Tin tặc Triều Tiên bị cáo buộc gây ra vụ trộm 6,3 tỷ USD lớn nhất lịch sử tại Binance

Các nhà nghiên cứu an ninh mạng cho rằng một nhóm tin tặc do chính quyền Triều Tiên hậu thuẫn chính là thủ phạm đứng sau vụ tấn công mạng vào sàn giao dịch Binance. Số tiền mã hóa bị đánh cắp lên tới ít nhất 6,3 tỷ USD, tuy khoảng một nửa trong số đó đã bị phong tỏa khi dòng tiền bị xé lẻ qua nhiều blockchain khác nhau. Đây được xem là vụ trộm crypto lớn nhất trong lịch sử, dù sự việc vẫn chưa được xác nhận là đã khép lại và con số thiệt hại có thể còn thay đổi.

Binance nói gì về vụ việc?

Trong một bài đăng trên X, Binance cho biết quá trình điều tra ban đầu cho thấy tin tặc đã xâm nhập hệ thống của công ty sau khi nhắm vào chiếc máy tính xách tay bị xâm phạm của một kỹ sư Binance. Điều này "cho phép kẻ tấn công truy cập vào một service container và gửi các lệnh rút tiền trái phép."

Sàn giao dịch này khẳng định chưa thấy dấu hiệu nào cho thấy khóa riêng tư (private key) của công ty bị rò rỉ — yếu tố mà nếu xảy ra sẽ trao cho tin tặc quyền kiểm soát gần như tuyệt đối kho tiền mã hóa của Binance.

Hiện Binance đã tạm dừng toàn bộ hoạt động nạp và rút tiền trong khi tiếp tục điều tra vụ xâm nhập. Trước đó, TechCrunch đưa tin sàn này đã tạm ngừng rút tiền trên một số blockchain.

Binance khẳng định "tiền của người dùng vẫn an toàn", nhưng chưa cung cấp bằng chứng ngay lập tức. Công ty cho biết sẽ "công bố báo cáo chứng minh dự trữ (proof of reserves) cập nhật sau khi hoàn tất khắc phục."

Lỗ hổng đến từ đâu?

Vẫn chưa rõ vụ tấn công diễn ra như thế nào và trong hoàn cảnh nào mà chiếc máy tính của nhân viên bị xâm phạm. Tuy nhiên, việc sự cố an ninh bắt nguồn từ phần mềm bị nhiễm độc trên thiết bị nhân viên là chuyện không hiếm gặp.

Phần mềm thường được cấu thành từ nhiều thành phần, trong đó có các dự án mã nguồn mở — thứ mà tin tặc thường xuyên nhắm tới, xâm phạm và chỉnh sửa nhằm đánh cắp dữ liệu từ thiết bị cài đặt phần mềm bị ảnh hưởng. Ngoài ra, mã độc được đính kèm vào các ứng dụng và trò chơi trông có vẻ bình thường cũng có thể giúp tin tặc lấy cắp tên đăng nhập, mật khẩu và session token, từ đó đăng nhập như thể là một nhân viên hợp pháp.

Câu hỏi lớn đặt ra với Binance là: tại sao hệ thống bảo mật của công ty lại cho phép một chiếc máy tính duy nhất có thể truy cập vào các hệ thống có khả năng điều khiển hàng tỷ USD tiền mã hóa?

Đại diện của Binance chưa trả lời yêu cầu bình luận về vụ tấn công. TechCrunch cũng đã hỏi công ty về việc liệu có bên nào thực hiện kiểm toán an ninh hệ thống trước khi xảy ra sự việc hay không. Các doanh nghiệp thường thuê bên thứ ba kiểm thử căng thẳng (stress-test) hệ thống để phát hiện lỗ hổng, nhưng chưa rõ Binance có tiến hành đánh giá như vậy hay không.

Nhóm TraderTraitor và chuỗi vụ trộm quy mô lớn

Các nhà nghiên cứu an ninh tại TRM Labs — công ty chuyên về tình báo và pháp chứng blockchain — quy trách nhiệm vụ xâm nhập cho tin tặc Triều Tiên và gọi đây là "vụ hack lớn nhất trong lịch sử."

Nhóm tin tặc này được giới an ninh mạng gọi là TraderTraitor, được mô tả là một nhóm tác chiến mạng của Triều Tiên hoạt động gần như độc quyền nhằm đánh cắp crypto từ các công ty và sàn giao dịch lớn. Nhóm này cũng từng bị cáo buộc gây ra vụ trộm lớn thứ hai trong lịch sử — 1,4 tỷ USD từ sàn Bybit vào năm 2025.

Theo TRM, vụ trộm hàng tỷ USD của Binance chỉ diễn ra trong khoảng 20 phút.

Hãng bảo mật blockchain Elliptic cũng quy trách nhiệm vụ việc cho tin tặc Triều Tiên. Elliptic cho biết một phần số tiền bị đánh cắp đã được chuyển tới chính ví từng xuất hiện trong một vụ tấn công mạng trước đó nhằm vào sàn Bitget hồi đầu năm nay, trong đó tin tặc đã lấy đi 351 triệu USD.

Bối cảnh và cảnh báo toàn cầu

Chính phủ Mỹ và các đồng minh từ lâu đã cảnh báo về mối đe dọa từ Triều Tiên — quốc gia hiện bị cắt khỏi hệ thống tài chính toàn cầu vì chương trình phát triển vũ khí hạt nhân. Theo các nhà nghiên cứu, động cơ duy nhất của quốc gia này là đánh cắp càng nhiều crypto càng tốt để tiếp tục phát triển các chương trình vũ khí hủy diệt hàng loạt đang bị trừng phạt.

Đối với người dùng Việt Nam, vụ việc là lời nhắc nhở rõ ràng về rủi ro khi gửi gắm tài sản số vào các sàn tập trung. Ngay cả những nền tảng lớn nhất thế giới với nguồn lực bảo mật khổng lồ cũng có thể bị tổn thương bởi một lỗ hổng duy nhất. Các chuyên gia khuyến nghị nhà đầu tư nên:

• Ưu tiên ví lạnh (cold wallet) và tự quản lý khóa riêng tư thay vì để tài sản trên sàn.
• Bật xác thực hai yếu tố (2FA) bằng ứng dụng thay vì tin nhắn SMS.
• Theo dõi các thông báo chính thức về chứng minh dự trữ và chỉ giao dịch khi sàn đã khôi phục hoàn toàn.

Vụ việc một lần nữa cho thấy cuộc chiến giữa các sàn giao dịch và những nhóm tin tặc được nhà nước hậu thuẫn vẫn còn rất cam go, và bài học về phân quyền tối thiểu trong hệ thống tài chính số đang trở nên cấp thiết hơn bao giờ hết.