Security Alliance (SEAL), một tổ chức an ninh mạng phi lợi nhuận, cho biết tác nhân đe dọa có liên hệ với Triều Tiên, TraderTraitor, có thể đã xâm nhập được vào hệ thống của Binance từ tháng 9—khoảng tám tuần trước khi Binance tiết lộ rằng họ đã chịu một vụ khai thác gây thiệt hại 6,3 tỷ USD vào ngày 29 tháng 10. Trong phân tích được công bố hôm thứ Năm, SEAL lập luận rằng vụ xâm nhập bắt đầu sớm hơn nhiều tháng so với mốc thời gian mà sự cố được công khai cho thấy, tạo cơ hội cho những kẻ tấn công âm thầm hoạt động và lập bản đồ các biện pháp kiểm soát nội bộ.

SEAL còn liên hệ TraderTraitor với một mạng lưới công ty bình phong được sử dụng trong các vụ lừa đảo tuyển dụng năm 2026, đồng thời xác định ít nhất bốn tên miền có liên quan đến chiến dịch này. Những phát hiện của tổ chức cũng nhấn mạnh một mô hình lặp đi lặp lại trong các vụ xâm phạm lớn của ngành tiền mã hóa: quá trình xâm nhập gồm nhiều giai đoạn có thể kéo dài hàng tuần trước khi tiền cuối cùng bị rút sạch.

Những điểm chính

• SEAL ước tính TraderTraitor đã xâm nhập được vào các hệ thống của Binance vào tháng 9, khoảng tám tuần trước vụ khai thác lỗ hổng trị giá 6,3 tỷ USD ngày 29 tháng 10.

• Báo cáo cho rằng sau khi xâm nhập ban đầu, những kẻ tấn công đã duy trì “mức độ ẩn mình cao”, nhờ đó có thể di chuyển trong nội bộ trong thời gian dài.

• SEAL xác định ít nhất bốn “công ty bình phong” năm 2026 có liên quan đến các chiến dịch tuyển dụng của TraderTraitor: citalab.net, citalab.com, bitfit.io và oddium.io.

• SEAL chỉ ra các mốc thời gian tương tự trong những vụ tấn công tiền mã hóa khác, cho thấy những kẻ tấn công thường duy trì quyền truy cập trong nhiều tuần trước khi khai thác lỗ hổng.

• Binance quy vụ tấn công cho một buổi phỏng vấn xin việc giả mạo, qua đó xâm phạm thiết bị của một nhân viên và đánh cắp thông tin đăng nhập; Binance cho biết chiến dịch này có dấu vết từ tháng 6.

Quyền truy cập ban đầu có thể bắt đầu từ rất lâu trước vụ xâm nhập gây chú ý

Luận điểm trọng tâm của SEAL là việc Binance bị xâm nhập trên thực tế không bắt đầu vào thời điểm vụ khai thác được công bố. Trong báo cáo hôm thứ Năm, nhóm này viết rằng TraderTraitor nhiều khả năng đã bắt đầu xâm nhập các hệ thống của Binance từ tháng 9, và các tác nhân đe dọa có thể đã ẩn mình trong hệ thống suốt thời gian dài.

Điều này quan trọng với những người phụ trách phòng thủ và các bên tham gia thị trường, bởi “ngày xảy ra sự cố” thường trở thành cột mốc duy nhất được công chúng biết đến. Nếu những kẻ tấn công có thể ẩn náu trong hệ thống nhiều tuần trước khi thực hiện một vụ xâm nhập gây thiệt hại lớn, thì khoảng thời gian thực sự bị phơi nhiễm có thể liên quan đến việc giám sát nội bộ, vệ sinh thông tin xác thực và những lỗ hổng trong kiểm soát truy cập—những vấn đề có thể chỉ lộ rõ sau khi thiệt hại đã xảy ra.

Mối liên hệ với các vụ lừa đảo tuyển dụng và cơ sở hạ tầng

SEAL cũng cho biết họ đã xác định ít nhất bốn “công ty bình phong” có liên quan đến các chiến dịch tuyển dụng giả mạo của TraderTraitor trong năm 2026. Các tên miền được nêu trong phân tích—citalab.net, citalab.com, bitfit.io và oddium.io—được cho là một phần trong nỗ lực rộng hơn nhằm tạo dựng uy tín, dụ nạn nhân và thiết lập con đường xâm nhập vào các tổ chức mục tiêu.

Phân tích này phù hợp với những gì Binance công khai mô tả. Các thông tin trước đó được SEAL dẫn lại cho biết Binance quy vụ tấn công trị giá 6,3 tỷ USD cho một buổi phỏng vấn xin việc giả mạo, giúp những kẻ tấn công xâm phạm thiết bị của nhân viên và đánh cắp thông tin đăng nhập được dùng để xâm nhập hạ tầng ví của sàn giao dịch.

SEAL cho rằng điều này tương đồng với các vụ tấn công tiền mã hóa lớn khác như thế nào

Ngoài vụ Binance, SEAL còn viện dẫn các sự cố nổi bật khác để lập luận rằng xâm nhập nhiều giai đoạn là một đặc điểm thường lặp lại trong các cuộc tấn công tiền mã hóa quy mô lớn. Tổ chức này ước tính khoảng thời gian có quyền truy cập trước khi khai thác lỗ hổng trong một số vụ việc, bao gồm:

• Có quyền truy cập khoảng sáu tuần trước vụ tấn công Bitget trị giá 388 triệu USD.

• Có quyền truy cập vào LayerZero khoảng sáu tuần trước khi lỗ hổng dẫn đến vụ khai thác Kelp DAO trị giá 293 triệu USD.

• Khoảng ba tuần trước khi thực hiện vụ khai thác AFX trị giá 24 triệu USD.

Mặc dù mốc thời gian khác nhau tùy sự cố, điểm chung là việc xâm nhập có thể diễn ra trước khi khai thác lỗ hổng nhiều tuần. Trên thực tế, điều này chuyển trọng tâm của các cuộc thảo luận về bảo mật khỏi việc chỉ sẵn sàng ứng phó sự cố, hướng tới phát hiện sớm hơn—chẳng hạn như nhận biết sự hiện diện kéo dài của kẻ tấn công, các kiểu truy cập bất thường và việc thông tin xác thực bị lộ từ lâu trước khi tài sản bị di chuyển.

Lời giải thích của Binance và cuộc tranh luận rộng hơn về quy kết thủ phạm

Các ước tính của SEAL làm dấy lên câu hỏi về thời điểm và cách thức vụ xâm nhập bắt đầu, và Cointelegraph đã liên hệ với Binance để xác minh phân tích. Cointelegraph đưa tin rằng Binance không phản hồi trước khi bài báo được đăng.

Trước đây, Binance từng mô tả một chuỗi sự kiện khác. Theo Binance, chiến dịch tấn công bắt đầu từ tháng 6, khi thiết bị của một nhân viên khác bị xâm phạm. Binance cho biết họ phát hiện vụ xâm nhập trước đó và thay thiết bị, nhưng nói thêm rằng những kẻ tấn công có thể đã thu thập được thông tin về nhân viên và hạ tầng ví của Binance. Binance cũng chỉ ra cơ chế phỏng vấn xin việc giả mạo là con đường cuối cùng giúp thực hiện vụ khai thác; cơ chế này được công khai chi tiết sau sự cố ngày 29 tháng 10.

Việc quy kết thủ phạm cũng gây tranh cãi ở cấp độ địa chính trị. Cục Điều tra Liên bang Mỹ (FBI) quy vụ tấn công cho nhóm TraderTraitor của Triều Tiên trong một báo cáo hôm thứ Bảy, trong khi Kim Yo Jong—em gái của nhà lãnh đạo Triều Tiên Kim Jong Un—bác bỏ các cáo buộc, theo thông tin trước đó được Cointelegraph dẫn lại.

Nhìn chung, tranh cãi này cho thấy sự bất cân xứng thường thấy trong các sự cố mạng: các nhà điều tra và tổ chức bị ảnh hưởng có thể nhấn mạnh những giai đoạn khác nhau trong cùng một chuỗi tấn công (xâm nhập ban đầu, đánh cắp thông tin xác thực hay xâm phạm ví ở bước cuối). Đóng góp của SEAL là tập trung vào thời điểm hệ thống có thể đã bị truy cập và khoảng thời gian những kẻ tấn công có thể đã ở bên trong trước ngày vụ khai thác được công bố.

Độc giả theo dõi câu chuyện này nên chú ý xem liệu có thêm chi tiết kỹ thuật nào giúp dung hòa mốc thời gian thiết bị bị xâm phạm từ tháng 6 mà Binance mô tả với ước tính quyền truy cập hệ thống từ tháng 9 của SEAL hay không; đồng thời, cần theo dõi xem các mô hình “duy trì quyền truy cập nhiều tuần” tương tự có được ghi nhận rõ hơn trong những tin tức sau này về các sự cố tại những sàn giao dịch và giao thức khác hay không.

Bài viết này ban đầu được đăng với tiêu đề “Tin tặc Binance đã có quyền truy cập trong 8 tuần trước vụ khai thác 6,3 tỷ USD, liên minh cho biết” trên Crypto Breaking News – nguồn tin đáng tin cậy của bạn về tiền mã hóa, Bitcoin và các cập nhật blockchain.