Giải mã nguyên nhân vụ hack tiền mã hóa 6 tỉ USD, CEO Binance lên tiếng
Binance tạm dừng toàn bộ hoạt động nạp, rút từ rạng sáng 30/10 (giờ Việt Nam) sau vụ hack Binance mà Chainalysis ước tính khoảng 5,9 tỉ USD. Dữ liệu blockchain cho thấy kẻ tấn công không phá vỡ Ethereum mà có được khả năng kí giao dịch thay cho hàng loạt ví nóng của sàn.
Khoảng 7h sáng 30/10 (giờ Việt Nam), đồng CEO Yi He thông báo trên X rằng Binance sẽ chịu toàn bộ thiệt hại do bị hack. Mọi lệnh nạp, rút bị đình chỉ để sàn rà soát bảo mật, phong tỏa tài sản và làm việc với cơ quan thực thi pháp luật. Binance chưa đưa ra thời điểm mở lại dịch vụ. Theo Reuters, Binance.US hoạt động riêng và không bị ảnh hưởng.
Diễn biến vụ hack
Theo phân tích của hãng bảo mật Blockaid, lúc 3h20 sáng 30/10, ví nóng Binance 14 nhận một giao dịch chứa 50 lệnh ủy quyền. Hơn ba phút sau, một giao dịch duy nhất chuyển 167.464 ETH, 1,615 tỉ USDT và khoảng 60 loại token sang địa chỉ mới. Ví Binance 16 gửi thêm 28.005 ETH tới cùng nơi chỉ vài chục giây sau đó. Lúc 3h41, 780 triệu USDC rời Hot Wallet 34, một ví hợp đồng do chính Binance 14 sở hữu. Đến 4h44, kẻ tấn công quét thêm 200 triệu USDT từ Binance 14.
Binance 14 là một trong những ví hoạt động nhiều nhất của sàn, với hơn 31 triệu giao dịch theo trang CryptoTicker. Tạp chí CoinDesk xác nhận đây cũng là ví được Binance liệt kê trong báo cáo bằng chứng dự trữ ngày 1/10. Gần như toàn bộ số ETH vừa lấy, khoảng 195.460 ETH, sau đó được gom sang một địa chỉ thứ hai.
Quy mô vụ việc tăng dần theo tiến độ truy vết. Theo dữ liệu Arkham được CoinDesk dẫn lại, các địa chỉ của kẻ tấn công từng nắm hơn 5,7 tỉ USD. Trong đó có gần 1,5 tỉ USD bitcoin, 900 triệu USD ether, khoảng 1,5 tỉ USD USDT và hơn 800 triệu USD USDC. Công ty phân tích blockchain và nền tảng dữ liệu tài sản số Chainalysis sau đó ước tính 5,912 tỉ USD, gấp khoảng bốn lần vụ Bybit tháng 2/2025. Binance chưa công bố con số thiệt hại của riêng mình.
Vì thế, các mức 3 tỉ hay gần 6 tỉ USD trên các bản tin không nhất thiết mâu thuẫn. Mức 5,7 đến 5,9 tỉ USD là ước tính tài sản đã rời ví Binance. Mức khoảng 3 tỉ USD là phần các bên đã xác minh và đóng băng được.
Lỗ hổng nằm ở đâu?
EIP-7702 là tính năng Ethereum đưa vào bản nâng cấp Pectra tháng 5/2025. Nó cho phép một ví thông thường kí giấy ủy quyền để địa chỉ của mình chạy mã từ một hợp đồng thông minh khác. Ví nóng xử lí lệnh rút liên tục nên kẻ tấn công không biết chính xác số thứ tự giao dịch (nonce) hiện tại. Kẻ này kí sẵn 50 lệnh cho 50 giá trị khác nhau. Một lệnh khớp. Binance 14 từ đó bị trỏ tới một hợp đồng quét ví chưa xác minh, được triển khai từ khoảng 23h tối 29/10.
Điểm quan trọng là EIP-7702 không thể tự tạo chữ kí để rút tiền. Theo Blockaid, các lệnh ủy quyền trên ví Binance 14 được kí bằng chính khóa của ví này. Vì vậy, sẽ không chính xác nếu coi EIP-7702 là nguyên nhân trực tiếp của vụ việc. Vấn đề lớn hơn có thể nằm ở việc khóa hoặc hệ thống kí giao dịch của Binance đã bị xâm phạm.
Dấu hiệu tương tự còn xuất hiện ở nhiều ví khác. Blockaid cho biết Binance 16, một ví trên mạng Optimism, cùng bốn ví trên Arbitrum và bốn ví trên Avalanche đều chuyển tài sản tới cùng một địa chỉ. Những giao dịch này trông giống lệnh chuyển tiền thông thường và được kí bằng khóa hợp lệ của chính các ví, thậm chí xen lẫn với hoạt động rút tiền hằng ngày. Các khoản rút trên mạng Bitcoin, gồm khoảng 18.270 BTC, và trên Tron, trị giá khoảng 630 triệu USD, cũng được Blockaid liên hệ với cùng nhóm tấn công. Tuy nhiên, công ty lưu ý những kết luận này vẫn cần được xác minh thêm.
Câu hỏi thực sự vì vậy là kẻ tấn công có khả năng kí từ đâu. Theo Bitcoin.com, giới điều tra đang xem xét khả năng khóa riêng tư bị đánh cắp hoặc người kí bị lừa. Kịch bản còn lại là hạ tầng kí của Binance bị xâm nhập. CEO Blockaid Ido Ben-Natan nói với Cointelegraph rằng hãng "không cho rằng khóa đã bị lộ". Ông nghiêng về khả năng hệ thống kí bị chiếm hoặc bị lừa để phê duyệt giao dịch độc hại. Việc nhiều thiết bị nội bộ có thể đã bị xâm nhập vẫn chưa được kiểm chứng.
Ben-Natan so sánh vụ việc với Bybit. Khi đó, tin tặc chiếm tài khoản một lập trình viên của nhà cung cấp ví Safe rồi đánh lừa những người kí. Với Binance, ông cho biết kẻ tấn công nạp phí qua dịch vụ trộn tiền Tornado Cash. Kẻ này còn diễn tập trên ví thử nghiệm vài giờ trước khi ra tay.
Vì sao Binance khóa cả nạp lẫn rút
Lí do trực tiếp là sàn chưa chắc đã giành lại quyền kiểm soát. Theo Blockaid, lệnh ủy quyền EIP-7702 vẫn hiệu lực cho tới khi chính ví kí lệnh mới để gỡ, và thay khóa không xóa được nó. Đến 5h sáng, ủy quyền trên Binance 14 vẫn còn. Ben-Natan cho biết ví này đã bị "lập trình lại" để rút cạn cả tiền mới nạp vào. Nếu khách vẫn chuyển tài sản tới đây, số tiền có thể bị quét ngay.
Dừng rút tiền còn giúp cô lập hệ thống. Lệnh rút thường ngày tạo thêm hàng nghìn giao dịch, khiến việc tách dòng tiền hợp lệ khỏi giao dịch trái phép khó hơn. Điều này càng đúng khi các lệnh của kẻ tấn công từng được cài lẫn vào đó. Tháng 5/2019, sau khi mất khoảng 7.000 BTC từ ví nóng, Binance cũng từng ngừng nạp, rút chừng một tuần.
Bên ngoài, cuộc đua phong tỏa diễn ra gấp rút. CEO Tether Paolo Ardoino cho biết đã khóa hơn 1,567 tỉ USDT, còn Circle khóa hơn 800 triệu USDC. Ripple, World Liberty Financial và Hội đồng bảo mật Arbitrum phong tỏa các khoản nhỏ hơn. Theo Reuters, tổng tài sản đã xác minh bị phong tỏa đạt khoảng 3 tỉ USD.
Đóng băng không có nghĩa tiền đã về lại Binance. Nhà phát hành stablecoin chỉ có thể chặn địa chỉ để USDT, USDC nằm yên tại đó. Với bitcoin hay ether, không ai có quyền này. Kẻ tấn công cũng kịp vay khoảng 44 triệu USD trên giao thức Aave bằng tài sản đánh cắp, buộc Aave đóng băng một số thị trường.
Tiền người dùng an toàn, nhưng ai gánh khoản thiếu hụt?
Binance khẳng định tiền khách hàng an toàn, CZ (Changpeng Zhao), nhà sáng lập kiêm cựu CEO của Binance cũng nói ông kì vọng người dùng được bồi hoàn đầy đủ. Theo CoinDesk, điều này nên hiểu là số dư của khách sẽ được tôn trọng, dù tài sản bảo chứng phía sau đã bị lấy. Báo cáo ngày 1/10 cho thấy lượng ETH Binance nắm giữ chỉ vừa đủ 100% nghĩa vụ với khách. Theo tính toán của CoinDesk, khoảng 204.500 ETH bị chuyển đi tương đương 5,6% dự trữ. Nếu chưa được bù, tỉ lệ bảo chứng ETH có thể xuống quanh 94%.
Đây chưa phải dấu hiệu mất khả năng thanh toán. Sàn có thể bù bằng tài sản doanh nghiệp, tiền thu hồi hoặc Quỹ tài sản an toàn cho người dùng (SAFU). Theo Reuters, quỹ này giữ hoàn toàn bằng bitcoin. Sau đợt chuyển đổi tháng 2/2026, SAFU nắm khoảng 15.000 BTC, tức chừng 1,16 tỉ USD theo giá hiện tại. Đối chiếu ước tính của Chainalysis với số đã phong tỏa, khoảng 2,9 tỉ USD vẫn ngoài tầm kiểm soát. Nếu không thu hồi thêm, phần lớn số này sẽ phải lấy từ vốn riêng của sàn.
Thị trường phản ứng ngay. Reuters cho biết bitcoin hơn rơi về 77.200 USD, thấp nhất sáu tuần. Ethereum (ETH) xuống quanh 2.200 USD, còn BNB mất hơn 8% trong 24 giờ.
Về thủ phạm, chưa cơ quan nào đưa ra kết luận. Theo CoinDesk, Blockaid và nhà điều tra on-chain ZachXBT cho rằng tin tặc Triều Tiên nhiều khả năng đứng sau. Cục Điều tra Liên bang Mỹ (FBI) từng quy vụ Bybit cho nhóm TraderTraitor thuộc Triều Tiên. Hôm 27/10, Binance thông báo đã chặn nhiều đợt tấn công liên quan Triều Tiên qua chiêu phỏng vấn tuyển dụng giả mạo, không mất tài sản. Chưa có bằng chứng công khai nào nối hai sự việc.
Binance hứa công bố báo cáo hậu kiểm đầy đủ nhưng chưa nêu ngày mở lại nạp, rút. Sàn cũng cảnh báo người dùng cảnh giác với đường link và tin nhắn không chính thức. Câu hỏi lớn nhất giờ không còn là tiền đã rời ví hay chưa. Đó là kẻ tấn công lọt vào tầng kí giao dịch của Binance bằng cách nào và phạm vi xâm nhập thực sự rộng tới đâu.
