Tin tặc liên quan DPRK vẫn là rủi ro hàng đầu của tiền điện tử khi chuyển từ xâm nhập dự án sang tự dựng nền tảng để dụ người dùng kết nối ví, như sự cố Tenexium trong hệ Bittensor.
Nghiên cứu mới cho thấy sau vụ hack Bybit gây chấn động, các chiến dịch vẫn tiếp diễn với thủ đoạn rửa tiền tinh vi và tấn công dựa nhiều vào social engineering. Điều này khiến việc thẩm định đội ngũ, ứng dụng và quy trình vận hành trở nên quan trọng hơn với cả dự án lẫn nhà đầu tư.
- Tin tặc DPRK tiếp tục nhắm vào crypto bằng social engineering và xâm nhập, không có dấu hiệu chậm lại.
- Sau vụ Bybit, tốc độ rửa tiền tăng mạnh nhờ các kỹ thuật mới và đa dạng công cụ trộn.
- Xu hướng đáng lo là khả năng kẻ tấn công tự tạo sản phẩm/ứng dụng để bẫy người dùng, điển hình là Tenexium.
Tin tặc DPRK vẫn duy trì áp lực tấn công lên hệ sinh thái tiền điện tử
Các tác nhân đe dọa liên quan DPRK vẫn là rủi ro lớn đối với tiền điện tử, chủ yếu thông qua social engineering và các hình thức xâm nhập vào dự án, nhân sự, hoặc quy trình vận hành.
Dữ liệu nghiên cứu của Elliptic cho thấy các hoạt động liên quan tài sản crypto của DPRK vẫn tiếp tục ngay cả trong bối cảnh thị trường giảm, và không có dấu hiệu chững lại.
Thay vì chỉ tập trung vào khai thác lỗ hổng kỹ thuật, các nhóm này tận dụng “điểm yếu con người” như mạo danh, tuyển dụng giả, tiếp cận nội bộ, hoặc dẫn dụ người dùng thực hiện hành động có hại.
Điểm thay đổi đáng chú ý là kẻ tấn công được cho là đang mở rộng từ việc “infiltrate” các dự án IT/crypto sang tự tạo nền tảng hoặc sản phẩm của riêng mình, qua đó tiếp cận trực tiếp người dùng cuối và ví tiền điện tử.
Một ví dụ được nhắc đến là sự cố Tenexium, được mô tả là gây thiệt hại cho mọi người dùng đã kết nối ví.
Vụ hack Bybit trở thành bước ngoặt về kỹ thuật rửa tiền
Gần một năm sau vụ hack Bybit, phần lớn dòng tiền bị đánh cắp được cho là đã được rửa, chỉ còn một phần nhỏ bị chặn, cho thấy hiệu suất rửa tiền của kẻ tấn công đã tăng đáng kể.
Theo Elliptic, các thủ đoạn rửa tiền mới được ghi nhận gồm sử dụng chiến lược “địa chỉ hoàn tiền”, tạo token vô giá trị, và phân tán dòng tiền qua nhiều dịch vụ trộn khác nhau.
Elliptic nêu rằng hơn 1 tỷ USD từ vụ Bybit đã được rửa chỉ trong 6 tháng, và “bộ công cụ” trộn/che dấu này được xem là một điểm bẻ (inflection point) cho các chiến dịch sau đó.
Elliptic cũng tổng hợp rằng trong năm 2025, tổng giá trị các vụ hack liên quan DPRK đạt 2 tỷ USD, và tổng khai thác có thể vượt 6 tỷ USD. Báo cáo cho rằng các nguồn quỹ này có thể liên quan đến chương trình vũ khí hạt nhân và tên lửa, tạo động lực tiếp tục tấn công.
Theo Elliptic, xu hướng còn tiếp diễn sang năm 2026, với số vụ khai thác trong tháng 1/2026 tăng gấp đôi so với tháng 1/2025.
Dù có năng lực kỹ thuật, các chiến dịch vẫn dựa mạnh vào social engineering và sai sót con người, khiến quản trị rủi ro nội bộ và kỷ luật vận hành trở thành tuyến phòng thủ quan trọng.
Tin tặc DPRK được nghi ngờ tự “ra mắt” dự án crypto để bẫy người dùng
Trường hợp Tenexium làm dấy lên nghi vấn kẻ tấn công không chỉ xâm nhập, mà còn trực tiếp xây sản phẩm trong hệ sinh thái Web3 để thu hút thanh khoản rồi gây thiệt hại cho người dùng.
Elliptic đưa tin về Tenexium, một dự án được xây trong mạng Bittensor (TAO). Sự kiện này được mô tả là gây hỗn loạn vào ngày 01/01 và trở thành vụ việc đầu tiên của năm 2026.
Tenexium vận hành theo cách thường thấy của một dự án “permissionless” trong hệ Bittensor. Dù là dự án nhỏ, nó vẫn thu hút thanh khoản; tuy nhiên, có thời điểm website biến mất, đồng thời thị trường của dự án xuất hiện các dòng rút đáng ngờ khoảng 2,5 triệu USD.
Tenexium được giới thiệu là giao thức giao dịch “trung lập”, nhưng xuất hiện nghi vấn một phần đội ngũ có thể là tin tặc DPRK mạo danh nhân sự IT. Điểm khác biệt là “nhân dạng IT” có thể chính là người sáng lập dự án.
Danh tính người tạo Tenexium chưa được xác thực. Dù vậy, vụ việc nhấn mạnh rủi ro ở các dự án DeFi nhỏ, vault, và ứng dụng permissionless sao chép, nơi người dùng có thể bị nhắm trực tiếp qua ứng dụng nhiễm độc, meme token hoặc các đợt ra mắt mới.
Cách giảm rủi ro khi tương tác DeFi và ứng dụng permissionless
Để giảm nguy cơ, người dùng và dự án nên ưu tiên thẩm định đội ngũ, kiểm tra nền tảng trước khi kết nối ví, và cân nhắc sử dụng các “hub” DeFi đã có uy tín thay vì ứng dụng mới, khó kiểm chứng.
Với người dùng, nguyên tắc trọng tâm là hạn chế ký giao dịch không hiểu rõ, không kết nối ví “chính” với ứng dụng lạ, và rà soát quyền (approvals) thường xuyên. Việc tách ví theo mục đích, dùng ví hạn mức, và xác minh domain/đường dẫn là biện pháp thực dụng trước rủi ro social engineering.
Với dự án, các rủi ro “infiltration” đòi hỏi quy trình tuyển dụng, kiểm tra danh tính, phân quyền tối thiểu, kiểm soát truy cập và giám sát thay đổi hạ tầng. Khi kẻ tấn công có thể đóng vai “nhân sự hợp pháp” hoặc “nhà xây dựng sản phẩm”, lớp phòng thủ cần bao gồm cả vận hành, con người và pháp chứng on-chain.
Những câu hỏi thường gặp
Vì sao tin tặc DPRK vẫn là mối đe dọa lớn với tiền điện tử?
Vì họ kết hợp năng lực kỹ thuật với social engineering và xâm nhập nhân sự, giúp tấn công hiệu quả ngay cả khi thị trường giảm. Báo cáo của Elliptic cho thấy hoạt động vẫn tiếp diễn và có dấu hiệu mở rộng phương thức.
Điều gì thay đổi sau vụ hack Bybit?
Elliptic ghi nhận các kỹ thuật rửa tiền mới và tốc độ rửa tiền rất nhanh, gồm dùng địa chỉ hoàn tiền, tạo token vô giá trị và phân tán qua nhiều dịch vụ trộn. Phần lớn tiền bị đánh cắp được cho là đã được rửa, chỉ một phần nhỏ bị chặn.
Tenexium liên quan gì đến xu hướng “tự tạo sản phẩm” để tấn công?
Tenexium là trường hợp được nêu về một dự án trong mạng Bittensor thu hút thanh khoản rồi xuất hiện dấu hiệu bất thường như website biến mất và dòng rút đáng ngờ 2,5 triệu USD. Vụ việc làm dấy lên nghi vấn kẻ tấn công có thể đóng vai nhà sáng lập/dự án để bẫy người dùng kết nối ví.
Làm sao giảm rủi ro khi kết nối ví với dự án DeFi mới?
Hãy thẩm định đội ngũ và sản phẩm, hạn chế kết nối ví chính với ứng dụng lạ, kiểm tra kỹ domain, và chỉ ký giao dịch khi hiểu rõ nội dung. Nên ưu tiên các nền tảng DeFi đã có uy tín và quản lý quyền cấp cho smart contract (approvals) định kỳ.
