Binance cho biết đã phát hiện và ngăn chặn 57 mối đe dọa mạng bị nghi có liên quan đến Triều Tiên trong năm 2026. Dù vậy, một kỹ sư của công ty đã tải mã độc sau khi tham gia buổi phỏng vấn tuyển dụng giả, tạo điều kiện để tin tặc mở rộng quyền truy cập nội bộ và cuối cùng tiếp cận hạ tầng ký ví. Báo cáo an ninh Binance công bố ngày 3/11 mô tả diễn biến vụ việc. Trước đó, ngày 31/10, Cục Điều tra Liên bang Mỹ (FBI) quy vụ đánh cắp khoảng 6,34 tỷ USD tài sản mã hóa xảy ra ngày 29/10 cho chiến dịch TraderTraitor của Triều Tiên. Vụ việc cho thấy việc nhận diện các mối đe dọa chưa đủ để ngăn chặn hoàn toàn rủi ro: quy trình tuyển dụng và môi trường phát triển vẫn có thể trở thành cửa ngõ vào hệ thống của một nền tảng tiền mã hóa.
Từ bộ cài giả đến hạ tầng ký ví
Theo báo cáo của Binance, hoạt động đáng ngờ đầu tiên được phát hiện vào tháng 6. Một kỹ sư phụ trách hạ tầng ví đã tải xuống bộ cài Homebrew bị chỉnh sửa khi cài một công cụ lập trình AI phổ biến. Sau khi phát hiện dấu hiệu bất thường, đội ngũ an ninh thay thiết bị cho nhân viên này và luân chuyển các thông tin xác thực liên quan. Tuy nhiên, tin tặc đã tiếp cận được thông tin về vai trò của người này và các đồng nghiệp.
Đến tháng 9, kẻ tấn công liên hệ với một kỹ sư phần mềm khác qua một nền tảng tuyển dụng hợp pháp, tự nhận là trưởng dự án của một công ty không có thật. Một người khác đóng vai đại diện nhân sự, tham gia phỏng vấn video trực tiếp và đưa ra tài khoản mạng xã hội có ảnh, video cá nhân để tạo lòng tin. Ở vòng phỏng vấn thứ hai, một người khác tự xưng là CEO của công ty đó.
Gần cuối buổi phỏng vấn, kỹ sư được yêu cầu tải bài kiểm tra lập trình về máy tính làm việc. Kho mã trông như một dự án phát triển bình thường, nhưng mã độc được chạy trong quá trình cài đặt, thay thế thành phần của công cụ phát triển hợp pháp rồi kết nối với máy chủ do tin tặc kiểm soát. Binance cho biết loại mã độc này trước đó chưa được biết đến, vượt qua phần mềm bảo vệ thiết bị đầu cuối và che giấu dấu vết xâm nhập.
Đến ngày 20/10, kẻ tấn công dùng máy tính đã bị xâm nhập cùng một công cụ AI nội bộ để chiếm quyền kiểm soát thêm thiết bị của hai kỹ sư, trong đó có nhân viên từng bị nhắm đến hồi tháng 6. Sau đó, chúng lấy được mã thông báo cấp quyền triển khai container. Chín ngày sau, tin tặc dùng thông tin xác thực bị đánh cắp để triển khai container độc hại, qua đó xâm nhập hạ tầng ký ví của Binance.
Binance cho biết tin tặc đã bỏ qua quy trình rút tiền thông thường để thực hiện các giao dịch chuyển tài sản trái phép trên nhiều mạng blockchain. Công ty không nêu trong báo cáo có bao nhiêu trong số 57 mối đe dọa bị ngăn chặn liên quan đến phỏng vấn giả, hoặc vụ nào có liên hệ trực tiếp với nhóm tấn công trong tháng 10.
Binance thay thiết bị và xây dựng lại hạ tầng ví
Đồng CEO Binance He Yi cho biết đội ngũ an ninh công ty đã phát hiện và ngăn chặn 57 mối đe dọa mạng bị nghi liên quan đến Triều Tiên trong năm 2026. Các thủ đoạn được bà nêu gồm phỏng vấn tuyển dụng giả, mã độc giả dạng công cụ phát triển phổ biến, gói phần mềm và tiện ích trình duyệt bị chỉnh sửa, ứng dụng họp video giả mạo, cùng các chiến dịch tấn công phi kỹ thuật nhằm đánh cắp thông tin xác thực hoặc cài mã độc truy cập từ xa. He Yi thừa nhận nhiều cuộc tấn công đã bị chặn, nhưng một vụ lọt qua đã gây hậu quả nghiêm trọng và không đáng lẽ xảy ra.
Sau sự cố, Binance thay thiết bị của các nhân viên bị ảnh hưởng, thu hồi thông tin xác thực bị lộ và xây dựng lại hạ tầng ví liên quan. Công ty cũng cho biết sẽ tăng cường bảo vệ môi trường phát triển và mở rộng giám sát hành vi dựa trên AI. Báo cáo chưa nêu cụ thể các biện pháp này xử lý khâu phỏng vấn tuyển dụng bị lợi dụng trong vụ tấn công ra sao.
Phỏng vấn giả trùng với thủ đoạn từng được cảnh báo
Vụ việc có những điểm tương đồng với các chiến dịch mạng của Triều Tiên mà giới nghiên cứu an ninh và cơ quan thực thi pháp luật Mỹ theo dõi trong nhiều năm. Tháng 9/2024, FBI cảnh báo tin tặc Triều Tiên sử dụng cơ hội việc làm được cá nhân hóa, danh tính giả được xây dựng kỹ lưỡng và liên lạc kéo dài để xâm nhập các doanh nghiệp tiền mã hóa. Ngay cả nhân viên có năng lực kỹ thuật cao cũng có thể trở thành mục tiêu của các vụ lừa đảo được thiết kế dựa trên hồ sơ nghề nghiệp của họ.
Tháng 6/2026, các nhà nghiên cứu của Kudelski Security ghi nhận chiến dịch mang tên “Contagious Interview”. Những kẻ tấn công giả làm nhà tuyển dụng trên LinkedIn, WhatsApp và Discord, sau đó dụ các nhà phát triển chạy mã độc. Đến tháng 9, các nhà nghiên cứu của Atlassian phát hiện những bài kiểm tra kỹ thuật giả được lưu trữ trên các nền tảng phát triển uy tín, trong đó chỉ dẫn độc hại được giấu trong các dự án phần mềm trông bình thường.
Các trường hợp này cho thấy tin tặc tiếp tục khai thác quy trình tuyển dụng và công cụ dành cho nhà phát triển để tạo lòng tin, rồi mở rộng quyền truy cập vào hệ thống nội bộ doanh nghiệp. Chi tiết Binance công bố cũng cho thấy việc thiết bị bị nhiễm mã độc hồi tháng 6 không ngăn được một đợt tấn công sau đó tận dụng quan hệ giữa nhân viên và các công cụ nội bộ để mở rộng kiểm soát. Công ty chưa công bố cơ cấu của 57 vụ việc bị ngăn chặn hay những lớp bảo vệ nào đã thất bại trong vụ này. Thông tin hiện có xác nhận cuộc tấn công đã chạm tới hạ tầng ký ví và dẫn đến việc chuyển tài sản trái phép trên nhiều mạng blockchain.