Tại sao tin tặc Triều Tiên lại giỏi đánh cắp tiền điện tử đến vậy?

Nguồn: The Economist; Biên dịch bởi: AIMan@Golden Finance

Ben Zhou, chủ sở hữu sàn giao dịch tiền điện tử Bybit tại Dubai, nhớ lại rằng ngày 21 tháng 2 ban đầu chỉ là một ngày bình thường. Trước khi đi ngủ, ông đã phê duyệt việc chuyển tiền giữa các tài khoản của công ty, một "hoạt động điển hình" được thực hiện khi cung cấp dịch vụ cho hơn 60 triệu người dùng trên toàn thế giới. Nửa giờ sau, anh nhận được một cuộc gọi. “Ben, có vấn đề rồi,” giám đốc tài chính của anh ta nói, giọng run rẩy. “Chúng tôi có thể đã bị hack... toàn bộ Ethereum đã biến mất.”

Các nhà điều tra độc lập và FBI nhanh chóng chỉ ra thủ phạm quen thuộc: Triều Tiên. Những tin tặc từ Vương quốc ẩn dật đã nổi lên như một trong những mối đe dọa lớn nhất đối với ngành công nghiệp tiền điện tử và là nguồn thu quan trọng của chế độ Triều Tiên, giúp nước này chống lại các lệnh trừng phạt quốc tế, kiểm soát giới tinh hoa và tài trợ cho các chương trình tên lửa và vũ khí hạt nhân.

Theo dữ liệu từ công ty điều tra tiền điện tử Chainalysis, tin tặc Triều Tiên đã đánh cắp tổng cộng 661 triệu đô la vào năm 2023; đến năm 2024, số tiền trộm cắp của chúng tăng gấp đôi, đánh cắp tổng cộng 1,34 tỷ đô la trong 47 vụ trộm, tương đương hơn 60% tổng số tiền điện tử bị đánh cắp trên toàn thế giới.

Vụ trộm ByBit cho thấy kỹ năng và tham vọng của tin tặc đang không ngừng được cải thiện: Chỉ trong một vụ hack, Triều Tiên đã đánh cắp số tiền tương đương 1,5 tỷ đô la từ sàn giao dịch, đây là vụ trộm lớn nhất trong lịch sử tiền điện tử.

Nguồn gốc của lực lượng mạng Triều Tiên

Các cuộc tấn công của Triều Tiên là kết quả của nhiều thập kỷ nỗ lực. Các trường khoa học máy tính đầu tiên ở nước này có từ ít nhất những năm 1980. Chiến tranh vùng Vịnh đã giúp chế độ này nhận ra tầm quan trọng của công nghệ mạng đối với chiến tranh hiện đại. Thae Yong Ho, một nhà ngoại giao cấp cao của Triều Tiên đã đào tẩu vào năm 2016, cho biết những học sinh giỏi toán được gửi đến các trường học đặc biệt và được miễn lao động bắt buộc hàng năm ở nông thôn. Lực lượng mạng của Triều Tiên ban đầu được hình thành như một công cụ gián điệp và phá hoại nhưng bắt đầu tập trung vào tội phạm mạng vào giữa những năm 2010. Kim Jong-un được cho là đã gọi chiến tranh mạng là "thanh kiếm đa năng".

Tấn công tiền điện tử và rửa tiền

Việc đánh cắp tiền điện tử bao gồm hai giai đoạn chính. Giai đoạn đầu tiên là hack vào hệ thống mục tiêu - tương đương với việc tìm đường hầm dẫn đến két ngân hàng. Email lừa đảo có thể chứa mã độc hại. Các điệp viên Triều Tiên đóng giả làm người tuyển dụng để lừa các nhà phát triển phần mềm mở các tệp bị nhiễm trong các cuộc phỏng vấn xin việc giả. Một phương pháp khác là sử dụng danh tính giả để xin việc làm CNTT từ xa tại một công ty nước ngoài, đây có thể là bước đầu tiên để truy cập vào tài khoản. "Họ rất giỏi trong việc tìm ra lỗ hổng thông qua kỹ thuật xã hội", Andrew Fierman của Chainalysis cho biết. Trong trường hợp ByBit, tin tặc đã đột nhập vào máy tính của các nhà phát triển làm việc cho một nhà cung cấp phần mềm ví kỹ thuật số.

Sau khi bị đánh cắp, tiền điện tử phải được rửa sạch. Tiền bẩn được phân bổ trên nhiều ví kỹ thuật số, trộn lẫn với tiền sạch và chuyển giữa các loại tiền điện tử khác nhau, một quá trình trong ngành được gọi là "trộn tiền" và "chuyển chuỗi". "Họ là những kẻ rửa tiền điện tử tinh vi nhất mà chúng tôi từng gặp", Tom Robinson của công ty phân tích blockchain Elliptic cho biết. Cuối cùng, số tiền bị đánh cắp cần phải được rút ra.

Ngày càng có nhiều dịch vụ ngầm có thể giúp đạt được mục tiêu này, nhiều trong số đó có liên quan đến tội phạm có tổ chức. Các cuộc chặn bắt và rào chắn của cơ quan thực thi pháp luật đã làm giảm tổng doanh thu, nhưng Nick Carlsen, cựu chuyên gia phân tích của FBI hiện làm việc tại công ty tình báo blockchain TRM Labs, cho biết Triều Tiên có thể mong đợi nhận được "chắc chắn 80, thậm chí là 90 phần trăm" số tiền mà họ đánh cắp được.

Tại sao Triều Tiên lại giỏi đánh cắp tiền điện tử đến vậy

Triều Tiên có một số lợi thế. Một là tài năng. Điều này có vẻ trái ngược với trực giác: đất nước này cực kỳ nghèo và người dân bình thường không có quyền truy cập Internet hoặc thậm chí là máy tính. Nhưng "Triều Tiên có thể chọn những người giỏi nhất và nói cho họ biết phải làm gì", Kim Seung-joo thuộc Đại học Hàn Quốc ở Seoul cho biết. "Họ không cần phải lo lắng rằng họ sẽ đi làm việc cho Samsung." Trong Cuộc thi lập trình dành cho sinh viên đại học quốc tế năm 2019, một đội đến từ một trường đại học Triều Tiên đã giành giải tám, đánh bại các đội đến từ Cambridge, Harvard, Oxford và Stanford.

Những tài năng này cũng được sử dụng. Tin tặc Bắc Triều Tiên làm việc suốt ngày đêm. Họ tấn công một cách táo bạo khác thường. Hầu hết các tác nhân nhà nước đều cố gắng tránh phản ứng ngoại giao dữ dội và "hành động như thể họ đang ở trong phim Ocean's Eleven: đeo găng tay trắng, lặng lẽ đột nhập, đánh cắp đồ trang sức của hoàng gia và lặng lẽ rời đi", Jenny Jun của Georgia Tech cho biết. Triều Tiên không "coi trọng sự bí mật - họ không ngại gây ra tiếng động lớn".

Triều Tiên làm gì với số tiền điện tử bị đánh cắp

Đối với chế độ Triều Tiên, tiền điện tử bị đánh cắp đã trở thành phao cứu sinh, đặc biệt là khi các lệnh trừng phạt quốc tế và đại dịch do vi-rút corona đã hạn chế hoạt động thương mại vốn đã hạn chế của nước này. Trộm tiền điện tử là cách kiếm tiền hiệu quả hơn so với các nguồn tiền tệ truyền thống như lao động ở nước ngoài hoặc ma túy bất hợp pháp. Cơ quan giám sát của Ban chuyên gia Liên hợp quốc (UNPE) đã báo cáo vào năm 2023 rằng trộm cắp mạng chiếm một nửa thu nhập ngoại tệ của Triều Tiên. Giá trị trộm cắp dữ liệu kỹ thuật số của Triều Tiên năm ngoái cao gấp ba lần giá trị xuất khẩu của nước này sang Trung Quốc. Ông Carlson cho biết: "Cần phải có hàng triệu người làm việc để đạt được điều gì đó mà chỉ vài chục người có thể sao chép được".

Các khoản tiền này giúp chống đỡ cho chế độ Triều Tiên. Tiền tệ mạnh được dùng để mua hàng xa xỉ nhằm kiểm soát giới thượng lưu. Nó cũng được sử dụng trong sản xuất vũ khí. Phần lớn tiền điện tử bị đánh cắp của Triều Tiên được cho là đã chảy vào các chương trình tên lửa và vũ khí hạt nhân của nước này.

Liệu có còn xảy ra nhiều vụ tin tặc Triều Tiên trong tương lai không?

Các nhà điều tra tiền điện tử đang ngày càng giỏi hơn trong việc truy tìm các khoản tiền bị đánh cắp trên blockchain. Các sàn giao dịch tiền điện tử lớn và các đơn vị phát hành stablecoin thường hợp tác với cơ quan thực thi pháp luật để đóng băng số tiền bị đánh cắp. Vào năm 2023, Hoa Kỳ, Nhật Bản và Hàn Quốc đã công bố một chiến dịch chung nhằm chống lại tội phạm mạng của Triều Tiên. Hoa Kỳ đã trừng phạt một số nhà cung cấp dịch vụ trộn tiền điện tử được Triều Tiên sử dụng.

Tuy nhiên, chính quyền vẫn chậm một bước. Sau khi Hoa Kỳ trừng phạt các máy trộn tiền xu được Triều Tiên ưa chuộng, tin tặc đã chuyển sang các công ty khác cung cấp dịch vụ tương tự. Giải quyết vấn đề này đòi hỏi nỗ lực đa phương giữa chính phủ và khu vực tư nhân, nhưng sự hợp tác này đang bị phá vỡ. Năm ngoái, Nga đã sử dụng quyền phủ quyết của mình tại Liên Hợp Quốc để bãi bỏ Ủy ban Năng lực An ninh mạng của Liên Hợp Quốc. Động thái cắt giảm viện trợ phát triển của Hoa Kỳ của Tổng thống Donald Trump đã giáng một đòn mạnh vào các chương trình nhằm xây dựng năng lực an ninh mạng cho các quốc gia dễ bị tổn thương.

Ngược lại, Triều Tiên đang dành ngày càng nhiều nguồn lực cho tội phạm mạng. Cơ quan tình báo Hàn Quốc ước tính lực lượng tội phạm mạng của Triều Tiên đã tăng từ 6.800 người vào năm 2022 lên 8.400 người vào năm ngoái. Abhishek Sharma thuộc Observer Research Foundation, một nhóm nghiên cứu của Ấn Độ, cho biết Triều Tiên có "môi trường mục tiêu ngày càng phong phú" khi ngành công nghiệp tiền điện tử mở rộng ở các quốc gia có quy định lỏng lẻo hơn. Ông Sharma lưu ý rằng năm ngoái, Triều Tiên đã tấn công các sàn giao dịch ở Ấn Độ và Indonesia.

Người ta đều biết rằng Triều Tiên đã sử dụng AI trong các hoạt động của mình. Các công cụ AI có thể giúp tạo ra các email lừa đảo có sức thuyết phục hơn và dễ dàng soạn thảo ở quy mô lớn bằng nhiều ngôn ngữ. Chúng cũng có thể giúp nhân viên CNTT từ xa dễ dàng xâm nhập vào công ty hơn. Những ngày tồi tệ như ngày của ông Zhou ở Bybit có khả năng sẽ trở nên phổ biến hơn.