Binance bị đánh cắp hàng tỷ USD: Vì sao tạm dừng rút tiền vẫn không thể chặn tổn thất ngay lập tức
Tối 29 tháng 10, Binance, sàn giao dịch tiền mã hóa lớn nhất thế giới, đã hứng chịu một sự cố an ninh có quy mô chưa từng có. Đây không đơn thuần là một vụ tin tặc xâm nhập, mà là một cuộc tấn công phức tạp kéo dài nhiều tháng, liên quan đến chuỗi cung ứng nội bộ và quản lý quyền hạn. Bằng các thủ đoạn kỹ nghệ xã hội được tính toán kỹ lưỡng, kẻ tấn công từng bước xâm nhập vào hệ thống nội bộ của Binance, cuối cùng tiếp cận được dịch vụ ký giao dịch cho ví nóng cốt lõi. Sự việc không chỉ khiến tài sản trị giá hàng tỷ USD bị thất thoát, mà còn phơi bày một nguyên lý sâu xa thường bị bỏ qua trong cơ sở hạ tầng blockchain hiện đại: trong thế giới trên chuỗi phi tập trung, lệnh “tạm dừng” từ phía nền tảng không đồng nghĩa với việc quyền hạn trên chuỗi bị thu hồi ngay lập tức.
Theo báo cáo điều tra sơ bộ do Binance công bố ngày 3 tháng 11, dòng thời gian của vụ tấn công kéo dài hơn nhiều so với những phỏng đoán ban đầu bên ngoài. Từ tháng 6, một kỹ sư phụ trách vận hành ví đã tải xuống trình cài đặt Homebrew bị chỉnh sửa khi cài đặt công cụ lập trình AI, khiến thiết bị bị cài mã độc. Dù đội ngũ an ninh sau đó đã thay thiết bị và luân chuyển thông tin xác thực, kẻ tấn công đã thu thập được thông tin vị trí công việc của nhân viên này và đồng nghiệp. Đến tháng 9, máy tính làm việc của một kỹ sư phần mềm khác bị chiếm quyền điều khiển từ xa sau khi người này trở thành mục tiêu của một cuộc tấn công lừa đảo giả danh tuyển dụng. Sang tháng 10, kẻ tấn công lợi dụng máy tính bị kiểm soát và các công cụ AI nội bộ để mở rộng phạm vi kiểm soát, đánh cắp thông tin xác thực triển khai container của nhân viên vận hành ví. Cuối cùng, vào khoảng 20:05 UTC ngày 29 tháng 10, kẻ tấn công dùng những thông tin xác thực này để triển khai container, truy cập trái phép vào dịch vụ ký giao dịch ví nội bộ và thực hiện hàng loạt giao dịch chuyển tiền lớn. Dữ liệu truy vết trên chuỗi của công ty an ninh độc lập TRM Labs cho thấy ví Binance trên mười blockchain đã ghi nhận tài sản bị chuyển đi trong khoảng hai mươi phút, với tổng giá trị tài sản bị ảnh hưởng ước tính khoảng 6,34 tỷ USD. Hiện Binance đã đóng băng hoặc chặn khoảng 2,85 tỷ USD và cam kết tự gánh chịu tổn thất tài chính, đồng thời dành riêng nguồn tiền để bảo vệ quyền lợi người dùng.
Chi tiết mang ý nghĩa kỹ thuật sâu sắc nhất trong sự việc này là lý do tài sản vẫn tiếp tục bị chuyển đi sau khi nền tảng tạm dừng dịch vụ rút tiền. Theo nhận thức thông thường, sàn giao dịch chỉ cần đóng kênh rút tiền là có thể chặn dòng tiền chảy ra. Tuy nhiên, cuộc tấn công lần này đã khai thác đặc tính của cơ chế EIP-7702 trên Ethereum. Cơ chế này cho phép tài khoản thông thường ký giấy ủy quyền để chỉ định mã hợp đồng thông minh thực hiện thao tác. Thông qua dịch vụ ký giao dịch bị lạm dụng, kẻ tấn công đã thiết lập một ủy quyền độc hại trên chuỗi, trao cho hợp đồng thông minh do chúng kiểm soát một phần quyền thực thi đối với ví nóng. Một khi được ghi lên chuỗi, quyền ủy thác này tồn tại độc lập với các dịch vụ tập trung của nền tảng. Ngay cả khi Binance đóng cổng rút tiền trên trang web, những quyền ủy thác đã có hiệu lực trên chuỗi vẫn còn nguyên, cho phép kẻ tấn công trực tiếp gọi các quyền này để khởi tạo giao dịch mà không cần nền tảng phê duyệt. Ngoài ra, do các ví nóng liên quan sử dụng công nghệ tính toán đa bên (MPC), việc ký giao dịch cần sự phối hợp của nhiều bên và không có khóa riêng lẻ nào có thể được dùng để khẩn cấp thu hồi quyền. Vì vậy, đội ngũ phải phát triển thêm một quy trình thu hồi chuyên biệt, làm tiêu tốn thời gian then chốt. Mãi đến 00:10 UTC ngày 30 tháng 10, Binance mới phát đi ủy quyền mới từ ví nóng để xóa mã ủy thác độc hại; giao dịch chuyển tiền trái phép cuối cùng được ghi lên chuỗi lúc 23:56 UTC ngày 29 tháng 10. Khoảng thời gian chênh lệch này cho thấy “ngừng các yêu cầu mới” và “thu hồi quyền đã cấp” là hai thao tác kỹ thuật hoàn toàn khác nhau: thao tác đầu là một công tắc ở cấp dịch vụ, còn thao tác sau là thay đổi trạng thái trên chuỗi.
Xét từ góc độ quản lý rủi ro, sự cố này phá vỡ quan niệm cố hữu rằng “khóa riêng chưa bị lộ thì vẫn an toàn”. Kẻ tấn công không trực tiếp đánh cắp toàn bộ khóa riêng, mà lợi dụng khả năng ký giao dịch của hệ thống, khiến dịch vụ nội bộ thay mặt các giao dịch chưa được phê duyệt “ký tên”. Điều này cho thấy ranh giới an toàn của tài sản số đã mở rộng từ việc đơn thuần lưu giữ khóa sang kiểm soát linh hoạt quyền hạn. Trong thông báo ngày 31 tháng 10, FBI quy vụ đánh cắp này cho hoạt động TraderTraitor có liên hệ với Triều Tiên, qua đó càng làm nổi bật khả năng xuyên thủng các hệ thống phòng thủ an ninh truyền thống của những phương thức tấn công cấp quốc gia. Đối với toàn ngành, vụ việc của Binance là một bài học nghiệt ngã nhưng cần thiết: khi đưa vào các công nghệ mới như MPC và công cụ AI để nâng cao hiệu quả, cần xem xét lại những nguyên lý nền tảng của quy trình ứng phó khẩn cấp. Đội ngũ kỹ thuật không thể chỉ dựa vào một biện pháp duy nhất là “đóng dịch vụ”, mà cần xây dựng một lộ trình thu hồi quyền khẩn cấp độc lập với quy trình nghiệp vụ thông thường và được diễn tập trước. Đồng thời, hệ thống ký giao dịch phải phân biệt nghiêm ngặt giữa yêu cầu chuyển tiền thông thường và yêu cầu ủy quyền làm thay đổi quyền thực thi của tài khoản, bởi khi yêu cầu sau có hiệu lực, tác động của nó sẽ kéo dài và khó đảo ngược ngay lập tức. Sự cố lần này đã được khống chế bước đầu, nhưng bài toán kỹ thuật mà nó để lại — làm thế nào để thực hiện phanh khẩn cấp kiểu tập trung trên một blockchain phi tập trung — vẫn là vấn đề mà mọi nhà cung cấp cơ sở hạ tầng tiền mã hóa phải đối mặt và giải quyết.
Theo dõi tôi để không bỏ lỡ bài đọc nhanh diễn biến thị trường tiếp theo.
Tối 29 tháng 10, Binance, sàn giao dịch tiền mã hóa lớn nhất thế giới, đã hứng chịu một sự cố an ninh có quy mô chưa từng có. Đây không đơn thuần là một vụ tin tặc xâm nhập, mà là một cuộc tấn công phức tạp kéo dài nhiều tháng, liên quan đến chuỗi cung ứng nội bộ và quản lý quyền hạn. Bằng các thủ đoạn kỹ nghệ xã hội được tính toán kỹ lưỡng, kẻ tấn công từng bước xâm nhập vào hệ thống nội bộ của Binance, cuối cùng tiếp cận được dịch vụ ký giao dịch cho ví nóng cốt lõi. Sự việc không chỉ khiến tài sản trị giá hàng tỷ USD bị thất thoát, mà còn phơi bày một nguyên lý sâu xa thường bị bỏ qua trong cơ sở hạ tầng blockchain hiện đại: trong thế giới trên chuỗi phi tập trung, lệnh “tạm dừng” từ phía nền tảng không đồng nghĩa với việc quyền hạn trên chuỗi bị thu hồi ngay lập tức.
Theo báo cáo điều tra sơ bộ do Binance công bố ngày 3 tháng 11, dòng thời gian của vụ tấn công kéo dài hơn nhiều so với những phỏng đoán ban đầu bên ngoài. Từ tháng 6, một kỹ sư phụ trách vận hành ví đã tải xuống trình cài đặt Homebrew bị chỉnh sửa khi cài đặt công cụ lập trình AI, khiến thiết bị bị cài mã độc. Dù đội ngũ an ninh sau đó đã thay thiết bị và luân chuyển thông tin xác thực, kẻ tấn công đã thu thập được thông tin vị trí công việc của nhân viên này và đồng nghiệp. Đến tháng 9, máy tính làm việc của một kỹ sư phần mềm khác bị chiếm quyền điều khiển từ xa sau khi người này trở thành mục tiêu của một cuộc tấn công lừa đảo giả danh tuyển dụng. Sang tháng 10, kẻ tấn công lợi dụng máy tính bị kiểm soát và các công cụ AI nội bộ để mở rộng phạm vi kiểm soát, đánh cắp thông tin xác thực triển khai container của nhân viên vận hành ví. Cuối cùng, vào khoảng 20:05 UTC ngày 29 tháng 10, kẻ tấn công dùng những thông tin xác thực này để triển khai container, truy cập trái phép vào dịch vụ ký giao dịch ví nội bộ và thực hiện hàng loạt giao dịch chuyển tiền lớn. Dữ liệu truy vết trên chuỗi của công ty an ninh độc lập TRM Labs cho thấy ví Binance trên mười blockchain đã ghi nhận tài sản bị chuyển đi trong khoảng hai mươi phút, với tổng giá trị tài sản bị ảnh hưởng ước tính khoảng 6,34 tỷ USD. Hiện Binance đã đóng băng hoặc chặn khoảng 2,85 tỷ USD và cam kết tự gánh chịu tổn thất tài chính, đồng thời dành riêng nguồn tiền để bảo vệ quyền lợi người dùng.
Chi tiết mang ý nghĩa kỹ thuật sâu sắc nhất trong sự việc này là lý do tài sản vẫn tiếp tục bị chuyển đi sau khi nền tảng tạm dừng dịch vụ rút tiền. Theo nhận thức thông thường, sàn giao dịch chỉ cần đóng kênh rút tiền là có thể chặn dòng tiền chảy ra. Tuy nhiên, cuộc tấn công lần này đã khai thác đặc tính của cơ chế EIP-7702 trên Ethereum. Cơ chế này cho phép tài khoản thông thường ký giấy ủy quyền để chỉ định mã hợp đồng thông minh thực hiện thao tác. Thông qua dịch vụ ký giao dịch bị lạm dụng, kẻ tấn công đã thiết lập một ủy quyền độc hại trên chuỗi, trao cho hợp đồng thông minh do chúng kiểm soát một phần quyền thực thi đối với ví nóng. Một khi được ghi lên chuỗi, quyền ủy thác này tồn tại độc lập với các dịch vụ tập trung của nền tảng. Ngay cả khi Binance đóng cổng rút tiền trên trang web, những quyền ủy thác đã có hiệu lực trên chuỗi vẫn còn nguyên, cho phép kẻ tấn công trực tiếp gọi các quyền này để khởi tạo giao dịch mà không cần nền tảng phê duyệt. Ngoài ra, do các ví nóng liên quan sử dụng công nghệ tính toán đa bên (MPC), việc ký giao dịch cần sự phối hợp của nhiều bên và không có khóa riêng lẻ nào có thể được dùng để khẩn cấp thu hồi quyền. Vì vậy, đội ngũ phải phát triển thêm một quy trình thu hồi chuyên biệt, làm tiêu tốn thời gian then chốt. Mãi đến 00:10 UTC ngày 30 tháng 10, Binance mới phát đi ủy quyền mới từ ví nóng để xóa mã ủy thác độc hại; giao dịch chuyển tiền trái phép cuối cùng được ghi lên chuỗi lúc 23:56 UTC ngày 29 tháng 10. Khoảng thời gian chênh lệch này cho thấy “ngừng các yêu cầu mới” và “thu hồi quyền đã cấp” là hai thao tác kỹ thuật hoàn toàn khác nhau: thao tác đầu là một công tắc ở cấp dịch vụ, còn thao tác sau là thay đổi trạng thái trên chuỗi.
Xét từ góc độ quản lý rủi ro, sự cố này phá vỡ quan niệm cố hữu rằng “khóa riêng chưa bị lộ thì vẫn an toàn”. Kẻ tấn công không trực tiếp đánh cắp toàn bộ khóa riêng, mà lợi dụng khả năng ký giao dịch của hệ thống, khiến dịch vụ nội bộ thay mặt các giao dịch chưa được phê duyệt “ký tên”. Điều này cho thấy ranh giới an toàn của tài sản số đã mở rộng từ việc đơn thuần lưu giữ khóa sang kiểm soát linh hoạt quyền hạn. Trong thông báo ngày 31 tháng 10, FBI quy vụ đánh cắp này cho hoạt động TraderTraitor có liên hệ với Triều Tiên, qua đó càng làm nổi bật khả năng xuyên thủng các hệ thống phòng thủ an ninh truyền thống của những phương thức tấn công cấp quốc gia. Đối với toàn ngành, vụ việc của Binance là một bài học nghiệt ngã nhưng cần thiết: khi đưa vào các công nghệ mới như MPC và công cụ AI để nâng cao hiệu quả, cần xem xét lại những nguyên lý nền tảng của quy trình ứng phó khẩn cấp. Đội ngũ kỹ thuật không thể chỉ dựa vào một biện pháp duy nhất là “đóng dịch vụ”, mà cần xây dựng một lộ trình thu hồi quyền khẩn cấp độc lập với quy trình nghiệp vụ thông thường và được diễn tập trước. Đồng thời, hệ thống ký giao dịch phải phân biệt nghiêm ngặt giữa yêu cầu chuyển tiền thông thường và yêu cầu ủy quyền làm thay đổi quyền thực thi của tài khoản, bởi khi yêu cầu sau có hiệu lực, tác động của nó sẽ kéo dài và khó đảo ngược ngay lập tức. Sự cố lần này đã được khống chế bước đầu, nhưng bài toán kỹ thuật mà nó để lại — làm thế nào để thực hiện phanh khẩn cấp kiểu tập trung trên một blockchain phi tập trung — vẫn là vấn đề mà mọi nhà cung cấp cơ sở hạ tầng tiền mã hóa phải đối mặt và giải quyết.
Theo dõi tôi để không bỏ lỡ bài đọc nhanh diễn biến thị trường tiếp theo.
