Ngày 30 tháng 10 năm 2026 (giờ UTC+8), Binance đã trải qua một sự cố bảo mật nghiêm trọng và vô cùng phức tạp. Điều này lẽ ra không nên xảy ra. Chúng tôi chân thành xin lỗi vì những lo ngại, gián đoạn và sự bất định mà sự cố này đã gây ra cho người dùng, đối tác và toàn ngành.
Bảo vệ người dùng là trách nhiệm hàng đầu của chúng tôi. Binance sẽ chịu toàn bộ tổn thất từ số tiền bị đánh cắp trong sự cố này, thay vì để người dùng gánh chịu. Chúng tôi đã dự trữ hơn 100% số tiền cần thiết để bù đắp tổn thất do sự cố gây ra. Tính đến ngày 31 tháng 10 năm 2026 (giờ UTC+8), 98% tài sản token bị ảnh hưởng đã được bổ sung đầy đủ; người dùng có thể xác minh thông tin qua trang Bằng chứng dự trữ của chúng tôi. Chúng tôi đang mua phần tài sản còn lại có tính thanh khoản thấp hơn.
Giá trị tài sản số liên quan đến sự cố này ước tính khoảng 6,34 tỷ USD. Tính đến thời điểm cập nhật này, khoảng 2,85 tỷ USD tài sản số đã bị đóng băng hoặc chặn lại; con số cụ thể vẫn cần được đối chiếu thêm và có thể chịu ảnh hưởng từ biến động giá thị trường.
Chúng tôi đã ngay lập tức hành động để kiểm soát tác động của sự cố và tăng cường bảo vệ an ninh cho các hệ thống liên quan. Các điểm xâm nhập bị khai thác trong vụ tấn công này đã được bịt kín, và các hệ thống nằm trên đường tấn công đã được xây dựng lại hoặc thay thế. Ngoài ra, chúng tôi đã tăng cường kiểm soát thiết bị, hệ thống kiểm soát rủi ro của dịch vụ ví, và mở rộng năng lực phát hiện hành vi bất thường dựa trên AI.
Đây là báo cáo điều tra sơ bộ của chúng tôi, bao gồm những gì chúng tôi đã biết cho đến hiện tại và các cải tiến đã hoàn tất. Cuộc điều tra vẫn đang tiếp diễn, và các kết quả liên quan sẽ tiếp tục được xem xét độc lập thêm. Để ngăn kẻ tấn công lợi dụng thông tin liên quan nhằm lên kế hoạch cho các cuộc tấn công khác, một số chi tiết kỹ thuật sẽ tiếp tục được giữ bí mật. Chúng tôi đang mời một công ty an ninh độc lập tiến hành rà soát thêm.
Theo thông tin mới nhất do Cục Điều tra Liên bang Hoa Kỳ (FBI) công bố, Cộng hòa Dân chủ Nhân dân Triều Tiên (DPRK) chịu trách nhiệm cho sự cố này.
Chúng tôi công bố báo cáo này vì chỉ khi toàn ngành cùng học hỏi và chia sẻ kinh nghiệm, mức độ an ninh mới có thể không ngừng được nâng cao.
Tổng quan sự cố ngày 30/10
Cuộc tấn công này nhanh chóng lan ra trên nhiều mạng blockchain.
Kẻ tấn công đã lợi dụng quyền truy cập vào dịch vụ ký ví nội bộ có được trái phép để thực hiện giao dịch, bỏ qua quy trình rút tiền thông thường.
Trong khoảng thời gian từ 04:05 đến 04:09 (giờ UTC+8), năm ví nóng của Binance đã chuyển 233,46 triệu XRP đến các địa chỉ do kẻ tấn công kiểm soát.
Các ví nóng của Binance trên mạng Solana và Optimism lần lượt đã chuyển khoảng 970.500 SOL và 44,2 triệu OP đến các địa chỉ do kẻ tấn công kiểm soát.
Sau đó, Binance nhận được cảnh báo nội bộ về các khoản chuyển số lượng lớn và ngay lập tức khởi động điều tra.
Ví nóng của Binance đã chuyển 18.270 BTC đến các địa chỉ do kẻ tấn công kiểm soát.
Sau đó, kẻ tấn công đã lợi dụng dịch vụ ký để lạm dụng cơ chế ủy quyền EIP-7702 của Ethereum. EIP-7702 cho phép tài khoản ủy thác một phần quyền thực thi cho hợp đồng thông minh mà không cần tiết lộ khóa riêng. Trong sự cố này, kẻ tấn công đã khai thác cơ chế đó để hợp đồng thông minh do chúng kiểm soát nhận được một phần quyền thực thi đối với các ví nóng bị ảnh hưởng của Binance.
Ngay sau đó, Binance đã khởi động nhiều biện pháp ứng phó khẩn cấp, bao gồm tạm dừng rút tiền để ngăn dòng tiền tiếp tục chảy ra, phối hợp với đối tác để đóng băng các token bị ảnh hưởng, và thực hiện các biện pháp thu hồi quyền trái phép. Những hành động này đã đóng băng tổng cộng khoảng 2,85 tỷ USD tài sản.
Tuy nhiên, chỉ tạm dừng rút tiền là chưa đủ để ngăn tất cả các chuyển giao tài sản trái phép. Các ủy quyền EIP-7702 độc hại đã tồn tại trên chuỗi và vận hành độc lập với hạ tầng rút tiền thông thường của Binance. Kẻ tấn công đã gửi 50 giao dịch có chữ ký để thao túng nonce của tài khoản và thiết lập các ủy quyền ủy thác độc hại. Một khi các ủy quyền này được thiết lập, kẻ tấn công có thể bỏ qua hạ tầng rút tiền thông thường của Binance để tiếp tục chuyển tài sản. Binance sau đó phải thực hiện thêm các giao dịch on-chain để thu hồi các ủy quyền này.
Việc ngăn chặn tác động của sự cố còn liên quan đến các phức tạp kỹ thuật khác. Do các ví nóng bị ảnh hưởng sử dụng công nghệ tính toán đa bên bảo mật (MPC), không có một khóa riêng duy nhất nào có thể trực tiếp được dùng để ngay lập tức thu hồi các ủy quyền EIP-7702 độc hại. Vì vậy, nhóm cần thêm thời gian để thiết kế riêng và thực thi một quy trình thu hồi đặc biệt. Ngoài ra, việc tạm dừng rút tiền và đóng dịch vụ ví nóng cũng không tự động làm mất hiệu lực các ủy quyền on-chain đã tồn tại.
Những thách thức nêu trên đã kéo dài thời gian cần thiết để chúng tôi kiểm soát hoàn toàn các chuyển giao tài sản trái phép. Chúng tôi đang rà soát lại quy trình ứng phó sự cố, phạm vi bao phủ của chiến lược ký và cơ chế kiểm soát ví nóng, đồng thời xác định các điểm có thể tăng cường để nâng cao khả năng phản ứng nhanh trước các mối đe dọa an ninh trong tương lai.
Giao dịch chuyển 2.961,9 ETH trái phép cuối cùng đã được xác nhận on-chain vào lúc 07:56 (giờ UTC+8). Giao dịch này trước đó đã được phát tới mạng và ở trạng thái chờ xác nhận, sau đó mới được xác nhận cuối cùng. Kể từ đó, không phát hiện thêm giao dịch trái phép nào khác.
Vào lúc 08:10 ngày 30/10/2026 (giờ UTC+8), Binance đã thực hiện một thao tác ủy quyền mới từ ví nóng Binance14 đến một địa chỉ rỗng, xóa mã ủy quyền EIP-7702.
Quá trình chuẩn bị tấn công
Kết quả điều tra hiện tại cho thấy sự cố này là một chiến dịch tấn công nhiều giai đoạn phức tạp, không phải là một vụ xâm nhập đơn lẻ, cũng không phải là một cuộc tấn công lừa đảo đơn giản. Kẻ tấn công đã kết hợp nhiều kỹ thuật, bao gồm tấn công phi kỹ thuật xã hội thông qua các buổi phỏng vấn tuyển dụng giả mạo, tải xuống phần mềm độc hại, xâm nhập công cụ AI nội bộ, chiếm quyền thiết bị đầu cuối và các phương thức ủy quyền giao dịch nâng cao.
Tháng 06/2026 — Tấn công chuỗi cung ứng. Kỹ sư A thuộc nhóm phát triển và vận hành ví đã tìm kiếm trên công cụ tìm kiếm và tải xuống một trình cài đặt Homebrew đã bị sửa đổi để cài đặt một công cụ lập trình AI phổ biến. Đội ngũ an ninh của chúng tôi đã chủ động phát hiện bất thường này, thay thế thiết bị đó, đồng thời xoay vòng tất cả thông tin xác thực liên quan. Tuy vậy, thông tin vị trí công việc của kỹ sư A, cũng như thông tin của các đồng nghiệp liên quan trong nhóm hạ tầng ví, vẫn đã bị lộ cho kẻ tấn công.
Kể từ đầu năm 2026, đội ngũ an ninh của Binance đã phát hiện và ngăn chặn 57 sự kiện mối đe dọa mạng nghi ngờ có liên quan đến Triều Tiên. Những cuộc tấn công này phản ánh việc các tác nhân được nhà nước hậu thuẫn tiếp tục gây ra mối đe dọa đối với ngành tiền mã hóa. Các kỹ thuật được sử dụng bao gồm phỏng vấn tuyển dụng giả mạo, phần mềm độc hại giả dạng công cụ phát triển phổ biến, các gói phần mềm và tiện ích mở rộng trình duyệt bị sửa đổi, ứng dụng họp video giả mạo, và các cuộc tấn công phi kỹ thuật xã hội nhằm đánh cắp thông tin xác thực tài khoản hoặc triển khai phần mềm độc hại truy cập từ xa.
Tháng 9 — Tấn công phi kỹ thuật xã hội. Kỹ sư phần mềm B nhận được liên hệ từ một người mạo danh giám đốc dự án thông qua một nền tảng tìm việc chính thống. Trong hồ sơ cá nhân trên nền tảng đó, kỹ sư B đã đề cập đến kinh nghiệm làm việc tại Binance. Người này, với danh nghĩa giám đốc dự án, đã sắp xếp vòng phỏng vấn đầu tiên với sự tham gia của một đại diện nhân sự; sau đó tiếp tục sắp xếp vòng phỏng vấn thứ hai, trong đó người phỏng vấn tự xưng là CEO của công ty hư cấu đó.
Trong vòng phỏng vấn đầu tiên, người mạo danh đại diện nhân sự đã phỏng vấn trực tiếp qua video với kỹ sư B. Để tạo dựng niềm tin, người phỏng vấn còn chia sẻ với kỹ sư B tài khoản mạng xã hội của mình, trên đó có ảnh và video về đời sống cá nhân. Cách làm này tinh vi và lừa đảo hơn các thủ đoạn tấn công phi kỹ thuật xã hội trước đây.
Vòng phỏng vấn thứ hai được thực hiện qua một ứng dụng trò chuyện xã hội phổ biến. Khi buổi phỏng vấn gần kết thúc, kỹ sư B được yêu cầu tải một “bài tập” có chứa kho mã nguồn về máy tính làm việc. Kho mã nguồn này chứa mã độc, sẽ thực thi ngay trong quá trình cài đặt, từ đó kích hoạt một loạt hành động trái phép.
Phần mềm độc hại này sử dụng các kỹ thuật làm rối mã và né tránh phát hiện phức tạp, bao gồm việc thay thế một thành phần công cụ phát triển hợp lệ bằng phiên bản độc hại để thực thi lệnh và thiết lập liên lạc với máy chủ bên ngoài do kẻ tấn công kiểm soát. Vào thời điểm đó, công cụ bảo vệ an ninh đầu cuối đã không phát hiện được phần mềm độc hại zero-day này. Kẻ tấn công cũng áp dụng các biện pháp che giấu hành vi độc hại và xóa dấu vết xâm nhập, khiến việc phát hiện và điều tra sau đó trở nên khó khăn hơn.
Script này đã sử dụng kỹ thuật làm rối mã để né tránh phát hiện an ninh và thực hiện các thao tác sau:
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← xóa pyenv hợp lệ
RENAME pyenv_ → pyenv (3,414 B) ← thay thế bằng phiên bản độc hại
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (tạo một liên kết tượng trưng mới) + khởi chạy zsh
Ngày 20/10 — Lợi dụng công cụ AI nội bộ làm bàn đạp tấn công. Kẻ tấn công sử dụng máy tính của kỹ sư B đã bị xâm nhập để kiểm soát thiết bị của kỹ sư A thuộc nhóm phát triển và vận hành ví, cũng như thiết bị của kỹ sư C là một kỹ sư phần mềm ví khác, thông qua công cụ AI nội bộ. Kẻ tấn công nhanh chóng phát hiện máy tính của kỹ sư A có chứa một mã thông báo có quyền triển khai container.
Ngày 30/10 — Xâm nhập hoạt động ký của ví. Trong khoảng thời gian từ 01:15 đến 03:56 ngày 30/10/2026 (giờ UTC+8), kẻ tấn công đã đăng nhập vào máy tính của kỹ sư phần mềm C, sử dụng thông tin xác thực đánh cắp từ kỹ sư A để triển khai một container và thực thi script độc hại, từ đó phát động cuộc tấn công này.
Các biện pháp chúng tôi đã thực hiện
Tính đến ngày 03/11/2026, chúng tôi đã thực hiện các biện pháp sau:
Tái xây dựng các hệ thống ví bị ảnh hưởng trong một môi trường hoàn toàn mới.
Tái xây dựng các công cụ AI nội bộ bị ảnh hưởng và tăng cường kiểm soát truy cập liên quan.
Thay thế các thiết bị bị ảnh hưởng.
Vô hiệu hóa các thông tin xác thực và mã thông báo liên quan đến các kỹ sư bị ảnh hưởng.
Hoàn tất quét bảo mật tăng cường đối với tất cả thiết bị của nhân viên.
Tăng cường năng lực phát hiện hành vi bất thường dựa trên AI.
Tăng cường các biện pháp kiểm soát rủi ro cho dịch vụ ví.
Phối hợp với cơ quan thực thi pháp luật, các tổ chức tình báo blockchain và các đối tác trong ngành để truy vết và đóng băng tài sản bị ảnh hưởng.
Khi cuộc điều tra tiếp tục, chúng tôi sẽ tiếp tục tăng cường các biện pháp an ninh. Một số biện pháp an ninh đã hoàn tất và đang được triển khai sẽ tiếp tục được giữ bí mật để ngăn chặn kẻ tấn công lợi dụng thông tin liên quan nhằm xuyên thủng hàng rào bảo vệ của chúng tôi.
Hành động tiếp theo
Chúng tôi sẽ ngay lập tức thúc đẩy các công việc sau:
Tiến hành rà soát an ninh mạng độc lập
Chúng tôi đang mời các chuyên gia an ninh mạng độc lập từ bên thứ ba tiến hành rà soát toàn diện sự cố này, xác minh các kết quả điều tra của chúng tôi và đề xuất thêm các khuyến nghị cải thiện an ninh. Phạm vi và kết quả điều tra của đợt rà soát này sẽ là cơ sở cho việc chúng tôi tiếp tục thúc đẩy công tác khắc phục.
Tăng cường đầu tư vào an ninh AI và phòng ngừa
Chúng tôi sẽ tăng đầu tư vào các lĩnh vực như phát hiện mối đe dọa do AI hỗ trợ, bảo vệ đầu cuối, an ninh môi trường phát triển và giám sát hành vi bất thường.
Thành lập quỹ nghiên cứu an ninh và thúc đẩy hợp tác ngành
Chúng tôi đang phối hợp với các công ty AI hàng đầu, các bên tham gia trong ngành và các tổ chức an ninh để chuẩn bị thành lập quỹ nghiên cứu an ninh, triển khai một chương trình chuyên biệt tập trung vào an ninh AI trong môi trường blockchain.
Chúng tôi sẽ tiếp tục chủ động chia sẻ những thông tin mới nhất mà chúng tôi nắm được.