Ngày 4 tháng 11, CZ đăng bài trên X, phản hồi về sự cố bảo mật của Binance trị giá 6,3 tỷ USD xảy ra ngày 29 tháng 10 và được công bố ngày 30 tháng 10.
“Một vụ tấn công quy mô lớn như vậy cho thấy đã xảy ra lỗ hổng bảo mật nghiêm trọng. Không nền tảng nào an toàn tuyệt đối, nhưng đó không thể là cái cớ.”
Ông đồng thời dùng hai cụm từ: “sai sót bảo mật nghiêm trọng” và “đáng xấu hổ”. Đây là cách nhà sáng lập định nghĩa hệ thống phòng thủ của chính mình năm ngày sau khi sự việc xảy ra; ông không đổ lỗi cho cơ chế mới EIP-7702.
Nhận lỗi và đưa ra giới hạn, cùng được đặt trong một đoạn
Trong phát biểu của CZ có hai nhận định cùng tồn tại, không thể thiếu nhận định nào.
Tầng thứ nhất là nhận lỗi. “Mỗi sự cố an toàn đều phơi bày những lỗ hổng lẽ ra có thể tránh được.”
Tầng thứ hai là giới hạn phạm vi diễn giải. Ông bổ sung rằng lời giải thích công khai đã “đơn giản hóa cuộc tấn công tưởng chừng kéo dài nhiều tháng, thậm chí tới một năm, nhắm vào hàng trăm nhân viên và hệ thống, nhưng cuối cùng chỉ một số ít hệ thống bị xâm nhập”.
Nhận lỗi dứt khoát, đồng thời giới hạn phạm vi một cách rõ ràng. Thừa nhận hàng phòng thủ đã bị xuyên thủng, đồng thời giải thích phạm vi phòng thủ và mức độ sâu rộng của cuộc tấn công — hai điều này không mâu thuẫn: điều trước thể hiện thái độ, điều sau là sự thật.
Báo cáo sơ bộ đã được công bố, phù hợp với mô tả của CZ
Cần đính chính một điểm nhầm lẫn về thời gian trước đó: bản đánh giá kỹ thuật của Binance không phải là “chưa được công bố”. Ngày 3 tháng 11 theo giờ địa phương, Binance đã công bố báo cáo điều tra sơ bộ; CZ đăng bài vào ngày hôm sau, sau khi báo cáo được công bố.
Các chi tiết cốt lõi trong báo cáo khớp với mô tả của CZ về cuộc tấn công “nhắm vào hàng trăm nhân viên và hệ thống, kéo dài nhiều tháng”: tấn công chuỗi cung ứng vào tháng 6, cài phần mềm độc hại 0-day thông qua tin tuyển dụng giả vào tháng 9, mở rộng quyền kiểm soát bằng công cụ AI nội bộ vào ngày 20 tháng 10, rồi xâm nhập quy trình ký ví vào ngày 29 tháng 10. Tài sản lần lượt được chuyển ra khỏi năm ví nóng, sau đó EIP-7702 được sử dụng để thiết lập ủy quyền độc hại.
FBI đã tuyên bố Triều Tiên chịu trách nhiệm về sự việc này. Binance cho biết đã xây dựng lại các hệ thống bị ảnh hưởng, thay thiết bị, dự trữ hơn 100% số tiền cần thiết; 98% tài sản token bị ảnh hưởng đã được bù đắp.
Yêu cầu “với tư cách là cổ đông”
CZ viết rõ: “Với tư cách là cổ đông, tôi mong Binance công khai và minh bạch về những gì đã xảy ra, chịu trách nhiệm, rút kinh nghiệm từ mọi lời chỉ trích và thực hiện những cải tiến thiết thực, hiệu quả.”
Bốn yêu cầu — minh bạch, chịu trách nhiệm, học hỏi, cải tiến — đều có thể kiểm chứng. Báo cáo sơ bộ là bước đầu tiên hướng tới minh bạch; khoản dự phòng tài chính 6,34 tỷ USD là bước đầu tiên để chịu trách nhiệm. Việc sau này có mời bên thứ ba độc lập đánh giá hay không, quỹ nghiên cứu an ninh có được triển khai hay không, sẽ là thước đo cho “cải tiến”.
Về số tiền bị phong tỏa, các nguồn đưa ra số liệu khác nhau: thông báo ngày 30 tháng 10 của Binance cho biết khoảng 3 tỷ USD đã bị phong tỏa; báo cáo sơ bộ cập nhật con số này thành khoảng 2,85 tỷ USD bị phong tỏa hoặc chặn lại; một số nguồn khác đưa tin số tiền bị phong tỏa sau đó đã tăng lên 5 tỷ USD. Phong tỏa không đồng nghĩa với hoàn trả, nhưng quy mô số tiền không làm thay đổi cấu trúc cơ bản của sự việc.
Lưu ý: Nội dung chỉ mang tính tham khảo, vui lòng tự nghiên cứu.