Trong hai ngày 29 và 30 tháng 10 năm 2026, Binance đã trải qua một sự cố an ninh có quy mô hiếm thấy nhưng cuối cùng đã được giảm thiểu đáng kể. Sự thật cốt lõi là: nhiều ví nóng bị “quét” bất thường trong thời gian cực ngắn, với lượng tài sản trên sổ sách bị chuyển đi có lúc được truy dấu lên đến hàng tỷ USD. Tuy nhiên, các đơn vị phát hành stablecoin lớn đã nhanh chóng đóng băng phần lớn số tiền liên quan. Theo ước tính của CZ, khoản lỗ ròng thực tế chỉ nhỉnh hơn 1 tỷ USD một chút và Binance cam kết sẽ bù đắp toàn bộ.

Dòng tiền bất thường: nhiều ví nóng liên tiếp bị “quét”

Sự việc bắt đầu vào khoảng 4:24 sáng ngày 30 tháng 10 theo giờ Đài Bắc (20:24 ngày 29 tháng 10 theo giờ UTC), khi ví nóng được Binance gắn nhãn “Binance 14” kích hoạt một giao dịch sweep (quét), chuyển đi một lần khoảng 167.464 ETH và 63 loại token ERC-20, trong đó có khoảng 1,615 tỷ USDT, trị giá ước tính khoảng 2,5 tỷ USD vào thời điểm đó.

Ngay sau đó, các hoạt động bất thường vẫn tiếp diễn:

· Chỉ 24 giây sau, một ví nóng khác có tên “Binance 16” chuyển khoảng 28.005 ETH cùng tài sản trị giá khoảng 55,74 triệu USDT, 25,94 triệu RLUSD và một số tài sản khác đến cùng một địa chỉ nhận.

· Khoảng 17 phút sau (4:41), “Hot Wallet 34” lại chuyển 780 triệu USDC đến cùng địa chỉ đó; sau đó còn có một giao dịch chuyển 43 triệu USD bằng USDC.

Do tiền được chuyển tập trung từ nhiều ví nóng độc lập đến một địa chỉ mới tạo trong ngày chỉ trong thời gian ngắn, các cảnh báo on-chain ban đầu thậm chí không thể loại trừ khả năng đây là “điều chuyển phục vụ bảo trì định kỳ”. Tuy nhiên, việc địa chỉ nhận mới được tạo, tài sản nhanh chóng được chuyển lần thứ hai và hàm sweep được sử dụng đã khiến thị trường nhanh chóng nghiêng về kết luận đây là một vụ tấn công.

Thủ đoạn tấn công: vấn đề không nằm ở khóa riêng tư, mà ở “ủy quyền chữ ký”

Điểm đặc biệt về mặt kỹ thuật của sự việc này là: dường như kẻ tấn công không trực tiếp đánh cắp khóa riêng tư của ví Binance.

Các phân tích on-chain cho thấy cơ chế EIP-7702 của Ethereum đã bị lợi dụng. Cơ chế này cho phép một tài khoản bên ngoài ủy quyền thực thi cho một đoạn mã cụ thể thông qua “ủy quyền chữ ký”. Kẻ tấn công được cho là đã lấy được chữ ký ủy quyền bằng các phương thức như lừa đảo, từ đó cài đặt mã độc có chức năng “quét” trên các ví liên kết với Binance rồi gọi sweep để chuyển hàng loạt tài sản ra ngoài. Các chuyên gia phân tích an ninh chỉ ra rằng nếu kẻ tấn công thực sự nắm được khóa riêng tư thì không cần thông qua bộ chuyển tiếp (Relayer) hay quy trình ủy quyền; họ có thể chuyển tài sản trực tiếp bằng một giao dịch nguyên tử. Vì vậy, giả thuyết “chỉ lấy được chữ ký ủy quyền EIP-7702” là lời giải thích hợp lý hơn.

Điều này đồng nghĩa với việc ngưỡng để thực hiện cuộc tấn công đã giảm đáng kể: không cần bẻ khóa riêng tư, chỉ cần lừa được một chữ ký ủy quyền là có thể khiến một địa chỉ rơi vào trạng thái có thể bị “quét”. Việc cùng một ví tiếp tục bị chuyển tài sản ra ngoài sau lần quét đầu tiên cũng xác nhận rằng quyền ủy quyền này vẫn còn hiệu lực một thời gian sau khi sự việc xảy ra.

Đóng băng và xác định bản chất sự việc: từ “đang điều tra” đến “đúng là một vụ tấn công”

Sau khi sự việc xảy ra, các tuyên bố công khai của Binance dần trở nên dứt khoát hơn. Tuyên bố ban đầu chỉ cho biết “đang điều tra một vấn đề an ninh tiềm ẩn” và “chưa xác nhận tiền của người dùng bị ảnh hưởng”. Trong khoảng hơn mười phút, tuyên bố được sửa đổi nhiều lần; phiên bản cuối cùng khẳng định “tiền của người dùng hoàn toàn an toàn”, nhưng khi đó vẫn chưa chính thức gọi đây là vụ “đánh cắp” hay “tấn công mạng”.

Bước ngoặt đến từ phát biểu của CZ (Changpeng Zhao). Ông tuyên bố rõ rằng “đây có vẻ đúng là một vụ tấn công mạng nhằm vào Binance”, đồng thời nhấn mạnh tiền của người dùng vẫn an toàn và cảm ơn Tether cùng Circle đã nhanh chóng đóng băng tài sản. CZ cũng cho biết ông không còn điều hành hoạt động hằng ngày của Binance, nhưng với tư cách cổ đông, ông tin rằng toàn bộ tiền của người dùng sẽ được bù đắp đầy đủ.

Song song với việc xác định bản chất sự việc là hành động đóng băng của các đơn vị phát hành stablecoin:

· Tether đã đóng băng hơn 1,567 tỷ USDT (một số nguồn khác đưa tin con số này vào khoảng 971 triệu USD);

· Circle đã đóng băng khoảng 823 triệu USDC.

Tổng số tiền bị hai bên đóng băng vào khoảng 2,39 tỷ USD. Đây là nguyên nhân chính khiến xuất hiện chênh lệch rất lớn giữa “lượng tiền bị chuyển đi trên sổ sách” và “thiệt hại thực tế” về sau.

Con số trên sổ sách và thiệt hại thực tế: vì sao từ hàng tỷ USD giảm xuống còn “nhỉnh hơn 1 tỷ”

Do cuộc tấn công liên quan đến nhiều ví, nhiều blockchain và hàng chục loại token, tổng lượng tiền bị chuyển đi theo các dữ liệu truy dấu on-chain ban đầu rất hỗn loạn: từ khoảng 2,5 tỷ USD, khoảng 2,8 tỷ USD trong những ước tính ban đầu, lên khoảng 3,3 tỷ USD theo các dữ liệu truy dấu sau đó; thậm chí một số đơn vị giám sát còn đưa ra ước tính vượt 5,8 tỷ USD.

Tuy nhiên, đây chủ yếu là quy mô tài sản được chuyển đi, chứ không phải khoản lỗ ròng cuối cùng không thể thu hồi. Ước tính của 0xngmi, nhà sáng lập DefiLlama, đưa ra góc nhìn rõ ràng hơn: sau khi USDT và USDC bị đóng băng trên diện rộng, tổng thiệt hại của sự việc vào khoảng 1 tỷ USD, chỉ chiếm 0,69% trong khoảng 144 tỷ USD tài sản Binance đang lưu ký và hoàn toàn có thể được bảng cân đối kế toán của Binance bù đắp. CZ đã chia sẻ lại ước tính này và nói thêm rằng “thiệt hại có thể cao hơn con số này một chút, nhưng sẽ được bù đắp toàn bộ”.

Mối liên hệ giữa các con số này là: trong số tài sản bị kẻ tấn công chuyển đi, khoảng 2,4 tỷ USD stablecoin đã bị các đơn vị phát hành đóng băng; phần thực sự nằm ngoài tầm kiểm soát của Binance và chưa bị đóng băng trong ngắn hạn giảm xuống còn khoảng 1 tỷ USD. Vì vậy, Binance phải gánh chịu khoản lỗ ròng có thể bù đắp, chứ không phải toàn bộ hàng tỷ USD bị mất trắng.

Tạm ngừng rút tiền và ảnh hưởng thực tế đến người dùng

Trong quá trình rà soát an ninh, Binance đã tạm ngừng cho phép rút tiền. Ban đầu, nền tảng cho biết một số yêu cầu rút tiền của người dùng bị cản trở do “lỗi kỹ thuật”; sau đó, họ tuyên bố rõ rằng “việc rút tiền sẽ được khôi phục sau khi vấn đề an ninh được giải quyết hoàn toàn” và nhắc lại rằng tiền của người dùng vẫn an toàn. Điều này có nghĩa là ảnh hưởng trực tiếp chủ yếu đối với người dùng thông thường là việc rút tiền bị gián đoạn trong thời gian ngắn, chứ không phải số dư tài khoản bị xóa sạch. CZ và Binance có chung lập trường chính thức: tiền của người dùng “hoàn toàn an toàn”, còn nền tảng sẽ bù đắp khoản thiệt hại.

Nhìn chung, bức tranh thực tế của sự việc là: một vụ quét trái phép quy mô lớn nhằm vào các ví nóng của Binance bằng cách lợi dụng cơ chế ủy quyền EIP-7702. Lượng tiền chuyển đi trên sổ sách từng lên đến hàng tỷ USD, nhưng nhờ sự kết hợp giữa việc đóng băng stablecoin và khả năng hấp thụ tổn thất của bảng cân đối kế toán, khoản lỗ ròng thực tế đã được giảm xuống mức khoảng 1 tỷ USD. Người dùng không chịu thiệt hại trực tiếp và hoạt động rút tiền được khôi phục sau khi xác nhận an toàn. Danh tính kẻ tấn công và cách thức cụ thể mà chúng dùng để lấy được quyền ủy quyền vẫn chưa được công bố; cuộc điều tra và quá trình truy tìm dòng tiền vẫn đang tiếp diễn.