DeFi có dấu hiệu cải thiện. Mặc dù tổng giá trị bị khóa (TVL) đã phục hồi đáng kể, thiệt hại do hack vẫn duy trì ở mức thấp. Điều này cho thấy các giao thức DeFi đã áp dụng các biện pháp an ninh hiệu quả.

Ví dụ điển hình là vụ việc của giao thức Venus tháng 9 năm 2025. Hacker đã lấy quyền truy cập hệ thống qua Zoom bị xâm phạm, cố gắng yêu cầu người dùng cấp quyền 13 triệu USD. Tuy nhiên, hệ thống giám sát an ninh do Venus triển khai ngay trước đó đã phát hiện hoạt động đáng ngờ, và vụ tấn công đã được phát hiện 18 giờ trước.

Phản ứng sau đó rất nhanh chóng. Giao thức tạm thời ngừng hoạt động trong vòng 20 phút, phục hồi một phần trong vòng 5 giờ, thanh lý vị thế của hacker trong vòng 7 giờ, và toàn bộ số tiền bị trộm đã được thu hồi trong vòng 12 giờ. Thậm chí, Venus còn thông qua đề xuất quản trị để phong tỏa 3 triệu USD tài sản vẫn còn trong quyền kiểm soát của hacker.

Vụ việc này là một ví dụ quan trọng cho thấy hạ tầng an ninh của DeFi đã thực sự tiến bộ. Sự kết hợp của giám sát chủ động, cơ chế phản ứng nhanh và quản trị có khả năng thực thi đã xây dựng nên một hệ thống vững chắc khác xa thời kỳ đầu của DeFi.

### Thách thức cho năm 2026: Vượt qua quy luật Willie Sutton

Giảm các cuộc tấn công của Triều Tiên trong năm 2025 không có nghĩa là giảm thiểu các mối đe dọa. Ngược lại, các hoạt động tấn công ngày càng khó phát hiện và tinh vi hơn. Mặc dù số vụ tấn công đã giảm 74%, nhưng số tiền trộm cắp vẫn lập kỷ lục mới, cho thấy còn nhiều hoạt động chưa được phát hiện.

Hoạt động hacker của Triều Tiên không chỉ nhằm mục đích kiếm tiền, mà còn phục vụ các mục tiêu chiến lược như huy động tài chính quốc gia và tránh các lệnh trừng phạt quốc tế. Các hành vi này khác hoàn toàn so với các mẫu hành vi tội phạm truyền thống.

Nhiệm vụ của ngành công nghiệp mã hóa trong năm 2026 là nâng cao khả năng phát hiện và ngăn chặn các cuộc tấn công có tổ chức cao này từ trước. Việc nhận diện các mẫu rửa tiền đặc trưng của Triều Tiên, ngăn chặn xâm nhập nội bộ, và tăng cường các biện pháp chống lại các cuộc tấn công xã hội là những ưu tiên hàng đầu.