Binance đã công bố báo cáo chi tiết ban đầu về sự cố an ninh sau cuộc tấn công mạng tinh vi ngày 29 tháng 10 năm 2026. Sự cố ảnh hưởng đến nhiều mạng blockchain và làm lộ ra những điểm yếu nghiêm trọng trong một số phần của cơ sở hạ tầng ký ví nội bộ.
Binance thừa nhận sự cố này lẽ ra không bao giờ được xảy ra và gửi lời xin lỗi đến người dùng, đối tác cũng như toàn ngành tiền mã hóa vì những lo ngại, gián đoạn và bất ổn do sự cố gây ra.
Sàn giao dịch cũng nhấn mạnh rằng người dùng sẽ không phải gánh chịu tổn thất tài chính. Binance cho biết họ sẽ chịu toàn bộ ảnh hưởng tài chính từ số tiền bị đánh cắp.
Hãy cùng tìm hiểu chuyện gì đã xảy ra, những kẻ tấn công đã giành quyền truy cập ra sao và Binance đã làm gì để tăng cường bảo mật.
🔴 1. THIỆT HẠI LÀ BAO NHIÊU?
Theo báo cáo mới nhất của Binance:
Tổng tài sản số bị ảnh hưởng: Khoảng 6,34 tỷ USD.
Tài sản bị đóng băng hoặc chặn lại: Khoảng 2,85 tỷ USD.
Tiến độ bù đắp: 98% tài sản token bị ảnh hưởng.
Tài sản còn lại: Binance đang mua số token còn thiếu có tính thanh khoản thấp hơn.
Khả năng bù đắp tài chính: Binance cho biết đã dành riêng hơn 100% số tiền cần thiết để bù đắp tổn thất.
Binance cũng xác nhận rằng tài sản được bù đắp có thể được kiểm chứng thông qua trang Bằng chứng dự trữ (Proof of Reserves).
Công ty tuyên bố rằng tiền của người dùng sẽ tiếp tục được bảo vệ và họ sẽ chịu trách nhiệm bù đắp tác động tài chính của sự cố.
⚠️ 2. ĐIỀU GÌ ĐÃ XẢY RA VÀO NGÀY 29 THÁNG 10?
Cuộc tấn công diễn ra nhanh chóng trên một số mạng blockchain.
Trong khoảng thời gian từ 20:05 đến 20:09 UTC, năm ví nóng của Binance đã chuyển khoảng 233,46 triệu XRP đến một địa chỉ do kẻ tấn công kiểm soát.
Các giao dịch chuyển tiền trái phép khác bao gồm:
Khoảng 970.500 SOL từ các ví nóng Binance trên Solana.
Khoảng 44,2 triệu OP từ các ví nóng Binance trên Optimism.
Khoảng 18.270 BTC được chuyển đến một địa chỉ do kẻ tấn công kiểm soát.
Các giao dịch ETH bổ sung liên quan đến cơ chế ủy quyền EIP-7702 của Ethereum.
Binance nhận được cảnh báo nội bộ về các giao dịch chuyển tiền khối lượng lớn và lập tức mở cuộc điều tra.
Những kẻ tấn công đã khai thác quyền truy cập trái phép vào dịch vụ ký giao dịch ví nội bộ, cho phép chúng khởi tạo giao dịch bên ngoài quy trình rút tiền thông thường.
🔴 3. NHỮNG KẺ TẤN CÔNG ĐÃ KHAI THÁC EIP-7702 NHƯ THẾ NÀO?
Một trong những khía cạnh có ý nghĩa kỹ thuật nhất của sự cố này liên quan đến cơ chế ủy quyền EIP-7702 của Ethereum.
EIP-7702 cho phép một tài khoản do bên ngoài sở hữu ủy quyền một số quyền thực thi nhất định cho hợp đồng thông minh mà không trực tiếp làm lộ khóa riêng tư.
Trong sự cố này, những kẻ tấn công đã sử dụng cơ chế đó để cấp cho một hợp đồng thông minh do chúng kiểm soát một số quyền thực thi đối với ví nóng của Binance.
Theo báo cáo, những kẻ tấn công đã gửi 50 giao dịch ký để thao túng số nonce của tài khoản và thiết lập các quyền ủy quyền độc hại.
Sau khi các quyền này được thiết lập, những kẻ tấn công có thể tiếp tục chuyển tài sản mà không cần thông qua hạ tầng rút tiền thông thường của Binance.
Điều này lý giải vì sao chỉ tạm ngừng rút tiền là chưa đủ để ngăn chặn mọi giao dịch trái phép.
Binance cũng phải đối mặt với những thách thức kỹ thuật bổ sung vì ví nóng bị ảnh hưởng sử dụng công nghệ Tính toán đa bên (MPC).
MPC có nghĩa là không có một khóa riêng tư duy nhất nào có thể được sử dụng đơn giản để thu hồi ngay quyền ủy quyền độc hại.
Đội ngũ bảo mật phải phát triển và thực hiện một quy trình chuyên biệt để thu hồi các quyền trên chuỗi trái phép.
Giao dịch trái phép cuối cùng, với giá trị khoảng 2.961,9 ETH, đã được xác nhận trên chuỗi lúc 23:56 UTC.
Lúc 00:10 UTC ngày 30 tháng 10, Binance đã thực hiện một lệnh ủy quyền mới từ ví nóng Binance14 đến địa chỉ không, xóa mã ủy quyền EIP-7702.
Không ghi nhận thêm giao dịch trái phép nào sau thời điểm đó.
🕵️ 4. CUỘC TẤN CÔNG ĐƯỢC CHUẨN BỊ NHƯ THẾ NÀO?
Cuộc điều tra của Binance cho thấy đây không phải là một vụ tấn công lừa đảo đơn giản hay một sự cố bảo mật riêng lẻ.
Đây là một chiến dịch tinh vi gồm nhiều giai đoạn, liên quan đến kỹ nghệ xã hội, phần mềm độc hại, môi trường phát triển bị xâm nhập, công cụ AI nội bộ và quyền truy cập trái phép vào các hoạt động ký giao dịch của ví.
Báo cáo mô tả một số giai đoạn quan trọng.
Tháng 6 năm 2026 – Tấn công chuỗi cung ứng
Một kỹ sư làm việc trong bộ phận DevOps Ví đã tải xuống một bản cài đặt Homebrew bị chỉnh sửa khi tìm cách cài đặt một công cụ lập trình AI phổ biến thông qua công cụ tìm kiếm.
Binance phát hiện hoạt động đáng ngờ, thay thế thiết bị bị ảnh hưởng và thay đổi các thông tin xác thực liên quan.
Tuy nhiên, những kẻ tấn công đã kịp biết được thông tin về vai trò của kỹ sư này và các đồng nghiệp làm việc trên hạ tầng ví.
Tháng 9 năm 2026 – Phỏng vấn tuyển dụng giả mạo
Một kỹ sư phần mềm khác được một người giả danh giám đốc dự án tiếp cận thông qua một nền tảng tìm việc uy tín.
Những kẻ tấn công đã tổ chức hai vòng phỏng vấn.
Trong vòng phỏng vấn đầu tiên, một người giả làm nhân viên nhân sự đã gọi video trực tiếp và chia sẻ ảnh, video cá nhân trên mạng xã hội để tạo lòng tin.
Trong vòng phỏng vấn thứ hai, kỹ sư này được yêu cầu tải xuống một bài tập có chứa kho mã độc hại.
Kho mã đã thực thi mã độc trong quá trình thiết lập.
Phần mềm độc hại sử dụng các kỹ thuật làm rối mã và né tránh tiên tiến, thay thế một thành phần của công cụ phát triển hợp pháp bằng phiên bản độc hại.
Sau đó, phần mềm này thực thi các lệnh và thiết lập liên lạc với một máy chủ bên ngoài do kẻ tấn công kiểm soát.
Theo báo cáo, phần mềm độc hại đã tránh được sự phát hiện của các công cụ bảo mật thiết bị đầu cuối vào thời điểm đó.
Ngày 20 tháng 10 năm 2026 – Công cụ AI nội bộ bị xâm nhập
Những kẻ tấn công đã khai thác máy tính bị xâm nhập của kỹ sư thứ hai và sử dụng một công cụ AI nội bộ làm bàn đạp để truy cập vào các nhân viên khác, bao gồm Kỹ sư DevOps Ví A và Kỹ sư Phần mềm Ví C.
Sau đó, chúng phát hiện một mã thông báo cấp quyền triển khai container trên máy tính của Kỹ sư A.
Điều này tạo thêm cơ hội để tiến gần hơn đến hạ tầng ví của Binance.
Ngày 29 tháng 10 năm 2026 – Nhắm mục tiêu vào hoạt động ký giao dịch của ví
Trong khoảng thời gian từ 17:15 đến 19:56 UTC, kẻ tấn công đã truy cập máy tính của Kỹ sư Phần mềm C, sử dụng thông tin xác thực đánh cắp từ Kỹ sư DevOps Ví A, triển khai một container và kích hoạt tập lệnh độc hại.
Điều này cuối cùng đã giúp những kẻ tấn công tiếp cận các hoạt động ký giao dịch của ví và thực hiện những giao dịch chuyển tiền trái phép.
🇰🇵 5. AI CHỊU TRÁCH NHIỆM?
Theo báo cáo của Binance, thông tin mới nhất do Cục Điều tra Liên bang (FBI) công bố cho biết Cộng hòa Dân chủ Nhân dân Triều Tiên (DPRK) đứng sau sự cố này.
Binance cũng tiết lộ rằng trong suốt năm 2026, đội ngũ bảo mật của họ đã phát hiện và ngăn chặn 57 vụ việc đe dọa mạng bị nghi có liên hệ với Triều Tiên.
Các nỗ lực này sử dụng những kỹ thuật như:
Phỏng vấn tuyển dụng gian lận.
Phần mềm độc hại dành cho nhà phát triển.
Gói phần mềm bị xâm nhập.
Tiện ích mở rộng trình duyệt độc hại.
Ứng dụng hội nghị video giả mạo.
Chiến dịch kỹ nghệ xã hội.
Đánh cắp thông tin xác thực và phần mềm độc hại cho phép truy cập từ xa.
Điều này cho thấy các sàn giao dịch tiền mã hóa và hạ tầng blockchain đang phải đối mặt với mối đe dọa an ninh mạng ngày càng gia tăng.
🛡️ 6. BINANCE ĐÃ LÀM GÌ ĐỂ TĂNG CƯỜNG BẢO MẬT?
Tính đến ngày 3 tháng 11 năm 2026, Binance cho biết họ đã triển khai một số biện pháp tăng cường bảo mật.
Các biện pháp này bao gồm:
Xây dựng lại hệ thống ví bị ảnh hưởng trong một môi trường mới.
Xây dựng lại công cụ AI nội bộ bị ảnh hưởng và tăng cường kiểm soát quyền truy cập.
Thay thế thiết bị của nhân viên bị ảnh hưởng.
Thu hồi thông tin xác thực và mã thông báo liên quan đến các kỹ sư bị ảnh hưởng.
Hoàn tất các đợt quét bảo mật nâng cao trên thiết bị của nhân viên.
Cải thiện khả năng phát hiện bất thường hành vi bằng AI.
Tăng cường kiểm soát rủi ro đối với dịch vụ ví.
Phối hợp với cơ quan thực thi pháp luật, các công ty phân tích blockchain và đối tác trong ngành để truy vết và đóng băng tài sản bị đánh cắp.
Binance cho biết các điểm xâm nhập được sử dụng trong cuộc tấn công đã bị đóng và những hệ thống nằm trong đường tấn công đã được xây dựng lại hoặc thay thế.
🔍 7. ĐIỀU GÌ SẼ DIỄN RA TIẾP THEO?
Binance đã công bố ba lĩnh vực chính sẽ được đầu tư thêm để tăng cường bảo mật.
1. Đánh giá an ninh mạng độc lập
Binance đang hợp tác với các chuyên gia an ninh mạng độc lập bên thứ ba để tiến hành đánh giá toàn diện sự cố, xác minh các phát hiện và đề xuất những cải tiến bảo mật tiếp theo.
2. Mở rộng đầu tư vào bảo mật AI
Sàn giao dịch dự định tăng đầu tư vào:
Phát hiện mối đe dọa bằng AI.
Bảo vệ thiết bị đầu cuối.
Bảo mật môi trường phát triển.
Giám sát bất thường hành vi.
3. Quỹ nghiên cứu bảo mật và các sáng kiến trong ngành
Binance đang hợp tác với các công ty AI hàng đầu, các đơn vị trong ngành blockchain và các công ty an ninh mạng để thành lập quỹ nghiên cứu bảo mật và triển khai các sáng kiến có mục tiêu cụ thể.
Mục tiêu là cải thiện bảo mật AI và ngăn chặn các cuộc tấn công tương tự trong toàn bộ hệ sinh thái blockchain.
📊 8. BỨC TRANH TOÀN CẢNH
Sự cố này là lời nhắc nhở quan trọng rằng ngay cả các sàn giao dịch tiền mã hóa lớn cũng phải đối mặt với những mối đe dọa an ninh mạng tinh vi.
Cuộc tấn công không chỉ dựa vào một lỗ hổng duy nhất. Nó kết hợp kỹ nghệ xã hội, công cụ phát triển bị xâm nhập, thông tin xác thực bị đánh cắp, quyền truy cập hệ thống nội bộ và các kỹ thuật ủy quyền blockchain tiên tiến.
Sự cố cũng cho thấy bảo vệ tài sản số đòi hỏi nhiều hơn việc bảo mật khóa riêng tư.
Dịch vụ ký giao dịch của ví, thiết bị nhân viên, môi trường phát triển, công cụ AI, quyền truy cập và cơ chế ủy quyền trên chuỗi đều cần được kiểm soát bảo mật chặt chẽ.
Binance cho biết sẽ tiếp tục chia sẻ thông tin khi cuộc điều tra tiến triển. Một số chi tiết kỹ thuật sẽ được giữ bí mật để ngăn kẻ tấn công khai thác chúng.
NHẬN ĐỊNH CỦA TÔI:
Những câu hỏi quan trọng nhất hiện nay là liệu Binance có thể chứng minh những cải thiện lâu dài trong hạ tầng bảo mật hay không, các chuyên gia độc lập sẽ xác minh cuộc điều tra hiệu quả đến mức nào và liệu ngành này có rút ra bài học từ sự cố hay không.
Khôi phục thiệt hại tài chính là điều quan trọng, nhưng ngăn chặn một cuộc tấn công khác còn quan trọng hơn.
Ngành tiền mã hóa cần các tiêu chuẩn bảo mật nghiêm ngặt hơn, biện pháp bảo vệ nhân viên tốt hơn và báo cáo sự cố minh bạch hơn.
Bạn nghĩ sao?
Binance có thể khôi phục hoàn toàn niềm tin của người dùng sau sự cố bảo mật gây thiệt hại 6,34 tỷ USD không?
Bảo mật ứng dụng AI có đang trở thành yếu tố thiết yếu đối với các sàn giao dịch tiền mã hóa không?
Các sàn giao dịch lớn có nên công bố báo cáo kiểm toán bảo mật độc lập chi tiết hơn không?
Hãy chia sẻ suy nghĩ của bạn trong phần bình luận.
Nguồn: Báo cáo ban đầu của Binance về sự cố bảo mật. Cuộc điều tra và đánh giá độc lập vẫn đang được tiến hành.
Không phải lời khuyên tài chính. Luôn tự nghiên cứu (DYOR) và quản lý rủi ro của bạn.$