Binance cho biết họ đã dành riêng hơn 6,34 tỷ đô la từ quỹ công ty để bù đắp tổn thất sau khi tin tặc đánh cắp khoảng 6,3 tỷ đô la từ sàn giao dịch hôm thứ Năm, trong vụ việc mà TRM Labs mô tả là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận. Các đối tác trong ngành đã phong tỏa khoảng 3 tỷ đô la tài sản được cho là có liên quan đến vụ việc, nhưng khách hàng vẫn đang chờ sàn giao dịch mở lại chức năng rút tiền.
Cuộc điều tra của sàn giao dịch vẫn đang diễn ra và Binance chưa công khai xác nhận ai đứng sau vụ tấn công. Tuy vậy, công tác pháp y blockchain của TRM Labs đã liên hệ các giao dịch chuyển tiền trái phép đầu tiên với nhóm TraderTraitor của Triều Tiên. Trước đó, FBI Mỹ từng cho rằng nhóm này có liên quan đến vụ đánh cắp 1,5 tỷ đô la từ Bybit vào tháng 2 năm 2025.
Điểm chính
TRM Labs truy vết các giao dịch trái phép ban đầu từ ví Binance bắt đầu vào khoảng 8:05 tối UTC thứ Năm, trải rộng trên nhiều blockchain.
Binance dành riêng hơn 6,34 tỷ USD để bù đắp tổn thất, trong đó 5 tỷ USD đã được nắm giữ dưới dạng các token bị ảnh hưởng; phần bảo đảm còn lại dựa vào việc mua token qua các sàn giao dịch và giao dịch phi tập trung (OTC).
Tiền bị đóng băng không đồng nghĩa với tiền đã được thu hồi, và Binance chưa tiết lộ bao nhiêu tiền mã hóa bị đánh cắp đã trở lại quyền kiểm soát của công ty.
EIP-7702 của Ethereum đang là tâm điểm chú ý sau khi các ví liên kết với Binance bị rút sạch thông qua cơ chế ủy quyền EIP-7702.
Hoạt động rút tiền vẫn bị tạm ngưng; Binance cho biết dự định mở lại theo từng giai đoạn vào Chủ nhật, ngày 1 tháng 11, sau khi hoàn tất kiểm tra bảo mật.
Điều tra pháp y cho thấy nhóm TraderTraitor đứng sau vụ rút sạch ví Binance
Theo TRM Labs, các giao dịch trái phép đầu tiên được phát hiện vào khoảng 8:05 tối UTC thứ Năm. Kết quả truy vết cho thấy ví Binance bị rút tiền trên nhiều mạng lưới, chứ không chỉ giới hạn ở một blockchain duy nhất. TRM nhận định vụ việc nhắm vào các ví nóng—những hệ thống mà sàn giao dịch duy trì trạng thái trực tuyến để xử lý lệnh rút tiền. Điều này có thể tăng hiệu quả vận hành, nhưng cũng mở rộng bề mặt tấn công nếu hệ thống ký giao dịch hoặc các biện pháp kiểm soát quyền truy cập bị xâm phạm.
TRM Labs quy trách nhiệm vụ tấn công cho nhóm TraderTraitor của Triều Tiên. Nhận định này phù hợp với tuyên bố công khai trước đó của Cục Điều tra Liên bang Hoa Kỳ (FBI), trong đó liên hệ TraderTraitor với vụ đánh cắp 1,5 tỷ USD từ Bybit vào tháng 2 năm 2025. Binance chưa xác nhận độc lập danh tính những kẻ tấn công, còn đồng CEO Richard Teng nhấn mạnh rằng công ty chưa quy trách nhiệm cho bất kỳ cá nhân nào.
Binance cũng giải thích diễn biến vụ xâm nhập, cho biết đây không phải là kết quả của việc một kỹ sư đơn lẻ sử dụng sai quyền chỉ bằng “một cú nhấp chuột”. Theo lời ông Teng, các điều tra viên vẫn đang tìm hiểu phạm vi rộng hơn của vụ xâm nhập, và sàn giao dịch chưa quy trách nhiệm cho bất kỳ cá nhân nào.
Binance dành riêng 6,34 tỷ USD, nhưng việc thu hồi vẫn chưa rõ ràng
Binance cho biết đã dành riêng hơn 6,34 tỷ USD tiền của công ty để bù đắp tổn thất. Sàn giao dịch nói rằng 5 tỷ USD trong số đó đã được nắm giữ dưới dạng các token bị ảnh hưởng; phần còn lại dùng để bù đắp khoản thiếu hụt thông qua việc mua token trên các sàn giao dịch và theo thỏa thuận OTC.
Người phát ngôn của Binance nói với Cointelegraph rằng 5 tỷ USD được lưu ký trong công ty, nhưng từ chối cung cấp địa chỉ ví vì lo ngại về bảo mật. Trong khi đó, CertiK cho biết họ cần thêm thông tin để xác minh độc lập số tài sản nắm giữ. Sự khác biệt này rất quan trọng với những người tham gia thị trường: nếu không thể kiểm chứng độc lập việc lưu ký và số dư token, ngay cả những tuyên bố về bằng chứng dự trữ có thiện chí cũng có thể khó được bên thứ ba xác thực nhanh chóng khi sự cố vẫn đang diễn ra.
Thông tin Binance đưa ra cũng nhấn mạnh một điểm quan trọng đối với khách hàng và các đối tác. Tiền bị đóng băng không nhất thiết là tiền đã được thu hồi. Dù các đối tác trong ngành đã đóng băng lượng tài sản trị giá khoảng 3 tỷ USD, Binance vẫn chưa nêu rõ bao nhiêu tiền mã hóa bị đánh cắp đã trở lại quyền kiểm soát của mình.
EIP-7702 của Ethereum được chú ý sau vụ rút tiền thông qua cơ chế ủy quyền
Dù vụ trộm nhắm vào các ví Binance, sự chú ý về mặt kỹ thuật đã chuyển sang EIP-7702 của Ethereum. Cointelegraph trước đó đưa tin bản nâng cấp này bị soi xét sau khi kẻ tấn công sử dụng nó để rút sạch một ví Binance. EIP-7702 cho phép ví ủy quyền cho phần mềm hành động thay mình, làm dấy lên câu hỏi về cách cơ chế ủy quyền tương tác với các quy trình phê duyệt và an toàn riêng của sàn giao dịch.
CEO Blockaid Ido Ben-Natan nói với Cointelegraph rằng các hệ thống ký giao dịch bị xâm phạm nhiều khả năng đóng vai trò trung tâm trong việc tạo điều kiện cho vụ trộm. Ông nói thêm rằng kẻ tấn công có thể vẫn lấy được tiền ngay cả khi không có EIP-7702, nhưng cơ chế này có thể đã giúp chúng vượt qua một số biện pháp bảo vệ và thực hiện vụ trộm một cách phối hợp hơn.
Đồng CEO Binance Richard Teng cho biết các điều tra viên phát hiện kẻ tấn công đã sử dụng cơ chế ủy quyền EIP-7702 để giành quyền thực thi trên một ví nóng mà không cần thông qua các bước kiểm soát phê duyệt thông thường của Binance. Ông Teng cũng đề cập đến một “cơ chế tự hủy” đã phá hủy công cụ và dấu vết, khiến cuộc điều tra trở nên phức tạp hơn.
Binance cho biết thêm các điều tra viên đã phát hiện những vụ xâm nhập khác ngoài chiếc máy tính xách tay bị nghi ngờ ban đầu đã bị xâm phạm. Sàn giao dịch cho biết không có bằng chứng cho thấy khóa riêng của ví bị rò rỉ và dự kiến sẽ công bố thêm các phát hiện kỹ thuật trong khoảng 48 giờ.
Riêng Chainalysis ghi nhận hàng nghìn giao dịch diễn ra liên tiếp trong thời gian ngắn, có thể là dấu hiệu của hoạt động rửa tiền tự động. Mô hình này—tiền di chuyển giữa các địa chỉ và đôi khi quay lại những ví từng được sử dụng—thường xuất hiện trong các nỗ lực che giấu nguồn gốc tài sản sau những vụ tấn công quy mô lớn. Tuy nhiên, mục đích cụ thể và toàn bộ đường đi của dòng tiền có thể chỉ sáng tỏ hơn khi quá trình truy vết tiếp tục.
Rút tiền và các biện pháp thanh khoản: Aave mở lại thị trường, Binance lên lịch mở lại theo từng giai đoạn
Vụ tấn công đã lan sang các hoạt động hạ tầng thị trường rộng hơn. Sau vụ trộm, các biện pháp phòng ngừa bao gồm việc tạm dừng tiền gửi mới và hoạt động vay tại nền tảng cho vay phi tập trung Aave. Cointelegraph đưa tin Aave đã mở lại thị trường vào chiều thứ Sáu, trong khi hoạt động rút tiền trên Binance vẫn bị tạm ngưng.
Trong thông báo cập nhật đăng trên mạng xã hội hôm thứ Sáu, Binance cho biết dự định bắt đầu mở lại hoạt động rút tiền theo từng giai đoạn vào Chủ nhật, ngày 1 tháng 11, với điều kiện hoàn tất các bước kiểm tra bảo mật. Sàn giao dịch cũng cho biết tiền gửi và các dịch vụ khác được cho là không bị ảnh hưởng sẽ tiếp tục hoạt động.
Cùng với kế hoạch mở lại hoạt động rút tiền, Binance cho biết sẽ chụp ảnh nhanh bằng chứng dự trữ ban đầu trong vòng 12 giờ kể từ khi thông báo, và dự kiến có kết quả vào thứ Hai. Báo cáo nhằm chứng minh Binance đang nắm giữ những tài sản nào và chúng bảo đảm cho số dư của khách hàng ra sao.
Đối với người dùng và nhà giao dịch, câu hỏi trước mắt không chỉ là liệu hoạt động rút tiền có được khôi phục đúng lịch hay không, mà còn là liệu sàn giao dịch có thể cung cấp thông tin minh bạch, đáng tin cậy và kiểm chứng được đủ nhanh để khôi phục niềm tin hay không. Với quy mô vụ trộm này, ngay cả những cập nhật từng bước về việc lưu ký, tiến độ thu hồi và bài học kỹ thuật liên quan đến kiểm soát ví nóng cũng như thực thi được ủy quyền nhiều khả năng sẽ quyết định tốc độ phục hồi niềm tin của thị trường.
Khi Binance hoàn tất các bước kiểm tra bảo mật và công bố thêm những phát hiện kỹ thuật, độc giả nên theo dõi ba điều: xác nhận về lịch mở lại hoạt động rút tiền, xác minh độc lập các công bố dự trữ của công ty, và thông tin cập nhật về lượng tiền mã hóa bị đánh cắp đã thực sự được thu hồi hoặc vẫn đang dịch chuyển trong hệ thống.
Bài viết này ban đầu được đăng với tiêu đề “Vụ hack 6,3 tỷ USD của Binance: Tóm tắt dòng thời gian diễn biến vụ xâm nhập” trên Crypto Breaking News – nguồn tin đáng tin cậy của bạn về tin tức tiền mã hóa, Bitcoin và các cập nhật về blockchain.