Hacker dùng phỏng vấn tuyển dụng giả và phần mềm chứa mã độc để hack Binance

Sau đó, hacker lợi dụng máy tính của một kỹ sư thứ ba để lấy đi lượng tiền mã hóa trị giá 6,3 tỉ USD trong vụ hack Binance hôm 29/10, sàn giao dịch này cho biết.

Chiến dịch hack Binance gồm nhiều giai đoạn

Trong báo cáo đầu tiên về cách hacker thực hiện vụ tấn công có thể là vụ trộm cắp tài chính lớn nhất từ trước đến nay, Binance mô tả một chiến dịch tấn công mạng gồm nhiều giai đoạn.

Chiến dịch bắt đầu từ tháng 6 và dẫn đến hàng loạt vụ xâm nhập hệ thống an ninh, kết thúc bằng vụ đánh cắp hôm 29/10.

Binance cho biết, ngay cả khi công ty khẩn trương bảo vệ hệ thống và tạm ngừng rút tiền sau khi phát hiện cuộc tấn công cuối ngày 29/10, hacker vẫn tiếp tục lấy tiền mã hóa khỏi sàn trong gần 4 giờ sau vụ đánh cắp đầu tiên.

Hôm 31/10, Cục Điều tra Liên bang Mỹ (FBI) quy trách nhiệm vụ tấn công cho TraderTraitor, nhóm hacker có liên hệ với Triều Tiên. Thế nhưng hôm 3/11, Triều Tiên đã bác bỏ cáo buộc này.

Bà Kim Yo Jong cho rằng cáo buộc trên cho thấy Mỹ vẫn giữ thái độ thù địch với Triều Tiên, theo bản tin hôm 3/11 của hãng thông tấn nhà nước KCNA.

Bà Kim Yo Jong là em gái của nhà lãnh đạo Triều Tiên Kim Jong Un.

Triều Tiên chưa phản hồi những đề nghị của Tổng thống Mỹ Donald Trump đưa ra hồi đầu năm 2026 về việc nối lại các cuộc gặp thượng đỉnh. Sau cáo buộc từ Mỹ, bà Kim Yo Jong cho biết Triều Tiên sẽ "xem xét lại" một số vấn đề chưa được nêu cụ thể trước "thái độ thù địch rất khó chịu của Mỹ", nhưng không giải thích thêm.

KCNA dẫn lời bà Kim Yo Jong: "FBI đang cố gắng gán cho CHDCND Triều Tiên cái mác 'quốc gia tội phạm mạng', khi tuyên bố đã thu thập được thông tin cho thấy một tổ chức hacker được Triều Tiên ‘hậu thuẫn’ có liên quan đến vụ việc".

Bà Kim Yo Jong, một quan chức cấp cao của đảng cầm quyền Triều Tiên, cho biết: "Tuyên bố của Mỹ là những lời lẽ vô căn cứ và chẳng có gì mới".

"Việc Mỹ bóp méo dư luận quốc tế, khiến mọi người nghĩ rằng Triều Tiên đứng sau tất cả vụ tấn công mạng xảy ra ở nhiều nơi trên thế giới, là hành động khiêu khích chính trị nghiêm trọng nhằm vào nước này", bà nói thêm.

Binance cho biết đang hoàn trả toàn bộ số tiền bị đánh cắp cho những khách hàng bị ảnh hưởng.

Những buổi phỏng vấn tuyển dụng giả

Vụ hack 6,3 tỉ USD đặt ra câu hỏi về cách hacker xâm nhập Binance, bất chấp nhiều năm sàn giao dịch tiền mã hóa lớn nhất thế giới phải đối phó với các cuộc tấn công có liên quan đến Triều Tiên. Những cuộc tấn công này ngày càng tinh vi và diễn ra thường xuyên hơn, đồng thời làm dấy lên lo ngại về mức độ an toàn của tài sản số trước tội phạm mạng.

Michael Barnhart, nhà nghiên cứu tại DTEX Systems, cho biết các chuyên gia an ninh mạng và quan chức chính phủ đã cảnh báo suốt nhiều năm về việc hacker Triều Tiên và các nhóm khác sử dụng những buổi phỏng vấn tuyển dụng giả để nhắm vào nhân viên tại các công ty mà chúng muốn xâm nhập. Đây là một thủ đoạn tấn công mạng đã được biết đến từ lâu.

DTEX Systems là công ty an ninh mạng của Mỹ chuyên cung cấp giải pháp phát hiện và ngăn chặn các mối đe dọa từ bên trong tổ chức, bao gồm hành vi rủi ro của nhân viên và nguy cơ rò rỉ dữ liệu.

Binance cho biết đã phát hiện và ngăn chặn 57 mối đe dọa mạng bị nghi có liên quan đến Triều Tiên trong năm 2026. Theo Michael Barnhart, con số này cho thấy Binance đang “liên tục phải hứng chịu các cuộc tấn công”.

“Đáng lẽ vụ việc này không được phép xảy ra. Chúng tôi xin lỗi vì những lo lắng, gián đoạn và bất an mà sự việc đã gây ra cho người dùng, đối tác và toàn ngành”, Binance viết trong báo cáo.

Lỗ hổng bảo mật bắt đầu từ tháng 6

Binance cho biết cuộc tấn công bắt đầu vào tháng 6, khi một nhân viên thuộc nhóm phát triển ví tiền mã hóa tải về từ Internet công cụ đã bị hacker cài mã độc. Sàn giao dịch này cho biết sau đó đã phát hiện sự việc, thay máy tính và thay đổi thông tin đăng nhập của nhân viên. Tuy nhiên, hacker đã có thể nắm được vai trò và thông tin liên quan đến công việc của nhân viên này cũng như những người khác trong nhóm phát triển ví.

Theo hãng tin Reuters, phiên bản chứa mã độc của công cụ nói trên được đặt trong một quảng cáo, giúp nó xuất hiện ở vị trí cao hơn trên công cụ tìm kiếm so với phiên bản thật.

Đến tháng 9, kỹ sư phần mềm thứ hai đang tìm việc đã tải một kho mã nguồn chứa mã độc về máy tính cá nhân sau khi tham gia buổi phỏng vấn cho vị trí mà người này tin là có thật. Quá trình tuyển dụng còn bao gồm cuộc gặp trực tuyến với giám đốc điều hành của một công ty không có thật, theo báo cáo của Binance.

Ngày 20/10, hacker sử dụng máy tính đã bị xâm nhập cùng một công cụ AI nội bộ để kiểm soát hệ thống của kỹ sư phát triển ví và một kỹ sư khác trong cùng nhóm.

9 ngày sau, hacker sử dụng máy tính của kỹ sư thứ hai, kết hợp với thông tin đăng nhập đánh cắp được từ kỹ sư thứ nhất, rồi kích hoạt một đoạn mã độc để triển khai cuộc tấn công.

Theo người nắm rõ vụ việc, chỉ một số lượng hạn chế kỹ sư tại Binance được quyền truy cập trực tiếp vào các ví tiền mã hóa, nơi lưu trữ hoặc thực hiện giao dịch tiền số.

Tiền mã hóa bị lấy đi chỉ trong vài phút

Cuộc tấn công diễn ra rất nhanh vào ngày 29/10. Theo báo cáo của Binance, chỉ trong 4 phút, hacker đã chuyển 233,46 triệu XRP (một loại tiền mã hóa) từ 5 ví nóng của sàn sang một địa chỉ do chúng kiểm soát. Ví nóng là loại ví tiền mã hóa được kết nối với Internet.

Sau đó, hacker tiếp tục rút nhiều loại tiền mã hóa khác, trong đó có Bitcoin.

Binance cho biết đã nhận được cảnh báo nội bộ về các giao dịch chuyển tiền có giá trị lớn và bắt đầu điều tra. Sàn giao dịch lập tức triển khai các biện pháp như tạm ngừng rút tiền, đóng băng những loại tiền mã hóa bị ảnh hưởng và thu hồi các quyền truy cập trái phép. Nhờ đó, khoảng 2,85 tỉ USD tài sản đã được đóng băng.

Tuy nhiên, chỉ tạm ngừng hoạt động rút tiền không đủ để chặn tất cả các giao dịch chuyển tài sản trái phép.

Binance nói hacker gửi 50 giao dịch kí xác thực để thao túng số thứ tự giao dịch của tài khoản và thiết lập các quyền ủy quyền độc hại. Những quyền này cho phép hacker tiếp tục chuyển tài sản trên blockchain, ngay cả khi Binance đã tạm ngừng rút tiền. Trong khi đó, Binance buộc phải xây dựng các quy trình mới nhằm thu hồi quyền phê duyệt giao dịch, khiến quá trình ứng phó bị chậm lại.

Binance cho biết giao dịch chuyển tiền trái phép cuối cùng diễn ra lúc 23 giờ 56 phút GMT ngày 29/10, tức gần 4 giờ sau khi cuộc tấn công bắt đầu.

Sau vụ việc, Binance cho biết sẽ tăng đầu tư vào các công cụ phát hiện mối đe dọa có ứng dụng AI, đồng thời nghiên cứu thành lập một quỹ nghiên cứu an ninh mạng và triển khai các chương trình hợp tác chuyên biệt với những công ty AI hàng đầu.