Binance cho biết vào ngày 30 tháng 10 năm 2026 rằng họ đã dành riêng hơn 6,3 tỷ USD để bù đắp tổn thất từ vụ hack tiền mã hóa Binance xảy ra một ngày trước đó. TRM Labs truy vết khoảng 6,36 tỷ USD bị đánh cắp trên mười blockchain, phần lớn chỉ trong khoảng 20 phút — vụ trộm tiền mã hóa lớn nhất mà công ty này từng ghi nhận.

Những điểm chính

• Binance cam kết dùng quỹ công ty để bù đắp mọi khoản tổn thất.

• TRM nhận định với độ tin cậy cao rằng vụ trộm do TraderTraitor của Triều Tiên thực hiện.

• Một ủy quyền Ethereum độc hại đã cho phép liên tục rút sạch tiền khỏi ví.

• Ước tính mới nhất của Binance về tài sản bị đóng băng lên tới khoảng 3 tỷ USD.

Vụ tấn công tiền mã hóa vào Binance rút cạn ví trên mười chuỗi

Theo TRM, vụ trộm bắt đầu lúc 20:05 UTC ngày 29 tháng 10 năm 2026, phần lớn dòng tiền chảy ra tập trung trong khoảng 20 phút. Định giá 6,36 tỷ USD của TRM sử dụng giá tài sản tại thời điểm mỗi lần chuyển và cao gấp khoảng bốn lần vụ trộm 1,5 tỷ USD trên Bybit vào tháng 2 năm 2025.

Ethereum chiếm 3,79 tỷ USD, gồm 200.630 ETH và 185 token khác. Trong số đó có 1,875 tỷ USDT, 823 triệu USDC và 88,5 triệu RLUSD; lượng Bitcoin bị rút là 18.270 BTC, tương đương khoảng 1,47 tỷ USD.

TRM truy vết khoảng 628 triệu USD từ Tron, 296 triệu USD từ XRP Ledger và 96 triệu USD từ Solana. Arbitrum, Optimism và Base cộng lại mất khoảng 39 triệu USD; Avalanche mất khoảng 28 triệu USD và Polygon khoảng 10 triệu USD. Một đợt dòng tiền khác đổ vào Avalanche và Polygon vào khoảng 23:05 UTC.

Binance xác nhận xảy ra sự cố bảo mật, tạm ngừng rút tiền trên một số mạng lưới và cho biết tiền của người dùng vẫn an toàn. Ngày 30 tháng 10, sàn cho biết 5 tỷ USD trong quỹ dự trữ thay thế đã tương ứng với các token bị ảnh hưởng, đồng thời đang tiến hành mua số còn lại. Các khoản dự trữ này không bao gồm tài sản bị đóng băng đang chờ thu hồi và xác minh.

Cách các ủy quyền Ethereum tạo điều kiện cho những vụ trộm liên tiếp

Theo TRM, kẻ tấn công đã dùng các ủy quyền EIP-7702 để khiến ví nóng Ethereum của Binance thực thi mã do chúng kiểm soát. Tính năng này của Ethereum cho phép một ví thông thường ủy quyền cho hợp đồng thông minh điều khiển hoạt động của ví.

Lúc 20:20 UTC, kẻ điều hành gửi 50 ủy quyền được ký trước, bao phủ các số đếm giao dịch liên tiếp. Một ủy quyền khớp với số đếm hiện tại của ví, kích hoạt một hợp đồng thu gom chỉ chấp nhận chỉ thị từ kẻ điều hành.

Sau khoảng thời gian ba phút 24 giây, một lần thu gom đã chuyển 167.464 ETH cùng 63 token, trong đó có 1,615 tỷ USDT; ủy quyền vẫn còn hoạt động, cho phép thực hiện thêm sáu lần thu gom khi có thêm tiền được gửi vào. Ví bị xâm nhập cũng kiểm soát một tài khoản thông minh riêng chứa 823 triệu USDC, sau đó đã bị Circle đóng băng.

Các chuỗi khác sử dụng những giao dịch chuyển tiền thông thường có chữ ký. Theo đánh giá của TRM, nhiều khả năng kẻ tấn công đã xâm nhập được hạ tầng ký giao dịch cho ví nóng của Binance trên nhiều chuỗi. Binance cho biết cuộc điều tra ban đầu cho thấy một máy tính xách tay bị xâm nhập, còn điều tra sâu hơn đã phát hiện thêm các điểm xâm nhập.

TRM liên hệ vụ tấn công với TraderTraitor

TRM với độ tin cậy cao quy vụ tấn công tiền mã hóa vào Binance cho TraderTraitor, một nhóm tin tặc được nhà nước Triều Tiên bảo trợ, dựa trên thông tin tình báo trên chuỗi và ngoài chuỗi. CEO của Chainalysis, Jonathan Levin, cũng nhận định riêng rằng nhiều khả năng TraderTraitor đã thực hiện vụ tấn công.

TRM truy dấu các bước chuẩn bị từ ít nhất 36 giờ trước, bao gồm những lần rút tiền nhỏ từ Tornado Cash, mã tấn công được triển khai và các đợt diễn tập. TRM nhận thấy những điểm tương đồng với các vụ trộm trước đây có liên hệ với Triều Tiên. Trước đó, FBI quy vụ tấn công Bybit hồi tháng 2 năm 2025 cho cùng nhóm này.

Lệnh đóng băng đã chặn hàng tỷ USD, nhưng việc thu hồi là một quá trình riêng

TRM thống kê khoảng 2,7 tỷ USD bị đóng băng tính đến 00:30 UTC ngày 30 tháng 10; sau đó Binance đưa ra con số tổng cộng khoảng 3 tỷ USD. Thống kê của TRM bao gồm 2,67 tỷ USD stablecoin và khoảng 30 triệu USD được bảo đảm trên Arbitrum.

Tether đóng băng khoảng 1,77 tỷ USDT, Circle khoảng 825 triệu USDC, Ripple 40,5 triệu RLUSD và World Liberty Financial 27,8 triệu USD1. Hội đồng Bảo an Arbitrum đã lấy lại 8.426 ETH và 74,6 triệu ARB khỏi quyền kiểm soát của kẻ tấn công.

Kẻ tấn công đã bán khoảng 325 triệu USDT thông qua các nhà tạo lập thị trường và hợp đồng dựa trên ý định để đổi lấy khoảng 122.300 ETH. Họ cũng gửi 60 triệu USDT vào Aave và vay khoảng 19.760 ETH; sau đó Aave đóng băng các thị trường bị ảnh hưởng.

TRM theo dõi hơn 420.000 ETH và 18.270 BTC—tương đương khoảng 2,4 tỷ USD, vượt quá khả năng đóng băng của các đơn vị phát hành. Bitcoin được chia nhỏ qua các “chuỗi bóc tách” để gây khó khăn cho việc truy vết.

Ari Redbord của TRM giải thích rằng việc thu hồi tiền bị đóng băng đòi hỏi các thủ tục pháp lý. Eric Jardine, trưởng bộ phận nghiên cứu của Chainalysis, cho biết quá trình hoàn trả có thể mất vài tháng hoặc vài năm.

Các sàn giao dịch được khuyến nghị kiểm tra tiền nạp và biện pháp kiểm soát ký giao dịch

TRM khuyến nghị sàng lọc tiền nạp và các đối tác giao dịch dựa trên những địa chỉ đã xác định là của kẻ tấn công, đồng thời giám sát ví ngân quỹ để phát hiện các ủy quyền EIP-7702 bất ngờ. TRM cũng khuyên nên từ chối các ủy quyền không được dự kiến và tách biệt hạ tầng ký giao dịch theo chuỗi và cấp độ ví.

Ngày 30 tháng 10, Binance cho biết họ đã bắt đầu thu hồi tài sản bị ảnh hưởng và đang phối hợp với cơ quan thực thi pháp luật cùng các đối tác để truy vết, đóng băng và thu hồi thêm tiền.

Bài viết được thực hiện với sự hỗ trợ của trí tuệ nhân tạo và được ban biên tập rà soát.