Ngày 3/11, Binance công bố chi tiết vụ đánh cắp tài sản số trị giá 634 triệu USD: kẻ tấn công khai thác máy tính nhân viên bị xâm nhập cùng công cụ AI nội bộ để chiếm quyền kiểm soát hai kỹ sư phụ trách hạ tầng ví, sau đó xâm nhập quy trình ký giao dịch và phát lệnh trái phép. Binance cho biết khoảng 285 triệu USD tài sản liên quan đã bị phong tỏa hoặc chặn lại. Vụ việc cho thấy công cụ AI, môi trường phát triển phần mềm và thông tin xác thực của nhân viên có thể trở thành những mắt xích liên kết trong một cuộc tấn công nhằm vào nền tảng tiền mã hóa.
Kẻ tấn công xâm nhập quy trình ký giao dịch ví
Theo Binance, ngày 20/10, đối tượng dùng một máy tính nhân viên đã bị xâm nhập cùng công cụ AI nội bộ để kiểm soát hai kỹ sư. Sau đó, chúng lấy được mã thông báo cấp quyền triển khai container. Đến ngày 29/10, kẻ tấn công tiếp cận quy trình ký giao dịch ví của sàn và phát lệnh trái phép trên nhiều mạng blockchain.
Thông tin được công bố đến nay không cho thấy mô hình AI tự lên kế hoạch hay thực hiện vụ đánh cắp. Thay vào đó, cuộc tấn công kết hợp thông tin xác thực bị đánh cắp, phần mềm phát triển bị cài mã độc và thủ đoạn thao túng nhân viên; công cụ AI nội bộ là một mắt xích trong chuỗi này.
Cuộc điều tra cũng lần lại các vụ xâm nhập nhắm vào nhân viên trước đó. Tháng 6 năm nay, một kỹ sư Binance tải về bộ cài đã bị chỉnh sửa khi cài một công cụ lập trình AI phổ biến. Sau khi phát hiện dấu hiệu bất thường, Binance thay thiết bị và đổi các thông tin xác thực liên quan, nhưng một số dữ liệu của nhân viên này và đồng nghiệp đã bị lộ từ trước.
Đến tháng 9, một kỹ sư khác trở thành mục tiêu của chiêu thức giả mạo quy trình tuyển dụng. Kẻ tấn công tổ chức phỏng vấn giả và gửi bài tập lập trình độc hại để lây nhiễm máy tính của kỹ sư. Binance cho biết thiết bị này sau đó bị lợi dụng để xâm nhập sâu hơn vào hệ thống nội bộ. Cục Điều tra Liên bang Mỹ (FBI) quy trách nhiệm cho Triều Tiên trong chiến dịch tấn công rộng hơn.
Giới nghiên cứu cảnh báo AI hỗ trợ tấn công nhà phát triển
Vụ việc tại Binance diễn ra trong bối cảnh các nhà nghiên cứu an ninh mạng cảnh báo AI vừa mở rộng năng lực của kẻ tấn công, vừa làm tăng số điểm có thể bị khai thác trong hệ thống doanh nghiệp. Tháng 2, Mandiant, đơn vị an ninh thuộc Google, cho biết các tin tặc Triều Tiên nhắm vào ngành tiền mã hóa đã sử dụng kỹ thuật có hỗ trợ AI.
Các nhà nghiên cứu từng ghi nhận một vụ xâm nhập có cuộc họp video giả và phần mềm độc hại; họ nghi ngờ đối tượng dùng video tạo bằng AI để giả danh lãnh đạo doanh nghiệp. Tuy nhiên, nhóm nghiên cứu chưa thể xác minh độc lập video đó có phải sản phẩm deepfake hay không. Họ phát hiện nhóm tin tặc liên quan sử dụng công cụ AI để trinh sát và thực hiện các hoạt động thao túng xã hội.
Tháng 9, nhóm tình báo mối đe dọa của Google cho biết một số đối tượng đang chuyển từ việc dùng AI tạo nội dung độc hại sang tự động hóa nhiều giai đoạn của cuộc xâm nhập. Trong một trường hợp, chưa đầy sáu giờ sau khi xâm nhập tài nguyên đám mây, tin tặc đã tổ chức chiến dịch đánh cắp thông tin xác thực quy mô lớn có hỗ trợ AI. Google cũng phát hiện các đối tượng tìm cách thao túng trợ lý lập trình AI và công cụ quét bảo mật để phục vụ tấn công chuỗi cung ứng phần mềm.
Cũng trong tháng 9, Anthropic cho biết tội phạm mạng và các đối tượng bị nghi có sự hậu thuẫn của nhà nước đã dùng mô hình Claude để trinh sát, phát triển công cụ tấn công và tự động hóa việc lấy cắp dữ liệu. Một số chiến dịch có AI agent thực hiện nhiều bước tấn công với sự giám sát hạn chế của con người. Vụ Binance cho thấy nhà phát triển và các công cụ AI họ sử dụng cũng có thể trở thành đường xâm nhập vào hạ tầng nhạy cảm.
Binance xây dựng lại công cụ nội bộ và tăng kiểm soát
Binance cho biết đã xây dựng lại công cụ AI nội bộ và hạ tầng ví bị ảnh hưởng, thay thiết bị của nhân viên bị xâm nhập và siết chặt kiểm soát truy cập. Sàn cũng thuê đơn vị độc lập đánh giá an ninh mạng để kiểm chứng kết quả điều tra và tìm biện pháp bảo vệ bổ sung.
Sàn dự kiến tăng đầu tư vào phát hiện mối đe dọa có hỗ trợ AI, bảo vệ thiết bị đầu cuối, an ninh môi trường phát triển và giám sát hành vi bất thường. Binance cũng thúc đẩy thành lập quỹ nghiên cứu an ninh, hợp tác có mục tiêu với các công ty AI, doanh nghiệp blockchain và công ty an ninh mạng. Sàn chưa công bố quy mô quỹ, danh sách đơn vị tham gia hay thời điểm triển khai.
Về tài sản, Binance cho biết khoảng 285 triệu USD trong tổng số 634 triệu USD tài sản số bị ảnh hưởng đã được phong tỏa hoặc chặn lại. Tính đến ngày 31/10, 98% lượng token bị ảnh hưởng đã được bổ sung. Đánh giá độc lập chưa xác định đầy đủ các điểm yếu bị khai thác trong môi trường AI nội bộ; kết quả rà soát sẽ được dùng để định hướng những biện pháp bảo mật tiếp theo và kế hoạch xây dựng quỹ nghiên cứu trong ngành.