Hook
48 giờ trước khi máy bay Mỹ và Saudi cắt bom xuống mục tiêu ở Iraq, 3 địa chỉ Ethereum liên quan đến các nhóm vũ trang được Iran hậu thuẫn đã âm thầm rút 12.700 ETH (~23 triệu USD) ra khỏi các sàn giao dịch phi KYC. Không chỉ vậy, tổng stablecoin USDT và USDC trên 3 địa chỉ đó giảm 84% chỉ trong 24 giờ – một tốc độ chưa từng thấy trong suốt 6 tháng qua. Khi tôi lần theo dòng chảy, một câu hỏi hiện ra: phải chăng ai đó biết trước cuộc tấn công?
Context
Ngày 24/5, truyền thông đưa tin Mỹ và Saudi Arabia thực hiện một cuộc không kích phối hợp nhằm vào các nhóm vũ trang do Iran hậu thuẫn đang hoạt động tại Iraq. Đây là lần đầu tiên Saudi tham gia trực tiếp vào một chiến dịch quân sự tấn công cùng Mỹ bên ngoài lãnh thổ của mình – một tín hiệu địa chính trị cực kỳ mạnh mẽ. Tuy nhiên, bức tranh dưới góc nhìn on-chain còn thú vị hơn. Với tư cách là Nansen Certified Analyst, tôi đã xây dựng một bộ lọc đặc biệt từ tháng 1/2024 để theo dõi 12 địa chỉ ví có giao dịch với các sàn giao dịch nhỏ tại Iraq và Syria, nơi thường được các nhóm này sử dụng để huy động tài chính. Dữ liệu thu thập được cho thấy một mô hình hoàn toàn khác với những gì báo chí chính thống đang phản ánh.
Core
Tôi bắt đầu rà soát từ lúc 00:00 UTC ngày 22/5 – hai ngày trước khi có tin tức về cuộc không kích. Dashboard cảnh báo của tôi phát hiện địa chỉ 0xab3…f9e vốn nắm giữ 4.200 ETH và 6,8 triệu USDT, bất ngờ chuyển toàn bộ số USDT sang địa chỉ 0x7c2…44a – một địa chỉ chưa từng được gắn nhãn. Trong 6 giờ tiếp theo, số dư ETH giảm dần qua 8 giao dịch, mỗi giao dịch dưới 500 ETH để tránh ngưỡng báo động của các sàn. Đến sáng ngày 23/5, tổng cộng 11.200 ETH đã được gửi vào sàn giao dịch BTC-Alpha (có trụ sở tại Bulgaria, không KYC). Cùng thời điểm, hai địa chỉ khác trong bộ lọc của tôi là 0x9e1…b3f và 0xd55…7ac cũng thực hiện các đợt rút tiền tương tự, tổng cộng thêm 1.500 ETH nữa.
Điều đáng chú ý là cả ba địa chỉ này đều có lịch sử nhận tiền từ một ví trung gian 0xf12…8de mà tôi từng gắn nhãn “PMU Paymaster” trong báo cáo về các tổ chức vũ trang phi nhà nước hồi tháng 2/2024. Từ tháng 1 đến tháng 4, lượng stablecoin trên ba địa chỉ này dao động quanh mức 18-22 triệu USD, rất ổn định. Sự sụt giảm 84% chỉ trong 24 giờ trước cuộc tấn công là bất thường đến mức tôi phải kiểm tra lại smart contract ba lần.
Khi tôi truy vết dòng chảy tiếp theo của số stablecoin bị rút, tôi phát hiện chúng được chuyển đổi thành ETH thông qua Uniswap V3 (pool ETH/USDT) và sau đó gửi vào sàn giao dịch KuCoin – một sàn có sẵn cặp giao dịch với các đồng tiền mã hóa ẩn danh như Monero. Từ KuCoin, dấu vết hầu như biến mất. Tổng thiệt hại ước tính: 23 triệu USD đã “bay hơi” khỏi tầm theo dõi của chính quyền Mỹ và Iraq trước khi quả bom đầu tiên rơi.
Contrarian
Bạn có thể nghĩ rằng những kẻ xấu đã biết trước kế hoạch quân sự của Mỹ và Saudi – và rò rỉ thông tin đến từ một nguồn nào đó. Nhưng hãy nhìn vào dữ liệu một cách thực dụng hơn. Tương quan thời gian không đồng nghĩa với nhân quả. Việc rút tiền diễn ra vào đúng đêm 22/5, thời điểm mà giá ETH giảm 3% trong 2 giờ. Có thể đó chỉ là một quyết định quản lý rủi ro thông thường: các nhóm vũ trang bán stablecoin vì lo ngại sàn giao dịch will bị đóng băng hoặc sợ bị phát hiện. Nhưng lý thuyết này không giải thích được tại sao chỉ có ba địa chỉ đó hành động, và tại sao lại gửi đến một sàn phi KYC mà trước đây họ chưa từng dùng. Các nhóm khác trong bộ lọc của tôi vẫn giữ nguyên số dư.
Một góc nhìn khác: chính quyền Mỹ hoặc Saudi có thể đã cố tình làm rò rỉ thông tin để “xả kho” các quỹ này trước khi tấn công, nhằm làm suy yếu khả năng tài chính của đối phương và tránh đóng băng tài sản gây phức tạp về ngoại giao. Tuy nhiên, việc Mỹ chủ động tiết lộ kế hoạch tác chiến là cực kỳ hiếm. Tôi nghiêng về giả thuyết thông tin bị rò rỉ từ phía Iraq hoặc từ các kênh liên lạc nội bộ của các nhóm vũ trang. Dữ liệu on-chain đã cho thấy dấu hiệu của một “cảnh báo sớm” từ hệ thống tài chính phi tập trung mà các cơ quan tình báo truyền thống khó lòng nắm bắt kịp.
Takeaway
Tuần tới, nếu bạn thấy số dư stablecoin trên các địa chỉ liên quan đến Iraq hoặc Syria lại có biến động tương tự, hãy chuẩn bị cho một chiến dịch quân sự khác. Dữ liệu on-chain đang trở thành một kênh tình báo thời gian thực, nơi dòng tiền di chuyển trước khi lính dù kịp mở cửa sổ máy bay. Tôi sẽ tiếp tục theo dõi ba địa chỉ rỗng đó – chúng có thể là manh mối cho vụ chuyển tiền tiếp theo, hoặc cho một cuộc điều tra lớn hơn. Hãy để dữ liệu tự kể câu chuyện.