Tấn công mạng của Bắc Triều Tiên: kỷ lục 2.000 triệu USD bị đánh cắp trong tiền điện tử trong năm 2025

Các hacker Triều Tiên đã đạt một mốc tội phạm chưa từng có vào năm 2025, chiếm đoạt ít nhất 2.000 triệu USD tài sản kỹ thuật số, theo phân tích toàn diện của Chainalysis. Con số này tăng 51% so với năm trước, nâng tổng số tiền bị cướp của Cộng hòa Dân chủ Nhân dân Triều Tiên lên 6.750 triệu USD trong những năm gần đây. Mô hình này cho thấy một sự chuyển đổi chiến lược: ít vụ việc hơn nhưng gây thiệt hại gấp bội phần.

Sự leo thang tội phạm: từ tấn công quy mô lớn đến hoạt động chính xác

Bối cảnh tội phạm mạng đã trải qua một bước ngoặt lớn vào năm 2025. Trong khi các hacker truyền thống phân tán nỗ lực của họ vào nhiều mục tiêu nhỏ hơn, các tác nhân liên quan đến Triều Tiên tập trung nguồn lực vào các mục tiêu có tác động cao. Các nhóm Triều Tiên đã chịu trách nhiệm cho 76% tất cả các vi phạm ở cấp độ dịch vụ trong năm 2025, tỷ lệ cao nhất từ trước đến nay, theo dữ liệu của Chainalysis.

Cách tiếp cận chọn lọc này rõ ràng trái ngược với các năm trước. Các khoản cam kết ví cá nhân giảm đáng kể, chỉ chiếm 20% tổng giá trị bị cướp trong năm 2025 (giảm từ 44% của năm 2024). Mặc dù số vụ vi phạm đối với người dùng cá nhân tăng lên 158.000, số tiền trung bình bị lấy đi mỗi nạn nhân giảm 52% còn 713 triệu USD tổng cộng. Dữ liệu cho thấy một sự định hướng lại có chủ đích hướng tới các mục tiêu doanh nghiệp và nền tảng tập trung, nơi có thể thu lợi nhuận lớn trong các hoạt động đơn lẻ.

Mô hình rửa tiền: dấu vết kỹ thuật số của Triều Tiên

Phân tích pháp y tiết lộ các mô hình tinh vi trong việc che giấu quỹ, phân biệt các tác nhân Triều Tiên với các hacker khác. Khác với các nhóm tội phạm thực hiện các giao dịch chuyển khoản lớn trực tiếp, các hacker Triều Tiên cắt nhỏ kho báu của họ thành các giao dịch dưới 500.000 USD, giảm thiểu khả năng bị phát hiện tự động.

Chainalysis đã xác định một hạ tầng rửa tiền cực kỳ chuyên biệt: các quỹ liên tục chảy qua các dịch vụ trộn, cầu nối crypto và các trung gian vận hành bằng tiếng Trung. Sự phụ thuộc vào các trung gian khu vực này cho thấy có những hạn chế về cấu trúc và có thể có các thỏa thuận với các trung gian địa phương. Đáng chú ý, họ tránh các giao thức vay DeFi và các sàn giao dịch phi tập trung được các tội phạm khác ưa chuộng, cho thấy có những hạn chế trong việc tiếp cận hạ tầng tài chính toàn cầu rộng lớn hơn.

Thời gian trung bình để chuyển đổi và rút quỹ theo chu kỳ nhất quán khoảng 45 ngày. Chu kỳ này trải qua các giai đoạn khác nhau: từ việc che giấu nguồn gốc ban đầu của quỹ đến tích hợp cuối cùng vào các nền kinh tế địa phương. Andrew Fierman, trưởng bộ phận tình báo an ninh quốc gia của Chainalysis, cho biết sự nhất quán này tạo ra các cơ hội quý giá để các nhóm tuân thủ pháp luật và điều tra viên pháp luật chặn đứng các nguồn lực trước khi chúng chuyển đổi thành tiền mặt cuối cùng.

Trí tuệ nhân tạo: siêu cường tội phạm mới của Triều Tiên

Một phát hiện đặc biệt đáng lo ngại là vai trò nổi bật của trí tuệ nhân tạo trong các hoạt động rửa tiền của Triều Tiên. Theo Fierman, “Triều Tiên tạo điều kiện cho việc rửa tiền các vụ trộm tiền mã hóa của họ với sự nhất quán và linh hoạt thể hiện rõ việc sử dụng trí tuệ nhân tạo”. Sự tinh vi trong vận hành cần thiết để thực hiện các vụ trộm quy mô lớn như vậy và tự động hóa quá trình rửa tiền đa hoạt động cho thấy các hệ thống thông minh đang hoạt động.

Cơ chế rửa tiền tích hợp các dịch vụ trộn, cầu nối crypto và các giao thức DeFi từ giai đoạn đầu, tự động hóa việc chuyển đổi giữa nhiều loại tài sản kỹ thuật số. “Để thực hiện hiệu quả như vậy, Triều Tiên cần một mạng lưới rửa tiền lớn, cùng với các cơ chế tối ưu hóa có thể thể hiện qua việc sử dụng AI”, Fierman giải thích. Khả năng xử lý hàng tỷ đô la trong khi duy trì hoạt động bí mật cho thấy tự động hóa thông minh là trung tâm trong chiến lược của họ.

Thay đổi trong bối cảnh tội phạm mạng toàn cầu

Các phát hiện này chỉ ra một môi trường đe dọa ngày càng phân cực. Một bên là các tội phạm truyền thống thực hiện các vụ trộm nhỏ lẻ phân tán hàng loạt. Bên kia, Triều Tiên thực hiện các cuộc tấn công hiếm hoi nhưng tàn khốc vào các nền tảng dịch vụ tiền mã hóa, chiếm vị trí trung tâm trong các hoạt động quy mô lớn này.

Xu hướng này có những tác động sâu sắc đến an ninh toàn cầu về tài sản kỹ thuật số. Trong khi các biện pháp giám sát và phòng thủ được củng cố chống lại các mối đe dọa truyền thống, sự kết hợp của công nghệ tinh vi, nguồn lực nhà nước và tiềm năng của trí tuệ nhân tạo trong tay các tác nhân Triều Tiên tạo thành một ranh giới mới nổi trong chiến tranh mạng. Khi năm 2025 khép lại, không có dấu hiệu nào cho thấy các nỗ lực tấn công này giảm xuống, cho thấy các hoạt động tội phạm mạng liên quan đến Triều Tiên sẽ tiếp tục là mối đe dọa hàng đầu trong hệ sinh thái tiền mã hóa trong thời gian tới.