Sự cố bảo mật của Binance - ngày 29 tháng 10 năm 2026: Chuyện gì đã xảy ra và chúng tôi đã ứng phó ra sao
Blog Binance
Tài khoản Binance chính thức đã xác minh
Vào ngày 29 tháng 10 năm 2026, Binance đã phải đối mặt với một trong những cuộc tấn công bảo mật tinh vi nhất trong lịch sử của mình. Điều này lẽ ra không bao giờ được xảy ra, và chúng tôi chân thành xin lỗi người dùng, đối tác và toàn thể cộng đồng tiền mã hóa vì nỗi lo lắng và sự hoang mang mà sự việc gây ra.$NVDAB
Bảo vệ người dùng luôn là ưu tiên hàng đầu của chúng tôi. Binance sẽ gánh chịu toàn bộ tổn thất tài chính, không phải người dùng. Chúng tôi đã dự phòng hơn 100% số tiền cần thiết để bù đắp tổn thất. Tính đến ngày 31 tháng 10 năm 2026, 98% tài sản token bị ảnh hưởng đã được khôi phục và có thể được xác minh trên trang Bằng chứng Dự trữ của chúng tôi. Hiện chúng tôi đang nỗ lực mua lại số tài sản còn lại khó thanh khoản.
Khoảng 6,34 tỷ USD tài sản kỹ thuật số đã bị ảnh hưởng trong sự cố này. Tính đến thời điểm cập nhật này, với sự hỗ trợ của các đối tác, chúng tôi đã đóng băng hoặc chặn thành công khoảng 2,85 tỷ USD, con số này có thể thay đổi theo biến động giá thị trường.$BTC
Chúng tôi đã hành động ngay lập tức để ngăn chặn cuộc tấn công và bảo vệ các hệ thống liên quan. Các điểm xâm nhập mà kẻ tấn công sử dụng đã được đóng lại. Tất cả hệ thống nằm trên đường tấn công đã được xây dựng lại hoặc thay thế. Chúng tôi cũng đã siết chặt các biện pháp kiểm soát thiết bị, cải thiện việc kiểm tra rủi ro dịch vụ ví và mở rộng khả năng phát hiện bất thường dựa trên AI.$AAPLB
Đây là báo cáo ban đầu của chúng tôi. Báo cáo giải thích những gì chúng tôi biết cho đến nay và những vấn đề chúng tôi đã khắc phục. Cuộc điều tra vẫn đang diễn ra và sẽ được các chuyên gia bảo mật độc lập đánh giá. Một số chi tiết kỹ thuật sẽ được giữ kín để ngăn kẻ tấn công lợi dụng chúng lần nữa.
Theo thông tin mới nhất do FBI công bố, Cộng hòa Dân chủ Nhân dân Triều Tiên (Triều Tiên) chịu trách nhiệm về sự cố này.
Chúng tôi chia sẻ báo cáo này vì toàn ngành sẽ bảo mật hơn khi cùng nhau học hỏi.
Diễn biến ngày 29 tháng 10
Cuộc tấn công diễn ra rất nhanh trên nhiều blockchain.
Kẻ tấn công đã truy cập trái phép vào một dịch vụ ký ví nội bộ và bắt đầu thực hiện giao dịch bên ngoài hệ thống rút tiền thông thường.
*Trong khoảng thời gian từ 20:05 UTC đến 20:09 UTC:*
Các ví nóng của Binance đã chuyển 233,46 triệu XRP đến một địa chỉ do kẻ tấn công kiểm soát.
Các ví nóng của Binance trên Solana và Optimism đã chuyển khoảng 970.500 SOL và 44,2 triệu OP đến các địa chỉ của kẻ tấn công.
Binance nhận được cảnh báo nội bộ về các giao dịch chuyển tiền lớn bất thường và lập tức bắt đầu điều tra.
Sau đó, một ví nóng của Binance đã chuyển 18.270 BTC đến một địa chỉ do kẻ tấn công kiểm soát.
Sau đó, kẻ tấn công đã sử dụng *cơ chế ủy quyền EIP-7702* của Ethereum. EIP-7702 cho phép một tài khoản ủy quyền một số quyền thực thi cho hợp đồng thông minh mà không cần chia sẻ khóa riêng tư. Trong trường hợp này, kẻ tấn công đã dùng cơ chế này để trao quyền kiểm soát một phần ví nóng của Binance cho một hợp đồng thông minh do chúng kiểm soát.
Binance lập tức thực hiện các biện pháp ngăn chặn, bao gồm tạm ngừng rút tiền, phối hợp với các đối tác để đóng băng token bị ảnh hưởng và thu hồi các quyền trái phép. Những nỗ lực này đã đóng băng tổng cộng 2,85 tỷ USD tài sản.
Tuy nhiên, chỉ tạm ngừng rút tiền là chưa đủ để ngăn chặn toàn bộ sự việc. Các ủy quyền EIP-7702 độc hại đã được ghi trên chuỗi và hoạt động độc lập với hệ thống rút tiền của Binance. Kẻ tấn công đã gửi 50 giao dịch ký để thay đổi nonce của tài khoản và tạo các ủy quyền độc hại. Sau khi được tạo, những ủy quyền này cho phép chúng tiếp tục di chuyển tài sản.
Việc ngăn chặn có độ phức tạp cao về mặt kỹ thuật. Vì ví nóng sử dụng cơ chế Tính toán đa bên (MPC), không có một khóa riêng tư duy nhất nào có thể lập tức thu hồi các ủy quyền độc hại. Đội ngũ của chúng tôi phải xây dựng và thực thi một quy trình đặc biệt để thu hồi chúng, việc này mất thêm thời gian.
Giao dịch chuyển trái phép cuối cùng với số lượng 2.961,9 ETH được xác nhận hoàn tất trên chuỗi lúc 23:56 UTC. Sau đó không ghi nhận thêm giao dịch chuyển tiền trái phép nào.
Vào lúc 00:10 UTC ngày 30 tháng 10 năm 2026, Binance đã thực thi một ủy quyền mới từ ví nóng Binance14 đến địa chỉ zero, xóa mã ủy quyền EIP-7702.
Chuẩn bị tấn công
Cuộc điều tra của chúng tôi cho thấy đây không phải là một cuộc tấn công lừa đảo đơn giản. Đây là một chiến dịch kéo dài nhiều tháng, gồm nhiều giai đoạn, kết hợp kỹ thuật thao túng tâm lý, phỏng vấn tuyển dụng giả, phần mềm độc hại, công cụ AI nội bộ bị xâm nhập và thao túng giao dịch tinh vi.
*Tháng 6 năm 2026 - Tấn công chuỗi cung ứng:*
Kỹ sư A thuộc nhóm Wallet DevOps đã tải xuống một trình cài đặt Homebrew bị chỉnh sửa để cài đặt một công cụ lập trình AI phổ biến sau khi tìm kiếm công cụ này trên mạng. Đội ngũ bảo mật của chúng tôi phát hiện bất thường, thay thiết bị và luân chuyển toàn bộ thông tin xác thực. Tuy nhiên, vai trò của Kỹ sư A và các đồng nghiệp trong nhóm ví đã bị kẻ tấn công phát hiện.
Trong suốt năm 2026, đội ngũ bảo mật của Binance đã phát hiện và ngăn chặn 57 trường hợp đe dọa an ninh mạng bị nghi có liên hệ với Triều Tiên. Các trường hợp này bao gồm phỏng vấn tuyển dụng giả, phần mềm độc hại ngụy trang thành công cụ dành cho nhà phát triển, gói phần mềm bị xâm nhập, ứng dụng họp video giả và các thủ đoạn thao túng tâm lý nhằm đánh cắp thông tin xác thực.
*Tháng 9 năm 2026 - Thao túng tâm lý:*
Kỹ sư phần mềm B được một người tự xưng là Giám đốc dự án liên hệ qua một nền tảng tìm việc uy tín. Kỹ sư B từng đề cập đến kinh nghiệm làm việc tại Binance trên hồ sơ của mình. Vị Giám đốc giả mạo sắp xếp vòng phỏng vấn đầu tiên với một đại diện nhân sự, sau đó là vòng thứ hai với một CEO giả mạo.
Ở vòng đầu tiên, nhân sự giả mạo tiến hành phỏng vấn video trực tiếp và chia sẻ một tài khoản mạng xã hội có ảnh và video cá nhân để tạo lòng tin. Đây là thủ đoạn tinh vi hơn nhiều so với lừa đảo thông thường.
Trong buổi phỏng vấn thứ hai, diễn ra trên một ứng dụng trò chuyện xã hội phổ biến, Kỹ sư B được yêu cầu tải một "bài tập" có chứa kho mã độc hại xuống máy tính làm việc. Kho mã này chạy mã độc trong quá trình thiết lập.
Mã độc sử dụng kỹ thuật làm rối nâng cao, thay thế một thành phần của công cụ phát triển hợp pháp bằng phiên bản độc hại để chạy lệnh và kết nối với máy chủ do kẻ tấn công kiểm soát. Các công cụ bảo mật điểm cuối vào thời điểm đó không phát hiện được mã độc zero-day này. Kẻ tấn công cũng tìm cách che giấu dấu vết xâm nhập.
*Ngày 20 tháng 10 năm 2026 - Công cụ AI nội bộ bị xâm nhập:*
Kẻ tấn công sử dụng máy tính bị xâm nhập của Kỹ sư B và một công cụ AI nội bộ để chiếm quyền kiểm soát Kỹ sư A thuộc Wallet DevOps và một kỹ sư ví khác là Kỹ sư C. Kẻ tấn công phát hiện Kỹ sư A có mã thông báo cấp quyền triển khai vùng chứa trên máy tính của mình.
*Ngày 29 tháng 10 năm 2026 - Tấn công ký giao dịch ví:*
Trong khoảng thời gian từ 17:15 đến 19:56, kẻ tấn công đăng nhập vào máy tính của Kỹ sư C, sử dụng thông tin xác thực bị đánh cắp của Kỹ sư A, triển khai một vùng chứa và kích hoạt tập lệnh độc hại để tiến hành tấn công.
Những việc chúng tôi đã thực hiện
Tính đến ngày 3 tháng 11 năm 2026, chúng tôi đã thực hiện các biện pháp sau:
- Xây dựng lại hệ thống ví bị ảnh hưởng trong một môi trường bảo mật mới.
- Xây dựng lại công cụ AI nội bộ bị ảnh hưởng và các biện pháp kiểm soát quyền truy cập của công cụ.
- Thay thế tất cả thiết bị bị ảnh hưởng.
- Thu hồi thông tin xác thực và mã thông báo liên quan đến các kỹ sư bị ảnh hưởng.
- Hoàn tất quét bảo mật nâng cao trên tất cả thiết bị của nhân viên.
- Tăng cường phát hiện bất thường về hành vi dựa trên AI.
- Tăng cường các biện pháp kiểm soát rủi ro đối với dịch vụ ví.
- Phối hợp với cơ quan thực thi pháp luật, các công ty phân tích blockchain và đối tác trong ngành để truy vết và đóng băng tài sản bị ảnh hưởng.
Chúng tôi sẽ tiếp tục tăng cường các biện pháp trong khi cuộc điều tra vẫn đang diễn ra. Một số biện pháp bảo mật sẽ được giữ kín để bảo vệ người dùng.
Các bước tiếp theo
1. Đánh giá an ninh mạng độc lập
Chúng tôi đang mời các chuyên gia độc lập bên thứ ba tiến hành đánh giá toàn diện sự cố, xác thực các phát hiện và đề xuất thêm biện pháp.
2. Tăng cường đầu tư vào bảo mật AI
Chúng tôi đang tăng đầu tư vào khả năng phát hiện có ứng dụng AI, bảo vệ điểm cuối, bảo mật môi trường phát triển và giám sát hành vi.
3. Quỹ nghiên cứu bảo mật
Chúng tôi đang hợp tác với các công ty AI hàng đầu, các bên trong ngành và các công ty bảo mật để thành lập một quỹ nghiên cứu bảo mật tập trung vào bảo mật AI trong môi trường blockchain.
