Từ Solana đến Tornado Cash: Hành trình 4,39 triệu USD và bài học mà thị trường tăng giá không muốn nhìn thấy
Hai tuần trước, tôi mở bảng điều khiển theo dõi on-chain và phát hiện một điều bất thường. Một cụm địa chỉ tôi đã gắn cờ từ cuối tháng 7 - có liên quan đến vụ tấn công Solana OG - bắt đầu rót ETH vào Tornado Cash. Không phải một giao dịch đơn lẻ. Lượng tiền khoảng 2.290 ETH, tương đương 4,39 triệu USD tại thời điểm giao dịch, được tách thành nhiều phần nhỏ, len qua các pool với mệnh giá khác nhau. Điều đáng chú ý: đây là lần thứ hai trong vòng hai tuần.
Tôi nhấp vào chuỗi giao dịch, phóng to từng bước, và nhận ra điều khiến tôi phải ngồi lại. Từ lỗ hổng nhỏ nhất, một hệ thống có thể sụp đổ. Nhưng ở đây, hệ thống không sụp đổ - nó đang bị bóc tách từng lớp một, một cách có phương pháp.
Trong suốt bảy năm kiểm toán bảo mật các giao thức DeFi, tôi đã nhiều lần chứng kiến cảnh những kẻ tấn công cố gắng rửa tiền. Có kẻ vội vàng, chuyển toàn bộ số tiền vào một pool duy nhất và rút ra trong vòng vài giờ. Có kẻ liều lĩnh, dùng chính địa chỉ ví cá nhân để nạp tiền vào sàn giao dịch yêu cầu KYC. Nhưng kẻ tấn công Solana OG lại khác. Hắn kiên nhẫn. Hắn có kỷ luật. Và điều đó đáng để phân tích.
Hãy cùng làm rõ bối cảnh trước khi đi sâu vào chi tiết kỹ thuật.
Vào giữa tháng 7, một thực thể có biệt danh "Solana OG" - một người dùng sớm hoặc một dự án gắn bó sâu sắc với hệ sinh thái Solana - đã bị tấn công. Thiệt hại được các bên theo dõi ước tính lên tới khoảng 14,2 triệu USD. Vụ việc gây chấn động cộng đồng Solana, vốn đang trong giai đoạn phục hồi sau những khó khăn của chu kỳ trước. Tuy nhiên, điều đáng chú ý không chỉ là vụ tấn công, mà là những gì xảy ra sau đó - khi số tiền bị đánh cắp bắt đầu di chuyển về phía Ethereum mainnet.
Tôi không tin vào lời nói. Tôi tin vào bytecode. Và bytecode đang kể một câu chuyện mà không một thông cáo báo chí nào có thể kể lại.
Tornado Cash - cái tên chắc hẳn không còn xa lạ với những ai theo dõi thị trường tiền mã hóa. Đây là một giao thức bảo mật trên Ethereum, cho phép người dùng gửi ETH vào một pool chung, rồi rút ra từ một địa chỉ mới không có liên hệ trên chuỗi với địa chỉ ban đầu. Kỹ thuật đằng sau đó là bằng chứng không tiết lộ ZK-SNARK - một công nghệ mật mã cho phép chứng minh rằng bạn đã thực hiện một giao dịch mà không tiết lộ giao dịch đó là gì. Với ZK-SNARK, một người dùng gửi 100 ETH vào pool, sau đó sử dụng một địa chỉ hoàn toàn mới để rút 100 ETH, mà không ai có thể chứng minh rằng hai hành động đó thuộc về cùng một người.
Về lý thuyết, đây là một công cụ bảo vệ quyền riêng tư tuyệt vời. Nhưng vào tháng 8 năm 2022, Văn phòng Kiểm soát Tài sản Nước ngoài (OFAC) của Bộ Tài chính Mỹ đã thêm Tornado Cash vào danh sách trừng phạt SDN. Toàn bộ giao thức bị cấm đối với công dân và tổ chức Mỹ. Các nhà phát triển cốt lõi đã bị bắt giữ và truy tố. Relayer - những dịch vụ giúp người dùng chuyển giao dịch mà không cần tự giữ ETH - lần lượt rút lui. Cộng đồng tiền mã hóa chia rẽ: một bên coi Tornado Cash là biểu tượng của quyền riêng tư, một bên coi đó là công cụ rửa tiền của tội phạm.
Vậy mà, vào tháng 8 năm 2025, một kẻ tấn công vẫn ngang nhiên sử dụng Tornado Cash để chuyển 4,39 triệu USD. Và đây là lần thứ hai.
Điều này đặt ra một loạt câu hỏi quan trọng. Tại sao một kẻ tấn công, dù có vẻ thông minh và có kỷ luật, lại chọn một công cụ đã bị trừng phạt và bị giám sát chặt chẽ nhất trong toàn bộ hệ sinh thái? Liệu hắn có lựa chọn nào khác không? Và điều này nói lên điều gì về hiệu quả thực sự của các biện pháp trừng phạt trong một thế giới phi tập trung, nơi mà bytecode không biết đến biên giới quốc gia?
Hãy cùng phân tích đợt chuyển tiền thứ hai, diễn ra trong tuần này, từ góc độ của một kiểm toán viên bảo mật.
Về mặt kỹ thuật, cụm địa chỉ của kẻ tấn công đã thực hiện đúng những gì một chuyên gia rửa tiền có kinh nghiệm sẽ làm. Đầu tiên, hắn gom ETH từ nhiều địa chỉ trung gian - những địa chỉ này đã được tách biệt từ trước, mỗi địa chỉ xử lý một phần nhỏ của tổng số tiền, khiến việc xác định dòng tiền ban đầu trở nên khó khăn. Sau đó, hắn chia 2.290 ETH thành nhiều phần có mệnh giá khác nhau, không chỉ là 100 ETH - mệnh giá lớn nhất và dễ bị chú ý nhất - mà còn xen kẽ các mệnh giá 10 ETH, 1 ETH và 0.1 ETH.
Việc sử dụng đa dạng mệnh giá như vậy không phải là ngẫu nhiên. Các công cụ giám sát on-chain thường xây dựng mô hình phát hiện dựa trên "cụm mệnh giá" - chúng theo dõi tần suất xuất hiện của các giao dịch có cùng mệnh giá, cùng thời điểm, và cùng địa chỉ nạp tiền. Nếu kẻ tấn công gửi 23 giao dịch, mỗi giao dịch đúng 100 ETH, vào cùng một ngày, thuật toán sẽ ngay lập tức gắn cờ. Nhưng nếu hắn gửi một giao dịch 100 ETH, một giao dịch 10 ETH, hai giao dịch 1 ETH và một giao dịch 0.1 ETH, trải rải trong vài giờ, thì mô hình thống kê sẽ khó phát hiện hơn.
Điều thứ hai khiến tôi chú ý là thời gian. Kẻ tấn công không rút tiền ngay lập tức sau khi gửi vào pool. Một phần tiền vẫn nằm đó, chờ đợi. Trong một pool 100 ETH, nếu kẻ tấn công gửi vào 100 ETH hôm nay và một địa chỉ mới rút 100 ETH sau ba ngày, thì giữa hai thời điểm đó có thể có hàng chục người dùng khác gửi và rút tiền. Sự mơ hồ này chính là mục tiêu của việc sử dụng Tornado Cash. Tuy nhiên, nó đòi hỏi sự kiên nhẫn - và sự kiên nhẫn của kẻ tấn công này là điều tôi không thường gặp ở những kẻ phạm tội mà tôi từng phân tích.
Điều thứ ba, và có lẽ là quan trọng nhất, là việc hắn lặp lại quy trình này hai lần. Đợt đầu tiên, khoảng 2.000 ETH, cách đây hai tuần. Đợt thứ hai, 2.290 ETH, trong tuần này. Tổng cộng, khoảng 4.290 ETH, tương đương 8,3 triệu USD, đã đi qua Tornado Cash. Con số này tương đương khoảng 60% tổng số tiền bị đánh cắp. Điều đó có nghĩa là kẻ tấn công vẫn còn nắm giữ khoảng 980.000 USD tài sản chưa được xử lý.
Tôi gần như chắc chắn rằng hắn sẽ tiếp tục chuyển phần tài sản còn lại trong những ngày tới. Dù thị trường đang ở giai đoạn nào, chỉ có những kẻ kiên nhẫn đào sâu mới thực sự hiểu rõ giá trị của thời gian. Và kẻ này đang đào sâu một cách bài bản.
Nhưng tại sao lại là Tornado Cash, trong khi có rất nhiều cách khác để rửa tiền?
Tôi thường xuyên nhận được câu hỏi này từ các nhà đầu tư. Họ ngạc nhiên rằng trong khi ngành công nghiệp tiền mã hóa đã phát triển vượt bậc, với hàng chục blockchain, hàng trăm cầu nối cross-chain, và vô số sàn giao dịch phi tập trung, thì tội phạm vẫn quay về với Tornado Cash - một giao thức đã bị trừng phạt từ ba năm trước. Câu trả lời nằm ở tính thanh khoản và sự tin cậy.
Tornado Cash, bất chấp lệnh trừng phạt, vẫn sở hữu một trong những pool thanh khoản sâu nhất trong lĩnh vực bảo mật. Với mệnh giá 100 ETH, một kẻ tấn công có thể rút ra một lượng lớn tiền mà không gặp phải tình trạng trượt giá đáng kể. Các mixer tập trung - những dịch vụ trộn tiền do một bên thứ ba vận hành - có thanh khoản nông hơn nhiều. Tệ hơn, chúng đòi hỏi người dùng phải tin tưởng rằng bên vận hành sẽ không giữ lại tiền. Trong thế giới tội phạm, sự tin tưởng là thứ đắt đỏ nhất. Tornado Cash không đòi hỏi sự tin tưởng đó: hợp đồng thông minh không bao giờ ngủ, không bao giờ phản bội, không bao giờ bị mua chuộc. Bytecode là luật, và trong bytecode của Tornado Cash không có một dòng nào cho phép bất kỳ ai - kể cả các nhà phát triển - đóng băng hay chiếm đoạt tiền của người dùng.
Hợp đồng là luật, nhưng lỗ hổng là ngoại lệ. Và Tornado Cash - với thiết kế hoàn toàn phi tập trung, không có khả năng nâng cấp - là một ngoại lệ mà ngay cả các biện pháp trừng phạt của chính phủ Mỹ cũng không thể chạm tới. OFAC có thể trừng phạt giao thức, có thể bắt giữ các nhà phát triển, có thể buộc các Relayer rút lui, nhưng không thể ngăn một hợp đồng thông minh đang chạy trên hàng nghìn nút phân tán khắp thế giới tiếp tục hoạt động.
Đây chính là điểm mù mà tôi muốn nhấn mạnh. Rất nhiều người trong cộng đồng tiền mã hóa tin rằng lệnh trừng phạt của OFAC đã "giết chết" Tornado Cash. Thực tế, nó đã biến Tornado Cash thành một công cụ nguy hiểm hơn. Trước khi bị trừng phạt, giao thức này được một bộ phận người dùng coi là công cụ bảo vệ quyền riêng tư hợp pháp. Sau lệnh trừng phạt, không còn ai sử dụng Tornado Cash cho các mục đích hợp pháp nữa - bởi vì làm như vậy có nghĩa là vi phạm pháp luật Mỹ. Điều đó có nghĩa là gần như tất cả những người còn lại sử dụng giao thức này đều là tội phạm, hoặc ít nhất là những người không quan tâm đến hậu quả pháp lý.
Nói một cách khác, OFAC đã vô tình tạo ra một "câu lạc bộ tội phạm" tập trung, nơi mà mọi thành viên đều có lý do để không hợp tác với chính quyền. Điều này giúp kẻ tấn công dễ dàng hòa lẫn hơn, bởi vì hắn không phải là người duy nhất sử dụng công cụ này cho mục đích xấu. Dữ liệu từ các công ty phân tích cho thấy lượng tiền chảy vào Tornado Cash vẫn ở mức đáng kể trong năm 2025, bất chấp lệnh trừng phạt.
Tuy nhiên, tôi muốn đưa ra một góc nhìn phản trực giác. Việc sử dụng Tornado Cash - đặc biệt là sử dụng lặp lại nhiều lần - có thể không phải là một chiến lược thông minh như kẻ tấn công vẫn nghĩ.
Có một giả định phổ biến rằng Tornado Cash là một công cụ ẩn danh hoàn hảo. Điều đó từng đúng trong giai đoạn đầu của giao thức, khi mà khối lượng người dùng nhỏ và các kỹ thuật phân tích còn hạn chế. Nhưng kể từ năm 2022, khi OFAC trừng phạt Tornado Cash, giao thức này đã trở thành một trong những địa điểm được giám sát chặt chẽ nhất trên toàn bộ blockchain. Các công ty phân tích như Chainalysis, Elliptic và TRM Labs đã đầu tư hàng triệu đô la để phát triển các mô hình theo dõi chuyên biệt cho Tornado Cash. Họ không cần biết chính xác địa chỉ nào là của kẻ tấn công. Họ chỉ cần theo dõi thời điểm và mệnh giá của các khoản gửi, sau đó so sánh với thời điểm và mệnh giá của các khoản rút.
Đây là một kỹ thuật mà tôi gọi là "dấu vân tay thời gian" - và nó cực kỳ hiệu quả. Giả sử kẻ tấn công gửi 100 ETH vào pool vào lúc 14:00. Nếu một địa chỉ mới - hoàn toàn không có liên hệ trước đó với kẻ tấn công - rút 100 ETH từ cùng pool vào lúc 16:00 cùng ngày, thì dù bằng chứng ZK có mạnh đến đâu, mối tương quan về thời gian vẫn là một manh mối. Khi hành vi này được lặp lại nhiều lần - và kẻ tấn công Solana OG đã lặp lại hai lần - bức tranh ngày càng rõ ràng hơn.
Tệ hơn nữa, hành vi sử dụng nhiều địa chỉ trung gian trước khi gửi vào Tornado Cash, dù phức tạp, lại tạo ra một "mô hình hành vi" có thể nhận diện. Các chuyên gia phân tích hình sự gọi đây là modus operandi - dấu hiệu nhận dạng hành vi. Khi kẻ tấn công gom tiền từ nhiều địa chỉ, chia thành nhiều phần với mệnh giá khác nhau, và gửi vào Tornado Cash trong nhiều đợt, hắn đang vô tình tạo ra một chữ ký hành vi độc nhất. Nếu cùng một cụm địa chỉ được phát hiện trong một vụ tấn công khác, các nhà điều tra có thể kết nối hai vụ việc chỉ dựa trên cách thức hoạt động.
Vậy, kẻ tấn công Solana OG đang tự bắn vào chân mình hay đang thực hiện một chiến lược đã được tính toán kỹ lưỡng?
Tôi tin rằng câu trả lời nằm ở đâu đó giữa hai khả năng trên. Kẻ tấn công có thể không tìm kiếm sự ẩn danh tuyệt đối. Hắn chỉ cần làm cho việc truy tố trở nên đủ khó khăn để khiến các cơ quan thực thi pháp luật phải suy nghĩ lại. Ở nhiều khu vực pháp lý, việc truy tố tội phạm mạng xuyên quốc gia đòi hỏi nguồn lực khổng lồ. Nếu kẻ tấn công ở một quốc gia không có hiệp định dẫn độ với Mỹ, thì ngay cả khi bằng chứng rõ ràng, việc đưa hắn ra tòa vẫn gần như bất khả thi. Trong trường hợp đó, Tornado Cash chỉ đơn giản là một lớp bảo vệ thêm, không phải là lớp bảo vệ duy nhất.
Có một câu hỏi cuối cùng mà tôi muốn đặt ra. Nếu kẻ tấn công đã có thể chuyển tiền từ Solana sang Ethereum, tại sao hắn không tiếp tục chuyển sang một blockchain khác có tính riêng tư cao hơn, chẳng hạn như Monero, hoặc sử dụng một giao thức bảo mật tân tiến hơn như Railgun hay Aztec? Câu trả lời có thể liên quan đến chi phí cơ hội, thanh khoản, hoặc đơn giản là sự quen thuộc. Nhưng cũng có một khả năng khác: kẻ tấn công đang trong quá trình chuyển phần lớn tài sản thành ETH lỏng và có thể sẽ sớm dùng chúng để đầu tư hoặc chi tiêu thông qua các kênh ít bị chú ý. Điều này có nghĩa là chúng ta có thể thấy một phần số tiền được rút ra từ Tornado Cash và chuyển vào các giao thức DeFi, các sàn giao dịch phi tập trung, hoặc các nền tảng cho vay - nơi mà chúng sẽ được trộn lẫn với dòng vốn hợp pháp. Trong một lần audit một giao thức cho vay, tôi đã phát hiện một lượng tiền từ Tornado Cash chảy vào giao thức đó. Kẻ tấn công không chỉ dùng Tornado Cash để rút tiền mặt, mà còn dùng nó để "tẩy trắng" tài sản trước khi đưa vào DeFi. Điều này khiến việc truy vết trở nên khó khăn hơn gấp nhiều lần.
Nhưng từ góc độ của những người làm bảo mật và phân tích, điều quan trọng là phải hiểu rằng cuộc chơi vẫn chưa kết thúc. Kẻ tấn công còn 980.000 USD chưa rửa. Hắn sẽ phải di chuyển số tiền đó vào một thời điểm nào đó. Và khi hắn làm vậy, hắn sẽ tạo ra thêm dữ liệu cho các nhà điều tra.
Trong bối cảnh thị trường tiền mã hóa đang dần nóng lên, với những câu chuyện về lợi nhuận và sự phấn khích chiếm ưu thế trên các trang tin tức, thật dễ dàng để bỏ qua những tín hiệu đáng ngại như thế này. Nhưng chính trong những thời điểm này, các vụ tấn công và rửa tiền lại diễn ra mạnh mẽ nhất. Sự tĩnh lặng của dữ liệu - những con số nằm im trên trình khám phá khối, được sắp xếp gọn gàng trong các bảng điều khiển - thường che giấu bão tố.
Điều tôi muốn nhấn mạnh với độc giả là: 14,2 triệu USD bị đánh cắp từ Solana không biến mất. Chúng chỉ thay đổi hình dạng. Một phần đã đi qua Tornado Cash và trở thành các địa chỉ mới mà không ai có thể truy vết một cách chắc chắn. Phần còn lại vẫn đang nằm trong tay kẻ tấn công, chờ đợi thời điểm thích hợp. Mỗi khi một đợt chuyển tiền mới xuất hiện trên blockchain, câu chuyện về kẻ tấn công Solana OG lại thêm một chương - và chương cuối cùng, nếu có, sẽ chỉ được viết bởi các cơ quan thực thi pháp luật.
Tôi sẽ tiếp tục theo dõi. Khi đợt chuyển tiền tiếp theo diễn ra - và tôi tin rằng nó sẽ sớm xảy ra - tôi sẽ quay lại với những phân tích cập nhật. Trong thế giới blockchain, không có gì là bí mật mãi mãi. Chỉ là vấn đề thời gian, sự kiên nhẫn, và những công cụ mà chúng ta sử dụng để quan sát.
Còn đối với những nhà đầu tư đang bị cuốn theo nhịp điệu của thị trường tăng, tôi chỉ có một lời khuyên: hãy dành thời gian nhìn vào dữ liệu on-chain thay vì chỉ nhìn vào biểu đồ giá. Bởi vì những gì bạn không nhìn thấy - những dòng tiền đang âm thầm di chuyển trong bóng tối - mới chính là thứ có thể thay đổi cuộc chơi.