Tóm tắt nhanh
TraderTraitor là tên do các nhóm nghiên cứu an ninh mạng quốc tế đặt cho một nhóm tấn công được cho là do Triều Tiên hậu thuẫn, chuyên nhắm vào các sàn giao dịch tiền mã hoá, nền tảng tài chính phi tập trung (DeFi) và cả những nhân viên, nhà phát triển đang làm việc trong ngành. Nhóm này bị quy trách nhiệm cho hàng loạt vụ đánh cắp tài sản số lớn nhất trong vài năm trở lại đây, trong đó có các vụ liên quan tới Binance và nhiều nền tảng khác — với tổng giá trị thiệt hại được ước tính lên tới 6,3 tỷ USD.
- TraderTraitor được xem là một nhánh của nhóm hacker Lazarus, hoạt động có tổ chức và có bảo trợ nhà nước.
- Mục tiêu chính là ví tiền mã hoá, khoá riêng tư của nhân viên sàn giao dịch và hạ tầng các nền tảng DeFi.
- Thủ đoạn đặc trưng: giả danh nhà tuyển dụng, gửi lời mời làm việc và bài kiểm tra lập trình chứa mã độc.
- Dòng tiền bị đánh cắp thường được rửa qua hàng trăm ví trung gian và các dịch vụ trộn tiền trước khi quy đổi.
TraderTraitor là gì?
TraderTraitor là tên gọi do các đơn vị nghiên cứu an ninh mạng (tiêu biểu là nhóm phân tích mối đe doạ của Google và Mandiant) dùng để chỉ một cụm hoạt động tấn công mạng có bảo trợ nhà nước, bị cáo buộc gắn với Triều Tiên và thường được xếp chung trong hệ sinh thái Lazarus. Nhóm này không tấn công ngẫu nhiên: mục tiêu của họ là tiền, và tiền mã hoá là loại tài sản phù hợp nhất với nhu cầu đó.
Lazarus Group là tên chung mà giới an ninh mạng dùng để chỉ mạng lưới các nhóm tấn công có liên hệ với Triều Tiên, từng bị quy trách nhiệm cho các vụ tấn công ngân hàng, sàn giao dịch và cả chiến dịch mã độc tống tiền quy mô lớn trên toàn cầu.
Điểm đáng chú ý là TraderTraitor hoạt động rất giống một chiến dịch gián điệp kinh tế: thu thập thông tin về mục tiêu, xây dựng quan hệ với nhân viên, rồi mới ra tay ở thời điểm có thể chiếm được lượng tài sản lớn nhất.
Vì sao lại nhắm vào Binance và thị trường crypto?
Theo các báo cáo phân tích chuỗi khối, tổng giá trị tiền mã hoá bị các nhóm hacker do Triều Tiên hậu thuẫn đánh cắp đã lên tới khoảng 6,3 tỷ USD trong nhiều năm — một con số cho thấy tiền mã hoá đã trở thành nguồn thu quan trọng của nhóm này. Với Binance, một trong những sàn giao dịch lớn nhất thế giới, lượng tiền và khoá riêng tư được lưu giữ tập trung khiến nơi đây trở thành mục tiêu có giá trị cao.
So với hệ thống ngân hàng truyền thống, tiền mã hoá cho phép chuyển giá trị xuyên biên giới gần như tức thời, không cần trung gian và rất khó bị phong toả hay thu hồi. Đó chính là lý do các nhóm tấn công có bảo trợ nhà nước chuyển hướng sang lĩnh vực này trong khoảng 5–7 năm trở lại đây.
DeFi (tài chính phi tập trung) là mô hình cung cấp các dịch vụ tài chính như vay, cho vay, giao dịch hoặc sinh lời trên tài sản số thông qua hợp đồng thông minh thay vì ngân hàng trung gian. Vì phần lớn giao thức DeFi vận hành tự động bằng mã nguồn, một lỗ hổng nhỏ trong hợp đồng thông minh hoặc trong khoá quản trị có thể bị khai thác để rút sạch quỹ.
Thủ đoạn tấn công đặc trưng
Giả danh nhà tuyển dụng, nhắm vào con người
Thay vì tấn công trực diện vào hệ thống, TraderTraitor thường bắt đầu bằng kỹ thuật xã hội. Các tài khoản giả mạo trên mạng xã hội, đặc biệt là LinkedIn, liên hệ với kỹ sư phần mềm, nhà phát triển blockchain hoặc nhân viên sàn giao dịch với lời mời làm việc hấp dẫn. Sau vài vòng trao đổi, mục tiêu được gửi một bài kiểm tra kỹ thuật hoặc một kho mã nguồn để tải về — và mã độc nằm sẵn trong đó.
Wallets hay ví tiền mã hoá là công cụ lưu khoá riêng tư, tức chìa khoá duy nhất chứng minh quyền sở hữu tài sản số. Chiếm được khoá riêng tư đồng nghĩa với việc chiếm được toàn bộ số tiền trong ví mà không cần phá bất kỳ lớp bảo mật nào của sàn.
Mã độc trong thư viện và ứng dụng phổ biến
Một hướng tấn công khác là cài mã độc vào các gói thư viện lập trình, ứng dụng ví hoặc công cụ phổ biến mà cộng đồng crypto tải về hằng ngày. Kỹ thuật này được gọi là tấn công chuỗi cung ứng phần mềm: thay vì đánh vào nạn nhân, kẻ tấn công đánh vào thứ mà nạn nhân tin tưởng để cài đặt.
Tấn công chuỗi cung ứng phần mềm là hình thức xâm nhập thông qua một nhà cung cấp, thư viện mã nguồn hoặc bản cập nhật hợp pháp, khiến phần mềm độc hại được phân phối như một phần của sản phẩm đáng tin cậy.
Các vụ tấn công lớn gắn với nhóm này
- Năm 2022: cầu nối Ronin của game Axie Infinity bị chiếm khoảng 625 triệu USD — một trong những vụ trộm tiền mã hoá lớn nhất lịch sử.
- Năm 2022: cầu nối Horizon của Harmony bị đánh cắp khoảng 100 triệu USD.
- Năm 2024: sàn WazirX mất khoảng 235 triệu USD sau khi ví đa chữ ký bị xâm nhập.
- Năm 2024: DMM Bitcoin (Nhật Bản) thiệt hại khoảng 308 triệu USD.
- Tháng 2/2025: sàn Bybit bị đánh cắp gần 1,5 tỷ USD, vụ việc được FBI quy trách nhiệm cho TraderTraitor.
- Ước tính tổng giá trị tài sản số bị các nhóm hacker Triều Tiên đánh cắp: khoảng 6,3 tỷ USD.
Hệ quả với thị trường và nhà đầu tư
Mỗi vụ tấn công quy mô lớn không chỉ gây thiệt hại trực tiếp cho sàn giao dịch hay giao thức DeFi, mà còn tác động tới tâm lý thị trường, làm dấy lên lo ngại về rủi ro lưu ký tập trung và thúc đẩy các cơ quan quản lý siết chặt yêu cầu bảo mật. Về phía người dùng, bài học lặp lại qua nhiều năm là: phần lớn các vụ mất tiền bắt đầu từ một cú nhấp chuột, một lời mời việc làm hoặc một bản cập nhật tải từ nguồn không kiểm chứng.
Giới phân tích cũng lưu ý rằng dòng tiền bị đánh cắp thường được chia nhỏ, luân chuyển qua hàng trăm ví trung gian và các dịch vụ trộn tiền trước khi quy đổi, khiến việc thu hồi gần như không thể thực hiện nếu không có sự phối hợp giữa các sàn giao dịch và cơ quan thực thi pháp luật.
Câu hỏi thường gặp
TraderTraitor là gì?
TraderTraitor là tên do các nhóm nghiên cứu an ninh mạng đặt cho một nhóm tấn công được cho là do Triều Tiên hậu thuẫn, chuyên nhắm vào sàn giao dịch tiền mã hoá, nền tảng DeFi, ví crypto và nhân viên trong ngành nhằm chiếm đoạt tài sản số.
Vì sao nhóm này nhắm vào lĩnh vực tiền mã hoá?
Vì tiền mã hoá có thể chuyển xuyên biên giới gần như tức thời, khó bị phong toả và khó thu hồi. Chỉ cần chiếm được khoá riêng tư của một ví là có thể lấy đi toàn bộ tài sản mà không cần phá hệ thống bảo mật của sàn.
Thủ đoạn phổ biến nhất của TraderTraitor là gì?
Đó là kỹ thuật xã hội: giả danh nhà tuyển dụng, gửi lời mời làm việc và bài kiểm tra lập trình chứa mã độc cho các nhà phát triển, hoặc cài mã độc vào thư viện, ứng dụng ví phổ biến theo kiểu tấn công chuỗi cung ứng phần mềm.
Người dùng cá nhân có bị ảnh hưởng không?
Có. Nhà đầu tư cá nhân có thể bị nhắm tới qua các lời mời việc làm giả, ứng dụng ví giả hoặc yêu cầu kết nối ví với trang web lạ. Cần cảnh giác với lời mời không rõ nguồn gốc, không chạy mã lạ, bật xác thực hai lớp và ưu tiên lưu tài sản dài hạn ở ví lạnh.
Con số 6,3 tỷ USD nói lên điều gì?
Đó là ước tính tổng giá trị tiền mã hoá bị các nhóm hacker do Triều Tiên hậu thuẫn đánh cắp trong nhiều năm, cho thấy tiền mã hoá đã trở thành một nguồn thu quan trọng và là mục tiêu chiến lược của các nhóm tấn công có bảo trợ nhà nước.
Dịch và biên tập lại theo nguồn: CoinDesk Finance
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
