Vào ngày 29 tháng 10 năm 2026, một kẻ tấn công đã rút khoảng 6,15 tỷ USD khỏi Binance chỉ trong 31 phút — một trong những vụ trộm lớn nhất trong lịch sử tiền mã hóa, hay đúng hơn là lịch sử internet.
Ban đầu, Binance ước tính thiệt hại là 6,3 tỷ USD; công ty phân tích blockchain BitOK đã truy vết từng giao dịch và đưa ra con số 6,15 tỷ USD trên chín blockchain.
Kẻ tấn công không hề đánh cắp khóa riêng của Binance. Thay vào đó, chúng khiến chính các hệ thống của Binance phê duyệt vụ trộm. Hướng dẫn này lần theo diễn biến vụ trộm theo trình tự và giải thích từng thuật ngữ kỹ thuật. Tất cả thời gian đều theo giờ UTC.
Kiến thức cơ bản: Cách một sàn giao dịch chuyển tiền
Ví nóng là ví trực tuyến của sàn giao dịch, luôn được kết nối để xử lý lệnh rút tiền nhanh chóng.
Ký giao dịch. Mỗi giao dịch phải được phê duyệt bằng khóa riêng của ví, một con số bí mật. Các sàn giao dịch dùng hệ thống tự động để ký hàng nghìn khoản thanh toán mỗi ngày.
Nonce là bộ đếm giao dịch của ví Ethereum. Nonce của một ví bận rộn tăng liên tục.
Các loại coin có thể bị đóng băng. Các đơn vị phát hành stablecoin như Tether (USDT) và Circle (USDC) có thể đóng băng địa chỉ. Không ai có thể đóng băng các coin gốc như BTC, ETH hay TRX.
Ngày 28 tháng 10: Chuẩn bị trước vụ tấn công
Mỗi giao dịch blockchain đều tốn một khoản phí nhỏ. Để nạp tiền vào ví mà không để lại dấu vết, kẻ tấn công dùng Tornado Cash, một “công cụ trộn” gộp coin của nhiều người dùng để không thể liên kết khoản rút với khoản nạp.
Sáu lượt rút từ Tornado Cash đã nạp tiền vào ví của người vận hành và hai người hỗ trợ.
Ngày 29 tháng 10, 02:28–16:47 UTC: Hai lần diễn tập
Trước khi nhắm vào Binance, kẻ tấn công luyện tập trên chính các ví của mình, giống như kẻ trộm thử dụng cụ phá khóa ở cửa nhà mình trước.
Công cụ được sử dụng là một hợp đồng thông minh: chương trình chạy trên Ethereum và thực hiện chính xác những gì mã lệnh chỉ định. Hợp đồng này được thiết kế để rút sạch bất kỳ ví nào cho phép nó hành động thay mặt ví. (Tính năng EIP-7702 của Ethereum cho phép kiểu ủy quyền đó; sẽ nói thêm bên dưới.)
02:28 — kẻ tấn công công bố phiên bản thử nghiệm của chương trình rút tiền.
13:51–14:24 — lần diễn tập đầu tiên. Họ nạp một lượng nhỏ USDT và USDC vào hai ví của mình, cấp cho chương trình thử nghiệm quyền truy cập vào các ví đó rồi kích hoạt chương trình. Cả hai ví đều bị rút sạch. Công cụ hoạt động.
15:59 — họ công bố phiên bản cuối cùng, phiên bản sau đó được dùng để tấn công Binance.
16:20–16:47 — lần diễn tập thứ hai, lặp lại thử nghiệm với phiên bản cuối cùng.
Phiên bản cuối cùng có thêm một quyền năng: nó có thể khiến ví thực hiện bất cứ việc gì, chứ không chỉ gửi token. Đêm đó, nhờ vậy nó có thể ra lệnh cho một ví Binance chuyển 823 triệu USDC. Một công cụ được tùy chỉnh kỹ như vậy cho thấy kẻ tấn công đã biết cách thiết lập ví của Binance.
“Sự khác biệt giữa hai phiên bản rất quan trọng. Hợp đồng chính có một hàm cho phép thực thi các lệnh tùy ý thay mặt một ví đã ủy quyền quyền kiểm soát cho hợp đồng đó. Sau này, kẻ tấn công đã dùng hàm này để rút 823 triệu USDC khỏi một ví thông minh của Binance,” BitOK giải thích.
Ngày 29 tháng 10, 20:04 UTC: Vụ rút tiền trong 31 phút
Từ 20:04:52 đến 20:35:53, kẻ tấn công rút sạch các ví nóng của Binance trên XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum và Avalanche. Số tài sản lấy được gồm:
18.270,2 BTC,
197.540 ETH,
2,49 tỷ USDT,
823 triệu USDC,
233,46 triệu XRP,
970.522 SOL và hàng chục token khác.
Mọi giao dịch chuyển tiền đều được chính các ví của Binance ký. BitOK phát hiện chúng dựa trên những dấu hiệu quen thuộc: phí cao gấp 2 đến 2,7 lần mức bình thường, định dạng giao dịch mà phần mềm thanh toán của Binance không sử dụng, và trên Ethereum, các giao dịch giả được chèn xen giữa những khoản thanh toán thật cho khách hàng.
Kẻ tấn công xâm nhập máy tính xách tay của một kỹ sư DevOps, sau đó dùng một container dịch vụ (chương trình được đóng gói và chạy bên trong hệ thống của Binance) để gửi các lệnh rút tiền giả.
Đây là nước đi khôn khéo nhất trong đêm. Mục tiêu là một ví nóng Ethereum bận rộn có tên Binance 14.
Kế hoạch. Với EIP-7702, ví có thể ký một giấy ủy quyền, gọi là authorization, cho phép hợp đồng thông minh thay mặt ví thực hiện giao dịch. Nếu Binance 14 ký một giấy ủy quyền chỉ định hợp đồng của kẻ tấn công, kẻ đó sẽ kiểm soát được ví.
Vấn đề. Giấy ủy quyền chỉ có hiệu lực nếu mang số thứ tự giao dịch hiện tại của ví, tức nonce. Binance 14 liên tục thanh toán cho khách hàng, nên con số đó thay đổi không ngừng. Giấy ủy quyền có số sai sẽ bị bỏ qua.
Mánh khóe. Lúc 20:20:59, kẻ tấn công khiến hệ thống ký của Binance ký 50 giấy ủy quyền cùng lúc, mỗi giấy có một số khác nhau. Hãy hình dung như thử 50 chiếc chìa khóa vào ổ khóa cùng một lúc: chỉ cần một chiếc khớp là đủ. Và một chiếc đã khớp. Binance 14 giờ nhận lệnh từ hợp đồng của kẻ tấn công, nhưng vẫn hoạt động bình thường, nên tiền vẫn tiếp tục chảy vào.
Kết quả. Vài phút sau, chỉ một giao dịch đã rút sạch 65 loại token khác nhau trị giá hơn 2,2 tỷ USD, trong đó có 1,615 tỷ USDT và 167.464 ETH. Lúc 20:41 và 20:59, hợp đồng còn khiến một ví Binance khác gửi đi 823 triệu USDC.
Binance 16. Một ví nóng thứ hai bị đánh cắp theo cách đơn giản hơn. Hệ thống Binance nhận được chín lệnh chuyển tiền giả, ký và gửi chúng đi cùng với các khoản thanh toán thật cho khách hàng. Các lệnh này mang theo 28.005,6 ETH và 55,7 triệu USDT.
Trên Ethereum, 500 triệu USDT rời khỏi địa chỉ nhận chính trong vòng sáu phút. Từ 20:34 đến 21:09, kẻ tấn công hoán đổi 435 triệu USDT sang ETH trên Uniswap, một sàn giao dịch phi tập trung vận hành bằng mã lệnh. Họ cũng gửi 60 triệu USDT vào Aave, một giao thức cho vay, rồi vay 19.762 ETH thế chấp bằng số tiền đó, để lại phần tài sản thế chấp có thể bị đóng băng.
Trên Tron, 612,7 triệu USDT rời khỏi ví Binance-Hot 7. Trong 16 lượt hoán đổi trên SunSwap, sàn giao dịch phi tập trung lớn nhất của Tron, kẻ tấn công đổi 234 triệu USDT thành 638,2 triệu TRX.
Để đóng băng USDT, Tether cần ba phê duyệt từ ví đa chữ ký, một cơ chế đòi hỏi nhiều người cùng xác nhận. Mỗi lần đóng băng mất tới 2 phút 36 giây, và các yêu cầu đang chờ xử lý đều hiển thị trên chuỗi. Kẻ tấn công có thể thấy lệnh đóng băng sắp diễn ra và chuyển tiền trước: một ví đã chuyển 130 triệu USDT chỉ 48 giây trước khi bị đóng băng. Nhưng tại một địa chỉ, kẻ tấn công chần chừ và mất gần 175 triệu USDT.
Toàn bộ 823 triệu USDC vẫn nằm ở một địa chỉ và bị đóng băng chỉ bằng một giao dịch.
Bị Tether và Circle đóng băngSố tiềnEthereum USDT1,38 tỷ USDEthereum USDC823 triệu USDTron USDT378,7 triệu USDAvalanche USDt8,4 triệu USDTổng cộng2,59 tỷ USD
Các đơn vị phát hành khác đã đóng băng USD1, XAUt, PAXG, wBETH và FDUSD, còn đơn vị phát hành BEAM đã đốt 984 triệu token bị đánh cắp. Hội đồng Bảo an Arbitrum, một cơ quan ứng phó khẩn cấp gồm 12 thành viên, đã tịch thu 8.426 ETH và 74,56 triệu ARB.
Tổng cộng, khoảng 2,79 tỷ USD đã bị đóng băng, đốt hoặc tịch thu. Dù vậy, 669 triệu USDT đã được chuyển đổi thành ETH và TRX.
21:43–00:10 UTC: Chiếc ví liên tục bị đánh cắp
Binance 14 vẫn nằm dưới quyền kiểm soát của kẻ tấn công.
21:43:59 — một giao dịch nạp tiền định kỳ của Binance gửi 200 triệu USDT đến Binance 14. Mười hai giây sau, hợp đồng rút sạch số tiền này. USDT đến một địa chỉ đã bị đóng băng, nhưng gần 370 ETH vẫn thoát được.
22:39 — một lượt rút tiền khác lấy đi 128,49 ETH.
23:56 — 2.961,91 ETH bị rút sạch chỉ một phút sau khi đến nơi.
00:10:35, ngày 30 tháng 10 — cuối cùng Binance hủy việc bàn giao quyền kiểm soát.
Kẻ tấn công kiểm soát chiếc ví trong gần bốn giờ.
18.270 BTC đã đi đâu?
Lúc 20:20:06, 11 giao dịch đã chuyển 18.270,2 BTC từ một ví nóng của Binance, với mức phí gấp đôi thông thường. Số coin được chia vào 19 địa chỉ, trong đó 17 địa chỉ mỗi nơi giữ 1.000 BTC. Tính đến ngày 30 tháng 10, chưa có số BTC nào được dịch chuyển. Sổ cái công khai của Bitcoin giúp theo dõi chúng, nhưng không ai có thể đóng băng chúng.
Phát hiện lớn nhất của BitOK: tiền Binance bị đánh cắp đã đến cùng một địa chỉ Ethereum vốn đã nhận tiền thu được từ vụ tấn công Bitget hồi tháng 9 năm 2026.
Kẻ tấn công chuyển TRX và USDT qua THORChain, một giao thức hoán đổi coin giữa các blockchain, rồi nhận ETH tại 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
Địa chỉ đó đã nhận ETH được truy vết đến vụ tấn công Bitget. Số ETH này bắt nguồn từ các địa chỉ Bitcoin nằm trong danh sách ví của kẻ tấn công do Bitget công bố, hoạt động từ ngày 23 tháng 10, và ban đầu là ZEC, một loại coin chưa từng bị đánh cắp khỏi Binance.
Đến 06:20, địa chỉ này đã nhận tám khoản thanh toán liên quan đến Bitget (349,46 ETH) và năm khoản liên quan đến Binance (13,63 ETH), sau đó chuyển số tiền pha trộn này sang các ví mới. Chỉ riêng việc dùng chung một địa chỉ không đủ để xác định ai đứng sau mỗi vụ tấn công.
Cả hai vụ tấn công đều liên quan đến việc xâm nhập hệ thống nội bộ mà không đánh cắp khóa riêng, và Bitget đổ lỗi cho Triều Tiên về vụ tấn công nhằm vào họ. BitOK cũng nêu các đặc điểm mà họ liên hệ với các nhóm Triều Tiên: diễn tập trước, nhận tiền qua Tornado Cash, lập tức hoán đổi các token có thể bị đóng băng và chuẩn bị trong giờ làm việc theo UTC+9.
“Địa chỉ rửa tiền dùng chung mới được xác định là bằng chứng về sự trùng lặp trong hoạt động mạnh hơn so với những điểm tương đồng đơn thuần về chiến thuật. BitOK đánh giá rằng hai vụ trộm có thể liên quan đến cùng một nhóm ở Triều Tiên và một người vận hành đã kiểm soát các luồng rửa tiền được quan sát. Đây vẫn là kết luận quy kết dựa trên phân tích, chứ không phải bằng chứng về danh tính ngoài đời thực của mọi người tham gia,” BitOK cho biết.
Phản hồi của Binance
Binance tạm dừng rút tiền từ các ví nóng Bitcoin và Tron vào khoảng 20:36, trong khi tiền nạp vẫn tiếp tục. Sàn cam kết bù đắp mọi khoản thiệt hại của khách hàng bằng quỹ khẩn cấp SAFU và nguồn lực của chính mình.
Tôi muốn trực tiếp nói với các bạn về những gì đã xảy ra. Tóm lại – tiền của các bạn an toàn, và chúng tôi sẽ bù đắp mọi tổn thất. Cuộc điều tra ban đầu cho thấy sự cố an ninh này có thể bắt nguồn từ việc máy tính xách tay của một kỹ sư DevOps bị xâm nhập. Điều đó đã giúp kẻ tấn công truy cập vào một…
— Richard Teng (@_RichardTeng) ngày 30 tháng 10 năm 2026
Theo Coinglass, trên toàn thị trường, các vị thế đòn bẩy trị giá 1,58 tỷ USD đã bị thanh lý trong 24 giờ.
Hiện kẻ tấn công đang nắm giữ những gì?
Tính đến 06:20 ngày 30 tháng 10, BitOK liên kết kẻ tấn công với:
197.460 ETH,
18.270,2 BTC,
233,46 triệu XRP,
khoảng 970.500 SOL,
675,9 triệu TRX,
và 1,61 triệu AVAX.
Chỉ riêng ETH, BTC, XRP và SOL đã trị giá khoảng 2,95 tỷ USD.
Kẻ tấn công đã chiếm quyền kiểm soát hệ thống ký lệnh rút tiền của Binance. BitOK chia sẻ những bài học mà ngành tiền mã hóa có thể rút ra từ vụ tấn công Binance.
“Sự cố Binance cho thấy chỉ bảo vệ khóa riêng là chưa đủ. Các sàn giao dịch cũng cần kiểm soát quyền ký, biện pháp bảo vệ trước chỉ thị rút tiền đáng ngờ, thu hồi kịp thời các quyền đã bị xâm phạm và giám sát liên tục việc dịch chuyển tài sản trên các mạng lưới.”