Ngày 16/5/2025, Bộ Tư pháp Mỹ thông báo đã tịch thu 25 triệu USD tiền điện tử từ các vụ lừa đảo đầu tư và lừa đảo tình cảm. Cơ quan Mật vụ Mỹ (USSS) đã truy vết dòng tiền chảy qua nhiều lớp giao dịch, cuối cùng đổ về các bể rửa tiền ở Đông Nam Á. Năm vụ tịch thu dân sự được đệ trình đồng thời. Con số không quá lớn so với tổng vốn hóa thị trường, nhưng điều khiến tôi – một người làm bảo mật DeFi hàng ngày kiểm tra mã nguồn và trace execution path – phải dừng lại chính là sự chính xác trong từng bước của USSS.
Giả định tin cậy họ đang đặt ra là các nạn nhân gửi tiền qua sàn giao dịch tập trung có KYC, sau đó chuyển đến ví do kẻ lừa đảo kiểm soát. Từ đó, tiền được đẩy qua các cầu nối cross-chain và mixer để che giấu nguồn gốc. Nhưng USSS vẫn tìm ra điểm cuối. Điều này cho thấy một thực tế phũ phàng: không có lớp ẩn danh nào là tuyệt đối, đặc biệt khi bạn giao dịch với các bên đã bị theo dõi từ trước.
Hãy cùng trace execution path của khoản tiền 25 triệu USD này. Giả sử nạn nhân chuyển USDC từ Coinbase sang ví MetaMask do kẻ lừa đảo cung cấp. Sau đó, kẻ lừa đảo swap sang ETH trên Uniswap, rồi dùng cầu nối như Across Protocol để đưa ETH sang Arbitrum. Tại Arbitrum, ETH được gửi vào Tornado Cash (phiên bản cũ) hoặc các privacy pool mới hơn. Cuối cùng, token được rút sang một ví mới trên BNB Chain và chuyển đến sàn giao dịch tại Đông Nam Á. Mỗi bước đều để lại dấu vết trên blockchain public. USSS chỉ cần có khả năng phân tích on-chain và hợp tác với các sàn giao dịch để mapping địa chỉ.
Điều mà các dev không nói với bạn là dù bạn dùng mixer, nhưng giao dịch rút tiền thường có fingerprints: thời gian, gas price, pattern nonce, số dư chính xác. Các thuật toán clustering của Chainalysis và TRM Labs dễ dàng phát hiện. Trong audit của tôi với một giao thức privacy, chúng tôi đã chỉ ra rằng nếu chỉ dùng các lớp riêng tư rời rạc mà không có kỹ thuật xóa dấu vết gốc (như stealth addresses + relayers), thì trace vẫn khả thi với các cơ quan có đủ nguồn lực.
Phần lớn phân tích sai về vụ việc này khi cho rằng USSS chỉ dựa vào KYC của sàn. Thực tế, họ đã tận dụng on-chain forensics để xác định mối liên hệ giữa các địa chỉ không có KYC. Điểm mấu chốt là nạn nhân thường bị yêu cầu gửi tiền đến một địa chỉ cụ thể. Địa chỉ đó nếu đã từng tương tác với các sàn giao dịch, dù chỉ một lần, cũng bị gắn thẻ. Và từ đó, toàn bộ mạng lưới bị phơi bày.
Về mặt kỹ thuật, vụ việc này phơi bày một lỗ hổng kiến trúc trong cách người dùng tiếp cận privacy: họ tin rằng chỉ cần dùng một mixer là đủ. Nhưng thực tế, privacy là một chuỗi các quyết định liên tục. Nếu tại bất kỳ điểm nào bạn kết nối lại với danh tính thực (qua sàn CEX, qua email, qua IP), toàn bộ chuỗi bị phá vỡ. Kẻ lừa đảo trong vụ này có thể đã sử dụng các sàn giao dịch không KYC ở Đông Nam Á, nhưng USSS vẫn truy ra nhờ phân tích dòng tiền và sự phối hợp quốc tế.
Điều tinh tế (và đáng sợ) trong thiết kế này là không phải mixer hay cầu nối bị hack, mà chính là hành vi giao dịch (transaction behavior) đã phản bội người dùng. Khi bạn rút một lượng tiền chính xác từ pool, bạn tạo ra một signal. Khi bạn dùng cùng một gas price với phần còn lại của mạng, bạn lộ ra dấu vân tay. Privacy không chỉ là mã hóa, mà còn là sự nhất quán trong hành vi.
Từ góc nhìn thị trường, vụ tịch thu này là một tín hiệu khác trong chuỗi hành động của chính phủ Mỹ nhằm xiết chặt vòng vây lấy các dòng tiền bất hợp pháp. Nhưng tôi muốn nhìn theo hướng ngược lại: nó chứng minh rằng blockchain public hoàn toàn minh bạch và các cơ quan thực thi pháp luật đã thành thạo trong việc đọc dữ liệu này. Đối với các dự án DeFi, đây vừa là rủi ro vừa là cơ hội. Nếu bạn đang xây dựng một giao thức tập trung vào quyền riêng tư, bạn phải tính đến khả năng trace này ngay từ tầng giao thức, chứ không chỉ là tầng ứng dụng.
Takeaway: Trong một thị trường giảm, câu chuyện "sống sót" được đặt lên hàng đầu. Nhưng sống sót không chỉ là quản lý rủi ro tài chính, mà còn là hiểu rõ môi trường pháp lý và kỹ thuật bạn đang vận hành. USSS đã cho thấy rằng không có lớp ẩn danh vô hình nào trước một đội ngũ forensics có năng lực. Vậy câu hỏi đặt ra cho cộng đồng là: chúng ta sẽ xây dựng một hệ sinh thái nơi quyền riêng tư thực sự tồn tại, hay tiếp tục sống trong ảo tưởng rằng chỉ cần che mắt nhau là đủ?
