• Tin tặc cài mã độc vào Safe{Wallet} để đánh cắp gần 1,5 tỷ USD từ Bybit vào tháng 2 năm 2025.

• FBI quy kết vụ trộm tại Bybit cho Triều Tiên.

• Binance mất khoảng 6,3 tỷ USD vào ngày 29 tháng 10; vụ việc được truy ra từ chiếc máy tính xách tay của một kỹ sư đã bị xâm nhập.

Một ứng dụng ký giao dịch, 1,5 tỷ USD

Gần 1,5 tỷ USD đã rời khỏi sàn giao dịch tiền mã hóa Bybit vào tháng 2 năm 2025, và cánh cửa mà những kẻ tấn công sử dụng không thuộc về Bybit. Chúng cài mã độc vào Safe{Wallet}, một ứng dụng ký giao dịch bên ngoài mà sàn đã tích hợp vào quy trình chuyển tiền của mình—một cách sắp xếp phổ biến với các bộ phận ký giao dịch đa chữ ký thông qua một giao diện chuyên dụng. Nhân viên xem xét giao dịch nhìn thấy một địa chỉ nhận trên màn hình, trong khi chữ ký họ tạo ra lại phê duyệt một địa chỉ khác. FBI quy kết chiến dịch này cho Triều Tiên. Khách hàng của Bybit bị ảnh hưởng thông qua cơ sở hạ tầng mà họ chưa từng trực tiếp sử dụng. Không có khóa riêng tư nào bị đánh cắp. Kẻ trộm chưa bao giờ lấy được thông tin xác thực chính kiểm soát các ví; chúng lừa hệ thống phê duyệt của chính sàn để giải ngân, và vụ xâm nhập nằm ở tầng ứng dụng, cao hơn một bước so với bản thân mật mã học. Cơ chế ký đa chữ ký được thiết kế để buộc phải có nhiều hơn một phê duyệt trước khi tiền được chuyển đi, nhưng mã độc được cài vào đã vô hiệu hóa bước kiểm tra đó bằng cách kiểm soát những gì người phê duyệt nhìn thấy. 1,5 tỷ USD rời khỏi nền tảng thông qua luồng giao dịch duy nhất bị xâm phạm này. Hồ sơ trên chuỗi và tuyên bố của các công ty cho thấy tổng thiệt hại rộng hơn vượt quá 8 tỷ USD tại Binance, Bybit và Bitget trong 20 tháng; tất cả các vụ trộm đó đều diễn ra thông qua bước phê duyệt chứ không phải thông qua các khóa. Safe{Wallet} là giao diện ký giao dịch của giao thức Safe, với các ví được sử dụng rộng rãi như một tiêu chuẩn trong toàn ngành. Vì vậy, sự cố này lại được nhắc đến mỗi khi xảy ra một vụ xâm nhập mới. Giá Safe giảm 3,3% trong 24 giờ qua khi mô thức này lặp lại. Với một giao thức mà sản phẩm cốt lõi là niềm tin vào quy trình ký giao dịch, sự cố trong đó người ký phê duyệt những giao dịch chuyển tiền mà họ chưa bao giờ lựa chọn chính là kiểu thất bại mà thương hiệu này tồn tại để ngăn chặn.

Ba vụ tấn công, không khóa nào bị đánh cắp

Đến lượt Binance vào thứ Năm, ngày 29 tháng 10, khi sàn này mất khoảng 6,3 tỷ đô la. Đồng CEO Richard Teng cho biết vụ trộm bắt đầu từ chiếc máy tính xách tay của một kỹ sư bị xâm nhập, và cuộc rà soát của công ty không tìm thấy bằng chứng nào cho thấy khóa bị rò rỉ. “Kẻ tấn công không chỉ đơn giản sử dụng quyền hạn của một kỹ sư, và đây cũng không phải là hành động chỉ cần một cú nhấp chuột,” Teng nói trong bản tường trình chính thức về vụ xâm nhập. Bitget mất khoảng 387,5 triệu đô la vào tháng 9; vụ tấn công xâm nhập qua các lỗ hổng trong sản phẩm bảo mật của bên thứ ba, sau đó các lệnh rút tiền giả mạo được xử lý qua quy trình ký thông thường. Coinbase, sàn chưa công bố vụ trộm nào tương tự, là trường hợp đối chứng mà thị trường đang nghiên cứu. Mô hình lưu ký của sàn sử dụng công nghệ tính toán đa bên (MPC), chia mỗi khóa thành nhiều phần được lưu trên các máy riêng biệt; công ty cho biết họ tự xây dựng toàn bộ phần mềm trọng yếu về bảo mật. Cả vụ xâm nhập Bitget lẫn Bybit đều thông qua bên thứ ba. Greg Tusar, đồng CEO của Coinbase Institutional, mô tả thiết kế này trong một bài đăng trên blog công ty: “MPC đảm bảo khóa riêng tư hoàn chỉnh không bao giờ được lưu trữ khi không sử dụng, cũng không nằm trên bất kỳ máy đơn lẻ nào trong quá trình ký hay khi đang được sử dụng.” Dữ liệu trên chuỗi cho thấy các ví Coinbase nắm giữ khoảng 959.000 BTC trên 69,8 triệu địa chỉ, tương đương khoản tài sản trị giá 74,7 tỷ đô la. Nhà nghiên cứu Zeeme lập luận trong một chuỗi bài đăng trên X rằng thiết lập này chặn cả ba con đường tấn công, vì một chiếc máy tính xách tay bị đánh cắp chỉ cung cấp một phần khóa vô dụng. Giám đốc Công nghệ Rob Witoff cho biết sàn đang “theo dõi biến động giá, truy tìm tiền bị đánh cắp trên chuỗi”, còn Giám đốc An ninh Jeff Lunglhofer nói Coinbase đang chặn các giao dịch gửi tiền đến những ví Binance bị xâm nhập và đã điều chỉnh kho lạnh để đề phòng. Khách hàng muốn chuyển tiền khỏi nền tảng có thể xem hướng dẫn từng bước của chúng tôi về cách rút tiền trên Coinbase. Công ty không hoàn toàn tránh được các vụ xâm nhập: năm 2025, tội phạm đã hối lộ nhân viên hỗ trợ ở nước ngoài để làm rò rỉ dữ liệu khách hàng thu thập qua quy trình KYC. Coinbase định giá thiệt hại từ sự cố này ở mức 180 triệu đến 400 triệu đô la, dù cho biết tiền của khách hàng chưa bao giờ bị truy cập. Nhà nghiên cứu Marc Baumann ước tính hồi tháng 4 rằng Coinbase nắm giữ 84% tài sản của các quỹ ETF Bitcoin giao ngay tại Mỹ, tương đương khoảng 77 tỷ đô la do một đơn vị lưu ký duy nhất quản lý.

Rủi ro trong khâu ký, không chỉ ở các sàn giao dịch

Ba vụ trộm có chung một lỗi thiết kế, và đó không phải là mật mã học: cả ba đều nhắm vào bước phê duyệt có chữ ký của con người. Thiết kế chia nhỏ khóa và tự xây dựng hệ thống nội bộ của Coinbase được tạo ra để bảo vệ chính bước này. Với SAFE, tình hình khó đánh giá hơn: giao diện ký của giao thức là con đường được dùng trong vụ trộm Bybit, và thị trường đang định giá lại token dựa trên mối liên hệ đó cũng như tokenomics của nó. Trang phân tích kỹ thuật SAFE của chúng tôi theo dõi cách token hấp thụ từng tin tức bảo mật mới. Ví phần cứng cũng đối mặt với những câu hỏi tương tự về chuỗi cung ứng, như báo cáo hồi tháng 3 năm 2026 về thiết bị CryptoBilis bị cài mã độc Safe 5 đã cho thấy. Khi 84% tài sản của các quỹ ETF Bitcoin giao ngay tại Mỹ nằm ở một đơn vị lưu ký duy nhất, bước phê duyệt tương tự giờ đây cũng bảo vệ tiền của Phố Wall. Các sàn giao dịch và người dùng của họ là bên gánh chịu tổn thất; Coinbase cho biết họ đang truy tìm tiền bị đánh cắp trên chuỗi, nhưng hồ sơ hiện có không cho thấy con đường nào để lấy lại số tiền đã bị rút.