Binance bị đánh cắp 6,3 tỷ USD: Dấu vết của nhóm hacker Triều Tiên TraderTraitor

Binance, sàn giao dịch tiền mã hóa lớn nhất thế giới, vừa hứng chịu vụ trộm tiền mã hóa lớn nhất từng được ghi nhận. Các công ty phân tích blockchain nhận định thủ phạm nhiều khả năng là TraderTraitor, nhóm hacker tinh nhuệ do Triều Tiên hậu thuẫn.

Thiệt hại ước tính khoảng 6,3 tỷ USD, vượt xa kỷ lục trước đó là 1,5 tỷ USD trong vụ Bybit hồi tháng 2/2025. Binance đã tạm dừng rút tiền và cam kết hoàn trả toàn bộ thiệt hại bằng quỹ công ty cùng Quỹ Tài sản Bảo mật cho Người dùng (SAFU).

Vụ tấn công Binance

Diễn biến vụ tấn công

Theo TRM Labs, đơn vị đã theo dõi từng giao dịch trên chuỗi, khoảng 6,36 tỷ USD đã bị rút khỏi các ví của Binance trên mười blockchain khác nhau vào ngày 29/10. Phần lớn số tiền này biến mất chỉ trong khoảng 20 phút.

Binance cho biết các phát hiện ban đầu cho thấy vụ xâm nhập có thể bắt nguồn từ chiếc laptop của một nhân viên:

"Điều tra ban đầu của Binance cho thấy sự cố bảo mật có thể liên quan đến laptop của một kỹ sư DevOps bị xâm nhập, tạo điều kiện cho kẻ tấn công truy cập một service container và gửi các lệnh rút tiền trái phép. Chúng tôi chưa tìm thấy bằng chứng nào về việc lộ khóa riêng tư của ví."

Hệ thống ký giao dịch bị lợi dụng

Phân tích của TRM cho thấy kẻ tấn công đã chuẩn bị ít nhất một ngày rưỡi trước khi ra tay. Chiếc ví dùng để vận hành chiến dịch được nạp tiền bằng vài lệnh rút nhỏ qua Tornado Cash, và đoạn mã độc đã được thử nghiệm trên các ví khác trước khi kích hoạt.

Trên Ethereum, kẻ tấn công lợi dụng EIP-7702 — cơ chế cho phép một ví tiêu chuẩn ủy quyền hành vi của mình cho một hợp đồng thông minh thông qua chữ ký cấp quyền. Chúng gửi một loạt 50 quyền như vậy, tất cả đều được một ví nóng của Binance ký trước, để một quyền khớp với số giao dịch của ví tại thời điểm thực thi. Kết quả là ví Binance bị ủy quyền cho một hợp đồng chỉ kẻ tấn công mới điều khiển được, và chúng dùng nó để rút sạch tiền.

Theo TRM, hoạt động trên Ethereum ban đầu trông giống như hậu quả của tấn công lừa đảo. Tuy nhiên giả thuyết đó không giải thích được chín blockchain còn lại, nơi các ví Binance chuyển tiền cho kẻ tấn công bằng những giao dịch hợp lệ, được ký đúng cách.

"Các ví này dùng blockchain, loại khóa và cơ chế ký khác nhau. Tất cả đều tạo ra chữ ký hợp lệ cho kẻ tấn công trong khoảng nửa giờ. Đánh giá của TRM cho rằng lời giải thích khả dĩ nhất là kẻ tấn công đã có được khả năng khiến hệ thống ký của ví nóng Binance ký các giao dịch do chúng lựa chọn trên nhiều blockchain."

Truy vết về TraderTraitor

TRM kết luận: "TRM quy vụ tấn công cho TraderTraitor, đơn vị hacker tinh nhuệ của Triều Tiên, dựa trên các thông tin tình báo mạnh mẽ cả trên chuỗi lẫn ngoài chuỗi. Chúng tôi đưa ra đánh giá này với độ tin cậy cao."

Công ty này nhận thấy nhiều điểm tương đồng giữa vụ việc với vụ Bybit và vụ hack KelpDAO hồi tháng 4/2026: ví vận hành được nạp tiền qua mixer, sự chuẩn bị từ rất lâu trước khi tiền dịch chuyển, và chữ ký được thu thập trước rồi dùng một lần.

Điểm khác biệt nằm ở cách rửa tiền. Thay vì dựa vào cầu nối cross-chain như vụ Bybit, lần này hacker chủ yếu dùng các giao dịch lớn với nhà tạo lập thị trường và các nền tảng cho vay.

Ông Jonathan Levin, CEO của Chainalysis, cũng tin TraderTraitor là thủ phạm, dẫn chứng mối liên hệ với một vụ hack trước đó. Điều tra viên Chainalysis phát hiện số tiền thu được từ vụ khai thác Bitget tháng trước bị trộn lẫn với tiền lấy từ Binance. Nhà điều tra blockchain ZachXBT cũng chỉ đích danh nhóm Lazarus. FBI từng quy vụ trộm Bybit cho TraderTraitor, trong khi Binance chưa công bố danh tính hacker và cho biết đang phối hợp với cơ quan thực thi pháp luật.

Chuyên gia Eduard Kovacs, SecurityWeek

Hàng tỷ USD bị phong tỏa, hàng tỷ USD vẫn có thể chuyển đi

Các tổ chức phát hành stablecoin phản ứng rất nhanh. Đến 00:30 UTC ngày 30/10, TRM thống kê khoảng 2,7 tỷ USD tài sản bị phong tỏa, gồm khoảng 1,77 tỷ USDT do Tether khóa và khoảng 825 triệu USDC do Circle khóa.

Ripple và World Liberty Financial phong tỏa số tiền nhỏ hơn, còn Hội đồng Bảo mật của Arbitrum dùng quyền khẩn cấp để chuyển khoảng 30 triệu USD ra khỏi ví của kẻ tấn công. Binance ước tính tổng số tiền bị phong tỏa vào khoảng 3 tỷ USD.

Để vượt mặt các tổ chức phát hành, kẻ tấn công bán USDT lấy ETH với mức giá thấp hơn thị trường hơn 10%. TRM cho biết chúng vẫn đang nắm giữ hơn 420.000 ETH và 18.270 BTC, tương đương khoảng 2,4 tỷ USD tài sản mà không tổ chức phát hành nào có thể phong tỏa.

Bài học cho thị trường Việt Nam

Sự cố này là lời cảnh báo trực tiếp cho cộng đồng đầu tư tiền mã hóa tại Việt Nam, nơi số lượng người dùng sàn giao dịch quốc tế rất lớn. Ba điểm đáng lưu ý:

• Rủi ro tập trung vào hạ tầng ký giao dịch, không phải khóa riêng tư. Chỉ một endpoint bị xâm nhập cũng đủ để rút tiền trên nhiều blockchain cùng lúc.
• Máy trạm của kỹ sư vận hành là mắt xích yếu. Các doanh nghiệp công nghệ trong nước cần siết chặt bảo mật thiết bị đầu cuối, phân quyền tối thiểu và giám sát hành vi bất thường.
• Stablecoin có thể bị phong tỏa, nhưng tài sản phi tập trung thì không. Nhà đầu tư nên đa dạng hóa nơi lưu trữ và ưu tiên ví lạnh cho phần lớn tài sản.

Việc các sàn lớn như Binance bị tổn thất hàng tỷ USD cho thấy ngay cả những nền tảng có đội ngũ bảo mật hàng đầu cũng không miễn nhiễm trước các nhóm APT được nhà nước hậu thuẫn. Với người dùng Việt Nam, nguyên tắc "không để tiền trên sàn quá lâu" và kiểm tra kỹ các giao dịch bất thường vẫn là biện pháp phòng vệ thực tế nhất.