Solana OG Attacker Rửa 4,39 Triệu USD: Khi Tornado Cash Trở Thành 'Điểm Đen' Không Thể Theo Dõi

2290 ETH, tương đương 4,39 triệu USD, vừa được chuyển vào Tornado Cash từ một địa chỉ liên quan đến vụ tấn công Solana OG. Điều đáng chú ý: đây là lần thứ hai trong vòng hai tuần mà cùng một cụm địa chỉ sử dụng giao thức trộn tiền này. Hai tuần trước, họ đã chuyển một lượng tương tự. Với tổng số tiền bị đánh cắp khoảng 14,2 triệu USD, vụ chuyển lần này chỉ là một phần trong kế hoạch thanh lý tài sản đang diễn ra từng bước một. Sự kiện này không phải là một vụ hack mới, mà là hành vi rửa tiền có kỷ luật. Tôi đã theo dõi các cụm địa chỉ liên quan đến các vụ tấn công lớn trong suốt 13 năm qua. Khi một kẻ tấn công bắt đầu di chuyển tiền theo đợt, điều đó cho thấy họ đã có kế hoạch thoát hiểm từ trước. Họ không hoảng loạn. Họ không gom tất cả vào một giao dịch. Họ chia nhỏ, chờ đợi, và lặp lại. Tornado Cash, dù đã bị Bộ Tài chính Mỹ (OFAC) trừng phạt từ tháng 8/2022, vẫn hoạt động nhờ vào tính phi tập trung của hợp đồng thông minh. Các nhà phát triển đã bị truy tố, các front-end chính thức đã bị chặn, nhưng giao thức trên chuỗi vẫn không ai có thể tắt được. Điều này tạo ra một nghịch lý: công cụ càng bị coi là bất hợp pháp, nó càng trở thành nơi trú ẩn cho dòng tiền đen. Nhìn vào cấu trúc giao dịch, tôi thấy một sự tính toán rất rõ ràng. Kẻ tấn công không dùng một lần để chuyển toàn bộ 2290 ETH. Họ tách thành nhiều khoản nhỏ, phù hợp với các mức pool 10 ETH, 100 ETH của Tornado Cash. Đây là kỹ thuật chuẩn của tội phạm tài chính có tổ chức: giảm thiểu rủi ro bị phát hiện tại một thời điểm, tránh kích hoạt ngưỡng cảnh báo của các sàn giao dịch, và kéo dài thời gian để các nhà điều tra phải theo dõi nhiều luồng tiền khác nhau. Ở cấp độ hợp đồng thông minh, mọi thứ đều minh bạch. Tôi có thể nhìn thấy từng giao dịch nạp vào Tornado Cash, nhưng sau khi qua lớp ZK-SNARK, việc rút tiền ra từ một địa chỉ mới gần như không thể kết nối trực tiếp với địa chỉ gốc. Đây là lý do tại sao Tornado Cash vẫn là lựa chọn số một của tội phạm, bất chấp lệnh trừng phạt. Các giao thức thay thế như Railgun hay Aztec có thể có tính năng riêng, nhưng thanh khoản của Tornado Cash vẫn sâu hơn, và quan trọng hơn, nó đã được kiểm chứng qua hàng nghìn vụ rửa tiền thành công. Một chi tiết khiến tôi đặc biệt chú ý: lần chuyển đầu tiên cách đây khoảng hai tuần, lần thứ hai là bây giờ. Khoảng thời gian giữa các lần không quá dài, cũng không quá ngắn. Điều đó cho thấy kẻ tấn công đang tuân theo một lịch trình. Họ có thể đang chờ đợi một thời điểm thích hợp để chuyển phần còn lại - khoảng 9,8 triệu USD vẫn còn nằm trong ví. Nếu tôi đang điều hành một nhóm giám sát chuỗi, tôi sẽ đặt cảnh báo cho bất kỳ giao dịch nào từ cụm địa chỉ này sang Tornado Cash trong 30 ngày tới. Hệ số tương quan ở đây thật đáng chú ý: việc sử dụng Tornado Cash của tội phạm tăng lên không phải vì giao thức trở nên an toàn hơn, mà vì các lựa chọn hợp pháp khác đã bị siết chặt đến mức không còn hữu dụng. Nhiều người cho rằng lệnh trừng phạt sẽ giết chết Tornado Cash. Thực tế ngược lại: nó biến Tornado Cash thành một “điểm đen” không thể theo dõi, nơi mà chỉ những ai chấp nhận rủi ro pháp lý mới dám vào. Kết quả là, những người dùng cuối cần quyền riêng tư hợp pháp cũng bị đẩy ra ngoài, còn tội phạm thì vẫn ở lại. Đây là lỗ hổng kiến trúc của chiến lược trừng phạt. Các cơ quan quản lý có thể phong tỏa các front-end, có thể truy tố các nhà phát triển, nhưng họ không thể xóa bỏ một hợp đồng thông minh đang chạy trên mạng phi tập trung. Tornado Cash không phải là một công ty, không có trụ sở, không có nhân viên để bắt giữ. Nó là một đoạn mã được viết một lần và chạy mãi mãi. Trừ khi toàn bộ Ethereum bị tắt, bằng không, giao thức này vẫn sẽ tiếp tục phục vụ nhu cầu che giấu dòng tiền. Vậy điều gì sẽ xảy ra tiếp theo? Với kinh nghiệm theo dõi các vụ rửa tiền từ Celsius, từ các vụ hack DeFi năm 2022, tôi có thể nói rằng xác suất kẻ tấn công sẽ tiếp tục chuyển phần tiền còn lại là rất cao. Mỗi lần họ chuyển, cửa sổ truy vết lại hẹp đi một chút. Các cơ quan thực thi pháp luật đang chạy đua với thời gian, và họ đang thua. Các công ty phân tích chuỗi như Chainalysis hay Elliptic có thể phát hiện các địa chỉ liên quan, nhưng một khi tiền đã đi qua Tornado Cash và được rút ra, mọi manh mối gần như biến mất. Trong tuần tới, tôi sẽ theo dõi chặt chẽ cụm địa chỉ này. Nếu họ tiếp tục chuyển một lượng lớn ETH vào Tornado Cash, điều đó xác nhận rằng họ đang trong giai đoạn cuối của quá trình rửa tiền. Nếu không, có thể họ đã chuyển sang một kênh khác - nhưng với một kẻ tấn công có kỷ luật như thế này, dù họ có làm gì đi nữa, câu hỏi đặt ra không phải là “liệu họ có bị bắt không”, mà là “liệu hệ thống tài chính của chúng ta có đủ khả năng để bắt được họ trước khi cửa sổ đóng lại không?”. Câu trả lời, dựa trên những gì tôi đang thấy trên chuỗi, là không.