Tối 29 tháng 10, có người đã rút sạch các ví nóng của Binance trên mười blockchain chỉ trong một buổi tối.
TRM Labs ước tính tổng thiệt hại là 6,36 tỷ USD. Elliptic đưa ra con số 6,43 tỷ USD. Dù theo ước tính nào, đây cũng là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận, lớn gấp khoảng 4 lần vụ 1,5 tỷ USD của Bybit vào tháng 2 năm 2025.
Năm ngày sau, Binance cho biết họ đã bù đắp 95% số tiền từ bảng cân đối kế toán của chính mình. Việc rút tiền đang được mở lại, và FBI đã nêu tên Triều Tiên.
Nhưng câu chuyện vẫn chưa kết thúc. Nguyên nhân gốc rễ vẫn chưa được công bố, khoảng 3,2 tỷ USD vẫn nằm trong các ví có liên hệ với kẻ tấn công, và hoạt động rửa tiền chỉ mới bắt đầu.
Dưới đây là tất cả những gì tôi có thể xác minh, theo thứ tự: chuyện gì đã xảy ra, diễn biến ra sao, ai đứng sau, cuộc đua đóng băng tài sản, phản ứng của Binance, tiền hiện ở đâu và điều gì có thể xảy ra tiếp theo.
Tóm tắt nhanh
→ Chuyện gì: khoảng $6.36B bị lấy khỏi các ví nóng của Binance ngày 29 tháng 10, từ 20:05 đến 23:56 UTC, trên 10 blockchain.
→ Diễn biến: Binance cho biết nguyên nhân liên quan đến máy tính xách tay của một kỹ sư DevOps bị xâm nhập cùng với "các điểm xâm nhập bổ sung". Trên Ethereum, kẻ tấn công sử dụng EIP-7702 với 50 quyền ủy quyền được ký trước.
→ Ai đứng sau: FBI quy trách nhiệm cho nhóm TraderTraitor của Triều Tiên. Triều Tiên phủ nhận.
→ Đã đóng băng: khoảng $2.85B bị đóng băng hoặc tịch thu, chủ yếu là USDT và USDC. Khoảng $786M stablecoin đã được hoán đổi trước khi các lệnh đóng băng có hiệu lực.
→ Binance: trích riêng $6.34B, bù đắp 95%, SAFU chi ra 7,499 BTC, chụp Proof of Reserves kèm bằng chứng zk. Chức năng rút tiền mở lại vào ngày 1 và 3 tháng 11.
→ Người dùng: dòng tiền ròng chảy ra $3.64B trong chín giờ đầu tiên. CZ cho biết 98% người dùng ở lại và lượng tiền nạp hiện vượt lượng rút.
→ Vẫn còn bỏ ngỏ: chưa có báo cáo hậu sự cố, 5% token vẫn đang được mua, SAFU cần được bổ sung, khoảng $3.24B vẫn nằm trong ví của kẻ tấn công.
Diễn biến vụ tấn công Binance. Nguồn: TRM Labs, Elliptic, Binance, FBI, CNBC
1. Chuyện gì đã xảy ra, từng phút một
★ Vụ đánh cắp bắt đầu lúc 20:05 UTC ngày 29 tháng 10 trên XRP Ledger và diễn ra theo nhiều đợt cho đến 23:56 UTC.
→ 20:05–20:09: 233.46M XRP (khoảng $296M) rời khỏi năm ví Binance.
→ 20:20: một ví nóng Bitcoin gửi đi 18,270 BTC (khoảng $1.47B), chia thành 19 địa chỉ trong vòng nửa giờ. Số tiền này chưa dịch chuyển kể từ đó.
→ 20:20: trên Ethereum, một giao dịch duy nhất chứa 50 quyền ủy quyền. Khoảng ba phút sau, toàn bộ số dư của ví bị chuyển đi: 167,464 ETH và 63 token, trong đó có 1.615B USDT.
→ 23:05: đợt thứ hai nhắm vào Avalanche và Polygon. 23:56: đợt vét tiền cuối cùng trên Ethereum.
★ Theo từng blockchain, theo TRM: Ethereum $3.79B, Bitcoin $1.47B, Tron $628M, XRP Ledger $296M, Solana $96M, Arbitrum/Optimism/Base $39M, Avalanche $28M, Polygon $10M.
→ Theo Elliptic, 54% tổng số tiền ($3.46B) là stablecoin. Chi tiết đó đã định hình bốn giờ tiếp theo.
Tổng quan đồ thị vụ đánh cắp ngày 29 tháng 10 của TRM Labs
2. Cuộc tấn công diễn ra như thế nào
★ Binance đưa ra lời giải thích đầu tiên lúc 02:25 UTC ngày 30 tháng 10. Máy tính xách tay của một kỹ sư DevOps bị xâm nhập đã giúp kẻ tấn công truy cập vào một container dịch vụ và "gửi các giao dịch rút tiền trái phép".
→ Khoảng sáu giờ sau, Binance cho biết cuộc điều tra đã "phát hiện thêm các điểm xâm nhập".
→ Binance cũng cho biết không tìm thấy bằng chứng cho thấy khóa riêng của ví bị rò rỉ.
★ Dựng lại diễn biến trên chuỗi của TRM cho thấy quyền truy cập đó đã được sử dụng như thế nào:
→ Ngày 28 tháng 10: ví của kẻ vận hành được nạp tiền qua ba lần rút nhỏ từ Tornado Cash.
→ Ngày 29 tháng 10: kẻ tấn công thử mã trên hai ví, diễn tập trên ví thứ ba, rồi cài mã vào một ví nóng của Binance.
→ Trên Ethereum, kẻ tấn công dùng EIP-7702, cho phép một ví thông thường giao quyền xử lý của mình cho hợp đồng thông minh. Ví nóng ký 50 quyền ủy quyền trỏ đến hợp đồng vét tiền do kẻ tấn công kiểm soát. Mỗi quyền sử dụng một nonce liên tiếp, nên ít nhất một quyền sẽ hợp lệ.
→ Quyền ủy quyền vẫn hoạt động, vì vậy kẻ tấn công tiếp tục vét tiền lúc 20:41, 20:59, 21:04, 21:44, 22:39 và 23:56 UTC.
→ Trên các blockchain khác, tiền được chuyển đi bằng những giao dịch chuyển tiền có chữ ký thông thường.
★ Theo tôi, đây không giống một vụ đánh cắp khóa. Có vẻ kẻ tấn công đã khiến chính hệ thống ký của Binance ký giao dịch thay mình. TRM cũng đi đến kết luận tương tự, nhưng Binance vẫn chưa công bố nguyên nhân gốc rễ.
3. Ai đã thực hiện
★ Ngày 31 tháng 10, FBI cho biết Triều Tiên đứng sau vụ việc và gọi hoạt động này là "TraderTraitor". FBI đã công bố hơn 600 địa chỉ của kẻ tấn công trên Ethereum, Bitcoin và Solana.
→ FBI yêu cầu các nhà vận hành THORNode, nhà cung cấp RPC, dịch vụ hoán đổi tức thì và ứng dụng DeFi chặn các giao dịch có liên quan đến những địa chỉ này.
→ TRM và Chainalysis đã quy trách nhiệm cho TraderTraitor từ trước. Đây cũng là cách thức tương tự các vụ Bybit (tháng 2 năm 2025) và KelpDAO (tháng 4 năm 2026): nạp một lượng nhỏ qua Tornado Cash, chuẩn bị từ lâu và kích hoạt hàng loạt chữ ký thu thập trước đó trong một đợt.
→ Ngày 3 tháng 11, Kim Yo Jong phủ nhận mọi liên quan thông qua truyền thông nhà nước và gọi cáo buộc này là một "hành động khiêu khích chính trị nghiêm trọng".
Cảnh báo an ninh mạng của FBI, ngày 31 tháng 10 năm 2026
4. Cuộc đua đóng băng tài sản
★ Stablecoin có thể bị đóng băng. $BTC và $ETH thì không. Vì vậy, việc đầu tiên kẻ tấn công phải làm là hoán đổi stablecoin trước khi các đơn vị phát hành kịp phản ứng.
→ Tether đóng băng số USDT bị đánh cắp trên Ethereum 37 phút sau khi số tiền này được chuyển đến. Trước đó, khoảng 434M USDT đã được đổi lấy ETH trên các DEX như Uniswap, và 19,762 ETH đã được vay trên Aave, thế chấp bằng 59.9M USDT.
→ Trên Tron, 234M USDT đã được đổi lấy TRX trên SunSwap trước khi bị đóng băng.
→ Circle đóng băng toàn bộ 823M USDC bị đánh cắp trước khi số tiền này được hoán đổi.
→ Ripple đóng băng 40.5M RLUSD và World Liberty đóng băng 27.8M USD1. Hội đồng An ninh Arbitrum đóng băng 8,426 ETH và 74.6M ARB.
★ Kết quả cuối cùng, theo Elliptic: khoảng $2.85B đã bị đóng băng hoặc tịch thu, và khoảng $786M stablecoin đã được chuyển đổi trước khi các lệnh đóng băng có hiệu lực.
→ Theo tôi, việc đóng băng đã cứu được phần lớn stablecoin. Nhưng nó cũng cho thấy một vài đơn vị phát hành có quyền lực lớn đến mức nào đối với tiền "trên chuỗi" — và quyền lực đó có thể được sử dụng theo cả hai chiều.
5. Binance đã phản ứng thế nào
★ Kiểm soát sự cố: tạm dừng rút tiền, thu hồi các quyền ủy quyền bị ảnh hưởng. Nạp tiền vẫn mở.
★ Tiền: ngày 30 tháng 10, Binance trích riêng $6.34B từ quỹ công ty, trong đó $5B đã nằm sẵn dưới dạng chính xác các token bị đánh cắp.
→ Tỷ lệ bù đắp tăng từ khoảng 80% (ngày 30 tháng 10) lên 90% (ngày 31 tháng 10), rồi 95% (ngày 1 tháng 11). Binance vẫn đang mua 5% còn lại, gồm các token vốn hóa nhỏ hơn, thông qua thị trường và giao dịch OTC.
→ Tiền được lấy từ SAFU, Quỹ Bảo hiểm Hợp đồng Tương lai, quỹ dự trữ BTC và ngân quỹ doanh nghiệp.
→ Địa chỉ bitcoin của SAFU đã chuyển đi 7,499 BTC vào ngày 31 tháng 10 lúc 14:51 UTC. Hiện địa chỉ này còn giữ 7,500 BTC, bằng một nửa số tiền trước đó. Binance cho biết sẽ bổ sung SAFU lên khoảng $1B.
→ CZ: "Binance không vay tiền. Binance không bán tài sản. Binance không huy động tiền."
Cập nhật phục hồi của Binance #3, ngày 31 tháng 10
Lịch sử số dư địa chỉ BTC của SAFU, mempool.space
★ Xác minh: ảnh chụp Proof of Reserves mới được ghi nhận tại thời điểm 00:00 UTC ngày 31 tháng 10. Bằng chứng zk hoàn tất vào ngày 2 tháng 11.
→ Người nắm giữ 10 token hàng đầu (BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD, ZEC) hiện có thể tự kiểm tra xem số dư của mình có được bảo chứng ít nhất theo tỷ lệ 1:1 hay không.
→ Ảnh chụp tiếp theo, bao gồm nhiều token hơn, dự kiến thực hiện vào ngày 4 tháng 11.
★ Rút tiền: giai đoạn một mở lại từ 06:00 đến 09:00 UTC ngày 1 tháng 11, ưu tiên theo nhu cầu của người dùng trong tuần trước. Giai đoạn hai bắt đầu lúc 04:00 UTC ngày 3 tháng 11.
6. Thị trường và người dùng phản ứng ra sao
★ Giá: trên Binance, BTC giảm từ $80,864 xuống $76,500 (-5.4%) trong bảy giờ tiếp theo. ETH giảm 6.8%, còn $BNB giảm 8.7% xuống $680 chỉ trong giờ đầu tiên.
→ Theo dữ liệu của CoinGlass, khoảng $1.5B vị thế đã bị thanh lý trong 24 giờ, phần lớn là vị thế mua.
→ BNB vẫn chưa phục hồi: hiện ở khoảng $696, so với khoảng $744 trước vụ tấn công.
BNB/USDT khung 1 giờ trên Binance, 28 tháng 10 – 3 tháng 11 (TradingView)
★ Dòng tiền: sau khi mở lại chức năng rút tiền, người dùng đã rút $4.65B và nạp $1.01B trong chín giờ. Theo CNBC, dòng tiền ròng chảy ra là $3.64B.
→ DefiLlama cho thấy tài sản của Binance ở mức $144.9B ngày 29 tháng 10, $133.2B vào ngày hôm sau và $124.8B ngày 3 tháng 11; hiện đã trở lại khoảng $128B. Một phần biến động là do giá, không chỉ do người dùng rút tiền.
→ CZ cho biết 98% người dùng "chọn ở lại". Ngày 3 tháng 11, ông nói lượng tiền nạp mỗi giờ hiện vượt lượng rút, và chỉ 6–10% số tiền rút được chuyển sang các sàn khác.
Tổng tài sản Binance, DefiLlama
→ Theo tôi, không có hiện tượng người dùng đồng loạt rút tiền. Khoảng 3% tài sản đã rời đi — ít hơn tôi tưởng sau vụ tấn công lớn nhất từ trước đến nay.
7. Tiền hiện ở đâu
★ Elliptic ghi nhận khoảng 12,000 ví, 11 blockchain và hơn 40,000 giao dịch trong chưa đầy bốn ngày. Tức là cứ khoảng 25 giây lại có một ví mới, rõ ràng đây là hoạt động tự động.
→ Khoảng $3.24B vẫn nằm trong các địa chỉ có liên quan đến kẻ tấn công, chủ yếu là ETH và BTC. Một lượng không đáng kể đã được rút thành tiền mặt.
→ Tron là tuyến đường chính. 684.6M TRX được phân tán từ một ví phân phối đến khoảng 7,700 địa chỉ, rồi đi qua sáu cầu nối. Ít nhất $147M đã chuyển từ Tron sang Ethereum.
→ Ngày 31 tháng 10, kẻ tấn công bổ sung các tuyến mới: hoán đổi sang USDD, loại tiền tự quảng bá là không thể bị đóng băng, và chuyển qua một kho JustLend.
→ Từ ngày 1 tháng 11, ETH, SOL, NEAR và XRP bắt đầu dịch chuyển. Khoảng 28 BTC đã đi qua các giao dịch coinjoin, dấu hiệu đầu tiên cho thấy tiền đang được trộn.
→ Một sự cố đã làm chậm quá trình này. Theo Chainalysis, một lần tái tổ chức Ethereum khiến khoản nạp vào THORChain được hoàn tiền hai lần, buộc THORChain phải tạm dừng khẩn cấp.
Các giai đoạn rửa tiền, 29 tháng 10 – 2 tháng 11 (Elliptic)
★ Quá trình này chậm hơn vụ Bybit, trong đó toàn bộ ETH bị đánh cắp đã được chuyển đi trong vòng 10 ngày. Elliptic dự đoán số tiền sẽ dần được đổi sang BTC rồi rút tiền mặt qua các môi giới OTC trong nhiều tháng.
8. Vụ việc đã được giải quyết chưa?
★ Với người dùng Binance, phần lớn là rồi. Với toàn ngành, thì chưa.
→ Đã giải quyết: 10 token hàng đầu được bảo chứng 1:1 và có thể xác minh, tỷ lệ bù đắp đạt 95%, chức năng rút tiền đang được mở lại và lượng tiền nạp đã vượt lượng rút.
→ Chưa giải quyết:
chưa công bố nguyên nhân gốc rễ hoặc báo cáo hậu sự cố
5% token còn lại
việc bổ sung SAFU, hiện chưa có thời hạn
khoảng $3.24B vẫn trong tay kẻ tấn công
liệu số USDT và USDC bị đóng băng có bao giờ được phát hành lại cho Binance hay không
→ Cơ quan quản lý: Cơ quan Mật vụ Hoa Kỳ cho biết họ đang truy vết và đóng băng số tiền. FCA Anh cho biết Binance chưa đăng ký hoạt động tại đó và họ đang xem xét tác động tiềm tàng.
9. Điều gì có thể ngăn chặn vụ việc, và cần thay đổi những gì
★ Đối với các sàn giao dịch:
→ Giám sát theo thời gian thực các ủy quyền EIP-7702 trên ví ngân quỹ và cảnh báo bất cứ khi nào có ủy quyền (TRM).
→ Từ chối các ủy quyền 7702 bất ngờ. Một yêu cầu gồm nhiều ủy quyền với các nonce liên tiếp tự nó đã phải được xem là dấu hiệu hệ thống bị xâm nhập.
→ Bảo vệ các hệ thống có thể yêu cầu chữ ký, chứ không chỉ bảo vệ khóa. Người ký sẽ ký bất cứ thứ gì được gửi qua một đường yêu cầu đã bị xâm nhập.
→ Tách riêng quy trình ký theo blockchain và cấp độ ví, để một vụ xâm nhập không thể rút sạch tiền trên mười blockchain chỉ trong một buổi tối.
→ Giới hạn lượng tiền trong ví nóng và bổ sung cơ chế ngắt mạch tự động. Trong vụ này, dòng tiền chỉ dừng lại khi chức năng rút tiền bị tạm dừng, khoảng bốn giờ sau giao dịch đầu tiên.
→ Khóa chặt máy tính của nhà phát triển:
tách công việc phát triển thường ngày khỏi quyền quản trị và quyền ký
dùng thông tin xác thực có thời hạn ngắn
chỉ mở các "bài kiểm tra lập trình" không mong muốn trong môi trường cô lập; bài kiểm tra tuyển dụng giả là một chiêu dụ đã biết của TraderTraitor
★ Đối với người dùng:
→ Số dư trên sàn giao dịch là một khoản nợ phải trả. Lần này, sàn đã hoàn trả đầy đủ. Đừng cho rằng lần nào cũng sẽ như vậy.
→ Tự kiểm tra số dư của bạn qua Proof of Reserves và tự lưu ký tài sản dài hạn.
→ Chỉ sử dụng các kênh chính thức. Lừa đảo giả mạo thường gia tăng sau mỗi vụ tấn công.
10. Các kịch bản tiếp theo
★ Kịch bản cơ sở: Binance hoàn tất 5% còn lại, công bố báo cáo hậu sự cố và bổ sung SAFU. Kẻ tấn công từ từ rửa tiền sang BTC qua các đơn vị OTC trong nhiều tháng, và một phần tiền bị đóng băng cuối cùng được hoàn trả.
★ Kịch bản tốt hơn: thêm nhiều khoản trong số ~$3.24B bị đóng băng khi đi qua các sàn giao dịch, đơn vị OTC và cầu nối dựa trên danh sách của FBI. Báo cáo hậu sự cố cho thấy đây là lỗi cục bộ, có thể khắc phục.
★ Kịch bản xấu hơn: báo cáo hậu sự cố phơi bày vấn đề sâu xa hơn, cơ quan quản lý lấy vụ việc làm căn cứ hành động, dòng tiền chảy ra tăng trở lại hoặc cùng cách thức tấn công này nhắm vào một sàn khác.
→ Trong toàn ngành, hãy dự đoán EIP-7702 sẽ bị giám sát chặt hơn, giới hạn ví nóng nghiêm ngặt hơn và cuộc tranh luận về quyền đóng băng của các đơn vị phát hành stablecoin sẽ trở nên gay gắt hơn.
Tiêu đề là: 6,3 tỷ USD bị đánh cắp.
Con số quan trọng hơn có thể là 95%: Binance đã dùng bảng cân đối kế toán của mình để gánh chịu vụ tấn công lớn nhất từ trước đến nay trong chưa đầy một tuần.
Nhưng số tiền không biến mất. Nó đã được phân tán qua khoảng 12,000 ví, và cứ 25 giây lại xuất hiện một ví mới.
Nếu bạn quản lý ví nóng của một sàn giao dịch, bạn sẽ thay đổi điều gì đầu tiên?
Nguồn
Binance trên X: điều tra ban đầu (30 tháng 10), cập nhật điều tra (30 tháng 10), các bản cập nhật phục hồi #2–#6 (30 tháng 10 – 3 tháng 11)
FBI Cyber: "Triều Tiên chịu trách nhiệm về vụ tấn công Binance trị giá hơn 6 tỷ USD" (31 tháng 10)
TRM Labs: "Triều Tiên đánh cắp 6,36 tỷ USD từ Binance trong vụ tấn công lớn nhất lịch sử"
Elliptic: "Triều Tiên rửa 6,4 tỷ USD đánh cắp từ Binance như thế nào" (2 tháng 11)
CNBC: dòng tiền ròng chảy ra (2 tháng 11); Triều Tiên phủ nhận và Elliptic/Chainalysis truy vết (3 tháng 11)
Cointelegraph trên X, dẫn Chainalysis: THORChain tạm dừng sau lần tái tổ chức Ethereum (31 tháng 10)
CZ trên X (1 – 3 tháng 11)
DefiLlama (Binance CEX), mempool.space (địa chỉ SAFU), TradingView/Binance (giá), CoinGlass qua BeInCrypto (thanh lý)
StepSecurity: bài học về bảo mật máy tính của nhà phát triển (30 tháng 10)
Wikipedia "Vụ tấn công Binance năm 2026" để đối chiếu dòng thời gian