Tornado Cash vẫn là 'lò rửa tiền' yêu thích? Solana OG attacker tiếp tục chuyển 4.39 triệu USD – và câu chuyện thực sự đằng sau dòng thanh khoản ngầm

Nếu Tornado Cash đã bị OFAC trừng phạt, sao nó vẫn là lựa chọn số một cho những kẻ rửa tiền trên blockchain? Câu hỏi tưởng chừng nghịch lý ấy lại được trả lời bằng một dòng dữ liệu lạnh tanh: 2290 ETH từ một địa chỉ liên quan đến vụ tấn công Solana OG vừa được chuyển vào Tornado Cash. Đây là lần thứ hai trong chưa đầy một tháng họ làm điều này. Kẻ tấn công vẫn còn khoảng 980万美元 (tương đương 9800 ETH) cần 'làm sạch'. Và họ đang dùng chính công cụ mà Mỹ đã cấm – như một lời nhắc nhở rằng thanh khoản trong thế giới ngầm không bao giờ chịu sự chi phối của luật pháp. Bối cảnh: tháng 6/2024, một hacker (được gọi là Solana OG) đã rút 14.2 triệu USD từ một giao thức nào đó trong hệ sinh thái Solana – chưa rõ tên cụ thể, nhưng số tiền đủ để khiến bất kỳ ai cũng phải chú ý. Sau đó, họ chuyển token thành ETH và bắt đầu hành trình 'rửa'. Lần đầu tiên là vào ngày 18/7, khoảng 2000 ETH được đưa vào Tornado Cash. Lần này, thêm 2290 ETH – tương đương 4.39 triệu USD tại thời điểm giao dịch. Tổng cộng họ đã 'rửa' được khoảng 4.5 triệu USD, nghĩa là vẫn còn hơn 9.7 triệu USD chưa được xử lý. Phân tích kỹ thuật: Tornado Cash là một hợp đồng thông minh dùng ZK-SNARK để che giấu mối liên hệ giữa địa chỉ gửi và địa chỉ nhận. Người dùng gửi ETH vào một pool (thường là 0.1, 1, 10, 100 ETH), nhận lại một 'chứng chỉ' (note), sau đó có thể rút từ pool đó bằng một địa chỉ mới. Kẻ tấn công đã chia 2290 ETH thành nhiều giao dịch nhỏ, sử dụng pool 100 ETH – chiến thuật 'chia nhỏ' kinh điển. Họ không dùng cross-chain bridge, không chuyển sang USDT hay USDC – điều này cho thấy họ muốn giữ nguyên tài sản gốc (ETH) và chỉ 'ném' vào Tornado Cash để cắt đứt dấu vết. Tại sao lại chọn Tornado Cash khi có Railgun, Aztec, hoặc các privacy tool khác? Bởi vì Tornado Cash có thanh khoản sâu nhất – pool ETH của nó vẫn là nơi duy nhất có thể rửa hàng ngàn ETH mà không gây trượt giá quá lớn. Dù đã bị OFAC cấm, nhưng các relayer của nó vẫn hoạt động (dù ít hơn), và các hacker không quan tâm đến luật pháp Mỹ. Họ chỉ cần một công cụ hoạt động. Từ góc nhìn vĩ mô, đây không chỉ là một vụ rửa tiền đơn thuần. Nó phản ánh một thực tế: dòng thanh khoản 'bẩn' đang chảy ngầm bên dưới thị trường chính thống. Trong khi các nhà đầu tư tổ chức đổ tiền vào Bitcoin ETF, thì những kẻ tấn công vẫn âm thầm di chuyển hàng triệu USD qua các giao thức privacy. Điều này tạo ra một sự phân hóa thanh khoản: một phần là dòng vốn 'sạch' được kiểm soát bởi Coinbase, Binance, BlackRock; phần còn lại là dòng vốn 'bẩn' không thể kiểm soát – và Tornado Cash là cầu nối giữa hai thế giới. Dựa trên kinh nghiệm phân tích các vụ tấn công trong quá khứ, tôi nhận thấy rằng các hacker thường có xu hướng 'rửa' trong vòng 2-3 tháng sau khi đánh cắp. Họ chọn thời điểm thị trường yên ắng, không có sự kiện lớn, để giảm sự chú ý. Lần chuyển này xảy ra vào đầu tháng 8, khi thị trường đang trong giai đoạn tích lũy – một lựa chọn hoàn toàn hợp lý. Góc nhìn phản trực giác: Nhiều người cho rằng Tornado Cash đã 'chết' sau khi OFAC trừng phạt, các developer bị bắt, và các front-end bị chặn. Nhưng thực tế, nó vẫn sống – thậm chí còn trở thành 'cỗ máy rửa tiền' hiệu quả nhất. Lý do? Chính vì lệnh trừng phạt. Khi Tornado Cash bị đẩy vào thế giới ngầm, nó mất đi sự giám sát từ cộng đồng hợp pháp, nhưng vẫn giữ nguyên tính năng kỹ thuật. Kết quả là nó trở thành 'thiên đường' cho tội phạm, trong khi những người dùng trung thực – những người cần privacy để bảo vệ danh tính – lại bị thiệt thòi. Đây là một nghịch lý của chính sách: càng cấm, càng đẩy công cụ vào tay kẻ xấu. Và hậu quả là các sàn giao dịch hợp pháp phải liên tục cập nhật blacklist, tăng chi phí tuân thủ, nhưng vẫn không thể ngăn chặn hoàn toàn dòng chảy ngầm. Một điểm mù khác: kẻ tấn công không sử dụng bất kỳ privacy tool nào khác – họ trung thành với Tornado Cash. Điều này cho thấy họ có thể đã 'test' thành công lần đầu, và giờ đây tự tin rằng không có ai theo dõi được. Họ đang lợi dụng 'hiệu ứng đèn dầu' – nơi tối nhất lại chính là chỗ sáng nhất. Các cơ quan thực thi pháp luật, như FBI hay IRS-CI, có thể đang theo dõi các địa chỉ này, nhưng với Tornado Cash, việc truy vết trở nên cực kỳ khó khăn. Chỉ có thể dựa vào cluster analysis – phân tích thời gian gửi/rút, phí gas, và các hành vi khác. Và nếu kẻ tấn công rút tiền từ Tornado Cash vào một địa chỉ mới rồi chuyển sang một DEX như Uniswap, sau đó lại chuyển qua một bridge sang Solana, thì dấu vết sẽ gần như biến mất. Takeaway: Dòng thanh khoản ngầm này không chỉ là vấn đề của riêng Solana hay Tornado Cash. Nó đặt ra câu hỏi về tính hiệu quả của các biện pháp kiểm soát hiện tại. Liệu có thực sự 'dọn sạch' được thị trường crypto khỏi tội phạm? Hay chúng ta đang tạo ra một thế giới ngầm ngày càng tinh vi? Kẻ tấn công vẫn còn 9.7 triệu USD cần xử lý. Họ sẽ tiếp tục dùng Tornado Cash, hay sẽ chuyển sang Railgun, vào Aztec, hoặc thậm chí dùng Monero? Tôi đặt cược vào Tornado Cash – vì nó vẫn có thanh khoản tốt nhất. Và khi nào họ dừng lại? Có lẽ khi không còn đồng nào trong ví. Nhưng câu chuyện thực sự không kết thúc ở đó. Nó chỉ cho thấy rằng privacy tools, dù bị cấm, vẫn là một phần không thể thiếu của cơ sở hạ tầng thanh khoản – và những kẻ tấn công đang dạy chúng ta một bài học về sự thất bại của chính sách. Stablecoin không chết, chỉ đổi da. Tornado Cash cũng vậy.