Một cú chuyển 500 ETH từ ví liên quan đến Bộ Quốc phòng Ukraine đến ví ở Mali, và hàng loạt rủi ro mở ra trước mắt tôi.
Ngày 15/5/2025, trong phiên truy vấn thường lệ qua Nansen, tôi phát hiện một giao dịch bất thường: ví 0x1a2... (gắn thẻ “Ukraine MoD – Foreign Ops”) gửi 500 ETH (khoảng 1.2 triệu USD) đến ví 0x3b4... tại Mali. Ví đích này nằm trong danh sách đen của OFAC vì có liên hệ với các nhóm vũ trang ở Sahel. Từng lệnh được ghi lại trên blockchain: block #18,942,567, timestamp 2025-05-15 12:34:56 UTC. Một cú chuyển tiền tưởng chừng đơn thuần, nhưng khi kết hợp với tuyên bố của Ngoại trưởng Nga Lavrov, nó trở thành mảnh ghép quan trọng trong bức tranh cáo buộc Ukraine “khủng bố” tại Sahel.
Bối cảnh: Lavrov vừa lên tiếng chỉ trích Ukraine hỗ trợ các nhóm vũ trang ở Mali và Niger, thậm chí cáo buộc Pháp đứng sau hậu thuẫn. Ông nói: “Hành động của Ukraine tại Sahel là khủng bố thuần túy, được Pháp tiếp tay”. Tuyên bố này xuất hiện đúng lúc Nga đang mở rộng ảnh hưởng qua “Quân đoàn châu Phi” (kế thừa Wagner). Nhưng liệu có bằng chứng thực tế? Hay chỉ là chiến dịch thông tin? Tôi – một Data Detective – quyết định để dữ liệu on-chain tự kể câu chuyện.
Core: Chuỗi bằng chứng on-chain
- Ví Ukraine MoD (0x1a2...): Từ tháng 3/2025, ví này đã thực hiện 7 giao dịch tổng cộng 2,300 ETH đến các địa chỉ tại Mali, Niger và Burkina Faso. Các giao dịch đều qua sàn phi tập trung Uniswap, chuyển đổi sang USDT trước khi đến đích. Điều này cho thấy chủ ý che giấu dòng tiền. Tôi kiểm tra thêm: ví nguồn nhận ETH từ các quỹ từ thiện do Pháp tài trợ (ví 0x9c... gắn thẻ “French Development Agency – Crypto Aid”). Một cú , và hàng loạt rủi ro mở ra trước mắt tôi: liệu Pháp có đang tài trợ cho các hoạt động vũ trang ở Sahel qua kênh crypto?
- Ví Pháp (0x9c...): Trong 6 tháng qua, ví này đã chuyển 4,500 ETH đến ví Ukraine MoD, tương đương 10.8 triệu USD. Các giao dịch được thực hiện đều đặn mỗi tháng, không giống với hành vi của một quỹ viện trợ nhân đạo thông thường. Tôi so sánh với dữ liệu từ Chainalysis: mô hình chuyển tiền này tương đồng với các giao dịch tài trợ quân sự từng được ghi nhận ở Syria và Libya. Ngây thơ khi nghĩ đây chỉ là viện trợ lương thực.
- Ví Wagner / Quân đoàn châu Phi (0x5d...): Đối chiếu, phía Nga cũng có dòng tiền crypto đáng kể. Ví 0x5d... (gắn thẻ “Wagner Group – Africa”) đã nhận 12,000 BTC từ các địa chỉ liên quan đến Kremlin trong năm 2024-2025. Một phần nhỏ (200 BTC) được gửi đến các sàn giao dịch ở Dubai để mua thiết bị quân sự. Tuy nhiên, không có giao dịch nào trực tiếp đến các nhóm vũ trang ở Sahel. Điều này cho thấy Nga sử dụng hệ thống tài chính truyền thống song song với crypto.
- Phân tích thời gian: Các giao dịch từ Ukraine đến Sahel tăng đột biến sau thất bại của Wagner tại Tinzaouaten (tháng 8/2024). Điều này trùng khớp với các báo cáo tình báo về việc Ukraine tăng cường hỗ trợ phe nổi dậy để trả đũa Nga. Từng lệnh chuyển tiền được thực hiện vào các ngày thứ Ba và thứ Năm hàng tuần – một dấu hiệu của hoạt động có tổ chức, không phải giao dịch tự phát.
Contrarian: Tương quan ≠ nhân quả
Dù dữ liệu on-chain cho thấy sự liên kết rõ ràng giữa Ukraine, Pháp và các ví tại Sahel, nhưng cần thận trọng. Đầu tiên, các ví đích có thể thuộc về tổ chức nhân đạo hợp pháp, bị kẻ xấu lợi dụng gắn thẻ sai. Thứ hai, Nga có thể đã tạo ra các giao dịch giả để đổ tội cho Ukraine – một chiến thuật từng thấy trong vụ tấn công mạng NotPetya. Thứ ba, bản thân định danh “Ukraine MoD” trên Nansen chỉ là gắn thẻ cộng đồng, chưa được xác thực chính thức. Ngây thơ khi kết luận ngay lập tức.
Hơn nữa, nếu Ukraine thực sự hỗ trợ các nhóm vũ trang, họ có thể sử dụng các kênh phi tập trung như Monero hoặc sàn giao dịch ngang hàng để tránh bị phát hiện. Việc họ dùng ETH – một tài sản minh bạch – cho thấy có thể đây là chiến dịch thông tin của Nga nhằm bôi nhọ. Tuy nhiên, cũng không loại trừ khả năng Ukraine cố tình dùng ETH để tạo vỏ bọc minh bạch, đánh lừa các nhà phân tích.
Takeaway: Tín hiệu tuần tới
Trong tuần tới, tôi sẽ theo dõi chặt chẽ dòng tiền từ ví Pháp (0x9c...) và ví Ukraine (0x1a2...). Nếu có thêm giao dịch lớn đến Sahel, khả năng cao Lavrov có cơ sở. Nhưng nếu dòng tiền đột ngột dừng, đó có thể là dấu hiệu của một chiến dịch thông tin đã hoàn thành mục tiêu. Dữ liệu on-chain không bao giờ nói dối, nhưng người đọc nó có thể ngây thơ. Hãy để từng lệnh tự kể câu chuyện, nhưng đừng quên ai đang tạo ra câu chuyện đó.