Phí 15 USD, cuỗm đi 2,5 tỷ USD 🦖
Khoảng 20:20 UTC ngày 29 tháng 10, hacker chỉ tốn khoảng 15 USD phí giao dịch để thiết lập quyền ủy quyền trên Ethereum cho một ví nóng của Binance
📢 ⏰ 消息群里第一时间说
Ba phút rưỡi sau, chính quyền đó được dùng để chuyển đi khoảng 2,5 tỷ USD chỉ trong một lần, chiếm 40% trong vụ trộm 6,3 tỷ USD
Điều thực sự khiến người ta lạnh sống lưng còn ở phía sau
Khi tiền bị chuyển đi, nền tảng đã phát hiện vụ xâm nhập và cũng đã tắt chức năng rút tiền
Nhưng họ không thể làm gì trên chuỗi 💥
Bản tổng kết lần này của Bloomberg đã phơi bày toàn bộ quá trình
Mục tiêu là ví nóng của Binance có mã hiệu Binance 14, tương tự như máy tính tiền trực tuyến, thường xuyên lưu trữ lượng lớn Ethereum, stablecoin và hàng chục loại token
Nếu chuyển từng khoản một, giao dịch nào cũng có thể bị hệ thống kiểm soát rủi ro chặn lại, nên hacker đã đi đường tắt
Đường tắt này có tên EIP 7702, được triển khai vào tháng 5 năm 2025
Mục đích ban đầu là giúp ví dễ sử dụng hơn: cho phép ví ủy quyền cho một đoạn mã thay mình thao tác, đồng thời có thể gộp nhiều hành động thành một lần thực thi
Phân tích trên chuỗi của công ty bảo mật Blockaid cho thấy hacker đầu tiên trả khoảng 15 USD để đoạn mã này có quyền thay mặt ví hành động
Bản thân giao dịch đó không chuyển bất kỳ khoản tiền nào, mà chỉ báo cho Ethereum rằng từ đó về sau, đoạn mã này có thể thực hiện các thao tác của ví
Sau khi quyền ủy quyền có hiệu lực, việc vét sạch tiền chỉ cần một giao dịch
167.464 ETH, cùng hơn 60 loại token khác, trong đó khoản lớn nhất là 1,6 tỷ USD USDT
Theo thống kê của công ty tình báo blockchain Elliptic, sau đó quyền này liên tục được sử dụng, tổng cộng chuyển đi khoảng 3,6 tỷ USD, bao gồm thêm 823 triệu USD và bốn đợt vét tiền bổ sung ⚠️
Điểm chí mạng là quyền ủy quyền này được ghi trên chuỗi, chứ không nằm trên máy chủ của nền tảng
Tắt chức năng rút tiền hay dừng ví nóng đều không thể thu hồi quyền đó, trong khi kênh nạp tiền vẫn tiếp tục chuyển tiền vào địa chỉ này, chẳng khác nào tiếp thêm đạn cho kẻ tấn công
Người phát ngôn của Binance xác nhận với Bloomberg rằng EIP 7702 đóng vai trò quan trọng trong vụ việc, đồng thời cho biết họ đã thu hồi các quyền ủy quyền bị ảnh hưởng, xây dựng lại cơ sở hạ tầng ví bị ảnh hưởng và cập nhật cơ chế ký cùng giám sát; tiền của người dùng vẫn an toàn, còn nền tảng tự chịu mọi tổn thất
Theo tôi, vụ này từ đầu đến cuối không hề đụng đến khóa riêng
Thứ bị đánh cắp không phải mật khẩu, mà là ranh giới của quyền ủy quyền
Ví ngày càng giống ứng dụng ngân hàng, và quyền có thể được ký chỉ bằng một lần nhấn cũng ngày càng rộng. Người dùng không nhìn thấy đoạn mã đó, cũng không biết nó đã được thu hồi hay chưa 🔑
Trước đây, mọi người lo lộ cụm từ khôi phục
Giờ đây, điều cần lo là mình đã ký những gì
Với người dùng phổ thông, việc nên làm là thường xuyên xem lại lịch sử cấp quyền của ví và thu hồi những quyền ủy quyền không còn dùng đến, đặc biệt là quyền của những DApp chỉ tương tác một lần
Cùng trò chuyện ở phần bình luận nhé: lần gần nhất bạn kiểm tra quyền ủy quyền của ví là khi nào?
Mỗi ngày, chúng tôi giúp bạn cập nhật các chủ đề nóng về bảo mật tiền mã hóa và quản lý. Không chỉ theo dõi tin tức, mà còn giúp bạn hiểu logic và cơ hội đằng sau 👀🚀
Nhấn vào ảnh đại diện để xem livestream
Khoảng 20:20 UTC ngày 29 tháng 10, hacker chỉ tốn khoảng 15 USD phí giao dịch để thiết lập quyền ủy quyền trên Ethereum cho một ví nóng của Binance
📢 ⏰ 消息群里第一时间说
Ba phút rưỡi sau, chính quyền đó được dùng để chuyển đi khoảng 2,5 tỷ USD chỉ trong một lần, chiếm 40% trong vụ trộm 6,3 tỷ USD
Điều thực sự khiến người ta lạnh sống lưng còn ở phía sau
Khi tiền bị chuyển đi, nền tảng đã phát hiện vụ xâm nhập và cũng đã tắt chức năng rút tiền
Nhưng họ không thể làm gì trên chuỗi 💥
Bản tổng kết lần này của Bloomberg đã phơi bày toàn bộ quá trình
Mục tiêu là ví nóng của Binance có mã hiệu Binance 14, tương tự như máy tính tiền trực tuyến, thường xuyên lưu trữ lượng lớn Ethereum, stablecoin và hàng chục loại token
Nếu chuyển từng khoản một, giao dịch nào cũng có thể bị hệ thống kiểm soát rủi ro chặn lại, nên hacker đã đi đường tắt
Đường tắt này có tên EIP 7702, được triển khai vào tháng 5 năm 2025
Mục đích ban đầu là giúp ví dễ sử dụng hơn: cho phép ví ủy quyền cho một đoạn mã thay mình thao tác, đồng thời có thể gộp nhiều hành động thành một lần thực thi
Phân tích trên chuỗi của công ty bảo mật Blockaid cho thấy hacker đầu tiên trả khoảng 15 USD để đoạn mã này có quyền thay mặt ví hành động
Bản thân giao dịch đó không chuyển bất kỳ khoản tiền nào, mà chỉ báo cho Ethereum rằng từ đó về sau, đoạn mã này có thể thực hiện các thao tác của ví
Sau khi quyền ủy quyền có hiệu lực, việc vét sạch tiền chỉ cần một giao dịch
167.464 ETH, cùng hơn 60 loại token khác, trong đó khoản lớn nhất là 1,6 tỷ USD USDT
Theo thống kê của công ty tình báo blockchain Elliptic, sau đó quyền này liên tục được sử dụng, tổng cộng chuyển đi khoảng 3,6 tỷ USD, bao gồm thêm 823 triệu USD và bốn đợt vét tiền bổ sung ⚠️
Điểm chí mạng là quyền ủy quyền này được ghi trên chuỗi, chứ không nằm trên máy chủ của nền tảng
Tắt chức năng rút tiền hay dừng ví nóng đều không thể thu hồi quyền đó, trong khi kênh nạp tiền vẫn tiếp tục chuyển tiền vào địa chỉ này, chẳng khác nào tiếp thêm đạn cho kẻ tấn công
Người phát ngôn của Binance xác nhận với Bloomberg rằng EIP 7702 đóng vai trò quan trọng trong vụ việc, đồng thời cho biết họ đã thu hồi các quyền ủy quyền bị ảnh hưởng, xây dựng lại cơ sở hạ tầng ví bị ảnh hưởng và cập nhật cơ chế ký cùng giám sát; tiền của người dùng vẫn an toàn, còn nền tảng tự chịu mọi tổn thất
Theo tôi, vụ này từ đầu đến cuối không hề đụng đến khóa riêng
Thứ bị đánh cắp không phải mật khẩu, mà là ranh giới của quyền ủy quyền
Ví ngày càng giống ứng dụng ngân hàng, và quyền có thể được ký chỉ bằng một lần nhấn cũng ngày càng rộng. Người dùng không nhìn thấy đoạn mã đó, cũng không biết nó đã được thu hồi hay chưa 🔑
Trước đây, mọi người lo lộ cụm từ khôi phục
Giờ đây, điều cần lo là mình đã ký những gì
Với người dùng phổ thông, việc nên làm là thường xuyên xem lại lịch sử cấp quyền của ví và thu hồi những quyền ủy quyền không còn dùng đến, đặc biệt là quyền của những DApp chỉ tương tác một lần
Cùng trò chuyện ở phần bình luận nhé: lần gần nhất bạn kiểm tra quyền ủy quyền của ví là khi nào?
Mỗi ngày, chúng tôi giúp bạn cập nhật các chủ đề nóng về bảo mật tiền mã hóa và quản lý. Không chỉ theo dõi tin tức, mà còn giúp bạn hiểu logic và cơ hội đằng sau 👀🚀
Nhấn vào ảnh đại diện để xem livestream
