Andean Medjedovic: Hacker 22 tuổi "cuỗm" 49 triệu USD từ KyberSwap
Theo tài liệu do Bộ Tư pháp Mỹ công bố vào ngày 3/2/2025, Andean Medjedovic, năm nay 22 tuổi, là người đã đánh cắp 16.5 triệu USD từ Indexed Finance và 48.8 triệu USD từ KyberSwap, với tổng số tiền đánh cắp lên đến 65 triệu USD. Hai vụ hack này từng gây xôn xao cộng đồng DeFi và thu hút sự chú ý đặc biệt từ giới chức Mỹ.
Đáng chú ý, sau khi thực hiện hành vi phạm tội, Medjedovic còn có kế hoạch chi tiết từng bước để che giấu dấu vết và hợp thức hóa số tiền khổng lồ đã đánh cắp. Điều này cho thấy Medjedovic không phải "tay mơ" trong không gian crypto.
Medjedovic & Vitalik: Chung trường, khác hướng đi
Andean Medjedovic, sinh tại Canada, sớm bộc lộ tài năng thiên bẩm khi hoàn thành chương trình trung học tại Waterloo, Canada khi mới 14 tuổi. Medjedovic tiếp tục theo học chuyên ngành toán học tại Đại học Waterloo - ngôi trường danh giá bậc nhất Canada và cũng là nơi Vitalik Buterin - nhà đồng sáng lập Ethereum, từng theo học.
Chỉ trong vòng ba năm, Medjedovic đã tốt nghiệp cử nhân ở tuổi 17 và ngay lập tức tiếp tục theo đuổi chương trình thạc sĩ. “Trong suốt thời gian giảng dạy ở đây, tôi chưa từng thấy sinh viên nào lấy bằng nhanh như thế", Giáo sư David Jao của Đại học Waterloo chia sẻ trên Bloomberg vào năm 2022.
Trong thời gian học, Medjedovic còn phát triển kỹ năng lập trình, thường xuyên tham gia các cuộc thi bảo mật như Code4rena, và giành được hai giải thưởng nhờ phát hiện lỗ hổng trong các hệ thống DeFi.
Đặc biệt, Medjedovic có mối quan tâm mạnh mẽ đối với các công cụ tạo lập thị trường tự động (AMM). “Bất cứ khi nào nghe về một sản phẩm DeFi mới, tôi đều nghiên cứu kỹ cách nó hoạt động và bỏ ít tiền vào nếu tôi nảy ra ý tưởng hay”, Medjedovic chia sẻ với Bloomberg.
Bạn học cũ mô tả Medjedovic khó gần và tự tin đến mức ngạo mạn, hay coi thường những người mà anh đánh giá là "kém thông minh". Medjedovic còn bị cáo buộc theo đuổi quan điểm chính trị cực đoan, bao gồm thuyết ưu sinh (triệt sản các cá thể khuyết tật), phân biệt chủng tộc và bài Do Thái.
Trong cuộc phỏng vấn với DL News năm 2023, Medjedovic vẫn tỏ ra thích thú với những tuyên bố này và thậm chí công khai xúc phạm phụ nữ cùng các nhóm thiểu số.
Trong khi Vitalik dùng tài năng của mình để tạo ra Ethereum và phát triển không gian DeFi, Medjedovic chọn một lối đi hoàn toàn khác. Medjedovic "mở rộng" quan điểm cực đoan sang các hoạt động trên blockchain và sử dụng thiên tài của mình để khai thác lỗ hổng thiết kế trong các dự án DeFi.
Điển hình, khi Medjedovic tấn công dự án Indexed Finance vào năm 2021, Bloomberg chỉ ra rằng địa chỉ ví tiền mã hoá của Medjedovic chứa con số "1488" - một mật mã của chủ nghĩa tân Quốc xã.
Ngoài ra, mã code của Medjedovic còn bị phát hiện có chứa từ ngữ mang tính phân biệt chủng tộc. Điều này làm dấy lên nghi vấn động cơ thực sự của Medjedovic không chỉ là tiền bạc, mà còn bị thúc đẩy bởi hệ tư tưởng cá nhân đầy tranh cãi.
"Tên cướp biển" sống đời lẩn trốn của DeFi
Tháng 10/2021, Medjedovic thực hiện phi vụ tấn công lớn đầu tiên vào DeFi với Indexed Finance - dự án hoạt động như quỹ ETF trên blockchain, nơi các pool thanh khoản chứa một rổ token do người dùng đóng góp.
Medjedovic đã phát hiện ra một cơ hội định giá sai (mispricing opportunity) trong mã code của dự án và tận dụng nó để thực hiện vụ hack. Theo Bộ Tư pháp Mỹ, Medjedovic đã vay hàng trăm triệu USD tiền mã hóa để thao túng hai pool thanh khoản trên Ethereum.
Sau đó, Medjedovic lợi dụng quy trình tái lập chỉ số (re-indexing) của hợp đồng thông minh - cơ chế giúp thêm token mới vào pool, để rút thành công 16.5 triệu USD từ tài sản của nhà đầu tư. Hiểu đơn giản, nền tảng đã bị "qua mặt" trong việc định giá token, tạo điều kiện cho kẻ tấn công mua token với giá rẻ mạt.
Điều đặc biệt là Medjedovic không hề che giấu danh tính sau vụ tấn công, thậm chí còn công khai tuyên bố hành động của mình hoàn toàn hợp pháp. Medjedovic lập luận mình chỉ đang tận dụng lỗ hổng thiết kế của nền tảng và nhấn mạnh quan điểm "mã code là luật" (code is law) – một triết lý phổ biến trong cộng đồng crypto.
Tuy nhiên, tuyên bố này nhanh chóng bị bác bỏ. Thẩm phán Fred Myers của Tòa án Thượng thẩm Canada đã ra lệnh đóng băng toàn bộ token của Medjedovic và tiến hành khám xét nhà riêng của anh. Thẩm phán Myers cũng tuyên bố rằng "có vẻ như bị cáo trẻ tuổi đã bỏ trốn".
“Tôi đã làm một điều rất 'ngầu' nhưng vô tình để lộ danh tính, có lẽ tôi sẽ phải chạy trốn suốt đời", Medjedovic viết sau vụ tấn công Indexed Finance. “Cần lời khuyên làm sao để trở thành cướp biển”.
Mặc dù đã tẩu thoát và lẩn trốn, Medjedovic vẫn tiếp tục tham gia vào các hoạt động tội phạm mạng, mà đỉnh điểm là vụ tấn công KyberSwap sau đó.
Hack KyberSwap: "Được voi" đòi kiểm soát giao thức
KyberSwap là một giao thức DeFi do người Việt sáng lập, chuyên phát triển các pool thanh khoản trên nhiều blockchain, bao gồm Ethereum và Arbitrum.
Các pool này hoạt động như một trung tâm thanh khoản, nơi người dùng đóng góp tiền mã hóa để hỗ trợ giao dịch và tạo lập thị trường. Toàn bộ hệ thống do các hợp đồng thông minh AMM quản lý, giúp xác định giá cả của tài sản trong pool.
Theo Bộ Tư pháp Mỹ, vào tháng 11/2023, Andean Medjedovic đã vay hàng trăm triệu USD tiền mã hóa, sau đó thực hiện hàng loạt giao dịch phức tạp để tạo ra biến động giá nhân tạo trong các pool thanh khoản.
Bằng cách tính toán chính xác các chuỗi giao dịch, Medjedovic đã khiến hệ thống AMM của KyberSwap bị lỗi, từ đó rút cạn tài sản trong các pool thanh khoản. Tổng cộng, Medjedovic đã đánh cắp 48.8 triệu USD từ 77 pool thanh khoản trên 6 blockchain khác nhau.
Táo bạo hơn, sau khi KyberSwap đề nghị trao khoản tiền thưởng trị giá 10% số tiền bị đánh cắp, Medjedovic còn tuyên bố: Sẽ trả lại 50% số tiền nếu được toàn quyền kiểm soát giao thức KyberSwap và KyberSwap DAO.
“Với sự đồng hành của cộng đồng bảo mật, chúng tôi đã phối hợp cùng nhiều cơ quan chức năng, trong đó có Bộ Tư pháp Mỹ, để làm sáng tỏ vụ việc này”, Trần Huy Vũ - CEO của Kyber Network, chia sẻ sau khi Bộ Tư pháp Mỹ công khai thông tin về hacker. “Chúng tôi rất mong tìm lại số tiền bị đánh cắp khỏi Kyber và đưa kẻ phạm tội ra trước công lý”.
Hiện tại, Medjedovic đang bị truy nã với hàng loạt tội danh nghiêm trọng như lừa đảo qua mạng, tấn công hệ thống máy tính và cố gắng tống tiền. Medjedovic cũng bị cáo buộc cố gắng rửa tiền thông qua các cầu nối blockchain và dịch vụ trộn tiền mã hoá (crypto mixer).
“Các hacker đang đánh cắp tiền của người khác và vi phạm luật pháp của đất nước này”, Dennehy - Trợ lý Giám đốc FBI, Mỹ nói. “Dù tin rằng mình bất khả xâm phạm, Medjedovic cùng tất cả các tội phạm mạng khác đều sẽ phải trả giá”.
Đọc thêm: Lazarus Group - Truyền thuyết đô thị trong ngành an ninh mạng và crypto