Sàn giao dịch tiền mã hóa Binance đang hợp tác với Cục Điều tra Liên bang Mỹ (FBI) để thu hồi khoảng 3 tỷ USD tài sản bị đóng băng trong vụ trộm tiền mã hóa lớn nhất lịch sử. Một nguồn tin am hiểu sự việc tiết lộ với truyền thông rằng Binance đã trích lập hơn 6,34 tỷ USD từ nguồn vốn công ty để bù đắp tổn thất; trong đó, 5 tỷ USD là tài sản khớp hoàn toàn với các token bị đánh cắp, phần còn lại đang được bổ sung thông qua các kênh thị trường và giao dịch phi tập trung (OTC).

Vụ tấn công xảy ra lúc 20:05 UTC ngày 29 tháng 10, trong khoảng 20 phút đã chuyển khoảng 6,36 tỷ USD từ các địa chỉ do Binance kiểm soát, qua 10 blockchain. Công ty phân tích blockchain TRM Labs với độ tin cậy cao quy trách nhiệm vụ tấn công cho nhóm tin tặc Triều Tiên TraderTraitor — tổ chức trước đó bị FBI xác định là thủ phạm đứng sau vụ đánh cắp 1,5 tỷ USD từ Bybit vào tháng 2 năm 2025. Trong tuyên bố chính thức ngày 30 tháng 10, Binance xác nhận khoảng 3 tỷ USD hiện đã bị các đối tác trong ngành đóng băng; sàn đang phối hợp với các cơ quan thực thi pháp luật để thu hồi số tiền này và cam kết toàn bộ tiền của người dùng cuối cùng sẽ được công khai xác minh thông qua Bằng chứng dự trữ (Proof of Reserves, PoR).

20 phút, 10 chuỗi: Hệ thống ký giao dịch của ví nóng đã bị xâm nhập như thế nào

Theo thống kê của TRM Labs, bắt đầu từ 20:05 UTC ngày 29 tháng 10, trong khoảng 20 phút, kẻ tấn công đã chuyển số tiền trị giá khoảng 6,36 tỷ USD từ các địa chỉ do Binance kiểm soát sang một địa chỉ duy nhất của kẻ tấn công, liên quan đến 10 blockchain. Đây là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận, vượt xa mức thiệt hại 1,5 tỷ USD mà Bybit phải gánh chịu vào tháng 2 năm 2025, cũng như vụ đánh cắp 625 triệu USD từ Ronin, sidechain của Axie Infinity, vào tháng 2 năm 2022.

Trong bài đăng chính thức trên X, Binance cho biết cuộc điều tra sơ bộ “cho thấy sự cố bảo mật này có thể liên quan đến việc máy tính xách tay của một kỹ sư DevOps bị xâm nhập”; qua đó, kẻ tấn công đã truy cập vào các container dịch vụ và gửi các giao dịch rút tiền trái phép. Sàn giao dịch đồng thời nhấn mạnh rằng chưa phát hiện dấu hiệu nào cho thấy khóa riêng của ví bị rò rỉ. Chi tiết này cho thấy lỗ hổng nằm ở khâu kiểm soát quyền hạn trong quy trình ký giao dịch của ví nóng, chứ không phải hệ thống lưu ký khóa nền tảng bị sụp đổ — kẻ tấn công có được “quyền gửi giao dịch”, chứ không phải “khóa tạo chữ ký”.

Phân tích của TRM Labs phác họa bức tranh đầy đủ hơn về cuộc tấn công: công tác chuẩn bị của kẻ tấn công bắt đầu ít nhất 36 giờ trước đó. Chúng thử mã trên hai ví, diễn tập trên ví thứ ba, rồi chờ khoảng 4 giờ trước khi tiến hành cuộc tấn công tổng lực. Nguồn tiền ban đầu của địa chỉ kẻ tấn công có thể được truy nguyên đến một giao dịch nạp tiền qua Tornado Cash vào buổi sáng ngày trước khi vụ tấn công xảy ra. Những dấu vết này cho thấy đây là một cuộc tấn công phối hợp, được diễn tập kỹ lưỡng và nhắm vào hệ thống ký giao dịch của ví nóng đa chuỗi, chứ không phải sự cố ngẫu nhiên do một nhân viên thao tác nhầm. Bài học thực sự dành cho các sàn giao dịch không phải là “ai đã nhấp vào liên kết độc hại”, mà là vì sao quy trình phê duyệt đa chữ ký, hạn mức rút tiền và hệ thống giám sát hành vi bất thường cùng lúc thất bại trong một khung thời gian như vậy.

Đằng sau 3 tỷ USD bị đóng băng: “Phanh khẩn cấp” của các nhà phát hành stablecoin

Trong số 6,36 tỷ USD bị chuyển đi, khoảng 3 tỷ USD đã bị đóng băng. Theo dữ liệu tại thời điểm 00:30 UTC ngày 31 tháng 10 của TRM Labs, khoảng 2,7 tỷ USD trong số đó chủ yếu được các nhà phát hành stablecoin — gồm Tether, Circle, Ripple và World Liberty Financial — khóa lại. Các nhà phát hành này có thể đóng băng stablecoin tại những địa chỉ cụ thể trên chuỗi, tương đương với việc đạp “phanh khẩn cấp” trên đường đi của dòng tiền. Sau đó, Binance cập nhật số tiền bị đóng băng lên khoảng 3 tỷ USD.

Binance tuyên bố rõ: “Hiện tại, 3 tỷ USD đã bị đóng băng. Chúng tôi cảm ơn các đối tác trong ngành. Chúng tôi đang phối hợp với các đối tác và cơ quan thực thi pháp luật để thu hồi tài sản bị đóng băng.” Khoản tiền này chưa được tính vào quỹ công ty trị giá 6,34 tỷ USD mà Binance dành riêng — sàn giao dịch nhấn mạnh rằng con số dự phòng “không bao gồm tài sản bị đóng băng hoặc được bảo vệ; những tài sản này vẫn đang trong quá trình thu hồi và xác minh”. Nói cách khác, nếu cuối cùng 3 tỷ USD tài sản bị đóng băng được thu hồi thành công và hoàn trả cho người dùng, số tiền công ty Binance thực sự phải sử dụng có thể thấp hơn đáng kể so với 6,34 tỷ USD.

Khoảng 2,4 tỷ USD còn lại vẫn nằm trong tay kẻ tấn công dưới dạng Ethereum (ETH) và Bitcoin (BTC), bao gồm hơn 420.000 ETH và 18.270 BTC. Vì hai loại tài sản này không có cơ chế đóng băng do nhà phát hành kiểm soát, việc thu hồi khó khăn hơn đáng kể so với stablecoin, thường phải dựa vào hoạt động truy vết trên chuỗi của cơ quan thực thi pháp luật, sự phối hợp của các sàn giao dịch và lệnh tịch thu tư pháp. Điều này cũng lý giải vì sao Binance cần phối hợp với các cơ quan thực thi pháp luật như FBI — stablecoin có thể bị nhà phát hành đóng băng, còn tài sản gốc chỉ có thể bị cơ quan thực thi pháp luật thu giữ.

Nghi vấn Triều Tiên: TraderTraitor và chuỗi quy kết trong vụ Bybit

TRM Labs quy vụ tấn công này, với độ tin cậy cao, cho TraderTraitor — một nhóm tin tặc có liên hệ với Triều Tiên. FBI từng công khai tuyên bố vào tháng 2 năm 2025 rằng nhóm này chịu trách nhiệm về vụ đánh cắp 1,5 tỷ USD từ Bybit. Nếu quy kết lần này được cơ quan thực thi pháp luật xác nhận, đây sẽ là năm thứ hai liên tiếp một nhóm tin tặc Triều Tiên thực hiện vụ trộm tiền mã hóa trị giá hàng tỷ đô la, đồng thời cho thấy các phương thức tấn công vào ví nóng của sàn giao dịch tập trung đang được cải tiến nhanh chóng.

Nhà điều tra trên chuỗi ZachXBT đưa ra một manh mối liên hệ khác: sau khi luân chuyển qua giao thức xuyên chuỗi THORChain, số tiền bị đánh cắp từ Binance và số tiền trong vụ trộm 388 triệu USD từ Bitget hồi tháng 9 đã xuất hiện tại cùng một địa chỉ; “rất có thể cùng một tác nhân đứng sau cả hai sự việc”. Trộn tiền xuyên chuỗi và gộp địa chỉ là những phương thức rửa tiền điển hình của các nhóm tin tặc Triều Tiên, nhằm che giấu đường đi của dòng tiền và khiến việc truy vết khó khăn hơn. THORChain, với vai trò là giao thức thanh khoản xuyên chuỗi không cần cấp phép, vì vậy cũng trở thành tâm điểm chú ý của dư luận — các bài báo cho biết token RUNE của THORChain từng tăng 13% sau tin Binance bị đánh cắp.

Cần thận trọng: Binance chưa chính thức nêu tên bất kỳ kẻ tấn công nào, mà chỉ cho biết đang phối hợp với cơ quan thực thi pháp luật để xác định thủ phạm. Quy kết của TRM Labs là đánh giá từ một đơn vị phân tích bên thứ ba; để xác nhận chính thức vẫn cần sự hậu thuẫn của cơ quan thực thi pháp luật hoặc hồ sơ tư pháp. Trong các sự cố an ninh tiền mã hóa, quy kết sai có thể dẫn đến rủi ro ngoại giao và pháp lý — đó là lý do các sàn giao dịch và cơ quan quản lý thường giữ thái độ thận trọng.

Cam kết bồi hoàn của Binance và phép thử PoR

Trước khoản thiệt hại kỷ lục, Binance chọn phương án gánh toàn bộ. Sàn giao dịch thông báo đã dành riêng hơn 6,34 tỷ USD tiền của công ty để bù đắp thiệt hại, trong đó 5 tỷ USD là tài sản khớp chính xác với các token bị đánh cắp; khoảng 1,34 tỷ USD còn lại đang được mua bổ sung thông qua các kênh thị trường và OTC. Binance giải thích rằng quá trình này mất nhiều thời gian vì một số token có thanh khoản thấp và việc thanh toán OTC cần thời gian. Sàn giao dịch cũng cho biết sẽ tiếp tục sử dụng nguồn lực của công ty để bù đắp khoản thiếu hụt đã xác nhận, đồng thời cập nhật thêm sau khi xác minh tiến độ khôi phục.

Theo dữ liệu xếp hạng dự trữ, Binance đứng đầu trong số các sàn giao dịch tiền mã hóa với tổng tài sản 134 tỷ USD. Dù vậy, việc sử dụng 6,34 tỷ USD tiền của công ty chỉ trong một lần vẫn là phép thử rất lớn. Dữ liệu của DeFiLlama cho thấy trong 24 giờ sau sự cố, Binance xử lý dòng tiền ròng chảy ra khoảng 6 tỷ USD, phản ánh áp lực rút tiền của người dùng trong tình huống cực đoan. Một số giao dịch rút tiền trên chuỗi, chẳng hạn trên Solana và XRP, từng bị tạm dừng trong giai đoạn đầu; giao dịch rút BTC vẫn được mở, sau đó sàn giao dịch dần khôi phục dịch vụ.

Binance cam kết trong tuyên bố: “Cuối cùng, toàn bộ tiền của người dùng sẽ được xác minh công khai thông qua bằng chứng dự trữ của chúng tôi.” PoR sẽ là thước đo then chốt để kiểm chứng liệu sàn giao dịch có thực sự bù đắp đủ khoản thiếu hụt tài sản của người dùng hay không — đặc biệt là trước khi quyền sở hữu 3 tỷ USD tài sản bị đóng băng được xác minh, mọi tuyên bố về “an toàn tài chính” đều cần được chứng minh bằng dữ liệu trên chuỗi. Đối với toàn ngành, phép thử thực sự trong sự cố này không phải là Binance có thể thanh toán hay không, mà là liệu PoR có thể đảm bảo tính minh bạch có thể kiểm chứng trong tình huống cực đoan hay không.

Tác động đến ngành: kiến trúc ví nóng, truy vết xuyên chuỗi và hợp tác quản lý

Sự việc một lần nữa phơi bày rủi ro mang tính hệ thống trong hoạt động quản lý ví nóng của các sàn giao dịch tập trung. Dù là lỗ hổng quyền hạn do máy tính xách tay của kỹ sư DevOps bị xâm nhập hay sự cố phối hợp trong hệ thống ký giao dịch đa chuỗi, tất cả đều cho thấy một mắt xích bảo vệ thất bại có thể gây ra phản ứng dây chuyền xuyên chuỗi. Với các sàn giao dịch, việc tách biệt ví nóng và ví lạnh, phê duyệt đa chữ ký, đặt hạn mức rút tiền và giám sát hành vi bất thường không còn là lựa chọn, mà là điều kiện sống còn. Khả năng chuyển tiền qua 10 chuỗi chỉ trong 20 phút của kẻ tấn công cũng cho thấy công tác quản trị rủi ro của sàn giao dịch phức tạp đến mức nào trong kỷ nguyên đa chuỗi — cảnh báo từ một chuỗi có thể không đến kịp để ngăn các giao dịch rút tiền trên chín chuỗi còn lại.

Hiệu quả phối hợp thực thi pháp luật đặc biệt quan trọng trong sự việc này. Tháng 2 năm 2022, Bộ Tư pháp Hoa Kỳ thông báo rằng FBI và các cơ quan thực thi pháp luật khác đã hỗ trợ thu giữ 94.000 BTC, trị giá 3,6 tỷ USD vào thời điểm đó; số tiền này có liên quan đến vụ trộm tại sàn giao dịch Bitfinex năm 2016. Vụ Bitfinex cách đây tám năm cho thấy ngay cả khi tiền đã bị chuyển đi từ nhiều năm trước, cơ quan thực thi pháp luật vẫn có thể thu hồi lượng lớn tài sản nhờ truy vết trên chuỗi và các biện pháp tư pháp. Việc Binance hợp tác với FBI có thể lặp lại được kết quả này hay không sẽ tùy thuộc vào tiến độ xác minh tài sản bị đóng băng và hiệu quả phối hợp tư pháp xuyên quốc gia.

Trên thị trường, sự việc gây ra những biến động dây chuyền. Ngoài đợt tăng ngắn hạn của RUNE, thị trường Bitcoin ghi nhận khoảng 1,6 tỷ USD bị thanh lý sau sự cố. Những biến động này nhắc nhở thị trường rằng tác động của các sự cố bảo mật tại sàn giao dịch chưa bao giờ chỉ giới hạn ở nền tảng bị ảnh hưởng; chúng có thể lan ra toàn bộ hệ sinh thái tiền mã hóa thông qua các giao thức xuyên chuỗi, chuỗi thanh lý và tâm lý thị trường.

Những diễn biến cần theo dõi tiếp theo gồm: kết quả xác minh quyền sở hữu của 3 tỷ USD tài sản bị đóng băng; thời điểm công bố và phạm vi bao phủ của báo cáo PoR của Binance; xác nhận chính thức của cơ quan thực thi pháp luật về danh tính kẻ tấn công; và liệu sàn giao dịch có công bố kế hoạch khắc phục chi tiết hơn cho hệ thống ký giao dịch của ví nóng hay không. Đối với người dùng, sau một sự cố an ninh nghiêm trọng, việc theo dõi bằng chứng dự trữ và tiến độ thu hồi tiền của sàn giao dịch có ý nghĩa hơn việc chạy theo những biến động giá ngắn hạn.