Ngày 29 tháng 10 năm 2026, Binance đã gặp phải một sự cố bảo mật nghiêm trọng và cực kỳ tinh vi. Điều này lẽ ra không nên xảy ra. Chúng tôi xin lỗi vì sự lo ngại, gián đoạn và bất ổn mà sự cố đã gây ra cho người dùng, đối tác và toàn ngành.
Trách nhiệm hàng đầu của chúng tôi là bảo vệ người dùng. Binance sẽ chịu toàn bộ tổn thất tài chính từ số tiền bị đánh cắp, chứ không phải người dùng. Chúng tôi đã dành riêng hơn 100% số tiền cần thiết để bù đắp tổn thất. Tính đến ngày 31 tháng 10 năm 2026, 98% tài sản thuộc các token bị ảnh hưởng đã được hoàn trả. Bạn có thể xác minh thông tin này trên trang Bằng chứng Dự trữ (Proof of Reserves) của chúng tôi. Hiện chúng tôi đang tiến hành mua lại số tài sản còn lại, vốn có tính thanh khoản thấp hơn.
Sự cố ảnh hưởng đến khoảng 6,340 tỷ USD tài sản kỹ thuật số. Tính đến thời điểm cập nhật này, khoảng 2,850 tỷ USD tài sản kỹ thuật số đã bị đóng băng hoặc chặn lại, tùy thuộc vào việc đối soát và biến động giá thị trường.
Chúng tôi đã thực hiện các biện pháp tức thời để khống chế sự cố và tăng cường các hệ thống liên quan. Những điểm truy cập được xác định là đã bị sử dụng trong cuộc tấn công đã bị đóng. Các hệ thống liên quan đến lộ trình tấn công đã được xây dựng lại hoặc thay thế. Chúng tôi cũng triển khai các biện pháp kiểm soát thiết bị nghiêm ngặt hơn, tăng cường kiểm soát rủi ro đối với các dịch vụ ví và mở rộng khả năng phát hiện bất thường trong hành vi dựa trên trí tuệ nhân tạo (AI).
Đây là báo cáo ban đầu của chúng tôi. Báo cáo trình bày những gì chúng tôi biết đến thời điểm hiện tại và các cải tiến đã được triển khai. Cuộc điều tra vẫn đang tiếp diễn và các phát hiện của chúng tôi sẽ được xem xét độc lập thêm. Một số chi tiết kỹ thuật sẽ được giữ bí mật để ngăn các tác nhân xấu sử dụng chúng nhằm lên kế hoạch tấn công. Chúng tôi đang hợp tác với các công ty bảo mật độc lập chuyên môn để tiến hành đánh giá bổ sung.
Thông tin mới nhất do Cục Điều tra Liên bang Hoa Kỳ (FBI) công bố cho biết Cộng hòa Dân chủ Nhân dân Triều Tiên chịu trách nhiệm về sự cố này.
Chúng tôi chia sẻ báo cáo ban đầu này vì ngành sẽ an toàn hơn khi cùng nhau học hỏi và chia sẻ kiến thức.
Điều gì đã xảy ra vào ngày 29 tháng 10
Cuộc tấn công diễn ra nhanh chóng qua nhiều mạng lưới.
Kẻ tấn công đã lợi dụng quyền truy cập trái phép vào dịch vụ ký giao dịch nội bộ của ví để khởi tạo các giao dịch nằm ngoài quy trình rút tiền thông thường.
Trong khoảng thời gian từ 20:05 đến 20:09 UTC, năm ví nóng của Binance đã chuyển 233.46 triệu XRP đến một địa chỉ do kẻ tấn công kiểm soát.
Các ví nóng của Binance trên Solana và Optimism đã chuyển khoảng 970,500 SOL và 44.2 triệu OP đến các địa chỉ do kẻ tấn công kiểm soát.
Sau đó, Binance nhận được cảnh báo nội bộ liên quan đến các giao dịch chuyển tiền khối lượng lớn và lập tức mở cuộc điều tra.
Một ví nóng của Binance đã chuyển 18,270 BTC đến một địa chỉ do kẻ tấn công kiểm soát.
Tiếp theo, kẻ tấn công sử dụng dịch vụ ký để khai thác cơ chế ủy quyền EIP-7702 của Ethereum. EIP-7702 cho phép một tài khoản ủy quyền một số quyền thực thi nhất định cho hợp đồng thông minh mà không làm lộ khóa riêng. Trong trường hợp này, kẻ tấn công đã sử dụng cơ chế này để cấp cho một hợp đồng thông minh do mình kiểm soát một phần quyền thực thi đối với ví nóng của Binance.
Binance lập tức triển khai một số biện pháp khống chế, bao gồm tạm ngưng rút tiền để hạn chế dòng tiền chảy ra tiếp theo, phối hợp với các đối tác để đóng băng token bị ảnh hưởng và thực hiện các biện pháp thu hồi quyền trái phép. Những nỗ lực này đã giúp đóng băng tổng cộng 2,850 tỷ USD tài sản.
Tuy nhiên, chỉ tạm ngưng rút tiền thì không thể ngăn chặn mọi giao dịch chuyển tài sản trái phép. Các lệnh ủy quyền EIP-7702 độc hại đã tồn tại trên blockchain (on-chain) và hoạt động độc lập với cơ sở hạ tầng rút tiền thông thường của Binance.
Kẻ tấn công đã gửi 50 giao dịch ký để thao túng nonce của tài khoản và thiết lập các lệnh ủy quyền ủy nhiệm độc hại. Sau khi được thiết lập, các lệnh ủy quyền này cho phép kẻ tấn công tiếp tục chuyển tài sản độc lập với cơ sở hạ tầng rút tiền thông thường của Binance. Vì vậy, Binance cần thực hiện thêm các giao dịch để thu hồi những lệnh ủy quyền đó trên blockchain.
Quá trình khống chế sự cố có thêm những phức tạp về kỹ thuật. Do ví nóng sử dụng tính toán đa bên (MPC), không có một khóa riêng duy nhất nào có thể được dùng để thu hồi ngay các lệnh ủy quyền EIP-7702 độc hại. Vì vậy, đội ngũ đã phát triển và thực hiện một quy trình chuyên biệt để thu hồi các lệnh ủy quyền này, đòi hỏi thêm thời gian. Ngoài ra, việc tạm ngưng rút tiền và đóng các dịch vụ ví nóng không tự động vô hiệu hóa những lệnh ủy quyền hiện có trên blockchain.
Những thách thức này kéo dài thời gian cần thiết để khống chế hoàn toàn các giao dịch chuyển tài sản trái phép. Chúng tôi đang rà soát quy trình ứng phó sự cố, phạm vi bao phủ của các chính sách ký và biện pháp kiểm soát ví nóng, đồng thời xác định cơ hội tăng cường khả năng ứng phó nhanh chóng với các mối đe dọa trong tương lai.
Giao dịch chuyển trái phép cuối cùng, với tổng giá trị 2,961.9 ETH, được xác nhận trên blockchain lúc 23:56 UTC. Giao dịch đã được phát đi trước đó và ở trạng thái chờ trước khi được xác nhận. Sau giao dịch này, không ghi nhận thêm giao dịch chuyển trái phép nào.
Vào lúc 00:10 UTC ngày 30 tháng 10 năm 2026, Binance thực hiện một giao dịch ủy quyền mới từ ví nóng Binance14 đến địa chỉ zero, qua đó xóa mã ủy quyền EIP-7702.
Chuẩn bị cho cuộc tấn công
Điều tra hiện tại của chúng tôi cho thấy đây là một chiến dịch tinh vi, gồm nhiều giai đoạn. Đây không phải là một vụ xâm nhập đơn lẻ hay một sự cố lừa đảo giả mạo đơn giản. Kẻ tấn công đã kết hợp nhiều kỹ thuật, bao gồm kỹ nghệ xã hội thông qua các buổi phỏng vấn xin việc giả mạo, tải phần mềm độc hại, xâm phạm các công cụ AI nội bộ, xâm nhập thiết bị và một phương thức ủy quyền giao dịch tiên tiến.
Tháng 6 năm 2026: Tấn công chuỗi cung ứng phần mềm
Kỹ sư A thuộc nhóm DevOps Ví đã tải xuống một bản cài đặt Homebrew bị chỉnh sửa để cài đặt một công cụ lập trình phổ biến dựa trên AI, sau khi tìm kiếm công cụ này trên công cụ tìm kiếm.
Đội ngũ bảo mật của chúng tôi phát hiện bất thường, thay thiết bị và làm mới toàn bộ thông tin xác thực liên quan như một biện pháp phòng ngừa bảo mật. Tuy nhiên, máy tính của kỹ sư A và các đồng nghiệp liên quan đến nhóm cơ sở hạ tầng ví đã bị kẻ tấn công xâm phạm.
Trong năm 2026, đội ngũ bảo mật Binance đã phát hiện và ngăn chặn 57 mối đe dọa mạng tiềm tàng có liên quan đến Triều Tiên. Những nỗ lực này cho thấy mối đe dọa dai dẳng mà các tác nhân được nhà nước bảo trợ gây ra cho ngành tiền mã hóa.
Các kỹ thuật được sử dụng bao gồm phỏng vấn xin việc gian lận, phần mềm độc hại giả dạng các công cụ phổ biến dành cho nhà phát triển, gói phần mềm và tiện ích mở rộng trình duyệt bị xâm phạm, ứng dụng hội nghị truyền hình giả mạo và các chiến dịch kỹ nghệ xã hội được thiết kế để đánh cắp thông tin xác thực hoặc cài đặt phần mềm truy cập từ xa độc hại.
Tháng 9 năm 2026: Kỹ nghệ xã hội
Kỹ sư phần mềm B được một người tự xưng là giám đốc dự án liên hệ thông qua một nền tảng tìm việc hợp pháp. Kỹ sư B có hồ sơ trên nền tảng này, trong đó nêu kinh nghiệm làm việc tại Binance.
Người tự xưng là giám đốc dự án đã sắp xếp buổi phỏng vấn đầu tiên với một đại diện nhân sự, sau đó là buổi phỏng vấn thứ hai với một người tự nhận là giám đốc điều hành của một công ty hư cấu.
Trong buổi phỏng vấn đầu tiên, người tự xưng là đại diện nhân sự đã gọi video trực tiếp với kỹ sư phần mềm B. Để tạo lòng tin, người phỏng vấn chia sẻ với kỹ sư B một tài khoản mạng xã hội có ảnh và video cá nhân được đăng trên nền tảng này. Phương thức này tinh vi và đánh lừa hơn các kỹ thuật kỹ nghệ xã hội từng được ghi nhận trước đây.
Buổi phỏng vấn thứ hai diễn ra qua một ứng dụng nhắn tin xã hội phổ biến. Gần cuối buổi phỏng vấn, kỹ sư B được yêu cầu tải xuống máy tính làm việc một “bài kiểm tra kỹ thuật” có chứa kho mã độc hại. Kho này bao gồm mã độc được thực thi trong quá trình thiết lập và khởi chạy một loạt hoạt động trái phép.
Phần mềm độc hại sử dụng các kỹ thuật che giấu và né tránh tinh vi, trong đó có việc thay thế một thành phần hợp pháp của công cụ phát triển bằng phiên bản độc hại để thực thi lệnh và thiết lập liên lạc với máy chủ bên ngoài do kẻ tấn công kiểm soát.
Các công cụ bảo vệ thiết bị lúc đó không phát hiện được phần mềm độc hại zero-day. Kẻ tấn công cũng tìm cách che giấu hoạt động độc hại và xóa dấu vết xâm nhập, khiến việc phát hiện cũng như điều tra sau đó trở nên khó khăn hơn.
Tập lệnh đã thực hiện các bước sau bằng kỹ thuật che giấu để né tránh cơ chế phát hiện bảo mật:
text
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B)
← xóa tệp pyenv hợp pháp
RENAME pyenv_ → pyenv (3,414 B)
← thay thế bằng phiên bản độc hại
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (tạo liên kết tượng trưng mới) + spawn zsh
Ngày 20 tháng 10 năm 2026: Sử dụng công cụ AI nội bộ làm điểm xâm nhập
Kẻ tấn công đã lợi dụng máy tính bị xâm phạm của kỹ sư B và sử dụng một công cụ AI nội bộ để chiếm quyền kiểm soát kỹ sư A thuộc DevOps Ví và một kỹ sư phần mềm khác của nhóm Ví, được xác định là kỹ sư C.
Ngay sau đó, kẻ tấn công phát hiện kỹ sư A có một token trên máy tính với quyền triển khai các container.
Ngày 29 tháng 10 năm 2026: Truy cập vào hoạt động ký giao dịch của ví
Ngày 29 tháng 10, trong khoảng thời gian từ 17:15 đến 19:56 UTC, kẻ tấn công đăng nhập vào máy tính của kỹ sư phần mềm C, sử dụng thông tin xác thực đánh cắp từ kỹ sư A thuộc DevOps Ví, triển khai một container và chạy tập lệnh độc hại để khởi động cuộc tấn công.
Các biện pháp chúng tôi đã triển khai
Tính đến ngày 3 tháng 11 năm 2026, chúng tôi đã thực hiện các hành động sau:
Chúng tôi đã xây dựng lại hệ thống ví bị ảnh hưởng trong một môi trường mới.
Chúng tôi đã xây dựng lại công cụ AI nội bộ bị ảnh hưởng và tăng cường các biện pháp kiểm soát truy cập.
Chúng tôi đã thay thế các thiết bị bị ảnh hưởng.
Chúng tôi đã vô hiệu hóa thông tin xác thực và token liên quan đến các kỹ sư bị ảnh hưởng.
Chúng tôi đã hoàn tất các đợt phân tích bảo mật nâng cao trên thiết bị của toàn bộ nhân viên.
Chúng tôi đã cải thiện khả năng phát hiện bất thường trong hành vi dựa trên AI.
Chúng tôi đã tăng cường kiểm soát rủi ro đối với các dịch vụ ví.
Chúng tôi hợp tác với cơ quan chức năng, các công ty tình báo blockchain và đối tác trong ngành để truy vết và đóng băng tài sản bị ảnh hưởng.
Chúng tôi sẽ tiếp tục tăng cường các biện pháp khi cuộc điều tra tiến triển. Chúng tôi đã và đang triển khai nhiều biện pháp bảo mật, những biện pháp này sẽ được giữ bí mật để ngăn các tác nhân xấu xâm phạm hệ thống của chúng tôi.
Các bước tiếp theo
Chúng tôi đang ngay lập tức thực hiện các bước sau:
1. Đánh giá an ninh mạng độc lập
Chúng tôi đang thuê các chuyên gia an ninh mạng độc lập để tiến hành đánh giá toàn diện sự cố, xác thực các phát hiện và đề xuất biện pháp bổ sung.
Phạm vi và kết quả của đợt đánh giá này sẽ định hướng các hoạt động khắc phục và cải tiến liên tục của chúng tôi.
2. Tăng cường đầu tư vào bảo mật và phòng ngừa bằng AI
Chúng tôi đang tăng đầu tư vào phát hiện dựa trên trí tuệ nhân tạo, bảo vệ thiết bị, bảo mật môi trường phát triển và giám sát bất thường trong hành vi.
3. Quỹ nghiên cứu bảo mật và các sáng kiến trong ngành
Chúng tôi đang xây dựng quỹ nghiên cứu bảo mật và phát triển các sáng kiến chuyên biệt cùng với các công ty AI hàng đầu, các đơn vị trong ngành và các công ty bảo mật chuyên môn, đặc biệt chú trọng đến bảo mật AI trong môi trường blockchain.
Chúng tôi sẽ chủ động chia sẻ thông tin khi có thêm thông tin mới.