Chỉ 2 ngày sau vụ việc Binance bị tấn công, FBI đã lên tiếng cảnh báo kèm danh sách hơn 600 địa chỉ Ethereum, gần 20 địa chỉ Bitcoin và một địa chỉ Solana đề nghị phong toả. Phản ứng lần này của FBI nhanh hơn đáng kể so với những lần trước đó, cho thấy mức độ quan tâm của đơn vị này đối với vụ việc.
Ngày 31/10/2026 theo giờ Mỹ, Cục điều tra liên bang Mỹ FBI đã lên tiếng về vụ việc sàn giao dịch tài sản mã hoá lớn nhất thế giới (tính theo khối lượng giao dịch) Binance bị tấn công ngày 28/10. Theo FBI, Triều Tiên chịu trách nhiệm cho vụ lấy hơn 6 tỷ USD tài sản ảo ngày 29/10, và cơ quan này gọi hoạt động đó là TraderTraitor.
Tính tới thời điểm này đã có bốn tổ chức là TRM Labs, Chainalysis, Elliptic, FBI, cùng nêu một cái tên bất chấp các bằng chứng được công bố không giống nhau.
Trong đó, TRM Labs là công ty phân tích blockchain của Mỹ, thành lập năm 2018 tại San Francisco, cung cấp công cụ truy vết, sàng lọc ví và chống rửa tiền cho cơ quan thực thi pháp luật, cơ quan quản lý và doanh nghiệp tài sản số. Chỉ vài giờ sau vụ việc ngày 29/10 theo giờ Mỹ, TRM Labs đã kết luận vụ việc liên quan đến TraderTraitor căn cứ vào dữ liệu trên chuỗi và nguồn tin ngoài chuỗi không công bố.
Tiếp đến là Chainalysis, Công ty phân tích dữ liệu blockchain của Mỹ, chuyên cung cấp phần mềm truy vết và tuân thủ cho cơ quan chính phủ, sàn giao dịch và tổ chức tài chính tại hơn 70 quốc gia. Lúc 04:30 UTC ngày 30/10, Chainalysis cũng chỉ ra cái tên Trader Traitor dựa trên bằng chứng về việc dòng tiền vụ Binance và dòng tiền vụ tấn công Bitget trước đó gặp nhau tại một địa chỉ.
Ngay sau đó là Elliptic, công ty công nghệ tài chính chuyên về phân tích blockchain và quản lý rủi ro tài sản kỹ thuật số, được thành lập vào năm 2013 tại Anh đề cập danh tính Trader Traitor nhưng cho biết "chưa chắc chắn".
Danh sách này tiếp tục được nối dài với FBI, đơn vị có tính chính thống cao nhất. Tuy không công bố lập luận nhưng trong thông báo của mình, FBI đã công bố một danh sách dài các địa chỉ đề nghị chặn. Trong đó, bao gồm hơn 600 địa chỉ Ethereum, gần 20 địa chỉ Bitcoin và một địa chỉ Solana. Danh sách này có tác dụng như lệnh truy nã gửi tới mọi cửa khẩu. Khi tài sản đã được gắn với một chủ thể bị Mỹ trừng phạt thì các sàn giao dịch, dịch vụ hoán đổi và OTC có căn cứ rõ ràng để từ chối, và rủi ro pháp lý của việc tiếp nhận cũng tăng lên, đồng thời làm chậm lại quá trình đổi tiền ra tiền pháp định của những kẻ tấn công.
Theo ông Phan Đức Trung, Chủ tịch Hiệp hội Blockchain và Tài sản số Việt Nam (VBA), thêm một điểm đáng chú ý từ ChainTracer, chương trình truy vết của VBA công bố báo cáo sáng 30/10 cho biết danh tính, vị trí của những người đứng sau vẫn chưa được xác định và không kết luận TraderTraitor là kẻ tấn công trong vụ việc này. Nhóm cũng cho biết chưa đủ dữ liệu để tự kiểm chứng dòng tiền trên Bitcoin và Tron.
Đánh giá cá nhân, ông Phan Đức Trung cho rằng khả năng TraderTraitor có nguồn gốc từ Triều Tiên đứng sau vụ việc này là rất cao bởi cả 3 bằng chứng của các đơn vị độc lập công bố đều chỉ về chung một hướng. Đặc biệt, FBI có nguồn thông tin độc lập đáng tin cậy, tiền lệ nhất quán và đã theo dõi TraderTraitor ít nhất từ tháng 4/2022.
Trước đó FBI đã cùng Cơ quan an ninh mạng (CISA), Bộ Tài chính Mỹ ra cảnh báo về nhóm này, đồng thời quy cho nhóm này vụ DMM Bitcoin năm 2024 và vụ Bybit năm 2025.
“Tôi chưa thấy quy kết nào trong số đó bị bác bỏ bằng bằng chứng ngược lại. Dù vậy, đây là kết luận của cơ quan điều tra, không phải phán quyết của tòa án”, ông Phan Đức Trung nói.
Cũng theo ông Trung, công bố bằng chứng và thu hồi là hai việc khác nhau. Dù phần stablecoin đã được giữ lại nhờ các đơn vị phát hành hành động trong chưa đầy một giờ, trong đó Tether phong tỏa ví nhận chính 37 phút sau lượt rút lớn nhất nhưng phần tài sản ở dạng ETH và BTC bị rút có được ngăn chặn và thu hồi hay không còn phụ thuộc vào việc các cửa ra, bao gồm các sàn giao dịch, dịch vụ hoán đổi, dịch vụ OTC, có thực sự chặn hay không.
“Nói một cách khác, tên nghi phạm đã được đề cập nhưng cửa ra của dòng tiền vẫn đang mở”, ông Trung nhấn mạnh.
