Binance bị hack 6,34 tỷ USD qua phỏng vấn việc làm giả

Binance vừa công bố kết quả điều tra ban đầu về vụ tấn công khiến 6,34 tỷ USD bị rút khỏi các ví của sàn giao dịch tiền mã hóa này. Theo báo cáo cập nhật bảo mật ngày thứ Ba, tin tặc đã xâm nhập hệ thống chỉ bằng một buổi phỏng vấn việc làm giả và một tệp mã độc, rồi chiếm quyền dịch vụ ký ví (wallet signing service) để thực hiện giao dịch ngoài quy trình rút tiền thông thường.

Sự việc cho thấy chuỗi tấn công của tin tặc Triều Tiên ngày càng tinh vi: thay vì đánh cắp trực tiếp khóa ví, chúng nhắm vào chính các kỹ sư vận hành hệ thống. FBI đã nhanh chóng quy vụ tấn công cho nhóm TraderTraitor, nhóm từng đánh cắp hơn 1,5 tỷ USD trong một vụ riêng năm ngoái.

Diễn biến vụ tấn công

Theo Binance, dấu vết hoạt động của tin tặc có từ tháng 6, khi một kỹ sư (gọi là Kỹ sư A) tải về một bản cài đặt Homebrew đã bị chỉnh sửa mà anh ta tìm thấy trên mạng. Sự cố được phát hiện và xử lý, nhưng thông tin về nhân viên này sau đó lại lộ ra phía tin tặc.

Đầu tháng 9, một kỹ sư phần mềm khác (Kỹ sư B) được liên hệ qua một nền tảng tìm việc hợp pháp và tham gia phỏng vấn video với "nhà tuyển dụng" giả, kẻ này dùng tài khoản mạng xã hội và ảnh cá nhân trông như thật để tạo lòng tin. Ở vòng phỏng vấn thứ hai qua chat trực tuyến, Kỹ sư B được yêu cầu tải một "bài kiểm tra" chứa kho mã độc về máy tính công việc.

Binance cho biết mã độc này dùng kỹ thuật che giấu và né tránh tinh vi, gồm việc thay thế một thành phần công cụ phát triển hợp pháp bằng bản độc hại để thực thi lệnh và liên lạc với máy chủ do kẻ tấn công kiểm soát. Tin tặc cũng che giấu hoạt động của mình.

Cuối tháng 10, chưa đầy hơn một tuần trước vụ trộm, tin tặc dùng quyền truy cập vào máy của Kỹ sư B để chiếm quyền kiểm soát ví của Kỹ sư A và một kỹ sư ví khác (Kỹ sư C). Ngày 29/10, chúng đăng nhập vào máy của Kỹ sư C bằng thông tin đăng nhập bị đánh cắp và phát động tấn công. Vào buổi tối xảy ra vụ trộm, quá trình diễn ra rất nhanh: kẻ tấn công lợi dụng quyền truy cập trái phép vào dịch vụ ký ví nội bộ để khởi tạo giao dịch ngoài quy trình rút tiền thông thường.

Toàn bộ số tiền bị rút trong khoảng 20 phút, trải qua hơn 10 blockchain khác nhau.

Chia tay và hậu quả

Binance thừa nhận sự việc "lẽ ra không được xảy ra" và gửi lời xin lỗi tới người dùng, đối tác cùng toàn ngành. Sàn cho biết đã trích lập quỹ bù đắp tổn thất và "xây dựng lại hoặc thay thế" các hệ thống nội bộ bị ảnh hưởng. Theo báo cáo, trong năm 2026 đội ngũ bảo mật của Binance đã phát hiện và ngăn chặn 57 trường hợp de dọa mạng nghi liên quan tới Triều Tiên.

Gần một nửa trong hơn 6 tỷ USD bị đánh cắp - ở những trường hợp có thể - đã bị các bên trong ngành tiền mã hóa đóng băng, khiến tin tặc không truy cập được. Song vẫn còn hàng tỷ USD nằm trong tay nhóm tấn công, và chúng đang tìm cách rửa số tiền này thành dạng có thể rút ra, quá trình có thể kéo dài nhiều tháng.

Dữ liệu từ công ty truy vết tiền mã hóa Elliptic cho thấy việc tẩu tán tiền sau vụ Binance "cực kỳ phức tạp" và nhiều khả năng được tự động hóa: trong ba ngày rưỡi đầu tiên đã dùng khoảng 12.000 ví trên 11 blockchain, tức trung bình một ví mới mỗi 25 giây, với hơn 40.000 giao dịch.

Bức tranh lớn hơn

Theo phân tích của TRM Labs, từ đầu năm 2017 tới nay, tin tặc liên quan tới Triều Tiên đã đánh cắp khoảng 12 tỷ USD tiền mã hóa, trong đó hơn một nửa đến từ các vụ trộm trong năm nay. Tuy nhiên, chưa rõ bao nhiêu trong số này thực sự về được tới Triều Tiên, bởi một phần tài sản có thể bị đóng băng hoặc chặn giao dịch ở một số sàn.

"Kẻ tấn công không chỉ đơn thuần đánh cắp một khóa ví. Chúng xâm nhập vào kỹ sư, dùng quyền truy cập đó để hiểu và di chuyển trong môi trường, rồi cuối cùng làm băng hoại các hệ thống dùng để phê duyệt giao dịch."

Rafe Pilling, giám đốc cấp cao mảng tình báo de dọa tại Sophos, đánh giá cách Binance mô tả khớp với "bài bản" của nhóm TraderTraitor, nhóm vốn mạnh ở khâu lập kế hoạch chi tiết và hiểu rõ cách dịch vụ của nạn nhân vận hành. Ông nhận định: "Xâm nhập ban đầu chỉ là một bàn đạp. Cuộc tấn công thực sự được thiết kế kỹ lưỡng dựa trên cách nạn nhân thực sự luân chuyển tiền."

Theo báo cáo năm ngoái của Nhóm giám sát trừng phạt đa phương (gồm chuyên gia từ Mỹ, Hàn Quốc và chín quốc gia khác), nếu rửa tiền thành công, số tiền có thể được chuyển thành tiền mặt và dùng để củng cố chương trình vũ khí hạt nhân và hệ thống tên lửa đạn đạo của Triều Tiên. Nhóm này cũng cho biết các hoạt động đó "phụ thuộc nhiều vào hệ thống ngân hàng ngầm Trung Quốc và các trung gian có trụ sở tại Trung Quốc, dù đôi khi vẫn dựa vào trung gian ở quốc gia khác".

Góc nhìn

Với các kỹ sư và doanh nghiệp công nghệ, vụ việc là lời cảnh báo rằng ranh giới bảo mật đã dịch từ hạ tầng sang con người. Một buổi phỏng vấn qua mạng, một bản cài đặt tải từ nguồn không kiểm chứng, hay một "bài kiểm tra" trong email - đều có thể là bước đầu tiên của chuỗi tấn công. Doanh nghiệp nên áp dụng nguyên tắc đặc quyền tối thiểu cho máy trạm của kỹ sư, tách biệt môi trường phát triển khỏi hệ thống ký giao dịch, và coi các quy trình tuyển dụng như một bề mặt tấn công cần kiểm soát.

Với các công ty trong lĩnh vực tài chính và tiền mã hóa tại Việt Nam, bài học cụ thể là phải thiết kế hệ thống phê duyệt giao dịch sao cho một tài khoản bị xâm nhập không thể vượt qua toàn bộ quy trình. Khi thiệt hại có thể tính bằng hàng tỷ USD và thời gian rút tiền chỉ tính bằng phút, kiểm soát nội bộ và kế hoạch ứng phó sự cố quan trọng không kém gì tường lửa.