Diễn biến vụ Binance bị đánh cắp như trong hình:
Một: 4 giờ 24 phút sáng, chỉ một giao dịch đã vét sạch một chiếc ví.
Rạng sáng nay, một trong những ví nóng bận rộn nhất của Binance trên Ethereum — “Binance số 14” — đã bị vét sạch chỉ bằng một giao dịch.
167.000 Ethereum, hơn 1,6 tỷ USDT, cùng hơn 60 loại tiền mã hóa khác, tất cả được chuyển một lượt vào một địa chỉ mới tạo, chưa có bất kỳ lịch sử giao dịch nào. Sau khi chuyển xong, ví số 14 chỉ còn lại 1 Ethereum. Theo giá lúc đó, giao dịch này trị giá khoảng 2,5 tỷ USD.
24 giây sau, ví số 16 của Binance cũng chuyển 28.000 Ethereum và một loạt stablecoin đến cùng địa chỉ đó. Trong 12 phút tiếp theo, các ví nóng trên nhiều blockchain lần lượt chuyển tiền đến đó, tổng cộng là mười ví.
4 giờ 41 phút, hacker lợi dụng quyền của ví số 14, chuyển thêm 780 triệu USDC từ một tài khoản hợp đồng đứng tên Binance, sau đó còn chuyển thêm 43 triệu.
Lúc đó, phần lớn mọi người ở châu Á đang ngủ, còn bên Mỹ thì sắp hết giờ làm. Sau đó, một số công ty phân tích on-chain ước tính tổng số tiền nằm trong khoảng 5,8 đến 5,9 tỷ USD. Đến giờ Binance vẫn chưa đưa ra con số cuối cùng.
Hai: Hacker đã diễn tập từ một ngày trước.
Theo báo cáo rà soát của công ty bảo mật Blockaid, địa chỉ thực hiện vụ tấn công bắt đầu rút tiền từ máy trộn tiền mã hóa làm vốn khởi động, chia thành ba đợt kể từ ngày 28. Trước khi ra tay thật, hắn đã chạy thử toàn bộ quy trình ba lần trên ba ví do mình kiểm soát, mỗi lần chỉ di chuyển từ 2 đến 6 USD.
23 giờ 59 phút ngày 29, hợp đồng dùng để “xóa sạch chỉ bằng một cú nhấp” được triển khai on-chain. Hợp đồng chỉ chấp nhận một người gọi duy nhất là hacker, và chỉ làm một việc: chuyển hết số coin và Ethereum được liệt kê trong ví đi.
Hắn ra tay lúc 4 giờ 20. Hacker dùng khóa riêng tư của ví Binance số 14 để ký liền 50 lệnh ủy quyền, mỗi lệnh ứng với một số thứ tự giao dịch. Khi đó ví vẫn đang xử lý lệnh rút tiền bình thường cho người dùng, số thứ tự liên tục thay đổi và không thể đoán được số nào đang có hiệu lực, nên hắn ký cả một dãy. 49 lệnh vô hiệu, 1 lệnh có hiệu lực. Ba phút 24 giây sau, giao dịch vét sạch ví được đưa lên chuỗi.
Các lệnh ủy quyền này được ký bằng khóa riêng tư của chính ví Binance. Blockaid nhận định khóa đã bị người khác lấy được, nhưng Binance vẫn chưa nói rõ bằng cách nào.
Sau khi vét sạch ví, lệnh ủy quyền này vẫn chưa bị thu hồi. Đến 5 giờ 44, thêm 200 triệu USDT và hơn chục loại coin được nạp vào ví số 14 như bình thường. Hacker không cần ký thêm, chỉ việc vét thêm một lần nữa.
Ba: Bên ra tay ngăn chặn đầu tiên là các công ty phát hành stablecoin.
Stablecoin có thể bị đóng băng — đây là rắc rối lớn nhất của hacker lần này.
Lúc 5 giờ 25, CEO của Tether đăng bài trên X, nói rằng đã đóng băng hơn 1,567 tỷ USDT. Circle cũng đóng băng hơn 800 triệu USDC. Con số Triệu Trường Bằng đưa ra trước đó là 971 triệu USDT của Tether và 823 triệu USDC của Circle; sau đó Tether lại nâng con số lên.
Sau đó, một số công ty khác cũng nhập cuộc. Ripple cho biết đang đóng băng số RLUSD trong tay hacker; đơn vị phát hành USD1 đã đóng băng 27 triệu USD1.
Lúc 8 giờ 14, hội đồng bảo mật Arbitrum thực hiện một giao dịch để đóng băng khoảng 30,5 triệu USD mà hacker để lại trên chuỗi này. Thám tử on-chain ZachXBT là một trong những người ký giao dịch. Theo phân tích của Ember, số tài sản này gồm 8.426 Ethereum và 74,56 triệu ARB. Có lẽ hacker nghĩ rằng tiền mã hóa gốc sẽ không gặp vấn đề gì nên chưa vội chuyển đi.
Lúc 8 giờ 52, Binance cập nhật số liệu, xác nhận tổng số tiền bị đóng băng vào khoảng 3 tỷ USD.
Phần lớn tài sản có thể đóng băng đều là stablecoin. Các tài sản gốc như Ethereum và Bitcoin không thể bị đóng băng on-chain, nên hiện vẫn nằm trong tay hacker.
Bốn: CZ lên tiếng lúc 5 giờ 15.
Người đầu tiên đưa ra nhận định là Triệu Trường Bằng. Lúc 5 giờ 15, ông đăng bài trên X nói rằng có vẻ đúng là sàn đã bị hack, nhưng tiền của người dùng vẫn an toàn. Ông còn đặc biệt nói thêm rằng mình không còn quản lý Binance, mà phát biểu với tư cách cổ đông; ông tin rằng tiền của người dùng sẽ được bồi hoàn đầy đủ.
Lúc 5 giờ 26, nhà sáng lập DefiLlama tính toán rằng Binance đang lưu ký khoảng 144 tỷ USD. Sau khi trừ số stablecoin bị đóng băng, thiệt hại ròng chỉ vào khoảng 1 tỷ USD, chưa đến 1% tổng tài sản lưu ký. Lúc 6 giờ 23, Triệu Trường Bằng đăng lại bài này và trả lời: thiệt hại có thể cao hơn một chút, nhưng sẽ được bồi thường.
Thông báo đầu tiên của Binance được đăng lúc 5 giờ 39 trên tài khoản tiếng Trung, với cách diễn đạt vẫn là “vấn đề bảo mật tiềm ẩn”. Sàn cho biết đang điều tra, tiền của người dùng an toàn, đồng thời nhắc mọi người đừng nhấp vào liên kết không chính thức.
Lúc 8 giờ 04, Hà Nhất ra thông báo; đến 8 giờ 13, tài khoản chính thức của Binance cũng đăng bài với nội dung tương tự: mọi tổn thất sẽ do Binance chịu, toàn bộ hoạt động nạp và rút tiền bị tạm ngừng, việc kiểm tra bảo mật và đóng băng tài sản đang được tiến hành, đồng thời sàn đang phối hợp với cơ quan thực thi pháp luật. Báo cáo rà soát đầy đủ sẽ được công bố sau khi điều tra xong.
Năm: Hacker đã làm gì trong mấy tiếng qua?
Bận đổi số coin trong tay thành những thứ không thể đóng băng.
Theo Lookonchain, gần sáng, hacker bắt đầu bán các altcoin như UNI và PEPE trên chuỗi — tổng cộng bảy loại — và bán xong vào khoảng 9 giờ, đổi được khoảng 70.000 Ethereum. Riêng PEPE, hắn đã xả hơn 7,7 nghìn tỷ token.
Anh ta còn dùng số USDT đánh cắp được làm tài sản thế chấp, vay 20.000 WETH trên giao thức cho vay Aave, tương đương khoảng 4,4 tỷ USD. Theo CoinDesk, nếu khoản vay này không thu hồi được, Aave có thể sẽ chịu thiệt hại.
Khoảng 9 giờ rưỡi, PeckShield lại phát hiện hacker gom số Ethereum đã đổi từ vài địa chỉ vào một địa chỉ mới.
Sáu: Gần gấp bốn lần vụ Bybit.
Kỷ lục trước đó là vụ Bybit hồi tháng 2 năm 2025, khoảng 1,5 tỷ USD, khi ấy đã là vụ lớn nhất từ trước đến nay trong giới tiền mã hóa. Ước tính dựa trên dữ liệu on-chain lần này gần gấp bốn lần con số đó.
Bản thân Binance cũng không phải lần đầu gặp chuyện. Tháng 5 năm 2019, sàn từng bị đánh cắp 7.000 Bitcoin và đã bồi thường bằng quỹ SAFU. Quy mô vụ đó nhỏ hơn vụ lần này hai bậc độ lớn.
Bảy: Những người đang để tiền trên Binance hiện ra sao?
Tạm thời đã ngừng cả nạp lẫn rút tiền; tính năng Alpha liên quan đến giao dịch on-chain cũng đã bị tạm ngừng. Theo Cointelegraph, Binance.US không bị ảnh hưởng.
Từ rạng sáng đến giờ, Binance đã ít nhất năm sáu lần khẳng định “tiền của người dùng an toàn”, đồng thời nói rõ mọi tổn thất sẽ do sàn tự gánh chịu. Hơn 9 giờ 20, Hà Nhất đăng thêm một bài, nói rằng sàn vẫn đang quét bảo mật trên toàn nền tảng.
Những lúc thế này, kẻ lừa đảo giả danh nhân viên hỗ trợ khách hàng và gửi “liên kết hoàn tiền” xuất hiện nhiều nhất. Trong thông báo đầu tiên, Binance đã đặc biệt nhắc mọi người đừng nhấp vào.
Khóa riêng tư bị lộ ra ngoài bằng cách nào, tổng thiệt hại thực sự là bao nhiêu, ngày nào sẽ khôi phục nạp rút, khi nào báo cáo rà soát sự cố được công bố — hiện vẫn chưa có câu trả lời cho những điều này.
Tính đến 9 giờ rưỡi sáng, việc nạp rút vẫn bị tạm ngừng và báo cáo rà soát sự cố cũng chưa được công bố. Khả năng cao Binance đủ sức bồi thường lần này; điều tôi muốn xem hơn là họ sẽ giải thích thế nào về chiếc khóa riêng tư đó trong báo cáo.