Binance đã trở thành nạn nhân của một vụ tấn công mạng nghiêm trọng nhất trong ký ức, gây thiệt hại tài chính 6,3 tỷ USD.

Binance cho biết số tiền bị đánh cắp từ quỹ SAFU sẽ được khôi phục. Tin đáng mừng là họ đã thông báo sẽ nối lại giao dịch trong vòng 48 giờ.

Vụ hack này đã xảy ra như thế nào?

Tin tặc nhắm vào một kỹ sư DevOps của Binance và gửi cho anh ấy lời mời làm việc qua LinkedIn. Sau đó, họ yêu cầu anh tải lên một tệp để phỏng vấn. Ngay khi anh làm vậy, phần mềm độc hại xâm nhập vào máy tính xách tay chính thức của anh, khiến tin tặc có toàn quyền truy cập.

Điều đáng ngạc nhiên là tin tặc không đánh cắp mật khẩu hay khóa riêng tư nào. Chúng xâm nhập vào một container dịch vụ được lưu trữ bên trong Binance. Đây là một hệ thống cho phép tự động phê duyệt các yêu cầu rút tiền của khách hàng khỏi Binance.

Sau đó, tin tặc chèn mã lệnh của chúng vào và khiến các lệnh rút tiền giả được phê duyệt. Tiếp theo, chúng gửi 50 yêu cầu rút tiền. Ban đầu Binance không nhận ra. Kết quả là chỉ trong vòng 20 phút, chúng đã đánh cắp 6,3 tỷ đô la từ ví nóng của Binance thông qua 10 mạng lưới khác nhau.

Trong lúc quá trình này đang diễn ra, các nhà phân tích theo dõi on-chain nhận thấy có giao dịch trị giá hàng tỷ đô la được thực hiện mà không có thông báo trước (các giao dịch lớn bất thường cần được Binance xác minh trước). Họ lập tức gửi cảnh báo. Đội ngũ bảo mật đã kích hoạt quy trình “nút đỏ lớn” và đình chỉ tất cả giao dịch.

Sau đó, vì phần lớn số tiền đang được chuyển sang USDT và USDC, theo yêu cầu của Binance, cả hai công ty đã khóa on-chain 1,6 tỷ đô la trong Tether và 800 triệu đô la bằng USDC của Circle. Kết quả là 3,3 tỷ đô la đã bị đóng băng. Tin tặc không thể lấy số tiền này. Ngoài ra, một số tiền cũng bị chặn trên các chuỗi Ripple và Arbitrum.

Hiện tại, FBI và FOJ đang phối hợp điều tra vụ việc này, đồng thời các ví của tin tặc đã bị đưa vào danh sách đen của mọi sàn giao dịch trên toàn thế giới. Vì vậy, tiền sẽ bị đóng băng ngay khi được chuyển vào những sàn đó.

Các đội ngũ phân tích pháp chứng blockchain mạnh như Chainalysis và TRM Labs đang liên tục theo dõi các giao dịch.

Theo tôi biết, tin tặc có thể rút số tiền này bằng cách nào?

Chúng sẽ gửi tiền vào Tornado Cash hoặc các dịch vụ trộn tiền tương tự. Công nghệ này sẽ trộn tiền của tin tặc với tiền mã hóa của hàng trăm nghìn người khác rồi phân tán ra, khiến việc truy vết khó khăn hơn.

Ngoài ra, chúng có thể dùng đô la để mua token XMR. Token này rất khó theo dõi.

Ngoài ra, chúng có thể gửi tiền đến các sàn giao dịch nhỏ không yêu cầu KYC. Chúng có thể chuyển tiền dưới dạng đô la hoặc Bitcoin, rồi trả một khoản hoa hồng nhất định để đổi sang vàng.

Trước đây, từng có trường hợp các sàn giao dịch thỏa thuận với tin tặc. Họ yêu cầu tin tặc trả lại 80–90% số tiền, còn 10–20% được trao hợp pháp dưới dạng tiền thưởng, đồng thời khắc phục lỗ hổng trong hệ thống của mình.

Một vấn đề lớn của blockchain là sau khi giao dịch, dấu vết kỹ thuật số vẫn còn đó. Đừng nghĩ rằng có thể phạm tội bằng tiền mã hóa rồi thoát tội—sớm muộn gì cũng sẽ bị bắt. Dữ liệu có thể được khai thác từ những dấu vết này ngay cả sau 5–10 năm.

Tin tặc đã chuyển được 3 tỷ đô la. Chúng sẽ không chuyển số tiền này ngay bây giờ. Vì vậy, có khi chúng chờ 5–7 năm. Nhưng nếu khách hàng là một nền tảng mạnh như Binance thì nguy cơ bị bắt sẽ cao hơn nhiều. Ngay khi chúng định chuyển tiền, các công ty theo dõi sẽ âm thầm bám sát và tóm được chúng vào đúng thời điểm. Trong những vụ hack blockchain lớn trước đây, phần lớn tin tặc đã bị bắt.

Còn một điều nữa tôi đang nghĩ đến: nếu có bất kỳ mối liên hệ nào giữa vụ việc này với chính phủ Triều Tiên, thì sẽ không lấy lại được dù chỉ một xu trong số 3 tỷ đô la, và ngay cả khi tin tặc bị xác định danh tính, Triều Tiên cũng sẽ không bàn giao chúng. Bởi vì Binance không được phép hoạt động ở đó.

Vụ việc này sẽ làm giảm niềm tin của người dùng và làm giảm sức hấp dẫn của đồng BNB trên thị trường. Vì vậy, giới chức sẽ muốn giải quyết nhanh chóng; nếu không, Binance sẽ dần tụt lại trong cuộc đua.