Tuần trước, tôi dành một buổi tối chạy query trên Dune để kiểm tra một cluster ví đáng ngờ. Kết quả không bất ngờ: một nhóm địa chỉ đã chuyển 1.400 ETH qua ba cầu nối khác nhau trong vòng 48 giờ. Đây là kiểu hành vi mà Chainalysis, trong báo cáo mới nhất của họ, gọi là "sloppier" – những kẻ tấn công đang trở nên cẩu thả hơn.
Báo cáo cho thấy tỷ lệ đòi tiền chuộc thành công chỉ còn 26%. Con số này, nếu đứng một mình, có vẻ là một chiến thắng vang dội cho lực lượng thực thi pháp luật và các công ty phân tích chuỗi. Nhưng khi tôi đọc kỹ các dữ liệu nền và đặt nó trong bối cảnh dòng thanh khoản toàn cầu, tôi thấy bức tranh phức tạp hơn nhiều.
Trước khi chúng ta đi vào phân tích kỹ thuật, hãy nhìn vào bối cảnh. Chainalysis, công ty đứng sau báo cáo này, không phải là một tổ chức vô tư. Họ là nhà cung cấp dịch vụ tuân thủ và truy vết cho các cơ quan như FBI và IRS. Báo cáo của họ không chỉ là dữ liệu; đó là một phần của chiến lược thị trường. Nhưng điều đó không làm cho dữ liệu trở nên vô giá trị. Nó chỉ có nghĩa là chúng ta cần đọc nó với một con mắt phê phán.
Cốt lõi của phân tích nằm ở việc giải thích tại sao tỷ lệ thành công lại giảm. Giải thích chính thức của Chainalysis là những kẻ tấn công đang trở nên cẩu thả hơn. Từ góc nhìn của một nhà phân tích vĩ mô, tôi thấy điều này có vẻ trực quan, nhưng nó bỏ qua một động lực cơ bản: sự thay đổi trong cấu trúc thị trường tội phạm. Khi các nhóm có tổ chức lớn bị phá vỡ bởi các chiến dịch thực thi pháp luật, không gian bị bỏ trống. Những người chơi nhỏ hơn, kém tinh vi hơn, tràn vào. Họ không có cùng nguồn lực để che giấu dấu vết. Họ sử dụng lại địa chỉ, không trộn coin đúng cách, và để lại dấu vết trên chuỗi. Điều này tự nhiên làm giảm tỷ lệ thành công.
Nhưng đây là phần phản trực giác: tỷ lệ thành công thấp không nhất thiết có nghĩa là tổn thất tài chính đang giảm. Báo cáo thừa nhận rằng tổn thất tài chính vẫn tồn tại. Trên thực tế, nếu những kẻ tấn công còn lại chuyên nghiệp hơn, chúng có thể nhắm vào các mục tiêu có giá trị cao hơn, đòi tiền chuộc lớn hơn. Một vụ ransomware thành công trị giá 10 triệu đô la có thể gây thiệt hại nhiều hơn 50 vụ thất bại mỗi vụ 100.000 đô la. Con số 26% là một trung bình, và nó che giấu sự phân phối thực tế của các khoản thanh toán.
Tôi đã chạy query và kết quả là không có dữ liệu công khai nào về phân phối kích thước thanh toán ransomware. Chainalysis, với quyền truy cập vào dữ liệu độc quyền, có thể có nó, nhưng họ không công bố. Đây là một điểm mù quan trọng. Khi một công ty có động cơ thương mại công bố một con số tóm tắt, chúng ta cần hỏi: họ đang ẩn giấu điều gì?
Phân tích cluster ví cho thấy một xu hướng khác: sự gia tăng của các khoản thanh toán bằng Monero và thông qua các máy trộn. Nếu những giao dịch này không được phát hiện bởi các công cụ của Chainalysis, thì con số 26% chỉ đại diện cho phần nổi của tảng băng. Phần chìm – những vụ thanh toán thành công không bị phát hiện – có thể lớn hơn nhiều. Đây là technical debt của việc dựa quá nhiều vào phân tích chuỗi công khai: nó chỉ hoạt động khi kẻ tấn công sử dụng các blockchain minh bạch.
Từ góc độ vĩ mô, sự sụt giảm tỷ lệ thành công này có thể được hiểu như một tín hiệu tích cực cho thị trường crypto hợp pháp. Nó cung cấp cho các nhà quản lý một bằng chứng rằng các công cụ truy vết hoạt động. Điều này có thể làm giảm áp lực cho các quy định cực đoan, như cấm hoàn toàn các ví tự quản. Tuy nhiên, nó cũng có thể dẫn đến sự giám sát chặt chẽ hơn đối với các công cụ bảo mật, như máy trộn và cầu nối, vốn là huyết mạch của hệ sinh thái DeFi.
Luận điểm hội tụ mà tôi đang theo dõi là sự phân kỳ giữa dữ liệu an ninh và tâm lý thị trường. Nếu các nhà đầu tư hiểu sai tỷ lệ thành công 26% là "vấn đề ransomware đã được giải quyết", họ có thể trở nên tự mãn. Nhưng nếu các công ty bảo hiểm mạng bắt đầu điều chỉnh phí bảo hiểm dựa trên dữ liệu này, chúng ta có thể thấy một sự thay đổi trong chi phí hoạt động cho các doanh nghiệp crypto. Đây là một tín hiệu vĩ mô tinh tế nhưng có thể định lượng được.
Cuối cùng, tôi đặt câu hỏi: liệu sự sụt giảm này có phải là một phần của chu kỳ lớn hơn? Khi thị trường crypto giảm, giá trị tài sản bị khóa trong ransomware giảm theo. Nạn nhân ít có khả năng trả tiền chuộc hơn nếu tài sản của họ đã mất giá trị. Nếu chúng ta đang ở trong một thị trường giảm, thì tỷ lệ thành công 26% có thể là một sự bất thường theo chu kỳ, không phải là một xu hướng cấu trúc.