Vào tối ngày 29 tháng 10 năm 2026, khoảng 20:05 UTC, các hệ thống ký giao dịch của chính Binance đã phê duyệt việc chuyển khoảng 6,3 tỷ USD từ các ví nóng của sàn trên mười blockchain. Phần lớn số tiền đã được chuyển đi trong khoảng 20 phút. Con số này gấp bốn lần kỷ lục trước đó do Bybit thiết lập vào tháng 2 năm 2025 và, theo Elliptic, gần như chắc chắn là vụ trộm lớn nhất thuộc mọi loại từng được ghi nhận.
Binance đã tạm dừng rút tiền, tuyên bố tiền của người dùng vẫn an toàn và dành riêng 6,34 tỷ USD nguồn lực của công ty để bù đắp tổn thất. TRM Labs và Chainalysis nhận định với độ tin cậy cao rằng vụ tấn công do TraderTraitor thực hiện, một đơn vị của Triều Tiên có liên hệ với Lazarus. Hiện chưa có chính phủ nào xác nhận nhận định này.
Chuyện gì đã xảy ra, giải thích đơn giản
Ví nóng là ví trực tuyến mà một sàn giao dịch sử dụng để xử lý các giao dịch rút tiền. Kẻ tấn công đã rút sạch các ví nóng của Binance trên Ethereum, Bitcoin, Tron, XRP Ledger, Solana và các blockchain khác. Binance cho biết họ không tìm thấy bằng chứng cho thấy khóa riêng tư bị rò rỉ. Kẻ tấn công đã khiến chính hệ thống ký của Binance—cơ chế phê duyệt mỗi lần chi trả—ký các giao dịch chuyển tiền.
Trên Ethereum, kẻ tấn công đã sử dụng EIP-7702 (bản nâng cấp tháng 5 năm 2025) cùng 50 ủy quyền được ký trước để biến ví nóng thành một ví chuyên gom tiền do kẻ tấn công kiểm soát. Trên các blockchain khác, các giao dịch chuyển tiền đều là giao dịch được ký thông thường. Mọi dấu hiệu đều cho thấy cơ sở hạ tầng ký bị xâm nhập, chứ không phải vụ đánh cắp khóa riêng tư theo kiểu truyền thống.
Cuộc điều tra ban đầu của Binance cho rằng máy tính xách tay của một kỹ sư DevOps bị xâm nhập, qua đó kẻ tấn công tiếp cận được một vùng chứa dịch vụ. Sau đó, công ty đề cập đến “các điểm xâm nhập bổ sung” và một cuộc tấn công phức tạp hơn. Công ty vẫn chưa công bố báo cáo hậu kiểm kỹ thuật đầy đủ.
Ước tính thiệt hại theo blockchain (TRM Labs, giá trị tại thời điểm bị đánh cắp)
Theo TRM Labs (giá trị tại thời điểm mỗi giao dịch chuyển tiền): Ethereum khoảng 3,79 tỷ USD (200.630 ETH cộng với các token, trong đó có lượng lớn USDT và USDC), Bitcoin 18.270 BTC (khoảng 1,47 tỷ USD), Tron khoảng 628 triệu USD, XRP Ledger khoảng 296 triệu USD, Solana khoảng 96 triệu USD và phần còn lại trên các blockchain khác. Tổng cộng khoảng 6,36 tỷ USD. Elliptic đưa ra con số 6,43 tỷ USD.
Nút đóng băng và những giới hạn của nó
Đồng tiền có thể bị đóng băng là đồng tiền có tổ chức phát hành có khả năng khóa một ví (Tether đối với USDT, Circle đối với USDC). Đồng tiền không thể bị đóng băng, chẳng hạn như bitcoin hoặc ether gốc, không có công tắc như vậy.
Theo TRM, Tether, Circle, Ripple, World Liberty Financial và Hội đồng Bảo mật của Arbitrum đã đóng băng hoặc thu giữ khoảng 2,7 tỷ USD chỉ trong vài giờ. Binance cho biết con số bị đóng băng là khoảng 3 tỷ USD. Hầu như toàn bộ số tiền bị chặn đều là tài sản có tổ chức phát hành. Không có bitcoin bị đánh cắp nào bị chặn theo cách đó.
Tỷ lệ ước tính số tiền bị đánh cắp đã bị đóng băng so với số còn lại
Kẻ tấn công cố chạy đua với việc đóng băng: bán hàng trăm triệu USDT để đổi lấy ETH và TRX, đồng thời gửi USDT vào Aave để vay ETH. Bị đóng băng không đồng nghĩa với được hoàn trả. Muốn lấy lại tiền cần có một quy trình pháp lý riêng.
Mật mã học bảo vệ được các khóa. Thứ thất bại là môi trường vận hành xung quanh chúng. Nút đóng băng—điều mà nhiều người theo chủ nghĩa thuần túy không thích—đã chặn gần một nửa số tiền bị đánh cắp chỉ trong vài giờ.
Binance có thể bù đắp thiệt hại không?
Theo công ty thì có. Binance đã dành riêng hơn 6,34 tỷ USD từ nguồn vốn của mình. Khoảng 5 tỷ USD đã được nắm giữ dưới dạng chính các token bị ảnh hưởng; phần còn lại đang được mua trên thị trường mở và thị trường OTC. Công ty cũng có SAFU (Quỹ Tài sản Bảo vệ Người dùng), trong lịch sử thường có giá trị gần 1 tỷ USD bằng BTC.
Đồng CEO Yi He cho biết số tiền bị ảnh hưởng chiếm khoảng 2% tài sản của người dùng và tài sản dự trữ công khai. Dữ liệu từ trang web của Binance và báo cáo Bằng chứng dự trữ ngày 1 tháng 10 cho thấy tài sản khách hàng ở mức gần 129,4 tỷ USD, với tỷ lệ dự trữ ≥100% đối với các tài sản chính.
Việc rút tiền đã bị tạm dừng, với mục tiêu mở lại vào khoảng Chủ nhật, ngày 1 tháng 11; báo cáo Bằng chứng dự trữ cập nhật được hứa hẹn sẽ công bố vào thứ Hai. Việc nạp tiền vẫn mở. Công ty khẳng định tiền của người dùng an toàn và sẽ bù đắp mọi tổn thất.
Những yếu tố củng cố hoặc làm suy yếu an ninh sàn giao dịch
Niềm tin được củng cố khi có đủ ba lớp: kiểm soát vận hành vững chắc đối với các khóa, khả năng phản ứng nhanh (đóng băng, bảo hiểm, dự trữ) và tính minh bạch (Bằng chứng dự trữ được công bố thường xuyên và kiểm toán). Trong sự cố này, lớp vận hành đã thất bại, nhưng lớp ứng phó hoạt động tốt hơn nhiều người dự đoán.
Niềm tin bị suy yếu bởi sự phụ thuộc vào các ví nóng chứa số dư lớn, độ phức tạp của hệ thống ký đa chuỗi và nguy cơ máy tính xách tay hoặc quyền truy cập đặc quyền bị xâm nhập. Các tác nhân cấp nhà nước (như bị nghi ngờ trong vụ này) có nguồn lực và sự kiên nhẫn vượt xa hầu hết các nhóm tội phạm thông thường. Việc khóa riêng tư không bị rò rỉ là tín hiệu tích cực, nhưng cũng cho thấy điểm yếu đã chuyển sang cơ sở hạ tầng và con người.
Những dấu hiệu cần theo dõi trong những ngày tới
Liệu Binance có công bố báo cáo hậu kiểm kỹ thuật chi tiết và bản Bằng chứng dự trữ cập nhật xác nhận mức bảo chứng 1:1 hay không.
Bao nhiêu trong số tiền bị đóng băng thực sự được thu hồi và trong khung thời gian nào.
Liệu khoảng 2,4–3,2 tỷ USD vẫn do kẻ tấn công kiểm soát (chủ yếu là BTC và ETH) có bắt đầu được chuyển đến các cầu nối, bàn OTC hoặc dịch vụ trộn tiền hay không.
Liệu các sàn giao dịch hoặc đơn vị lưu ký khác có thông báo rà soát hệ thống ký và ví nóng của họ hay không.
Có xác nhận chính thức nào (từ FBI hoặc cơ quan khác) về việc quy kết vụ tấn công cho TraderTraitor hay không.
Những điều cần hỏi sàn giao dịch, tổ chức phát hành stablecoin và hội đồng quản trị của bạn trong tuần này
Số dư tối đa được giữ trong ví nóng là bao nhiêu và được phân chia như thế nào?
Những biện pháp kiểm soát nào được áp dụng cho hệ thống ký? Có giới hạn theo từng giao dịch, phê duyệt nhiều người theo thời gian thực hay phát hiện bất thường không?
Lần kiểm thử xâm nhập hoặc diễn tập đội đỏ gần nhất đối với quy trình rút tiền diễn ra khi nào?
Bao nhiêu phần trăm tài sản có thể bị đóng băng và các bạn có thỏa thuận phản ứng nhanh với những tổ chức phát hành nào?
Các bạn công bố Bằng chứng dự trữ bao lâu một lần và đơn vị kiểm toán độc lập nào xác minh báo cáo đó?
Quỹ bảo hiểm (SAFU hoặc quỹ tương đương) có đủ khả năng bù đắp một sự cố ở quy mô này không, và quỹ có được cấp vốn bằng chính những tài sản đó không?
Đối với người dùng: đa dạng hóa tài sản trên nhiều sàn, tự lưu ký các khoản tiền lớn và ưu tiên tài sản có thanh khoản tốt trên nhiều nền tảng sẽ giảm rủi ro phát sinh từ một điểm lỗi duy nhất.
Kết luận
Vụ trộm tiền mã hóa lớn nhất lịch sử không phải là thất bại của mật mã học. Đó là thất bại của bộ máy vận hành và con người đứng sau các khóa. Đồng thời, sự việc cho thấy khả năng đóng băng tiền của các tổ chức phát hành stablecoin có thể nhanh chóng hạn chế đáng kể thiệt hại. Binance cho biết sẽ bù đắp toàn bộ bằng nguồn lực của mình và người dùng sẽ được hoàn trả đầy đủ. Thị trường và các cơ quan quản lý sẽ theo dõi xem quá trình thực hiện và tính minh bạch có tương xứng với những tuyên bố này hay không.
Sự cố đặt ra một câu hỏi thực tế cho toàn ngành: mức độ rủi ro của bạn phụ thuộc bao nhiêu vào việc một sàn giao dịch kiểm soát hoàn hảo hệ thống ký của mình, và phụ thuộc bao nhiêu vào khả năng một tổ chức phát hành nhấn nút tạm dừng?
Nếu bạn muốn thường xuyên nhận được những phân tích như thế này, hãy đăng ký tại đây: https://cryptopress.substack.com/subscribe
Bài viết Vụ hack Binance trị giá 6,3 tỷ USD: Khóa vẫn an toàn, hệ thống ký thất bại, nút đóng băng đã cứu được gần một nửa số tiền xuất hiện lần đầu trên Cryptopress.