FBI: Nhóm hacker TraderTraitor đứng sau vụ hack Binance

Binance: Đã bù đắp 90% thiệt hại từ vụ hack 6,3 tỉ USD

Binance cho biết đã sử dụng tiền của công ty để mua lại các token, qua đó bù đắp được 90% giá trị tài sản bị đánh cắp trong vụ tấn công mạng kỷ lục trị giá 6,3 tỉ USD nhằm vào sàn giao dịch tiền mã hóa lớn nhất thế giới này.

Theo tuyên bố được đăng trên mạng xã hội X, 10% tài sản còn lại là những token có tính thanh khoản thấp hơn, nghĩa là Binance có thể cần thêm thời gian để mua đủ số lượng cần thiết.

“Chúng tôi đã bù đắp 90% số tài sản bị đánh cắp và cam kết trả nốt 10% còn lại. Người dùng sẽ không phải chịu bất kì tổn thất tài chính nào từ sự cố này”, ông Richard Teng - đồng Giám đốc điều hành Binance - viết trên X hôm 1/11.

“Cam kết của chúng tôi không thay đổi: Binance sẽ bù đắp toàn bộ thiệt hại tài chính từ số tài sản bị đánh cắp trong sự cố này. Chúng tôi sẽ tiếp tục chứng minh cam kết đó bằng những tiến triển có thể đo lường, báo cáo minh bạch và hành động cụ thể”, Binance tuyên bố.

Giá tiền mã hóa đã giảm trong 31/10 trong khi Binance tìm cách trấn an khách hàng rằng tài sản của họ vẫn an toàn.

FBI xác định TraderTraitor đứng sau vụ tấn công Binance

Binance vừa chịu thiệt hại 6,3 tỉ USD tiền mã hóa trong một vụ tấn công mạng mà các nhà phân tích và Cục Điều tra Liên bang Mỹ (FBI) cáo buộc có liên quan đến Triều Tiên.

Hôm 31/10, FBI cho biết TraderTraitor, nhóm hacker có liên hệ với Triều Tiên, là thủ phạm đứng sau vụ tấn công Binance, Reuters đưa tin.

Theo FBI, cơ quan thực thi pháp luật phát hiện các thành viên của TraderTraitor chuyển đổi tài sản đánh cắp thành Ether (đồng tiền mã hóa lớn thứ hai thế giới) nhằm che giấu nguồn gốc số tiền. FBI dự đoán những kẻ này sẽ tiếp tục chuyển đổi các tài sản kỹ thuật số trong quá trình chuẩn bị cho những giai đoạn tẩu tán tiếp theo.

Trước đó, TRM Labs nhận định hacker có liên hệ với Triều Tiên là thủ phạm hack Binance. TRM Labs là công ty Mỹ chuyên phân tích dữ liệu blockchain và điều tra các hoạt động bất hợp pháp liên quan đến tiền mã hóa bằng công nghệ AI.

“Vụ tấn công này có nhiều đặc điểm tương đồng với các vụ đánh cắp trước đây có liên quan đến Triều Tiên, trong đó có vụ hack Bybit và vụ KelpDAO hồi tháng 4/2026. Các dấu hiệu bao gồm những khoản rút tiền nhỏ từ Tornado Cash để nạp vào một ví được nhóm hacker sử dụng. Quá trình chuẩn bị được tiến hành từ rất lâu trước khi vụ trộm xảy ra và các chữ ký giao dịch được thu thập trước rồi đồng loạt sử dụng trong một đợt”, TRM Labs thông báo.

Binance từ chối cung cấp thêm thông tin hoặc cập nhật về quá trình điều tra, đồng thời đề nghị cơ quan truyền thông tham khảo tuyên bố mới nhất của công ty.

Đến nay, cách thức chính xác mà hacker sử dụng trong vụ tấn công Binance chưa được làm rõ.

Ban đầu, Binance cho biết vụ hack Binance có thể bắt nguồn từ việc laptop của một kỹ sư DevOps (phát triển phần mềm và vận hành hệ thống công nghệ thông tin) bị chiếm quyền kiểm soát. Điều này cho phép kẻ tấn công truy cập vào một môi trường dịch vụ trên hệ thống và thực hiện những lệnh rút tiền trái phép.

Song sau đó, Richard Teng cho biết vụ tấn công diễn ra theo một quy trình phức tạp hơn với phần mềm độc hại được thiết kế để xóa dấu vết hoạt động. Điều này khiến việc truy tìm và điều tra vụ việc trở nên khó khăn hơn.

Sau vụ hack, Binance đã tạm dừng cho phép khách hàng rút tiền. Tuy nhiên, sàn này hôm 31/10 cho biết vẫn dự kiến mở lại dịch vụ rút tiền vào ngày 1/11 sau khi hoàn tất các bước kiểm tra an ninh.

“Binance sẽ gánh chịu thiệt hại tài chính chứ không phải người dùng”

Binance cho biết đã dành riêng khoảng 6,34 tỉ USD từ nguồn tiền của công ty để bù đắp thiệt hại.

Theo thông tin đăng trên X, tiền dùng để mua lại các token được lấy từ một phần Quỹ Bảo vệ tài sản người dùng (SAFU) trị giá 1 tỉ USD. Đây là khoản dự trữ bằng Bitcoin được Binance duy trì nhằm bảo vệ khách hàng khi xảy ra sự cố an ninh. Ngoài ra, Binance còn sử dụng một phần Quỹ Bảo hiểm giao dịch hợp đồng tương lai và nguồn ngân quỹ của chính công ty.

Binance thông báo đã thực hiện bản chụp ghi nhận số dư tài sản trên nền tảng lúc 0 giờ GMT ngày 31/10 (7 giờ sáng 31/10), như một phần trong quy trình công bố bằng chứng dự trữ.

Theo Binance, khi báo cáo bằng chứng dự trữ đầy đủ được công bố, người dùng nắm giữ 10 loại tiền mã hóa gồm BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD và ZEC sẽ có thể kiểm tra xem tài sản của họ có được bảo đảm bằng lượng dự trữ tương ứng với tỉ lệ tối thiểu 1:1 hay không.

Binance cho biết sẽ tiếp tục mua lại những token còn thiếu thông qua giao dịch trên sàn và giao dịch trực tiếp ngoài sàn (OTC), cho đến khi bù đắp đủ 100% giá trị của tất cả loại tài sản bị đánh cắp.

“BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD và ZEC hiện đều được bảo đảm đầy đủ 100%. Binance sẽ gánh chịu thiệt hại tài chính từ số tiền bị đánh cắp, chứ không phải người dùng”, sàn này tuyên bố.

Cách hacker che giấu dấu vết dòng tiền đánh cắp được

Sau vụ hack Binance, một số đơn vị phát hành stablecoin, trong đó có Circle (công ty phát hành USDC) và Tether (hãng phát hành USDT) đã tiến hành phong tỏa số tiền liên quan.

Stablecoin là loại tiền mã hóa được thiết kế để duy trì giá trị ổn định, thường tương đương 1 USD. Một số stablecoin được bảo đảm bằng tiền pháp định, trái phiếu chính phủ hoặc những tài sản có tính thanh khoản cao.

Binance ước tính khoảng 3 tỉ USD tiền mã hóa đã bị phong tỏa tính đến nay.

Các đơn vị phát hành stablecoin có thể đốt những token bị phong tỏa rồi phát hành token mới để có khả năng thu hồi số tài sản đó. Theo cách này, công ty như Circle hoặc Tether sẽ hủy số stablecoin bị phong tỏa, khiến hacker không thể sử dụng chúng. Sau đó, công ty có thể phát hành lượng stablecoin tương ứng và chuyển vào ví do cơ quan thực thi pháp luật hoặc đơn vị có thẩm quyền kiểm soát. Số tài sản này có thể được hoàn trả cho Binance sau khi hoàn tất các thủ tục pháp lý.

Tuy nhiên, hacker đã đi trước một bước. Theo TRM Labs, hacker nhanh chóng bán USDT cho các nhà tạo lập thị trường (chuyên cung cấp thanh khoản và thực hiện giao dịch), đồng thời dùng số USDT này làm tài sản thế chấp để vay đồng Ether (đồng tiền mã hóa lớn thứ hai thế giới xét theo vốn hóa thị trường).

Như vậy, bên cho vay sẽ nắm giữ số USDT có nguồn gốc từ vụ đánh cắp, trong khi hacker nhận được Ether - loại tiền mã hóa khó bị phong tỏa hơn.

“Những kẻ tấn công biết con đường đó sẽ sớm bị chặn, nên đã nhanh chóng tìm cách thoát ra trước khi điều đó xảy ra”, Joe Hancock, đối tác kiêm người đứng đầu bộ phận rủi ro an ninh mạng và điều tra phức tạp tại hãng luật Mishcon de Reya, cho biết.

Hacker đã sử dụng những thủ đoạn tinh vi để né tránh cơ quan thực thi pháp luật và ngăn nhà chức trách tịch thu hơn 3 tỉ USD còn lại.

Tiền mã hóa hoạt động trên blockchain, một dạng sổ cái công khai ghi lại các giao dịch. Nhờ vậy, các công ty chuyên điều tra dữ liệu tiền mã hóa có thể theo dõi dòng tiền khi chúng di chuyển qua những ví trực tuyến khác nhau. Để đối phó, hacker sử dụng nhiều kỹ thuật nhằm đánh lạc hướng những người đang truy tìm chúng.

Các dịch vụ trộn tiền mã hóa che giấu dấu vết giao dịch bằng cách trộn tiền từ nhiều người dùng khác nhau, khiến việc lần theo dòng tiền trở nên khó khăn hơn.

Tuy nhiên, Jonathan Levin - Giám đốc điều hành Chainalysis - nói với CNBC rằng công ty chưa phát hiện dấu hiệu cho thấy hacker sử dụng phương thức này.

Thay vào đó, Chainalysis phát hiện những “mô hình rửa tiền chưa từng thấy trước đây”. Theo đó, hacker sử dụng các quy trình tự động để liên tục chuyển tiền qua lại giữa nhiều ví khác nhau nhằm đánh lạc hướng những người điều tra.

Chainalysis là hãng công nghệ chuyên phân tích dữ liệu blockchain, truy vết dòng tiền điện tử và hỗ trợ điều tra các hoạt động tội phạm liên quan đến tiền mã hóa.

Trong một bài đăng trên blog, Chainalysis viết: “Thay vì đơn giản chuyển tiền đến địa chỉ tiếp theo, hacker liên tục luân chuyển tiền giữa các địa chỉ ví, thường xuyên đưa tiền trở lại những địa chỉ từng xuất hiện ở các bước trước đó”.

Nếu hacker đổi stablecoin sang những loại tiền mã hóa như Bitcoin và Ether, việc phong tỏa sẽ khó khăn hơn nhiều. Khác với USDT và USDC, hai đồng tiền mã hóa lớn nhất thế giới này không có đơn vị phát hành có thể trực tiếp khóa giao dịch hoặc đóng băng tài sản.

Jonathan Levin nói với CNBC rằng hacker đã chuyển một lượng lớn tiền đến nhiều địa chỉ ví khác nhau trên blockchain Tron.

“Các nhóm của chúng tôi đang làm việc suốt ngày đêm để tiếp tục theo dõi dòng tiền. Chúng tôi hiện cũng có các hệ thống tự động để theo dõi. Công việc này không còn chỉ dựa vào sức người”, Jonathan Levin tiết lộ.

Những thủ đoạn trên sẽ khiến các công ty khó theo dõi số tiền mã hóa bị đánh cắp hơn. Tuy nhiên, Ari Redbord - Giám đốc chính sách toàn cầu tại TRM Labs - cho biết công ty ngày càng cải thiện khả năng nhận diện những kỹ thuật như vậy.

“Đây là cuộc chiến mèo vờn chuột liên tục. Những kẻ xấu tìm cách che giấu các giao dịch, còn chúng tôi tìm cách theo dõi và truy vết chúng”, Ari Redbord nói.

Theo Jonathan Levin và Ari Redbord, hacker ngày càng dựa vào các mạng lưới rửa tiền chuyên nghiệp có liên hệ với Trung Quốc để chuyển tiền mã hóa thành tiền pháp định.

“Vì vậy, chúng tôi không chỉ theo đuổi các nhóm hacker Triều Tiên thông qua dấu vết trên blockchain. Nhiều khi, đối tượng chúng tôi phải truy tìm chính là những mạng lưới rửa tiền chuyên nghiệp này”, Ari Redbord nói.

Jonathan Levin giải thích rằng các tổ chức rửa tiền sẽ đề nghị mua số tiền mã hóa bị đánh cắp thông qua các giao dịch trực tiếp ngoài sàn (OTC), với mức phí rất cao. Sau đó, chúng tìm cách rửa tiền và chuyển lại cho hacker, có thể dưới một dạng stablecoin nào đó.

Hacker tiếp tục đổi số stablecoin này sang tiền pháp định.

Khi dòng tiền đã đi đến giai đoạn này, việc thu hồi tài sản bị đánh cắp trở nên khó khăn hơn nhiều.

“Càng đi xa khỏi nguồn gốc của dòng tiền, số cơ hội để phong tỏa và thu giữ tài sản càng giảm”, Jonathan Levin nhấn mạnh.