Binance đang đối mặt với vụ trộm tài sản tiền mã hóa lớn nhất từ trước đến nay. Các đơn vị điều tra blockchain ước tính số tài sản bị lấy cắp vượt 6 tỷ USD, trong khi Binance cho biết khoảng 5 tỷ USD tài sản bị ảnh hưởng và đang huy động thêm 1,3 tỷ USD qua thị trường và giao dịch OTC để thực hiện cam kết bù đắp tổn thất. Vụ việc đặt ra câu hỏi về khả năng bảo vệ tài sản và duy trì hoạt động rút tiền của sàn, đồng thời làm dấy lên quan ngại về hệ thống ví nóng và quy trình phê duyệt giao dịch tại các nền tảng tập trung lưu ký lượng lớn tài sản khách hàng.
Kế hoạch tấn công có thể được chuẩn bị trước ít nhất 36 giờ
Điều tra sơ bộ của Binance cho thấy vụ việc có thể liên quan đến việc máy tính xách tay của một kỹ sư DevOps bị xâm nhập và kẻ tấn công truy cập trái phép vào một container dịch vụ. Sàn cho biết chưa tìm thấy bằng chứng khóa riêng tư bị lộ. Richard Teng, đồng CEO Binance, nhận định vụ tấn công phức tạp hơn việc đơn thuần chiếm đoạt quyền truy cập của một nhân viên.
TRM Labs cho biết kẻ tấn công có thể đã chuẩn bị ít nhất 36 giờ trước khi thực hiện. Chúng nạp tiền vào các ví dùng cho chiến dịch thông qua những khoản rút nhỏ từ Tornado Cash, sau đó triển khai và thử mã độc liên quan đến ba ví. Khi tiến hành tấn công, chúng tận dụng EIP-7702 trên Ethereum để biến ví nóng của Binance thành công cụ tập trung tài sản do chúng kiểm soát. Kẻ tấn công đã chuẩn bị trước 50 chữ ký ủy quyền nhằm bảo đảm có ít nhất một chữ ký còn hiệu lực khi giao dịch được thực hiện.
Tài sản cũng được chuyển đồng thời trên chín blockchain khác. TRM cho rằng phạm vi hoạt động xuyên chuỗi này có thể cho thấy sự cố không chỉ giới hạn ở một ví, mà liên quan đến hạ tầng ký giao dịch ví nóng rộng hơn của Binance. Elliptic nhận định kẻ tấn công có thể vẫn giữ quyền truy cập sau lần khai thác lỗ hổng ban đầu, sử dụng quyền của chủ sở hữu một ví bị kiểm soát để rút tiền từ một ví Binance khác, đồng thời tiếp tục chuyển tài sản mới được nạp vào. Một ví nóng Ethereum khác cũng trực tiếp chuyển số tài sản trị giá 174 triệu USD cho kẻ tấn công, làm tăng quan ngại về phạm vi quyền truy cập vào hệ thống ký giao dịch.
Quyền phê duyệt giao dịch là điểm then chốt
Simone Imbrescia, Phó chủ tịch Immunefi, cho rằng độ phức tạp của vụ tấn công có thể không nằm ở mã chạy trên blockchain, mà ở cách kẻ tấn công xâm nhập vào hạ tầng có quyền phê duyệt giao dịch. Bà cho biết hợp đồng tập trung tài sản liên quan chỉ có khoảng 130 dòng mã. Vấn đề cốt lõi là làm thế nào kẻ tấn công có được quyền hệ thống đủ để khiến đoạn mã đơn giản gây thiệt hại lớn.
Chainalysis, Elliptic và TRM đều quy vụ tấn công cho các nhóm hacker Triều Tiên. TRM cho biết hoạt động này có liên hệ với nhóm đứng sau vụ tấn công Bybit năm 2025, khiến khoảng 1,5 tỷ USD tài sản bị đánh cắp. Chainalysis phát hiện mối liên hệ trên blockchain giữa số tiền bị lấy khỏi Binance và dòng tiền từ vụ việc Bitget tháng trước, cũng bị quy cho hacker Triều Tiên. Tuy nhiên, Elliptic lưu ý phần trùng lặp trên chuỗi giữa hai vụ chỉ chiếm một phần nhỏ số tài sản bị lấy khỏi Binance, chưa đủ để xác nhận chúng do cùng một nhóm thực hiện.
Các nhà điều tra cũng ghi nhận kẻ tấn công thực hiện hàng nghìn giao dịch trong thời gian ngắn, liên tục chuyển tiền qua nhiều địa chỉ. Để giảm nguy cơ các tổ chức phát hành stablecoin đóng băng tài sản, trong gần 20 phút, chúng đổi stablecoin trị giá 325 triệu USD lấy khoảng 285 triệu USD ETH.
Tài sản bị đánh cắp được đưa vào Aave, một số giao dịch chịu chiết khấu
Elliptic cho biết kẻ tấn công đã gửi 59,9 triệu USD USDT bị đánh cắp vào Aave làm tài sản thế chấp để vay 19.762 ETH. Tại thời điểm cập nhật gần nhất của Elliptic, khoản vay chưa được hoàn trả và đang ở gần ngưỡng thanh lý. Kẻ tấn công cũng đổi hàng trăm triệu USD USDT sang ETH thông qua các sàn giao dịch phi tập trung và nhà tạo lập thị trường. Một số giao dịch chịu mức chiết khấu lên tới khoảng 26% so với giá thị trường khi tài sản được chuyển sang loại mà tổ chức phát hành không thể đóng băng.
Aave cho biết hôm thứ Sáu rằng nền tảng đã gỡ trạng thái đóng băng trên tất cả các thị trường thuộc giao thức V3 và V4. Công ty nói các hợp đồng thông minh không bị ảnh hưởng và vị thế của người dùng vẫn được thế chấp đầy đủ. Sự cố hệ thống ký giao dịch tại Binance và tình trạng hợp đồng của Aave là hai vấn đề riêng biệt; thông báo của Aave đề cập đến trạng thái giao thức và tài sản thế chấp của người dùng.
Binance huy động 1,3 tỷ USD và dự kiến công bố báo cáo dự trữ
Binance cho biết khoảng 5 tỷ USD tài sản bị ảnh hưởng và sàn đang tìm cách huy động thêm 1,3 tỷ USD qua các kênh thị trường và OTC để bù đắp tổn thất. Teng nói Binance dự kiến công bố báo cáo bằng chứng dự trữ sơ bộ vào thứ Hai và đang nỗ lực khôi phục hoạt động rút tiền. Trong video đăng hôm thứ Sáu, ông cho biết sàn hy vọng người dùng có thể rút tiền trước thời hạn vào Chủ nhật; mục tiêu khi đó là khôi phục các hoạt động liên quan trong khoảng 40 giờ.
Các nhà phân tích của TD Cowen nhận định bằng chứng hiện có hướng tới việc hạ tầng của một tổ chức trung gian tập trung bị xâm nhập, chứ không cho thấy Bitcoin hay mạng lưới nền tảng gặp trục trặc. Ảnh hưởng trước mắt tập trung vào việc Binance xử lý tài sản, khôi phục rút tiền và công bố dự trữ. Cuộc điều tra vẫn cần làm rõ cách kẻ tấn công xâm nhập hệ thống nội bộ, quy trình cấp quyền có bị ảnh hưởng trên diện rộng hay không và liệu tài sản bị đánh cắp có thể được thu hồi.
Imbrescia nhấn mạnh các biện pháp bảo mật tài sản mã hóa không thể chỉ tập trung vào việc lưu trữ khóa riêng tư và kiểm toán hợp đồng thông minh. Nhân sự, hạ tầng và quy trình vận hành có khả năng sử dụng khóa cũng nằm trong phạm vi cần bảo vệ. Nếu kiểm soát được lớp vận hành này, kẻ tấn công có thể không cần đánh cắp khóa riêng tư trực tiếp hay khai thác lỗ hổng hợp đồng phức tạp. Với người dùng Binance, các thông tin cụ thể cần theo dõi là tiến độ khôi phục rút tiền, báo cáo bằng chứng dự trữ và cách sàn bù đắp tổn thất.