Triều Tiên bắt nhóm cựu hacker quân đội bị cáo buộc đánh cắp tiền từ ngân hàng nhà nước qua crypto

Một nhóm chuyên gia công nghệ từng phục vụ trong đơn vị tác chiến mạng của quân đội Triều Tiên bị cáo buộc quay lại tấn công chính hệ thống tài chính trong nước, chiếm đoạt ngoại tệ từ hai ngân hàng nhà nước rồi chuyển số tiền này qua các ví tiền mã hóa ở nước ngoài.

Vụ việc đáng chú ý bởi Triều Tiên vốn thường bị cáo buộc sử dụng các nhóm hacker để đánh cắp tài sản từ những tổ chức nước ngoài. Lần này, những kỹ năng do nhà nước đào tạo dường như đã được sử dụng để tấn công trực tiếp vào ngân khố của chính quyền Bình Nhưỡng.

Tuy nhiên, toàn bộ thông tin hiện chủ yếu dựa trên một nguồn tin ẩn danh tại Bình Nhưỡng được Daily NK dẫn lại và chưa thể được xác minh độc lập.

Nhóm cựu hacker quân đội bị bắt tại một căn nhà bí mật ở Bình Nhưỡng

Theo báo cáo được Daily NK công bố ngày 24/7, cơ quan an ninh Triều Tiên đã bắt giữ một nhóm cựu chuyên gia tác chiến mạng vào tối 12/7 tại một căn nhà được sử dụng làm địa điểm hoạt động bí mật ở Bình Nhưỡng.

Những người cầm đầu được cho là cựu quân nhân từng phục vụ trong một đơn vị tác chiến mạng trực thuộc cơ quan tình báo quân sự Triều Tiên. Sau khi giải ngũ, họ tuyển thêm các sinh viên và chuyên gia công nghệ trẻ từ Đại học Công nghệ Kim Chaek cùng Đại học Khoa học Bình Nhưỡng.

Nhóm này bị cáo buộc xây dựng một mạng lưới giao dịch tiền mã hóa nằm ngoài hệ thống giám sát của nhà nước. Mục tiêu không phải thực hiện nhiệm vụ cho chính quyền mà là chiếm đoạt ngoại tệ và tích lũy tài sản cá nhân.

Cơ quan được Daily NK gọi là Cơ quan Tình báo Quốc gia Triều Tiên đã tiến hành đột kích sau khi lần theo hoạt động giao dịch crypto được mã hóa tới địa điểm nói trên. Các nghi phạm được cho là bị bắt khi đang vận hành máy tính để chuyển và xử lý dòng tiền.

Nhà chức trách cũng tịch thu thiết bị máy tính trị giá hàng trăm nghìn USD, điện thoại không đăng ký và nhiều phương tiện liên lạc được sử dụng để tránh hệ thống giám sát trong nước.

Hai ngân hàng nhà nước bị xâm nhập

Các nghi phạm bị cáo buộc xâm nhập mạng nội bộ của Ngân hàng Trung ương Triều Tiên và Ngân hàng Ngoại thương Triều Tiên.

Ngân hàng Trung ương phụ trách phát hành tiền và quản lý các quỹ của nhà nước, trong khi Ngân hàng Ngoại thương xử lý thanh toán quốc tế cùng các giao dịch ngoại tệ. Đây đều là những mắt xích quan trọng trong hệ thống tài chính vốn được kiểm soát chặt chẽ của Bình Nhưỡng.

Sau khi truy cập vào mạng nội bộ và hệ thống thanh toán nước ngoài của hai ngân hàng, nhóm hacker được cho là đã chuyển một phần ngoại tệ và tiền phục vụ hoạt động thương mại nhà nước khỏi các tài khoản trung gian.

Thay vì rút một khoản tiền lớn ngay lập tức, dòng tiền bị chia thành nhiều giao dịch có giá trị nhỏ trước khi được chuyển tới các ví crypto ở nước ngoài. Cách thức này được cho là nhằm hạn chế khả năng các giao dịch bất thường bị hệ thống kiểm soát nội bộ phát hiện.

Báo cáo không công bố tổng số tiền bị đánh cắp, loại tài sản mã hóa được sử dụng hay địa chỉ ví liên quan.

Từ tiền ngân hàng đến ví crypto ở nước ngoài

Theo cáo buộc, nhóm hacker đã sử dụng tiền mã hóa như một lớp trung gian để đưa tài sản ra khỏi hệ thống ngân hàng Triều Tiên.

Quy trình được mô tả ở mức khái quát gồm ba giai đoạn. Tiền từ các tài khoản ngân hàng bị chuyển đổi thành crypto, tài sản sau đó được đưa tới các ví ở nước ngoài, rồi các bên trung gian tại Trung Quốc đổi số crypto này thành USD hoặc nhân dân tệ.

Những người liên hệ tại Sinuiju và Hyesan, hai thành phố nằm gần biên giới Trung Quốc, bị cáo buộc hỗ trợ đổi tài sản mã hóa thành tiền mặt theo thời gian thực. Nhóm cũng sử dụng ứng dụng nhắn tin mã hóa, thiết bị liên lạc không đăng ký và phần cứng không dây có nguồn gốc từ Trung Quốc.

Crypto trong trường hợp này không phải nguồn tiền bị đánh cắp ban đầu. Nó đóng vai trò là phương tiện trung chuyển, giúp tài sản rời khỏi hệ thống ngân hàng truyền thống trước khi được chuyển ngược lại thành tiền pháp định.

Sai lệch nhỏ trong phê duyệt thanh toán khiến đường dây bị phát hiện

Hoạt động được cho là bắt đầu bị chú ý khi các quan chức tài chính phát hiện những sai lệch nhỏ trong quá trình phê duyệt thanh toán ngoại tệ.

Nhà chức trách sau đó ghi nhận các hoạt động truy cập từ địa chỉ IP ở nước ngoài, không phù hợp với quy trình vận hành thông thường của hai ngân hàng. Một cuộc điều tra nội bộ bí mật được triển khai trước khi lực lượng an ninh lần theo tín hiệu liên lạc tới căn nhà tại Bình Nhưỡng.

Sau vụ bắt giữ, lực lượng an ninh có vũ trang được cho là đã phong tỏa khu vực quanh trụ sở Ngân hàng Ngoại thương và trung tâm máy tính của Ngân hàng Trung ương. Các phương tiện phát hiện tín hiệu di động cũng được triển khai để truy tìm những thiết bị không dây bất thường.

Nếu những thông tin này chính xác, vụ việc cho thấy các hệ thống kiểm soát tài chính có thể nhận ra sự chênh lệch trong sổ sách nhưng vẫn gặp khó khăn trong việc phát hiện sớm một cuộc tấn công do người có kiến thức sâu về hạ tầng nhà nước thực hiện.

Vai trò của các nhà môi giới crypto tại Trung Quốc

Việc sử dụng các nhà môi giới không chính thức tại Trung Quốc phù hợp với những mô hình rút tiền từng xuất hiện trong nhiều vụ đánh cắp crypto có liên hệ với Triều Tiên.

Báo cáo của Nhóm Giám sát Trừng phạt Đa phương cho biết các mạng lưới ở Trung Quốc, Nga, Campuchia và một số quốc gia khác thường được sử dụng để chuyển tài sản mã hóa thành tiền pháp định hoặc thanh toán cho hàng hóa.

Các nhà môi giới OTC có thể kết nối người sở hữu crypto với mạng lưới tiền mặt, tài khoản doanh nghiệp và đơn vị trung gian bên ngoài các sàn giao dịch lớn. Một số mạng lưới còn sử dụng công ty bình phong hoặc hệ thống ngân hàng ngầm để che giấu người hưởng lợi cuối cùng.

Bộ Tư pháp Mỹ từng truy tố một đại diện của chính Ngân hàng Ngoại thương Triều Tiên cùng các nhà môi giới OTC tại Trung Quốc và Hong Kong trong một vụ án riêng. Những người này bị cáo buộc đổi crypto đánh cắp thành USD rồi sử dụng tiền để mua hàng hóa cho Triều Tiên thông qua các công ty bình phong.

Điều đó không chứng minh các bên trong vụ việc mới có liên hệ với những mạng lưới cũ. Tuy nhiên, nó cho thấy tuyến chuyển đổi crypto sang tiền mặt qua các bên trung gian ở Trung Quốc đã tồn tại trong nhiều năm.

Nghịch lý trong chiến lược hacker của Triều Tiên

Triều Tiên thường được mô tả là một trong những quốc gia phát triển năng lực tấn công mạng mạnh nhất thế giới, đặc biệt trong các hoạt động nhằm tạo nguồn thu.

Các báo cáo quốc tế cáo buộc những nhóm có liên hệ với Bình Nhưỡng đã xâm nhập sàn giao dịch, nhà cung cấp ví, giao thức blockchain và doanh nghiệp công nghệ. Tiền thu được bị cho là được sử dụng để duy trì nguồn ngoại tệ và né tránh các biện pháp trừng phạt quốc tế.

Vụ bắt giữ mới tạo ra một nghịch lý. Nhà nước đầu tư đào tạo nhân lực mạng để tấn công mục tiêu bên ngoài, nhưng chính những chuyên gia đó có thể trở thành rủi ro nội bộ sau khi rời khỏi hệ thống quân đội.

Những người từng làm việc trong đơn vị tình báo có thể hiểu rõ cách nhà nước theo dõi mạng, cách ngân hàng phê duyệt thanh toán và những giới hạn của hạ tầng liên lạc. Kiến thức đó khiến họ trở thành nhóm đặc biệt nguy hiểm nếu chuyển sang hoạt động vì lợi ích cá nhân.

Vì vậy, vụ việc không chỉ là một cáo buộc tham nhũng hoặc trộm cắp. Nó còn đặt ra vấn đề về khả năng kiểm soát đội ngũ hacker sau khi họ không còn làm việc trực tiếp cho nhà nước.

Hacker Triều Tiên đánh cắp hơn 2 tỷ USD crypto trong năm 2025

Theo Chainalysis, các nhóm hacker có liên hệ với Triều Tiên đã đánh cắp ít nhất 2,02 tỷ USD tiền mã hóa trong năm 2025, tăng 51% so với năm trước và đưa tổng giá trị bị đánh cắp được ghi nhận lên khoảng 6,75 tỷ USD.

Riêng vụ tấn công Bybit vào tháng 2/2025 gây thiệt hại gần 1,5 tỷ USD, trở thành vụ đánh cắp crypto đơn lẻ lớn nhất từng được ghi nhận. Chainalysis nhận định các nhóm Triều Tiên đang thực hiện ít cuộc tấn công hơn nhưng tập trung vào những mục tiêu có giá trị lớn hơn.

Dữ liệu của Chainalysis cũng cho thấy các nhóm này thường ưu tiên dịch vụ chuyển tiền bằng tiếng Trung, cầu nối blockchain và nền tảng có quy trình xác minh người dùng hạn chế. Tiền bị đánh cắp thường được chia thành nhiều phần trước khi lần lượt đi qua các dịch vụ khác nhau.

Trong năm 2026, TRM Labs ban đầu ước tính các nhóm liên quan Triều Tiên chiếm 76% tổng giá trị thiệt hại từ các vụ hack crypto tính đến hết tháng 4, tương đương khoảng 577 triệu USD.

Sau khi cập nhật dữ liệu cho toàn bộ nửa đầu năm, tỷ lệ này giảm xuống khoảng 66%, tương đương 643 triệu USD trong tổng số 972 triệu USD bị đánh cắp. Mức giảm tỷ trọng chủ yếu đến từ việc xuất hiện thêm các vụ tấn công không liên quan đến Triều Tiên, chứ không phải do giá trị đã quy kết cho các nhóm này giảm xuống.

Báo cáo hiện chưa thể được xác minh độc lập

Không giống các vụ đánh cắp tài sản trên blockchain công khai, vụ việc tại hai ngân hàng Triều Tiên hiện không có địa chỉ ví, dữ liệu giao dịch hay hồ sơ pháp lý để các công ty phân tích bên ngoài kiểm tra.

Daily NK cho biết họ sử dụng mạng lưới nguồn tin bên trong Triều Tiên và đối chiếu thông tin trước khi công bố. Tuy nhiên, nguồn chính trong vụ việc vẫn được giữ kín để bảo đảm an toàn, trong khi truyền thông nhà nước Triều Tiên chưa đưa ra thông báo công khai về các vụ bắt giữ.

Do đó, những chi tiết như quy mô tài sản bị mất, số lượng người bị bắt, thời gian hoạt động và danh tính các nhà môi giới Trung Quốc vẫn cần được xem là cáo buộc chưa được kiểm chứng đầy đủ.

Dù vậy, câu chuyện phản ánh một rủi ro ngày càng khó bỏ qua. Năng lực mạng được xây dựng để vượt qua hệ thống tài chính quốc tế cũng có thể được sử dụng để vượt qua chính những lớp kiểm soát trong nước. Khi tài sản đã rời khỏi ngân hàng và đi vào mạng lưới ví, nhà môi giới cùng các giao dịch xuyên biên giới, khả năng thu hồi tiền sẽ phụ thuộc không chỉ vào năng lực điều tra của Bình Nhưỡng mà còn vào sự hợp tác của các tổ chức nằm ngoài phạm vi kiểm soát của Triều Tiên.

Chia nhỏ giao dịch có thực sự giúp xóa dấu vết trên blockchain?

Việc chia một khoản tiền lớn thành hàng chục hoặc hàng trăm giao dịch nhỏ có thể giúp kẻ rửa tiền tránh một số hệ thống cảnh báo đơn giản, đặc biệt nếu các tổ chức chỉ theo dõi giao dịch vượt quá một ngưỡng giá trị nhất định. Tuy nhiên, chiến thuật này không khiến dòng tiền biến mất khỏi blockchain.

Mỗi giao dịch vẫn để lại dữ liệu công khai về thời gian, địa chỉ gửi, địa chỉ nhận, loại tài sản và số lượng được chuyển. Khi nhiều ví nhận tiền từ cùng một nguồn, thực hiện giao dịch trong khoảng thời gian gần nhau hoặc cùng chuyển tài sản tới một nhóm địa chỉ trung gian, các công ty phân tích blockchain có thể nhận diện chúng như một cụm hoạt động có liên quan.

Nghịch lý là càng chia nhỏ dòng tiền, nhóm rửa tiền càng tạo ra nhiều điểm dữ liệu hơn. Một khoản chuyển duy nhất chỉ để lại một đường đi, trong khi hàng trăm giao dịch nhỏ tạo ra cả mạng lưới có thể được phân tích dựa trên mô hình thời gian, tần suất, giá trị và điểm đến cuối cùng.

Chiến thuật chia nhỏ thường hiệu quả nhất ở giai đoạn đầu, khi mục tiêu là làm chậm quá trình phát hiện hoặc tránh các bộ lọc tự động. Nhưng khi một địa chỉ ví gốc đã bị xác định, các nhà điều tra có thể lần theo toàn bộ nhánh giao dịch liên quan, kể cả khi tài sản đã được chuyển qua nhiều ví khác nhau.

Điểm khó thực sự không nằm ở việc nhìn thấy dòng tiền, mà ở việc gắn các địa chỉ ví với một cá nhân hoặc tổ chức cụ thể. Kẻ rửa tiền thường cố che giấu danh tính bằng cách sử dụng ví mới, cầu nối blockchain, sàn phi tập trung, dịch vụ trộn tiền hoặc các nhà môi giới OTC. Dù vậy, quá trình đổi crypto thành tiền mặt vẫn thường tạo ra điểm yếu, bởi người dùng phải tiếp xúc với sàn giao dịch, tài khoản ngân hàng hoặc một bên trung gian ngoài đời thực.

Vì thế, chia nhỏ giao dịch không phải là cách xóa dấu vết. Nó chỉ làm dấu vết trở nên phức tạp hơn và khiến quá trình điều tra tốn nhiều thời gian hơn. Trong nhiều trường hợp, mắt xích dễ bị phát hiện nhất không phải lúc tài sản di chuyển giữa các ví, mà là thời điểm crypto được chuyển thành USD, nhân dân tệ hoặc tiền mặt.