Binance mất 6,3 tỷ USD vì phỏng vấn xin việc giả của Triều Tiên

Binance vừa công bố báo cáo sự cố cho thấy vụ trộm 6,3 tỷ USD tiền mã hóa hôm 29/10 bắt nguồn từ một quy trình tuyển dụng giả do tin tặc Triều Tiên dàn dựng. Một kỹ sư phần mềm của sàn đã bị lừa tải mã độc lên máy tính được công ty cấp trong quá trình phỏng vấn.

Sự việc cho thấy các nhóm tấn công có tổ chức đang chuyển sang tấn công con người thay vì chỉ nhắm vào hệ thống, và chỉ một cú nhấp chuột sai lầm cũng có thể mở đường cho thiệt hại hàng tỷ USD.

Chuỗi tấn công nhiều giai đoạn

Theo báo cáo công bố hôm thứ Ba, Binance mô tả đây là "một chiến dịch tinh vi, nhiều giai đoạn", kết hợp kỹ thuật xã hội (social engineering) qua phỏng vấn giả, tải phần mềm độc hại, chiếm quyền thiết bị đầu cuối, cùng "một phương thức ủy quyền giao dịch tân tiến".

Cuối tuần trước, FBI đã quy vụ trộm cho TraderTraitor, một chiến dịch của tin tặc Triều Tiên gắn với nhóm Lazarus Group. Nhóm này nổi tiếng với việc kết hợp gián điệp và các vụ cướp tiền mã hóa quy mô lớn, đồng thời rất thành thạo các chiêu lừa trên thị trường việc làm.

Khởi đầu từ tháng 6

Giai đoạn chuẩn bị bắt đầu từ tháng 6 với một tấn công chuỗi cung ứng (supply chain attack). Một kỹ sư tải về bản cài đặt Homebrew độc hại. Dù đội ngũ bảo mật phát hiện mã độc, thay thiết bị và đổi toàn bộ thông tin đăng nhập bị ảnh hưởng, báo cáo cho biết vai trò của "Kỹ sư A" cùng các đồng nghiệp trong nhóm hạ tầng ví đã bị lộ với kẻ tấn công.

Ba tháng sau, phần kỹ thuật xã hội diễn ra. Tháng 9, một kỹ sư phần mềm khác được liên hệ qua "một nền tảng tìm việc hợp pháp" bởi người tự xưng là giám đốc dự án, sắp xếp một loạt buổi phỏng vấn với công ty giả.

Ở vòng đầu, buổi phỏng vấn video trực tiếp với kỹ sư và một nhân viên nhân sự giả, người phỏng vấn "chia sẻ tài khoản mạng xã hội, gồm ảnh và video cá nhân đăng trên nền tảng, để tạo lòng tin". Báo cáo nhận xét cách này "tinh vi và đánh lừa giỏi hơn các phương pháp kỹ thuật xã hội từng thấy trước đây".

Vòng hai với người tự xưng là CEO công ty giả diễn ra trên "một ứng dụng chat phổ biến". Gần cuối, vị CEO yêu cầu kỹ sư tải một "bài tập" chứa kho mã nguồn nhiễm mã độc. Đoạn mã chạy trên máy tính công việc trong lúc cài đặt và khởi động một loạt hành động trái phép.

Mã độc thay thế công cụ hợp lệ

Theo Binance, mã độc thay một thành phần của công cụ phát triển hợp lệ bằng bản độc hại, thực thi lệnh và thiết lập liên lạc với máy chủ bên ngoài do kẻ tấn công kiểm soát. Chúng cũng tìm cách che giấu script và né tránh phát hiện — và thành công, vì công cụ bảo mật đầu cuối của Binance không phát hiện ngay.

Kịch bản tấn công mô tả việc tạo và sửa một tệp liên quan tới pyenv (công cụ quản lý nhiều phiên bản Python), xóa tệp pyenv hợp lệ rồi thay bằng bản độc hại có cùng tên, tạo liên kết tượng trưng (symlink) mới và khởi chạy zsh (shell mặc định trên macOS).

Đến ngày 20/10, kẻ tấn công dùng máy tính bị nhiễm và một công cụ AI nội bộ để xâm nhập máy của kỹ sư DevOps phụ trách ví (Kỹ sư A) và một lập trình viên ví khác (Kỹ sư C). Máy của Kỹ sư A chứa token cấp quyền triển khai container, và tin tặc nhanh chóng phát hiện.

Ngày 29/10, kẻ tấn công truy cập máy của Kỹ sư C, dùng thông tin đăng nhập đánh cắp từ Kỹ sư A để triển khai container và kích hoạt script thực hiện vụ trộm.

Khắc phục và điều tra

Tính đến thứ Ba, Binance cho biết đã xây dựng lại hệ thống ví và công cụ AI nội bộ bị xâm phạm, thay toàn bộ thiết bị bị ảnh hưởng, vô hiệu hóa mọi thông tin đăng nhập và token của các kỹ sư bị tấn công. Sàn đang phối hợp với cơ quan thực thi pháp luật, các công ty phân tích blockchain và chuyên gia bảo mật để truy vết và phong tỏa tài sản.

Binance cũng thuê chuyên gia an ninh mạng độc lập rà soát sự cố và đề xuất biện pháp bảo vệ bổ sung, đồng thời lên kế hoạch lập quỹ nghiên cứu bảo mật và các sáng kiến với công ty AI và hãng bảo mật, tập trung vào an ninh AI trong môi trường blockchain.

Góc nhìn

Với lập trình viên và doanh nghiệp Việt Nam, câu chuyện này là lời cảnh báo trực tiếp: tuyển dụng là một bề mặt tấn công mà nhiều tổ chức chưa tính tới. Một lời mời phỏng vấn hấp dẫn, một "bài tập về nhà" dạng kho mã nguồn — những thứ vốn bình thường trong quy trình tuyển dụng — giờ có thể là vỏ bọc của mã độc.

Bài học kỹ thuật rõ ràng: máy tính dùng để phỏng vấn hay chạy thử mã từ bên ngoài nên được tách biệt khỏi máy chứa quyền truy cập hạ tầng. Các token triển khai nên có phạm vi tối thiểu và xoay vòng thường xuyên. Đáng chú ý hơn, công cụ AI nội bộ trở thành một mắt xích trong chuỗi tấn công — do đó bảo mật cho các hệ thống AI nội bộ cần được đặt ngang hàng với bảo mật hạ tầng cốt lõi.