Một vụ tấn công lớn vào Binance không bắt đầu bằng một cuộc tấn công tinh vi nào đó nhắm vào cửa ngõ của sàn giao dịch. Theo dòng thời gian điều tra sơ bộ, những kẻ tấn công đã xâm nhập vào tài khoản nhân viên, đánh cắp thông tin xác thực và cuối cùng tiếp cận dịch vụ ký ví nội bộ của nền tảng.

Chuỗi sự việc đặt ra những câu hỏi đáng lo ngại về an ninh nội bộ. Ba kỹ sư đã trở thành mắt xích trong một chuỗi tấn công, cuối cùng tạo điều kiện cho các giao dịch chuyển tài sản trái phép.

Vụ tấn công Binance bắt đầu từ một tệp tải xuống đã bị chỉnh sửa

Sự cố được cho là bắt đầu vào tháng 6, khi Kỹ sư DevOps Ví A tải xuống một trình cài đặt Homebrew đã bị chỉnh sửa trong lúc cấu hình một công cụ lập trình AI. Binance phát hiện sự cố, thay thiết bị và thay đổi thông tin xác thực. Tuy nhiên, thông tin về kỹ sư này và các đồng nghiệp đã bị lộ.

Rồi đến tháng 9. Kỹ sư B đã tải xuống một kho mã độc hại trong một buổi phỏng vấn xin việc có vẻ là giả mạo, khiến máy tính làm việc của anh bị xâm nhập.

Diễn biến vụ tấn công Binance: Kẻ tấn công xâm nhập ba kỹ sư để truy cập dịch vụ ký ví như thế nào

WuBlockchain đã lập dòng thời gian vụ tấn công dựa trên cuộc điều tra sơ bộ của Binance. Tháng 6, Kỹ sư DevOps Ví A đã tải xuống một trình cài đặt Homebrew bị chỉnh sửa trong lúc thiết lập một… pic.twitter.com/laEv7JMLBS

— Wu Blockchain (@WuBlockchain) ngày 3 tháng 11 năm 2026

Thông tin đăng nhập bị đánh cắp mở ra cánh cửa nội bộ

Theo báo cáo, vào ngày 20 tháng 10, kẻ tấn công đã sử dụng thiết bị bị xâm nhập cùng một công cụ AI nội bộ để kiểm soát Kỹ sư A và C. Chúng cũng phát hiện một mã thông báo cấp quyền triển khai container trên máy tính của Kỹ sư A.

Chiến dịch leo thang vào ngày 29 tháng 10. Kẻ tấn công truy cập thiết bị của Kỹ sư C, sử dụng thông tin đăng nhập đánh cắp từ A, triển khai một container và thực thi tập lệnh độc hại. Chuỗi hành động này cuối cùng đã tạo điều kiện cho các giao dịch chuyển tiền trái phép thông qua dịch vụ ký ví nội bộ của Binance.

Cáo buộc về quảng cáo Google vẫn chưa được xác nhận

Một nhà bình luận khác tuyên bố vụ tấn công Binance trị giá khoảng 6 tỷ đô la là do một lập trình viên nhấp vào quảng cáo độc hại trên Google, đồng thời cho rằng Google phải chịu trách nhiệm.

Tuy nhiên, dòng thời gian sơ bộ không xác lập mối liên hệ đó. Báo cáo mô tả một trình cài đặt bị chỉnh sửa và một kho mã độc hại, chứ không xác nhận quảng cáo Google là điểm xâm nhập.

Thật không thể tin được, hóa ra vụ tấn công Binance trị giá 6 tỷ đô la là do một lập trình viên của Binance nhấp vào quảng cáo độc hại trên Google!

Tôi vẫn giữ nguyên quan điểm: hơn bao giờ hết, cần buộc Google chịu trách nhiệm vì đã đăng tải các chiêu trò lừa đảo trên nền tảng và làm ngơ.

Google đã đồng lõa trong vụ tấn công Binance. https://t.co/RZwzjzdT9L pic.twitter.com/GhnFAQB1LM

— FatMan (@FatManTerra) ngày 3 tháng 11 năm 2026

Sự phân biệt này rất quan trọng. Dòng thời gian vụ tấn công Binance chỉ ra rằng các kỹ sư bị xâm nhập, thông tin đăng nhập bị lộ và quyền triển khai là những yếu tố then chốt trong vụ tấn công. Đổ lỗi cho một nền tảng quảng cáo khi chưa có bằng chứng có nguy cơ làm lu mờ những lỗ hổng bảo mật cụ thể mà các điều tra viên vẫn đang xem xét.