Đồng CEO Binance Richard Teng cho biết tin tặc đã đánh cắp lượng tài sản mã hóa trị giá 6,34 tỷ USD từ hạ tầng ví của sàn trong vụ tấn công ngày 29/10. Nhóm này bị cáo buộc xâm nhập hệ thống qua công cụ phát triển giả mạo, phỏng vấn tuyển dụng giả, phần mềm độc hại và các công cụ AI nội bộ. Binance cho biết đã khôi phục 98% tài sản bị ảnh hưởng; phần còn lại, chủ yếu là các tài sản có thanh khoản thấp, vẫn đang được xử lý.
Vụ việc khiến thị trường chú ý đến quy trình cấp quyền cho ví tại các sàn giao dịch tập trung, bảo mật thiết bị nhân viên và quản lý quyền truy cập vào công cụ nội bộ. Binance cho biết đã xây dựng lại các hệ thống ví và công cụ AI bị ảnh hưởng, đồng thời sẽ mời chuyên gia độc lập rà soát cách ứng phó.
Binance cho biết hoạt động xâm nhập bắt đầu từ tháng 6
Trong báo cáo bảo mật công bố hôm thứ Ba, Binance cho biết quá trình chuẩn bị cho vụ tấn công có thể đã bắt đầu từ tháng 6. Khi đó, một kỹ sư phụ trách DevOps cho Binance Wallet tìm kiếm một công cụ lập trình AI phổ biến và tải về bộ cài Homebrew đã bị chỉnh sửa.
Binance cho biết sau khi phát hiện hoạt động đáng ngờ, công ty đã thay thiết bị của kỹ sư này và luân chuyển các thông tin xác thực liên quan như biện pháp phòng ngừa. Tuy nhiên, báo cáo nêu rằng trước khi các biện pháp này được thực hiện, tin tặc đã thu thập được thông tin về vai trò của nhân viên cùng các đồng nghiệp trong nhóm hạ tầng ví.
Teng nói nhóm tấn công mất nhiều tháng để từng bước thiết lập đường truy cập. Ông bác bỏ nhận định rằng vụ việc chỉ bắt nguồn từ một máy tính xách tay của nhân viên, đồng thời cho biết tin tặc tiếp tục nhắm mục tiêu vào một kỹ sư khác trong tháng 9.
Phỏng vấn tuyển dụng giả đưa mã độc vào hệ thống
Theo Teng, trong tháng 9, tin tặc giả danh nhà tuyển dụng và tổ chức một loạt buổi phỏng vấn với một kỹ sư. Người này nhận được bài kiểm tra lập trình có cài mã độc nhằm vượt qua các biện pháp bảo vệ an ninh. Sau đó, tin tặc sử dụng công cụ AI nội bộ của Binance để mở rộng hoạt động và giành quyền truy cập đủ để vượt qua hệ thống phê duyệt giao dịch ví.
Diễn biến cho thấy cuộc tấn công không chỉ nhắm vào một thiết bị, mà được triển khai từng bước thông qua tiếp xúc với nhân viên, cài đặt phần mềm và khai thác quyền truy cập hệ thống. Binance cho biết đã vô hiệu hóa các thiết bị, thông tin xác thực và mã thông báo liên quan đến kỹ sư bị nhắm mục tiêu, đồng thời mở rộng quét bảo mật trên thiết bị của nhân viên.
Binance khôi phục 98%, một số khoản rút từng bị hạn chế
Binance cho biết đã khôi phục 98% tài sản bị ảnh hưởng và đang mua bù phần còn thiếu, trong đó có một số tài sản có thanh khoản thấp. Sau vụ việc, sàn tạm thời hạn chế một số giao dịch rút tiền, cam kết bù đắp thiệt hại cho khách hàng và sử dụng dự trữ của mình để bổ sung tài sản bị ảnh hưởng.
Các công ty trong ngành, gồm Tether, Circle và Ripple, phối hợp với Binance cùng các bên khác để đóng băng khoảng 3 tỷ USD tài sản. Tuy nhiên, một phần tiền bị đánh cắp vẫn được chuyển qua các kênh rửa tiền. Coinbase cho biết đã chặn các giao dịch chuyển đến những ví bị ảnh hưởng và hỗ trợ trực tiếp Binance.
Teng không trực tiếp quy trách nhiệm vụ tấn công cho Triều Tiên, nhưng cho biết Cục Điều tra Liên bang Mỹ (FBI) đã liên hệ vụ việc với các tin tặc Triều Tiên và nhóm TraderTraitor. Việc xác định thủ phạm vẫn nằm trong quá trình điều tra; Binance cho biết đang phối hợp với cơ quan thực thi pháp luật và các đối tác trong ngành để truy tìm, đóng băng số tiền bị đánh cắp.
Binance thuê chuyên gia độc lập rà soát cách ứng phó
Teng cho biết Binance sẽ thuê chuyên gia độc lập đánh giá toàn bộ quá trình xử lý vụ việc và tiếp tục tăng cường phòng thủ trong khi cuộc điều tra còn diễn ra. Sàn đã xây dựng lại các hệ thống ví và công cụ AI nội bộ bị ảnh hưởng, thay thiết bị, thu hồi thông tin xác thực và mã thông báo liên quan, đồng thời mở rộng phạm vi quét thiết bị đầu cuối của nhân viên.
Vụ tấn công từng làm lung lay niềm tin của thị trường tiền mã hóa vào các sàn giao dịch tập trung. Binance nói tình hình tài chính của công ty vẫn vững chắc và hiện tập trung xác định lỗ hổng, thu hồi số tài sản còn lại và ngăn sự cố tương tự tái diễn. Tiến độ thu hồi, dòng di chuyển của số tiền chưa được bù đắp và kết quả rà soát độc lập là những vấn đề cụ thể mà người dùng và thị trường đang theo dõi.