CEO Blockaid phân tích vụ hack Binance: Có thể bị thao túng hệ thống kí giao dịch
Theo CEO Blockaid, vụ tấn công Binance có thể bắt nguồn từ việc tin tặc thao túng hạ tầng kí giao dịch, thay vì lấy cắp khóa riêng tư của sàn. Tuy nhiên, phương thức tấn công vẫn chưa được xác nhận và các nhận định hiện nay mới dừng ở mức đánh giá sơ bộ.
Vụ tấn công mạng được cho là đã khiến Binance thất thoát hàng tỉ USD tiền mã hóa đang đặt ra câu hỏi về cách thức tin tặc có thể vượt qua những lớp bảo vệ của một trong những sàn giao dịch tài sản số lớn nhất thế giới. Nếu con số thiệt hại được xác nhận, đây sẽ là vụ hack lớn nhất trong lịch sử ngành tiền mã hóa.
Nghi vấn nằm ở hạ tầng kí giao dịch
Một giả thuyết đáng chú ý đến từ Ido Ben-Natan, đồng sáng lập kiêm Giám đốc điều hành Blockaid, công ty chuyên về bảo mật và phát hiện các mối đe dọa trong lĩnh vực blockchain. Trao đổi với Cointelegraph, ông cho biết đánh giá ban đầu của Blockaid nghiêng về khả năng hệ thống kí giao dịch của Binance bị xâm phạm hoặc thao túng, thay vì khóa riêng tư của tài khoản bị đánh cắp.
Theo Ben-Natan, tin tặc có thể đã tìm cách khiến hệ thống kí giao dịch chấp thuận những lệnh chuyển tiền độc hại mà không cần lấy được khóa riêng tư thực sự. Ông gọi tình huống này là “lạm dụng khóa” (key misuse), tức lợi dụng cơ chế sử dụng khóa để tạo chữ kí xác nhận giao dịch, thay vì trực tiếp chiếm đoạt khóa.
“Có vẻ đây là một vụ xâm phạm hạ tầng kí giao dịch. Chúng tôi không cho rằng khóa đã bị rò rỉ”, Ben-Natan nhận định.
Sự khác biệt giữa hai phương thức này có ý nghĩa lớn đối với điều tra an ninh mạng. Khóa riêng tư là thông tin mật cho phép chủ sở hữu kiểm soát tài sản trên blockchain và xác nhận các giao dịch. Nếu khóa bị đánh cắp, kẻ tấn công có thể sử dụng nó để chuyển tài sản mà không cần sự cho phép của chủ tài khoản.
Trong khi đó, hạ tầng kí giao dịch là hệ thống giúp tạo và xác nhận chữ kí số cho các lệnh chuyển tiền. Nếu tin tặc chiếm quyền điều khiển hoặc đánh lừa được hệ thống này, chúng có thể khiến một giao dịch độc hại được phê duyệt dù không nắm giữ khóa riêng tư. Nói cách khác, tài sản vẫn có thể bị chuyển đi trái phép ngay cả khi khóa chưa bị lấy khỏi môi trường bảo mật.
Dù vậy, Ben-Natan nhấn mạnh đây mới là đánh giá sơ bộ, dựa trên kinh nghiệm của Blockaid với những vụ tấn công có phương thức tương tự và quan sát các hoạt động trên blockchain. Binance chưa công bố kết luận chính thức về lỗ hổng đã bị khai thác cũng như cách thức tin tặc thực hiện vụ việc.
Miguel Morel, Giám đốc điều hành nền tảng phân tích dữ liệu blockchain Arkham, cũng cho rằng hiện chưa có đủ thông tin để xác định vụ việc liên quan đến khóa riêng tư bị đánh cắp hay hạ tầng kí giao dịch bị xâm nhập. Ông còn lưu ý hoạt động tấn công dường như vẫn đang tiếp diễn, khiến việc đánh giá toàn bộ quy mô và diễn biến vụ việc trở nên phức tạp.
Dấu vết EIP-7702 và hợp đồng rút tài sản
Một trong những manh mối được Blockaid công bố nằm trong các giao dịch trên blockchain. Theo phân tích đăng trên mạng xã hội X, kẻ tấn công đã gộp 50 lệnh ủy quyền EIP-7702 vào một giao dịch duy nhất nhắm đến Binance 14. Trong số đó, có một lệnh được cho là khớp với giá trị nonce mà tài khoản yêu cầu, nhờ vậy được hệ thống chấp nhận.
EIP-7702 là một cơ chế trên Ethereum cho phép tài khoản thông thường ủy quyền một phần khả năng thực thi cho mã của hợp đồng thông minh. Cơ chế này mở rộng khả năng sử dụng tài khoản, giúp người dùng thực hiện những thao tác phức tạp hơn mà không nhất thiết phải chuyển toàn bộ quyền kiểm soát sang một loại ví khác.
Tuy nhiên, tính linh hoạt đó cũng có thể tạo ra rủi ro nếu quyền ủy quyền bị lợi dụng. Trong phân tích của mình, Blockaid cho biết tài khoản bị ảnh hưởng đã được chuyển quyền thực thi cho một hợp đồng thông minh có chức năng thu gom tài sản, nhưng chưa được xác minh. Hợp đồng này cho phép một người vận hành được chỉ định rút token và Ether khỏi tài khoản.
Đây là chi tiết đáng chú ý bởi nó cho thấy tài sản có thể bị chuyển đi thông qua một cơ chế được tài khoản ủy quyền, thay vì nhất thiết phải có hành vi đánh cắp khóa riêng tư theo cách truyền thống. Nếu hệ thống kí giao dịch bị đánh lừa để chấp thuận lệnh ủy quyền, hợp đồng thông minh được chỉ định có thể trở thành công cụ thực hiện việc rút tài sản.
Ben-Natan cho rằng quá trình tấn công có thể liên quan đến nhiều thiết bị bị xâm nhập và hoạt động di chuyển qua các bộ phận trong mạng lưới của sàn giao dịch. Tuy nhiên, ông cũng lưu ý khả năng này chưa được xác nhận. Hiện chưa có đủ dữ liệu công khai để xác định tin tặc đã tiếp cận hệ thống bằng con đường nào, kiểm soát những thiết bị nào hoặc có bao nhiêu lớp bảo mật bị vượt qua.
Vụ việc một lần nữa cho thấy an toàn của tài sản số không chỉ phụ thuộc vào việc bảo vệ khóa riêng tư. Các hệ thống quản lí quyền truy cập, thiết bị của nhân viên, quy trình phê duyệt giao dịch và hạ tầng kí số đều có thể trở thành mục tiêu tấn công. Một mắt xích bị thao túng có thể khiến những lớp bảo vệ còn lại mất tác dụng.
Tương đồng với vụ Bybit, nhưng chưa thể kết luận về thủ phạm
Khi được hỏi liệu vụ việc tại Binance có giống cuộc tấn công nhằm vào sàn Bybit hồi tháng 2/2025 hay không, Ben-Natan nhận xét hai sự cố có nhiều điểm tương đồng. Theo ông, cách thức chuẩn bị và hoạt động trên blockchain trong vụ Binance gợi nhớ đến phương thức từng được ghi nhận ở Bybit.
Trong vụ Bybit, báo cáo điều tra pháp chứng do sàn công bố cho biết tin tặc đã xâm nhập thông tin đăng nhập của một nhà phát triển thuộc đơn vị cung cấp dịch vụ Safe, sau đó tiếp cận hạ tầng của nhà cung cấp ví. Kẻ tấn công sử dụng quyền truy cập này để đánh lừa những người có trách nhiệm kí giao dịch, khiến họ phê duyệt một lệnh chuyển tiền độc hại.
Điểm đáng chú ý là trong vụ Bybit, các cá nhân thực hiện việc kí giao dịch không nhất thiết biết rằng mình đang xác nhận một lệnh nguy hiểm. Giao diện và thông tin hiển thị đã bị thao túng, khiến giao dịch độc hại trông giống một thao tác hợp lệ. Điều đó cho thấy tin tặc không phải lúc nào cũng cần chiếm trực tiếp khóa riêng tư; chúng có thể nhắm vào quy trình mà con người và hệ thống sử dụng để phê duyệt giao dịch.
Ben-Natan nhận định hoạt động trong vụ Binance có nét tương đồng với những chiến dịch tấn công mạng từng được liên hệ với các nhóm tin tặc Triều Tiên, xét trên mức độ tinh vi của khâu chuẩn bị trên blockchain. Tuy nhiên, đây chỉ là nhận xét về sự tương đồng trong phương thức và dấu hiệu kĩ thuật, không phải bằng chứng xác định danh tính hay nguồn gốc của thủ phạm.
Hiện chưa có kết luận điều tra công khai đủ cơ sở để quy trách nhiệm vụ tấn công cho Triều Tiên hoặc bất kỳ tổ chức, cá nhân cụ thể nào. Việc xác định thủ phạm đòi hỏi phải kết hợp nhiều loại chứng cứ, từ dấu vết trên blockchain, dữ liệu truy cập hệ thống, thiết bị bị xâm nhập đến quá trình di chuyển và quy đổi tài sản sau khi bị đánh cắp.
Trong lúc chờ kết quả điều tra, vụ việc đặt ra bài toán lớn cho các sàn giao dịch tiền mã hóa: Bảo vệ khóa riêng tư là cần thiết nhưng chưa đủ. Các nền tảng cần kiểm soát chặt chẽ toàn bộ chuỗi kí và phê duyệt giao dịch, xác minh hợp đồng được ủy quyền, đồng thời giám sát những thay đổi bất thường trong quyền truy cập. Bởi trong một hệ thống tài sản số, tin tặc không nhất thiết phải lấy được chiếc chìa khóa nếu chúng có thể khiến chính hệ thống mở cửa.