Cuộc điều tra đang diễn ra về vụ xâm nhập an ninh Binance trị giá 6,3 tỷ đô la—được xem rộng rãi là vụ trộm kỹ thuật số lớn nhất trong lịch sử tài chính—cho thấy đây là một cuộc tấn công mạng cực kỳ tinh vi và liên tục biến đổi. [1, 2]
Những thông tin cốt lõi được các điều tra viên blockchain nội bộ và độc lập phát hiện cho đến nay bao gồm:
🛠️ Chiến lược khai thác lỗ hổng và điểm xâm nhập
Vụ xâm nhập ban đầu: Cuộc điều tra sơ bộ của Binance cho thấy điểm xâm nhập là máy tính xách tay của một kỹ sư DevOps đã bị xâm phạm. Chiếc máy này giúp những kẻ tấn công xâm nhập vào hệ thống mạng nội bộ và tiếp cận một container quan trọng dùng cho phát triển phần mềm/dịch vụ. [1, 2, 3]
Quy trình “tấn công phức tạp”: Đồng CEO Binance Richard Teng làm rõ rằng cuộc tấn công phức tạp hơn nhiều so với việc đánh cắp thông tin đăng nhập theo kiểu “chỉ cần một cú nhấp chuột”. Tin tặc không chỉ đơn thuần lợi dụng quyền truy cập của một người mà đã thực hiện một cuộc xâm nhập mạng tinh vi. [1]
EIP-7702 và cơ chế nhắm mục tiêu: Công ty phân tích blockchain TRM Labs cho biết những kẻ tấn công đã nhắm vào các ví nóng trên 10 blockchain khác nhau. Trên mạng Ethereum, tin tặc đã sử dụng tiêu chuẩn EIP-7702 mới được triển khai. Bằng cách sử dụng một ủy quyền được ký trước, chúng buộc một ví nóng của Binance thực thi “hợp đồng vét sạch” độc hại, lần lượt rút tài sản vào các ví do tin tặc kiểm soát. [1, 2]
Xóa dấu vết: Những kẻ tấn công thực hiện vụ rút tài sản chính trong khoảng 20 phút, rồi kích hoạt cơ chế tự hủy nhằm xóa sạch các công cụ nội bộ và dấu vết kỹ thuật số, cố ý cản trở nỗ lực điều tra pháp chứng. Binance chưa tìm thấy bằng chứng cho thấy khóa riêng tư bị rò rỉ trực tiếp. [1, 2, 3]
🕵️ Nghi phạm chính: TraderTraitor của Triều Tiên
Nhiều công ty tình báo blockchain hàng đầu—bao gồm TRM Labs, Chainalysis và Elliptic—đã kết luận với “độ tin cậy cao” rằng TraderTraitor đứng sau vụ trộm. [1, 2]
TraderTraitor là một đơn vị tác chiến mạng tinh nhuệ do nhà nước bảo trợ, do Triều Tiên điều hành (thường được cho là có liên hệ với Lazarus Group).
#BinanceSquareTalks
Những thông tin cốt lõi được các điều tra viên blockchain nội bộ và độc lập phát hiện cho đến nay bao gồm:
🛠️ Chiến lược khai thác lỗ hổng và điểm xâm nhập
Vụ xâm nhập ban đầu: Cuộc điều tra sơ bộ của Binance cho thấy điểm xâm nhập là máy tính xách tay của một kỹ sư DevOps đã bị xâm phạm. Chiếc máy này giúp những kẻ tấn công xâm nhập vào hệ thống mạng nội bộ và tiếp cận một container quan trọng dùng cho phát triển phần mềm/dịch vụ. [1, 2, 3]
Quy trình “tấn công phức tạp”: Đồng CEO Binance Richard Teng làm rõ rằng cuộc tấn công phức tạp hơn nhiều so với việc đánh cắp thông tin đăng nhập theo kiểu “chỉ cần một cú nhấp chuột”. Tin tặc không chỉ đơn thuần lợi dụng quyền truy cập của một người mà đã thực hiện một cuộc xâm nhập mạng tinh vi. [1]
EIP-7702 và cơ chế nhắm mục tiêu: Công ty phân tích blockchain TRM Labs cho biết những kẻ tấn công đã nhắm vào các ví nóng trên 10 blockchain khác nhau. Trên mạng Ethereum, tin tặc đã sử dụng tiêu chuẩn EIP-7702 mới được triển khai. Bằng cách sử dụng một ủy quyền được ký trước, chúng buộc một ví nóng của Binance thực thi “hợp đồng vét sạch” độc hại, lần lượt rút tài sản vào các ví do tin tặc kiểm soát. [1, 2]
Xóa dấu vết: Những kẻ tấn công thực hiện vụ rút tài sản chính trong khoảng 20 phút, rồi kích hoạt cơ chế tự hủy nhằm xóa sạch các công cụ nội bộ và dấu vết kỹ thuật số, cố ý cản trở nỗ lực điều tra pháp chứng. Binance chưa tìm thấy bằng chứng cho thấy khóa riêng tư bị rò rỉ trực tiếp. [1, 2, 3]
🕵️ Nghi phạm chính: TraderTraitor của Triều Tiên
Nhiều công ty tình báo blockchain hàng đầu—bao gồm TRM Labs, Chainalysis và Elliptic—đã kết luận với “độ tin cậy cao” rằng TraderTraitor đứng sau vụ trộm. [1, 2]
TraderTraitor là một đơn vị tác chiến mạng tinh nhuệ do nhà nước bảo trợ, do Triều Tiên điều hành (thường được cho là có liên hệ với Lazarus Group).
#BinanceSquareTalks
