Rạng sáng ngày 30 tháng 10 theo giờ Bắc Kinh, một cuộc tấn công có thể đi vào lịch sử an ninh tiền mã hóa đã xảy ra.
Nhiều ví nóng của Binance bị chuyển tiền bất thường, với tài sản liên quan trị giá khoảng 6,3 tỷ USD trên nhiều mạng blockchain.
Đây không phải là một vụ trộm ví thông thường.
Điều đáng sợ nhất là: hacker dường như không trực tiếp phá vỡ blockchain, mà đã khai thác thành công hệ thống ký và thực thi giao dịch của chính sàn giao dịch.
Tôi đã rà soát lại hồ sơ trên chuỗi và các cuộc điều tra công khai về sự việc này, và có một số chi tiết rất đáng chú ý.
I. 4:20 sáng, Binance 14 âm thầm bị chiếm quyền kiểm soát
Kẻ tấn công nhắm vào ví nóng chủ lực Binance 14 của Binance.
Ví này từ lâu đã phụ trách luân chuyển một lượng tiền lớn.
Kẻ tấn công đã sử dụng cơ chế EIP-7702 của Ethereum.
Giải thích đơn giản: ví Ethereum thông thường có thể ủy quyền một phần khả năng thực thi cho hợp đồng thông minh.
Sau khi được cấp quyền, hợp đồng có thể thực hiện các thao tác trên ví theo logic đã được thiết lập trước.
Khoảng 4:20 sáng, kẻ tấn công gửi một giao dịch gồm 50 lượt cấp quyền đã được ký trước.
Vì sao lại là 50?
Vì mỗi lượt cấp quyền tương ứng với một Nonce (số thứ tự giao dịch) khác nhau. Kẻ tấn công không thể dự đoán chính xác Nonce của ví tại thời điểm đó, nên đã chuẩn bị sẵn 50 phương án có thể xảy ra.
Cuối cùng, chỉ có một phương án khớp.
Quyền thực thi tài khoản Binance 14 cứ thế được ủy quyền cho hợp đồng độc hại của kẻ tấn công.
2. Bốn phút sau, khoảng 2,5 tỷ USD bị chuyển đi chỉ trong một lần
Lúc 4:24 sáng, kẻ tấn công gọi hợp đồng độc hại để thực hiện thao tác Sweep.
Chỉ trong một giao dịch, số tài sản sau đã bị chuyển đi:
167,464 ETH
Khoảng 1,615 tỷ USD USDT
Hơn 60 loại token khác
Tổng giá trị khoảng 2,5 tỷ USD.
Đáng kinh ngạc hơn, 24 giây sau, một ví nóng khác là Binance 16 cũng chuyển khoảng 28,005.6 ETH cùng một lượng lớn tài sản khác đến cùng địa chỉ của kẻ tấn công.
Giao dịch này cũng là một lệnh chuyển tiền được ký hợp lệ, chứ không đơn thuần là sao chép thao tác ủy quyền của Binance 14.
Điều này có nghĩa là kẻ tấn công có thể đã tiếp cận được nhiều hơn một ví.
3. Điều khó tin nhất: hệ thống tự động gom tiền vẫn hoạt động sau khi ví bị đánh cắp
Kẻ tấn công không dừng việc vét tiền.
Do tiền nạp của người dùng vẫn được gom vào ví nóng theo quy trình cũ, Binance 14 đã bị cấp quyền độc hại vẫn tiếp tục nhận tiền.
Điều tra trên chuỗi còn ghi nhận một khoản tiền bổ sung sau đó, khoảng 200 triệu USDT.
72 giây sau, khoản tiền này cũng bị kẻ tấn công quét sạch.
Đây mới là khía cạnh đáng cảnh giác nhất của toàn bộ sự việc:
Ví đã có dấu hiệu bất thường, nhưng cơ chế gom tiền vẫn chưa được ngắt kịp thời.
Đây không chỉ đơn thuần là một giao dịch trộm tiền mã hóa, mà là việc kẻ tấn công lợi dụng hệ thống tự động để liên tục vét tiền.
4. Sự việc này gây thiệt hại bao nhiêu?
Ban đầu, nhiều người chỉ chú ý đến dòng tiền trên Ethereum.
Nhưng các cuộc điều tra xuyên chuỗi sau đó của TRM Labs và Bitquery cho thấy phạm vi tấn công vượt xa Ethereum.
Theo các cuộc điều tra được công bố hiện nay:
Khoảng 6,3 tỷ USD tài sản đã rời khỏi 17 ví nóng của Binance.
Sự việc liên quan đến 9 đến 10 mạng blockchain (số liệu có đôi chút khác biệt tùy theo cách thống kê của từng tổ chức).
Khoảng 18,270 BTC đã bị chuyển khỏi mạng Bitcoin.
Khoảng 613 triệu USDT đã bị chuyển khỏi mạng TRON.
Một lượng lớn ETH, USDT và các token khác cũng bị đánh cắp trên Ethereum.
Các mạng XRP, Solana, Base, Optimism, Avalanche và những mạng khác cũng bị ảnh hưởng.
Đây không còn là vụ một ví bị xâm nhập, mà là nhiều kênh luân chuyển tiền của sàn giao dịch cùng lúc gặp sự cố.
5. Stablecoin có thể bị đóng băng, nhưng ETH thì không dễ như vậy
Sự việc lần này còn có một điểm đặc biệt: các đơn vị phát hành stablecoin tập trung có thể đóng băng những tài sản liên quan.
Tether đã đóng băng khoảng 1,57 tỷ USD tài sản liên quan, Circle đóng băng hơn 800 triệu USD; các tổ chức như Ripple và World Liberty cũng tham gia đóng băng tài sản.
Sau đó, Binance chính thức cho biết đã phối hợp với các đối tác đóng băng khoảng 3 tỷ USD tài sản.
Tuy nhiên, cần lưu ý:
Bị đóng băng không đồng nghĩa với việc tài sản đã được thu hồi, càng không có nghĩa là toàn bộ tài sản bị ảnh hưởng đã được trả lại cho Binance.
ETH không có cơ chế danh sách đen của đơn vị phát hành như USDT, nên không một tổ chức tập trung nào có thể trực tiếp đóng băng tài khoản trên mạng chính.
Theo ảnh chụp dữ liệu trên chuỗi mới nhất của Bitquery, kẻ tấn công vẫn nắm giữ khoảng 508,600 ETH và khoảng 18,270 BTC. Số ETH này bao gồm cả phần kẻ tấn công dùng tài sản đánh cắp để đổi lấy, chứ không phải toàn bộ được chuyển trực tiếp từ Binance.
6. Giải thích sơ bộ của Binance có một điểm khác biệt then chốt so với các chi tiết trên chuỗi
Ngày 30 tháng 10, Binance đăng thông báo về sự cố bảo mật:
Theo nhận định sơ bộ trong cuộc điều tra, vụ tấn công có thể liên quan đến việc máy tính xách tay của một kỹ sư DevOps bị xâm nhập. Kẻ tấn công lợi dụng điều đó để truy cập vào một container dịch vụ và gửi các giao dịch rút tiền trái phép.
Binance cho biết hiện chưa phát hiện bằng chứng cho thấy khóa riêng của ví bị lộ.
Đồng thời, Binance cam kết:
Tạm dừng các dịch vụ nạp và rút liên quan để tiến hành kiểm tra bảo mật.
Thu hồi quyền cấp cho các địa chỉ bị ảnh hưởng.
Dùng quỹ SAFU và tiền của công ty để chịu toàn bộ tổn thất.
Công bố bằng chứng dự trữ đã được cập nhật sau đó.
Ở đây có một điểm khác biệt rất quan trọng:
Dữ liệu trên chuỗi có thể chứng minh giao dịch được ký hợp lệ, nhưng chỉ dựa vào bản ghi giao dịch thì không thể chứng minh chính xác khóa riêng đã được sử dụng bằng cách nào.
Vì vậy, không thể đơn giản kết luận rằng khóa riêng của Binance đã bị lộ.
Điều cần điều tra có lẽ là khâu nào giữa thiết bị nội bộ, container dịch vụ, quy trình phê duyệt giao dịch và hạ tầng ký đã mất kiểm soát bảo mật.
Ngoài ra, TRM Labs quy vụ tấn công cho nhóm tin tặc Triều Tiên TraderTraitor và đưa ra nhận định với độ tin cậy cao. Tuy nhiên, đây vẫn là kết luận quy kết của một tổ chức bảo mật bên thứ ba, không phải kết luận cuối cùng do Binance công bố.
7. Sự việc này gióng lên hồi chuông cảnh báo cho toàn ngành tiền mã hóa
Theo tôi, điều đáng suy ngẫm nhất trong sự việc này không phải là hacker tài giỏi đến đâu, mà là liệu hệ thống bảo mật của các sàn giao dịch có còn mắc kẹt với lối tư duy cũ hay không.
Trước đây, mọi người cho rằng:
Miễn là khóa riêng không bị lộ thì tài sản vẫn an toàn.
Nhưng giờ đây, lối suy nghĩ đó không còn đủ nữa.
Thiết bị có thể bị xâm nhập, dịch vụ nội bộ có thể bị kiểm soát, hệ thống ký có thể bị lạm dụng, thậm chí cơ chế gom tiền tự động cũng có thể trở thành trợ thủ cho hacker.
Trong tương lai, các sàn giao dịch ít nhất cần xem xét lại một số vấn đề:
Việc cấp quyền ký có được phê duyệt độc lập qua nhiều bước không?
Các giao dịch lớn có thể bị chặn nhờ hệ thống phát hiện bất thường theo thời gian thực không?
Ví nóng có nên được trang bị cơ chế tự động ngắt khẩn cấp không?
Khi ví xuất hiện bất thường, việc gom tiền nạp có thể được tạm dừng ngay lập tức không?
Quyền truy cập giữa các blockchain và các ví khác nhau có thực sự được phân tách không?
Còn một điều đáng lưu ý:
Bản thân EIP-7702 không phải là lỗ hổng, và AI cũng không phải nguyên nhân đã được xác nhận của vụ tấn công này. Điều thực sự cần cảnh giác là kẻ tấn công đang tận dụng các công nghệ ngày càng phức tạp để tìm ra những điểm yếu trong hệ thống bảo mật truyền thống.
Lời cuối:
Ngành tiền mã hóa luôn nói về phi tập trung, về việc mã nguồn là luật lệ, về quyền tự chủ tài sản.
Nhưng các sàn giao dịch vẫn phải chịu trách nhiệm lưu ký tài sản cho hàng trăm triệu người dùng.
Khi một ví nóng bị chiếm quyền mà hệ thống tự động gom tiền vẫn liên tục chuyển tiền cho hacker, thì đây không còn chỉ là vấn đề kỹ thuật nữa.
6,3 tỷ USD đã đổi lấy một bài học bảo mật vô cùng đắt giá.
Ở vòng cạnh tranh tiếp theo của ngành, ngoài độ sâu thị trường, tính thanh khoản, sản phẩm và quy mô người dùng, các bên còn phải cạnh tranh ở một khía cạnh:
Ai mới là người thực sự bảo vệ được tài sản của người dùng.
Công nghệ tiến bộ càng nhanh thì hệ thống bảo mật càng không thể tụt hậu.
Sự việc này vẫn chưa kết thúc; câu trả lời thực sự phải chờ báo cáo điều tra kỹ thuật đầy đủ của Binance.
Các nguồn chính được đối chiếu:
Binance chính thức: Cập nhật về sự cố bảo mật (ngày 30 tháng 10) — Đường xâm nhập sơ bộ, thiệt hại 6,3 tỷ USD, tài sản bị đóng băng và cam kết bồi thường.
TRM Labs: Điều tra về TraderTraitor của Triều Tiên và vụ tấn công Binance — 50 lượt cấp quyền, cuộc tấn công xuyên chuỗi và quy kết về kẻ tấn công.
Bitquery: Điều tra trên chuỗi về vụ tấn công ví nóng của Binance — 17 ví nóng, dòng tiền, tình hình đóng băng và số dư của kẻ tấn công.
Cointelegraph: Phân tích EIP-7702 và hạ tầng ký — 50 lượt cấp quyền và sự khác biệt giữa lạm dụng khóa riêng với việc khóa riêng bị lộ.
CoinDesk: Phân tích dự trữ của Binance và tài sản trong ví nóng — Mối liên hệ giữa Binance 14 và bằng chứng dự trữ.
Reuters: Bài viết về việc TRM quy kết danh tính kẻ tấn công — Quy kết cho nhóm tin tặc Triều Tiên.