Vụ trộm 6,3 tỷ USD của Binance: Chỉ mất 20 phút để thực hiện

Các công ty tiền mã hóa và cơ quan điều tra đang chạy đua để đóng băng và truy vết hàng tỷ USD tiền số bị đánh cắp sau vụ trộm tiền mã hóa lớn nhất lịch sử. Theo phân tích của các công ty truy vết, hacker đã rút khoảng 6,3 tỷ USD khỏi ví của sàn Binance chỉ trong khoảng 20 phút, và giới nghiên cứu nghi ngờ nhóm hacker Triều Tiên TraderTraitor đứng sau.

Diễn biến vụ tấn công

Vụ việc bắt đầu vào khoảng 16 giờ theo giờ miền Đông nước Mỹ ngày 29/10, khi hacker nhanh chóng rút tiền từ các ví thuộc sàn Binance trên nhiều blockchain khác nhau. Binance gần như ngay lập tức tạm dừng toàn bộ hoạt động nạp và rút tiền để phục vụ điều tra, đồng thời cho biết đang phối hợp với cơ quan chức năng để xác định thủ phạm.

Theo phân tích của công ty truy vết TRM Labs, phần lớn số tiền bị lấy đi trong khoảng 20 phút. Các ví của Binance trên ít nhất mười blockchain — bao gồm Ethereum, Bitcoin, Tron và Solana — bị rút sạch và chuyển đến nhiều địa chỉ do một kẻ tấn công duy nhất kiểm soát.

"Quá trình chuẩn bị bắt đầu ít nhất 36 giờ trước khi vụ trộm diễn ra", TRM cho biết trong một bài đăng blog.

Theo TRM, kẻ tấn công đã thử nghiệm trên hai ví trước, sau đó diễn tập phiên bản cuối cùng trên một ví thứ ba và chuyển tiền thử nghiệm trở lại. Bốn giờ sau đó, đoạn mã tấn công được cài lên một ví nóng (hot wallet) của Binance — loại ví luôn kết nối internet để sàn xử lý giao dịch rút tiền của khách hàng.

Dấu vết dẫn đến TraderTraitor

Cả Binance lẫn cơ quan thực thi pháp luật đều chưa công bố nghi phạm, nhưng ba công ty truy vết gồm TRM Labs, Chainalysis và Elliptic đều nhận thấy sự trùng khớp với các vụ tấn công trước đây của nhóm TraderTraitor.

Theo Chainalysis, bằng chứng mạnh nhất xuất hiện khi các nhà điều tra quan sát trực tiếp số tiền bị đánh cắp từ Binance bị trộn lẫn với tiền từ vụ khai thác Bitget hồi tháng trước — vụ việc đã được quy cho các đối tượng Triều Tiên.

Tom Robinson, nhà khoa học chính và đồng sáng lập Elliptic, cho biết:

"Binance nói vụ tấn công bắt đầu từ laptop của một kỹ sư bị xâm nhập. Nhắm vào nhân viên công ty tiền mã hóa là đặc trưng của TraderTraitor. Kẻ tấn công nạp tiền vào ví qua Tornado Cash và diễn tập trước, giống hệt vụ Bybit."

Năm ngoái, FBI từng quy trách nhiệm cho TraderTraitor trong vụ hack trị giá 1,5 tỷ USD nhằm vào sàn Bybit. Nếu Triều Tiên thực sự đứng sau vụ việc lần này, chỉ riêng vụ trộm đã gần như gấp đôi tổng số tiền mã hóa mà chế độ này đã đánh cắp cho đến nay.

Binance phản hồi và nỗ lực đóng băng tài sản

Binance cho biết sẽ bồi thường toàn bộ thiệt hại từ vụ hack và đang phối hợp với cơ quan chức năng để xác định thủ phạm. Trong một tuyên bố, công ty cho hay:

"Điều tra ban đầu cho thấy sự cố bảo mật có thể liên quan đến một laptop bị xâm nhập, tuy nhiên điều tra sau đó đã phát hiện thêm các điểm xâm nhập khác. Đây là một cuộc tấn công phức tạp, và chúng tôi đang làm mọi thứ trong khả năng để phối hợp với cơ quan chức năng giải quyết."

Cho đến nay, các công ty tiền mã hóa đã đóng băng được khoảng một nửa số tiền bị đánh cắp. Theo Robinson của Elliptic, khoảng 2,8 tỷ USD (tương đương 44% tổng số tiền) đã được đóng băng, phần lớn là stablecoin.

Tuy nhiên, khoảng 3,3 tỷ USD còn lại chủ yếu là Bitcoin, Ether và XRP — những loại tiền mà không ai có thể đóng băng.

"Chúng chỉ có thể bị chặn khi đến được một sàn giao dịch hoặc dịch vụ khác. Một phần sẽ bị bắt giữ trong vài tháng tới, nhưng tôi không kỳ vọng tỷ lệ đóng băng sẽ tăng thêm nhiều", Robinson nhận định.

Chainalysis cho biết đang quan sát thấy "các mô hình rửa tiền chưa từng thấy trước đây", với hàng nghìn giao dịch được xử lý nhanh chóng — dấu hiệu cho thấy hacker đang dùng tự động hóa để che giấu dấu vết dòng tiền.

Bối cảnh đối với người dùng tiền mã hóa

Vụ việc một lần nữa cho thấy rủi ro tập trung của các sàn giao dịch lớn: dù được xem là hạ tầng quan trọng của thị trường, ví nóng của họ vẫn là mục tiêu hấp dẫn cho các nhóm tấn công có tổ chức. Với người dùng tại Việt Nam, các chuyên gia bảo mật khuyến nghị:

• Ưu tiên lưu trữ tài sản dài hạn trong ví lạnh (cold wallet) thay vì để trên sàn.
• Bật xác thực hai yếu tố và cảnh giác với các ứng dụng, liên kết giả mạo nhắm vào nhân viên và người dùng sàn.
• Theo dõi thông báo chính thức từ sàn và không hoảng loạn rút tiền hàng loạt nếu chưa có thông tin xác nhận.

Rafe Pilling, giám đốc cấp cao bộ phận tình báo mối đe dọa tại hãng bảo mật Sophos, nhận xét về nhóm TraderTraitor:

"Những kẻ này thực sự giống như những nghệ sĩ trong việc xâm nhập các tổ chức tài chính phi tập trung. TraderTraitor dường như tập trung vào các chiến dịch lớn hơn, trước đây chúng từng phát triển ứng dụng giả mạo và dùng chúng để xâm nhập vào tổ chức."

Câu hỏi lớn còn bỏ ngỏ là liệu phần lớn số tiền 3,3 tỷ USD còn lại có được thu hồi, hay sẽ âm thầm biến mất qua mạng lưới rửa tiền ngày càng tinh vi của giới tội phạm mạng.