Báo cáo chi tiết về vụ tấn công Binance: Chuyện gì đã xảy ra, 6,3 tỷ USD bị đánh cắp như thế nào và điều gì sẽ xảy ra tiếp theo?

Ngày 29 tháng 10 năm 2026, Binance hứng chịu một vụ vi phạm an ninh nghiêm trọng liên quan đến các giao dịch chuyển tiền điện tử trái phép, với giá trị ước tính 6,3 tỷ USD. Sự cố ảnh hưởng đến nhiều mạng blockchain và châm ngòi cho nỗ lực truy tìm, đóng băng tài sản bị đánh cắp trên toàn ngành.
Cuộc điều tra sơ bộ của Binance cho thấy chiếc máy tính xách tay của một kỹ sư DevOps có thể đã bị xâm nhập là điểm khởi đầu của vụ việc. Sàn giao dịch cho biết chưa có bằng chứng cho thấy khóa riêng của ví bị rò rỉ, đồng thời cam kết bù đắp mọi tổn thất bằng Quỹ Tài sản An toàn cho Người dùng (SAFU) và nguồn vốn doanh nghiệp.
1. Sự Cố Bắt Đầu Như Thế Nào?
Các hệ thống giám sát blockchain phát hiện những giao dịch đáng ngờ từ các ví liên kết với Binance vào ngày 29 tháng 10. Các cuộc điều tra ban đầu tập trung vào những giao dịch chuyển tiền trên Ethereum, nhưng phân tích sau đó phát hiện hoạt động trên Bitcoin, Tron, Solana, XRP Ledger và các mạng khác.
Khi các điều tra viên truy vết thêm giao dịch, thiệt hại ước tính tăng lên; con số ước tính riêng của Binance là 6,3 tỷ USD.
Sự cố nhanh chóng trở thành một cuộc điều tra lớn trên nhiều chuỗi, với các công ty tình báo blockchain và tiền mã hóa phối hợp xác định các ví bị ảnh hưởng và ngăn tài sản tiếp tục dịch chuyển.
2. Kẻ Tấn Công Bị Cáo Buộc Đã Xâm Nhập Binance Như Thế Nào
Điểm xâm nhập bị nghi ngờ
Điều tra sơ bộ của Binance cho thấy máy tính xách tay của một kỹ sư DevOps có thể đã bị xâm nhập, cho phép kẻ tấn công truy cập vào một vùng chứa dịch vụ nội bộ. Quyền truy cập này có thể đã được sử dụng để gửi các giao dịch rút tiền trái phép.
Phương thức chính xác được sử dụng để xâm nhập thiết bị chưa được công bố. Binance cũng cho biết không có bằng chứng cho thấy khóa riêng tư của ví bị rò rỉ.
Cách thức rút tiền trái phép có thể xảy ra
Các phát hiện sơ bộ cho thấy kẻ tấn công có thể đã lợi dụng quyền truy cập vào một dịch vụ nội bộ được cấp phép thay vì trực tiếp lấy cắp khóa riêng tư của ví.
Sự phân biệt này rất quan trọng vì việc rút tiền mã hóa phụ thuộc vào nhiều hệ thống kết nối với nhau, bao gồm dịch vụ nội bộ, quyền truy cập và hạ tầng ký giao dịch. Xâm nhập một trong các hệ thống này có thể tạo cơ hội lợi dụng những quy trình giao dịch hợp lệ.
Toàn bộ diễn biến về cách kẻ tấn công giành được quyền truy cập và có đủ quyền hạn vẫn đang được điều tra.
Kỹ thuật ví Ethereum
Phân tích bảo mật blockchain độc lập xác định rằng vụ tấn công liên quan đến ví nóng Ethereum của Binance đã sử dụng cơ chế ủy quyền tài khoản EIP-7702 của Ethereum.
EIP-7702 cho phép các tài khoản Ethereum do bên ngoài sở hữu ủy quyền một số chức năng thực thi cho mã hợp đồng thông minh. Hoạt động được báo cáo cho thấy cơ chế này có thể đã bị lợi dụng để hỗ trợ chuyển tài sản trái phép.
Điều này không có nghĩa là bản thân Ethereum đã bị xâm nhập. Vai trò chính xác của cơ chế này và cách nó bị khai thác cần được xác định thông qua báo cáo hậu kiểm kỹ thuật của Binance.
3. Quy Mô và Dòng Thời Gian Của Vụ Tấn Công
Phân tích blockchain được công bố ngày 30 tháng 10 cung cấp bức tranh sơ bộ về diễn biến sự cố.
Ngày và giờ (UTC)Diễn biếnNgày 28 tháng 10Phát hiện hoạt động sơ bộ trên chuỗi liên quan đến các ví về sau được xác định là có liên quan đến sự cố.Ngày 29 tháng 10, các giao dịch đáng ngờ lớn xuất hiện trên XRP Ledger.Ngày 29 tháng 10, phát hiện thêm hoạt động trên Solana và các mạng khác.Ngày 29 tháng 10, tiếp đó là các giao dịch lớn liên quan đến Bitcoin, Tron và các ví liên kết với Ethereum.Ngày 29 tháng 10, một giao dịch Ethereum lớn đã chuyển lượng đáng kể ETH, USDT và các token khác.Tối muộn ngày 29 tháng 10Tether, Circle và các bên khác trong hệ sinh thái bắt đầu đóng băng hoặc hạn chế tài sản bị ảnh hưởng.Ngày 30 tháng 10Binance xác định máy tính xách tay của một nhân viên DevOps có thể đã bị xâm nhập và là điểm xâm nhập tiềm năng; sàn báo cáo khoảng 3 tỷ USD tài sản bị đóng băng.Cập nhật sau đó ngày 30 tháng 10Binance xác nhận hoạt động nạp tiền diễn ra bình thường, trong khi chức năng rút tiền vẫn tạm dừng để tiến hành đại tu bảo mật.
Dòng thời gian phản ánh hoạt động blockchain được báo cáo và cập nhật từ các công ty. Trình tự sự kiện cuối cùng vẫn đang được điều tra pháp chứng.
4. Những Loại Tiền Mã Hóa Nào Bị Ảnh Hưởng?
Sự cố liên quan đến nhiều loại tiền mã hóa, stablecoin và tài sản số quy mô nhỏ trên một số mạng blockchain.
Các tài sản chính được xác định qua phân tích blockchain
Tài sảnSố lượng được báo cáoGiá trị ước tínhBitcoin (BTC)18.270 BTC1,47 tỷ USDEthereum (ETH)200.630 ETHĐã tính trong tổng số trên mạng EthereumTether (USDT)1,875 tỷ trên Ethereum và 612,7 triệu trên TronTổng cộng hơn 2,4 tỷ USDCoin USD (USDC)Khoảng 823 triệuKhoảng 823 triệu USDRipple USD (RLUSD)Khoảng 88,5 triệuĐã tính trong tổng số trên mạng EthereumXRP233,46 triệu XRPKhoảng 296 triệu USDSolana (SOL)Khoảng 970.500 SOLKhoảng 96 triệu USDTRXKhoảng 46,4 triệu được xác định trực tiếpLượng TRX bổ sung được mua qua các giao dịch hoán đổi sau đóArbitrum (ARB)Khoảng 74,6 triệu ARBMột phần trong tổng số trên nhiều chuỗi
Các token khác liên quan
Các tài sản bổ sung được xác định trong những ví bị ảnh hưởng bao gồm Wrapped Beacon ETH (wBETH), Tether Gold (XAUt), Uniswap (UNI), Ethena (ENA), Pepe (PEPE), World Liberty Financial USD (USD1), Chainlink (LINK), Aave (AAVE), Avalanche (AVAX), Optimism (OP), USDT0, Paxos Gold (PAXG), Zama (ZAMA) và Lagrange, cùng với một số token nhỏ hơn.
Arkham Intelligence đã gắn nhãn nhiều địa chỉ liên quan đến kẻ tấn công bị nghi ngờ, giúp điều tra viên theo dõi các giao dịch tiếp theo. Danh sách token có thể thay đổi khi phát hiện thêm giao dịch.
Theo dõi tin tặc Binance trên Arkham:https://t.co/hp8dDvAdQl
— Arkham (@arkham) ngày 30 tháng 10 năm 2026
5. Ai Đã Tấn Công Binance?
Mối liên hệ với Triều Tiên
Các điều tra viên của chúng tôi ghi nhận số tiền bị Triều Tiên đánh cắp trong vụ khai thác lỗ hổng Bitget tháng trước được trộn lẫn với số tiền bị đánh cắp từ Binance.

Chúng tôi rất tin tưởng rằng Triều Tiên phải chịu trách nhiệm về vụ tấn công Binance gây thiệt hại 6,4 tỷ USD. https://t.co/xj9dQYcbKr
— Chainalysis (@chainalysis) ngày 30 tháng 10 năm 2026
Ngày 30 tháng 10, công ty phân tích blockchain Chainalysis cho biết họ rất tin tưởng rằng Triều Tiên đứng sau sự cố Binance. Các điều tra viên cho biết họ đã xác định được số tiền từ một vụ khai thác lỗ hổng Bitget trước đó bị trộn lẫn với số tiền liên quan đến vụ trộm tại Binance.
Những đánh giá này cho thấy có thể có mối liên hệ với Triều Tiên, nhưng danh tính những cá nhân chịu trách nhiệm vẫn chưa được công bố. Binance cho biết họ đang phối hợp với cơ quan thực thi pháp luật để xác định những người liên quan và đưa họ ra trước công lý.
Do đó, cần xem việc quy kết này là một đánh giá tình báo, chứ không phải kết luận pháp lý cuối cùng.
Cập nhật: Tổng số tiền bị đóng băng đã được xác minh hiện vào khoảng 3 tỷ USD. 

Các nhóm của chúng tôi tiếp tục phối hợp chặt chẽ với cơ quan thực thi pháp luật, các đơn vị phát hành, công ty tình báo blockchain và đối tác trong ngành để truy vết và đóng băng thêm tài sản.

Chúng tôi sẽ chỉ chia sẻ những con số đã được xác nhận và sẽ… pic.twitter.com/e5RHM1VwOU
— Binance (@binance) ngày 30 tháng 10 năm 2026
6. Đã Đóng Băng và Thu Hồi Bao Nhiêu Tiền?
Ban đầu, Binance cho biết khoảng 3 tỷ USD tài sản bị ảnh hưởng đã được đóng băng nhờ phối hợp với các đối tác blockchain, đơn vị phát hành token và những bên khác trong ngành.
Một số công ty và mạng lưới đã góp sức vào nỗ lực này:
Tether (USDT): Cho biết đã đóng băng hơn 1,567 tỷ USD có liên quan đến sự cố; các phân tích sau đó xác định thêm USDT bị hạn chế trên nhiều địa chỉ.
Circle (USDC): Đã đóng băng khoảng 823 triệu USD bằng USDC có liên quan đến sự cố.
Ripple (RLUSD): Xác nhận đang theo dõi sự cố và chủ động đóng băng các khoản tiền bị ảnh hưởng.
Arbitrum: Hội đồng Bảo mật đã thực hiện biện pháp đóng băng khoảng 30,5 triệu USD liên quan đến vụ khai thác lỗ hổng.
Các đơn vị phát hành và đối tác khác: Những tài sản bổ sung, bao gồm USD1, FDUSD và token được bảo chứng bằng vàng, cũng bị đóng băng hoặc áp dụng các hạn chế khác.
Vì sao việc đóng băng lại quan trọng
Các stablecoin như USDT và USDC có thể bị đơn vị phát hành đóng băng; những đơn vị này có khả năng hạn chế giao dịch chuyển tiền từ các địa chỉ cụ thể. Điều đó giúp ngăn kẻ tấn công bị tình nghi dịch chuyển một phần tài sản bị ảnh hưởng.
Tiền của người dùng vẫn an toàn!

Có vẻ đây đúng là một vụ tấn công vào Binance. Cảm ơn Tether (~971 triệu USD) và Circle (~823 triệu USD) đã nhanh chóng đóng băng tài sản.

Tôi không còn điều hành Binance (.com), nhưng với tư cách cổ đông, tôi kỳ vọng toàn bộ tiền của người dùng sẽ được bảo đảm đầy đủ. https://t.co/oufpyNChxI
— CZ 🔶 BNB (@cz_binance) ngày 29 tháng 10 năm 2026
Bitcoin và Ether không có đơn vị phát hành trung tâm với khả năng đưa địa chỉ vào danh sách đen tương tự. Việc thu hồi chúng phụ thuộc nhiều hơn vào truy vết giao dịch, sự hợp tác của các sàn giao dịch và bên trung gian, cũng như hành động pháp lý.
Điều quan trọng là phải phân biệt tài sản bị đóng băng với tiền đã thu hồi. Tiền mã hóa bị đóng băng có thể vẫn không thể tiếp cận trong khi các điều tra viên xác minh quyền sở hữu và xác định cách hoàn trả hợp pháp.
Chúng tôi ghi nhận các con số khác nhau đang được công bố về lượng tài sản bị đóng băng, trong đó có thông tin đề cập đến 1,8 tỷ USD.

Để làm rõ, tổng số tiền bị đóng băng đã được xác minh hiện là 2,54 tỷ USD. Con số này có thể tiếp tục tăng khi các nhóm của chúng tôi phối hợp chặt chẽ với cơ quan thực thi pháp luật,… pic.twitter.com/Kx68qptfXk
— Binance (@binance) ngày 29 tháng 10 năm 2026
7. Chuyện Gì Đã Xảy Ra Với Số Tiền Bị Đánh Cắp?
Các điều tra viên blockchain đã truy vết số tiền dịch chuyển qua Ethereum, Bitcoin, Tron, Solana, XRP Ledger và một số mạng layer 2.
Một phần tài sản được đổi sang các loại tiền mã hóa khác thông qua giao dịch hoán đổi rồi chuyển qua nhiều địa chỉ. Hoạt động được báo cáo bao gồm các giao dịch Ether và TRX, cùng với tương tác với các sàn giao dịch phi tập trung và dịch vụ blockchain khác.
Những giao dịch này khiến việc thu hồi trở nên phức tạp hơn, dù dữ liệu blockchain công khai cho phép điều tra viên theo dõi giao dịch và xác định mối liên hệ giữa các ví.
Việc tiền dịch chuyển không nhất thiết có nghĩa là kẻ tấn công đã rút tiền thành công. Tính đến ngày 30 tháng 10, điểm đến cuối cùng của toàn bộ tài sản bị ảnh hưởng vẫn chưa được xác định.
8. Chuyện Gì Đã Xảy Ra Với Khách Hàng Binance?
Tiền của khách hàng có bị mất không?
Binance tuyên bố tiền của khách hàng vẫn an toàn và cam kết bù đắp mọi tổn thất bằng quỹ SAFU và nguồn vốn của công ty. Ngoài ra, theo thông tin được đưa ra, sàn đã dành 6,34 tỷ USD tiền của công ty để bù đắp thiệt hại phát sinh từ sự cố, qua đó củng cố cam kết bảo vệ khách hàng.
Cam kết này rất quan trọng với khách hàng, nhưng việc thực hiện sẽ cần được đánh giá thông qua bản chứng minh dự trữ cập nhật mà sàn đã hứa công bố và các thông tin tiếp theo.
Việc rút tiền có bị ảnh hưởng không?
Binance tạm dừng nạp và rút tiền trong khi tiến hành kiểm tra bảo mật.
Trong bản cập nhật ngày 30 tháng 10, sàn cho biết hoạt động nạp tiền đã diễn ra bình thường, trong khi việc rút tiền vẫn tạm dừng để đại tu bảo mật dịch vụ rút tiền và các địa chỉ liên quan. Sàn dự kiến mở lại chức năng rút tiền trong vòng 48 giờ.
Còn giao dịch thì sao?
Hoạt động giao dịch Binance Alpha và một số dịch vụ mua tức thì cũng như dự đoán thị trường liên quan, sử dụng tiền từ ví giao dịch giao ngay, cũng tạm thời bị đình chỉ.
Sàn cho biết các dịch vụ này sẽ hoạt động trở lại sau khi vấn đề bảo mật được giải quyết. Những hạn chế này là một phần trong biện pháp ứng phó phòng ngừa rộng hơn của sàn.
9. Phản Ứng Của Binance và Sự Hỗ Trợ Toàn Ngành
Phản ứng của Binance bao gồm cả các biện pháp bảo mật nội bộ lẫn việc phối hợp với các công ty trong ngành tiền mã hóa.
Changpeng Zhao (CZ), đồng sáng lập và cựu giám đốc điều hành Binance, trấn an người dùng rằng tiền của họ vẫn an toàn. Ông cũng ghi nhận những nhân viên làm việc xuyên đêm để xử lý sự cố và cảm ơn các bên trong ngành, kể cả đối thủ cạnh tranh, đã hỗ trợ.
Yi He, đồng sáng lập và đồng giám đốc điều hành Binance, cảm ơn cộng đồng đã hỗ trợ và cho biết nhóm đang tiến hành kiểm tra bảo mật trước khi mở lại chức năng rút tiền.
Phản ứng của sàn tập trung vào các việc sau:
Thu hồi quyền cấp phép liên quan đến địa chỉ bị ảnh hưởng.
Tạm thời hạn chế các dịch vụ bị ảnh hưởng.
Phối hợp với cơ quan thực thi pháp luật và các công ty tình báo blockchain.
Phối hợp với các đơn vị phát hành token và đối tác trong ngành để đóng băng tài sản.
Tăng cường bảo mật cho dịch vụ rút tiền và các địa chỉ liên quan.
Chuẩn bị báo cáo hậu kiểm kỹ thuật chi tiết.
Công bố bản chứng minh dự trữ cập nhật sau khi khắc phục sự cố.
Tether, Circle, Ripple và Arbitrum cũng góp phần ứng phó bằng cách hạn chế và đóng băng tài sản. Các công ty tình báo blockchain tiếp tục theo dõi giao dịch và xác định những địa chỉ liên quan.
Nỗ lực phối hợp này cho thấy các sàn giao dịch, đơn vị phát hành token, mạng blockchain và điều tra viên có thể cùng hợp tác như thế nào trong một sự cố bảo mật nghiêm trọng.
10. Vì Sao Sự Cố Có Ý Nghĩa Với Toàn Ngành Tiền Mã Hóa
Sự cố làm nổi bật những rủi ro liên quan đến quyền truy cập đặc quyền của nhân viên và các hệ thống rút tiền nội bộ.
Ngay cả khi khóa riêng tư của ví vẫn an toàn, các dịch vụ nội bộ bị xâm nhập vẫn có thể tạo cơ hội cho những giao dịch trái phép. Vì vậy, bảo mật thiết bị của nhân viên, quyền truy cập và hệ thống phê duyệt rút tiền cũng quan trọng không kém việc bảo vệ khóa riêng tư.
Sự cố cũng đặt ra câu hỏi về những biện pháp bảo vệ mà các sàn giao dịch sử dụng để ngăn một hệ thống nội bộ bị xâm nhập tự phê duyệt các khoản rút tiền lớn.
Các biện pháp kiểm soát quyền truy cập của nhân viên chặt chẽ hơn, xác thực giao dịch độc lập, giới hạn rút tiền và giám sát theo thời gian thực có thể giúp giảm nguy cơ xảy ra sự cố tương tự.
Với toàn ngành, sự cố nhắc nhở rằng bảo mật sàn giao dịch vẫn là một rủi ro lớn, ngay cả khi các mạng blockchain nền tảng vẫn hoạt động bình thường.
11. Tác Động Thị Trường và Những Câu Hỏi Chưa Có Lời Giải
Sự cố làm gia tăng bất ổn trên thị trường tiền mã hóa; các tin tức đương thời cho biết Bitcoin giảm xuống dưới 77.000 USD, cùng với Ether và các tài sản khác. Dù những lo ngại về bảo mật có thể góp phần gây áp lực lên thị trường, không thể quy toàn bộ biến động giá cho sự cố Binance.
Một số câu hỏi quan trọng vẫn chưa được giải đáp:
Máy tính xách tay của kỹ sư DevOps đã bị xâm nhập bằng cách nào?
Kẻ tấn công đã có đủ quyền truy cập vào hệ thống rút tiền bằng cách nào?
Rốt cuộc sẽ thu hồi được bao nhiêu tiền mã hóa bị ảnh hưởng?
Cuộc điều tra kỹ thuật cuối cùng sẽ tiết lộ điều gì về vụ tấn công?
Bản chứng minh dự trữ cập nhật có cho thấy tài sản của khách hàng vẫn được bảo chứng đầy đủ không?
Khi nào tất cả các dịch vụ bị ảnh hưởng sẽ hoạt động bình thường trở lại?
Ưu tiên trước mắt của Binance là hoàn tất đại tu bảo mật, khôi phục chức năng rút tiền một cách an toàn, tiếp tục phối hợp với các điều tra viên và công bố báo cáo hậu kiểm kỹ thuật.
12. Đánh Giá Cuối Cùng
Chúng tôi đang làm việc không ngừng nghỉ để giải quyết vấn đề này. Binance sẽ bù đắp mọi tổn thất.

Để phòng ngừa, mọi giao dịch nạp và rút tiền tạm thời bị đình chỉ trong khi nhóm của chúng tôi tiến hành kiểm tra bảo mật, đóng băng tiền và phối hợp với cơ quan thực thi pháp luật.

Chúng tôi đang làm việc suốt ngày đêm và sẽ… pic.twitter.com/zufWJ6V05D
— Binance (@binance) ngày 30 tháng 10 năm 2026
Sự cố Binance là một thất bại bảo mật nghiêm trọng của sàn giao dịch, với thiệt hại ước tính khoảng 6,3 tỷ USD. Các phát hiện sơ bộ cho thấy hạ tầng nội bộ bị xâm nhập có thể đã cho phép thực hiện các giao dịch rút tiền trái phép mà không cần làm rò rỉ trực tiếp khóa riêng tư của ví.
Việc phối hợp đóng băng khoảng 3 tỷ USD tài sản cho thấy tầm quan trọng của hợp tác toàn ngành trong các cuộc điều tra tiền mã hóa. Tuy nhiên, số tiền cuối cùng thu hồi được, danh tính thủ phạm và phương thức tấn công chính xác vẫn đang được điều tra.
Cam kết bù đắp mọi tổn thất của Binance giúp khách hàng yên tâm hơn, nhưng uy tín lâu dài của sàn sẽ phụ thuộc vào việc khôi phục chức năng rút tiền an toàn, công bố bản chứng minh dự trữ cập nhật và đưa ra lời giải thích kỹ thuật minh bạch.
Sự cố nên được xem là một vụ vi phạm bảo mật nghiêm trọng đang được điều tra, chứ không phải bằng chứng cho thấy tiền của khách hàng đã mất vĩnh viễn hoặc toàn bộ tài sản bị ảnh hưởng đã được thu hồi. Báo cáo kỹ thuật cuối cùng, số liệu thu hồi có thể xác minh độc lập và việc khôi phục các dịch vụ bình thường sẽ là những diễn biến quan trọng nhất cần theo dõi.