2025年 của các vụ trộm cắp tiền điện tử sẽ bước vào giai đoạn chuyển đổi: các cuộc tấn công của Triều Tiên đạt mức cao nhất mọi thời đại với 2.02 tỷ đô la, chu kỳ rửa tiền kéo dài khoảng 45 ngày

Điểm nổi bật:

Năm 2025 trong ngành công nghiệp tiền mã hóa đang đối mặt với thử thách nghiêm trọng. Theo dữ liệu của Chainalysis, tổng số tiền bị đánh cắp trong năm này vượt quá 3.4 tỷ USD, trong đó riêng một vụ lớn đã chiếm 1.5 tỷ USD. Điều đáng sốc hơn là phương thức tấn công ngày càng tinh vi, khiến việc phòng thủ trở nên khó khăn hơn.

Hiện tượng đáng lo ngại nhất là, mặc dù số lần tấn công xác nhận giảm, nhưng số tiền bị đánh cắp trong mỗi vụ lại tăng đột biến. Tỷ lệ thiệt hại của các vụ tấn công quy mô lớn so với trung bình lần đầu tiên vượt qua 1000 lần, còn vượt cả thị trường tăng giá năm 2021.

Bắc Triều Tiên ghi nhận kỷ lục: 2.02 tỷ USD cao nhất từ trước đến nay

Số tiền bị đánh cắp năm 2025 liên quan đến nhóm hacker có liên hệ với Bắc Triều Tiên ít nhất đạt 2.02 tỷ USD, tăng 51% so với năm trước. Đây là năm nghiêm trọng nhất trong lịch sử trộm cắp tiền mã hóa của Bắc Triều Tiên, chiếm 76% tổng số vụ tấn công xác nhận.

Tổng cộng, số tiền mã hóa Bắc Triều Tiên đã trộm ít nhất là 6.75 tỷ USD, quy mô lớn đến mức không thể bị các nhóm hacker khác theo kịp.

Các phương thức tinh vi của hacker Bắc Triều Tiên đã được làm rõ. Trước đây chỉ đơn thuần xâm nhập như nhân viên IT, nay họ đã:

• Giả dạng tuyển dụng của các công ty Web3 và AI nổi tiếng, qua đó lấy được thông tin đăng nhập và mã nguồn
• Giả dạng nhà đầu tư hoặc người mua lại để tiếp cận hệ thống và hạ tầng giá trị cao
• Tấn công phức tạp vào quản lý khoá riêng và quy trình xác thực chữ ký, tránh bị phát hiện bởi ví lạnh

Các phương thức này tập trung vào các công ty AI và blockchain có tầm chiến lược, có thể liên quan đến huy động vốn quốc gia và tránh các lệnh trừng phạt quốc tế.

3 vụ lớn nhất chiếm 69% tổng thiệt hại

Dữ liệu năm 2025 cho thấy xu hướng “cực đoan” trong ngành công nghiệp tiền mã hóa. Các vụ tấn công quy mô lớn nhất đã chiếm tới 1000 lần số tiền bị đánh cắp so với các vụ bình thường, và 69% tổng thiệt hại tập trung vào 3 vụ lớn nhất.

Điều này cho thấy điểm yếu về an ninh tập trung vào một số nền tảng nhất định. Kẻ tấn công nhắm vào các dịch vụ quy mô lớn, theo chiến lược gây ảnh hưởng tối đa, khiến một lần thành công có thể ảnh hưởng đến toàn bộ đánh giá an ninh trong năm.

Trong lĩnh vực ví cá nhân, số vụ tăng gấp 3 lần, từ 54,000 vụ năm 2022 lên 158,000 vụ, và số người bị ảnh hưởng đạt 80,000. Tuy nhiên, trung bình thiệt hại giảm, cho thấy kẻ tấn công mở rộng số người mục tiêu nhưng thiệt hại trên mỗi vụ lại nhỏ hơn.

Điển hình là mạng Solana, với khoảng 26,5 nghìn người bị ảnh hưởng, cho thấy vấn đề an ninh ví cá nhân còn rất nghiêm trọng.

Mô hình rửa tiền độc quyền của Bắc Triều Tiên: Quá trình cấu trúc theo chu kỳ 45 ngày

Sau các vụ trộm lớn, hacker Bắc Triều Tiên triển khai phương pháp rửa tiền có cấu trúc rất rõ ràng. Quá trình này diễn ra theo chu kỳ khoảng 45 ngày, gồm nhiều giai đoạn.

Giai đoạn 1 (0–5 ngày): Phân tán ngay lập tức

• Dòng tiền vào các giao thức DeFi tăng +370%
• Sử dụng dịch vụ trộn (mixing) tăng +135~150%
• Ưu tiên ban đầu là “tách ngay lập tức khỏi nguồn trộm”

Giai đoạn 2 (6–10 ngày): Phân tán rộng ra

• Chuyển sang các nền tảng giao dịch ít hạn chế KYC (+37%)
• Dần dần chuyển sang các sàn tập trung (+32%)
• Sử dụng cầu nối chuỗi chéo (+141%) để phân tán qua các chuỗi khác

Giai đoạn 3 (20–45 ngày): Hoàn tất chuyển đổi thành tiền mặt

• Tận dụng các nền tảng không yêu cầu KYC (+82%) và dịch vụ đảm bảo (+87%)
• Tận dụng mạng lưới rửa tiền bằng tiếng Trung (+33~1000%)
• Cuối cùng chuyển đổi sang tiền pháp định hoặc các tài sản khác

Điểm khác biệt của hacker Bắc Triều Tiên là phụ thuộc rất nhiều vào mạng lưới dịch vụ rửa tiền bằng tiếng Trung và các nhà cung cấp đảm bảo. Hơn 60% các giao dịch được chia nhỏ dưới 50.000 USD theo chiến lược “chia nhỏ”, làm phức tạp việc truy vết.

Trong khi đó, hacker Bắc Triều Tiên gần như không sử dụng các dịch vụ sau:

• Giao thức cho vay (-80%)
• Nền tảng không yêu cầu KYC (-75%) – có mâu thuẫn lớn
• Nền tảng P2P (-64%)
• DEX (-42%)

Điều này cho thấy hoạt động của họ phụ thuộc vào các trung gian đáng tin cậy, ưu tiên các đối tác địa phương hơn các dịch vụ tự do, không kiểm soát.

Tiến bộ an ninh DeFi: Tăng TVL nhưng thiệt hại hack vẫn thấp

Hiện tượng thú vị từ 2024–2025 là, dù tổng giá trị bị khóa (TVL) của DeFi phục hồi mạnh mẽ sau đợt thấp điểm năm 2023, thiệt hại do hack gây ra vẫn duy trì ở mức thấp trong quá khứ.

2020–2021: TVL và thiệt hại hack cùng tăng 2022–2023: Cả hai cùng giảm 2024–2025: TVL phục hồi, thiệt hại hack vẫn thấp

Ý nghĩa của sự thay đổi này gồm:

Hiệu quả của các biện pháp an ninh Thời kỳ đầu của DeFi (2020–2021) có hệ thống bảo mật cực kỳ yếu. Hiện nay, dù TVL tăng, thiệt hại do hack không tăng, chứng tỏ các nhóm phát triển đã nâng cao đáng kể các biện pháp bảo mật.

Chuyển hướng mục tiêu của hacker Trong cùng thời gian, các vụ trộm ví cá nhân và tấn công các sàn tập trung tăng mạnh, cho thấy hacker đang chuyển hướng từ DeFi sang các mục tiêu khác.

Ví dụ, vụ việc vào tháng 9 năm 2025 cho thấy hiệu quả của các biện pháp bảo mật đã được nâng cao. Khi tấn công qua một nền tảng bị xâm phạm, hệ thống giám sát an ninh đã phát hiện hoạt động đáng ngờ 18 giờ trước đó. Trong vòng 20 phút, hệ thống tạm thời ngưng hoạt động của giao thức, ngăn chặn rò rỉ tài chính. Sau đó 12 giờ, toàn bộ số tiền bị đánh cắp đã được thu hồi. Đặc biệt, 3 triệu USD tài sản bị kiểm soát bởi hacker qua cơ chế quản trị đã bị phong tỏa, khiến hacker mất tiền thay vì thu lợi.

Sự phản ứng nhanh và hiệu quả này đã thay đổi hoàn toàn bối cảnh, từ các cuộc tấn công trong thời kỳ đầu DeFi thường dẫn đến thiệt hại vĩnh viễn, sang khả năng kiểm soát và giảm thiểu thiệt hại rõ rệt.

Thách thức và gợi ý cho ngành trong năm 2026

Dữ liệu năm 2025 cho thấy thực tế, Bắc Triều Tiên đã giảm 74% số lần tấn công xác nhận, nhưng lại tăng 51% số tiền bị đánh cắp – một hiện tượng nghịch lý. Điều này cho thấy hoạt động có thể chỉ là phần nổi của hoạt động thực tế.

Trong năm 2026, ngành công nghiệp cần tập trung vào các thách thức chính sau:

Nâng cao nhận diện đặc điểm rửa tiền của Bắc Triều Tiên Các đặc điểm hành vi rõ ràng như loại dịch vụ, xu hướng chuyển tiền, mô hình sử dụng mạng lưới tiếng Trung giúp phân biệt hacker Bắc Triều Tiên với các tội phạm khác. Phát hiện sớm hơn sẽ giúp can thiệp kịp thời.

Tăng cường phòng thủ các mục tiêu giá trị cao Dù số vụ giảm, nhưng sức tấn công tăng, đòi hỏi cảnh giác cao với các phương thức tinh vi như lừa đảo tuyển dụng, kỹ thuật xã hội. Các công ty chiến lược như AI, blockchain cần nâng cao bảo mật hơn nữa.

Nâng cao khả năng giám sát và phản ứng Như vụ Venus cho thấy, giám sát chủ động, phản ứng nhanh và cơ chế quản trị quyết đoán giúp giảm thiệt hại. Ngành cần chuẩn hóa các biện pháp bảo mật này thành tiêu chuẩn chung.

Các hoạt động trộm cắp của Bắc Triều Tiên không chỉ là tội phạm mạng, mà còn là hoạt động chiến lược cấp quốc gia. Việc theo dõi sự tiến hóa của phương thức và cách vận hành là nhiệm vụ then chốt để nâng cao an ninh toàn ngành.