Vụ tấn công Binance trị giá 6,3 tỷ đô la đã làm gia tăng lo ngại rằng làn sóng trộm cắp tiền mã hóa tiếp theo có thể được phối hợp chặt chẽ hơn—và gây gián đoạn lớn hơn—so với những gì ngành này từng chứng kiến. Sau vụ tấn công, công ty tình báo blockchain TRM Labs cho biết họ đã nhanh chóng xác định thủ phạm, đồng thời chỉ ra bằng chứng liên kết vụ việc với nhóm tin tặc TraitorTrader có liên hệ với nhà nước Triều Tiên.

Trong khi đó, Binance đã mô tả đường xâm nhập trong báo cáo hậu kiểm đăng ngày 3 tháng 11, cho biết những kẻ tấn công giả danh nhà tuyển dụng để đưa mã độc vào máy tính làm việc của một kỹ sư, sau đó lợi dụng một công cụ AI nội bộ bị xâm nhập để truy cập các chức năng ký ví. Ari Redbord, trưởng bộ phận chính sách của TRM Labs, nói với Cointelegraph rằng dù phản ứng phối hợp của ngành diễn ra nhanh bất thường, các tổ chức nên chuẩn bị cho nhiều nỗ lực kiểu này hơn.

Những điểm chính

• TRM Labs quy vụ hack Binance cho nhóm TraitorTrader của Triều Tiên, dựa trên cả bằng chứng on-chain lẫn off-chain.

• Binance cho biết những kẻ tấn công đã dùng “các buổi phỏng vấn việc làm giả” để cài mã độc, sau đó xâm nhập thông qua một công cụ AI nội bộ bị xâm phạm để tiếp cận quy trình ký giao dịch của ví.

• Tether và các đơn vị phát hành stablecoin khác đã đóng băng lượng token trị giá khoảng 2,67 tỷ USD sau đợt tẩu tán chính, trong đó Tether đóng băng 971,1 triệu USDT chỉ trong 37 phút.

• Theo thông tin được đưa ra, Beacon Network của TRM đã giúp phong tỏa tiền nhanh hơn rất nhiều so với thông thường trong các sự cố trước đây.

• TRM cảnh báo rằng ngay cả sự phối hợp chặt chẽ cũng có thể không ngăn được các vụ hack trong tương lai, đồng thời cho rằng lực lượng phòng thủ cần chuyển sang hành động tấn công và hành động có sự hậu thuẫn của chính phủ.

Vì sao tranh luận về quy kết thủ phạm lại quan trọng

Việc quy kết thủ phạm không chỉ là một dòng tít trong các vụ hack tiền mã hóa gây chú ý—nó có thể định hình cách các sàn giao dịch, đơn vị phát hành stablecoin và cơ quan thực thi pháp luật đánh giá mức độ phơi nhiễm rủi ro cũng như gây áp lực lên chuỗi rửa tiền. TRM Labs cho biết họ là một trong những đơn vị đầu tiên quy vụ tấn công Binance cho TraitorTrader, đồng thời trước đó đã liên kết nhóm này với vụ đánh cắp lớn tại Bybit vào tháng 2 năm 2025.

Trong các báo cáo về sự cố Binance, TRM cho biết kết luận của họ dựa trên bằng chứng on-chain và off-chain “không thể chối cãi”. Điều này quan trọng với những người tham gia thị trường vì giúp định hướng đánh giá rủi ro và thứ tự ưu tiên ứng phó sự cố, đặc biệt khi tiền bị đánh cắp vẫn đang được luân chuyển và các bên đối tác phải quyết định mức độ quyết liệt trong việc đóng băng, giám sát hoặc hợp tác.

Binance kể lại cách những kẻ tấn công xâm nhập

Binance cho biết vụ xâm nhập bắt đầu bằng kỹ thuật thao túng tâm lý. Theo báo cáo hậu sự cố đề ngày 3 tháng 11, những kẻ tấn công giả làm nhà tuyển dụng để cài mã độc vào máy tính làm việc của một kỹ sư. Sau đó, theo cáo buộc, chúng sử dụng một công cụ AI nội bộ đã bị xâm phạm để tạo đường truy cập đến dịch vụ ký giao dịch của ví trên sàn.

Chuỗi sự kiện này cho thấy một xu hướng đang trở thành mối lo ngại trọng tâm đối với hạ tầng tiền mã hóa lớn: những kẻ tấn công ngày càng kết hợp các chiến thuật nhắm vào con người với quyền truy cập vào công cụ nội bộ, thay vì chỉ dựa vào việc khai thác trực tiếp các hệ thống công khai.

Phối hợp nhanh chóng—và quy mô đóng băng stablecoin

Ari Redbord của TRM cho biết một trong những khía cạnh đáng chú ý nhất trong phản ứng của Binance là tốc độ và quy mô nỗ lực ngăn tiền bị đánh cắp chuyển ra ngoài chuỗi. Theo thông tin được đưa ra, Tether đã đóng băng 971,1 triệu USDT chỉ 37 phút sau đợt tẩu tán chính. TRM cũng ước tính rằng các đơn vị phát hành stablecoin đã phối hợp đóng băng lượng token trị giá khoảng 2,67 tỷ USD.

Redbord mô tả hành động phối hợp đóng băng stablecoin là chưa từng có tiền lệ, đồng thời cho biết các đợt đóng băng sớm giúp ngành thu hồi khoảng 40% “ngay từ đầu”. Trên thực tế, việc phong tỏa nhanh có thể giúp lực lượng phòng thủ có thêm thời gian—cho cả công tác điều tra lẫn các bước vận hành cần thiết để kiểm soát tiền trước khi chúng bị chuyển đổi, chuyển qua cầu nối hoặc phân tán.

TRM cũng nhắc đến Beacon Network, hệ thống chia sẻ thông tin tình báo được ra mắt vào năm 2025, như một yếu tố then chốt giúp phối hợp nhanh chóng. Redbord cho biết các cảnh báo Beacon thường tương đối thưa thớt, nhưng những ngày quanh vụ hack Binance được cho là đã ghi nhận hàng trăm cảnh báo—thậm chí có thể lên tới một nghìn—cho thấy hoạt động phối hợp đồng bộ giữa các tổ chức tham gia tăng mạnh.

Từ phản ứng phối hợp đến mối đe dọa dai dẳng

Redbord của TRM lập luận rằng dù phản ứng phối hợp lần này đặc biệt mạnh mẽ, về lâu dài nó có thể không ngăn được những kẻ tấn công có liên hệ với nhà nước. Ông cảnh báo năng lực đánh cắp của Triều Tiên vẫn rất hiệu quả và có ý nghĩa lớn về mặt kinh tế.

Ông mô tả vụ đánh cắp ngày 29 tháng 10 có quy mô tương đương khoảng một phần ba GDP của đất nước này, đồng thời cho biết vụ việc chiếm một nửa trong số 12,5 tỷ USD bị tin tặc được nhà nước hậu thuẫn đánh cắp kể từ năm 2017. Ông lập luận rằng ngay cả khi chỉ thu hồi được 1 tỷ USD, tiềm năng lợi ích vẫn đủ lớn để duy trì các nỗ lực tấn công lặp đi lặp lại.

Bối cảnh đó rất quan trọng với độc giả đang theo dõi liệu các biện pháp ứng phó khủng hoảng có “hiệu quả” hay không. Ngành công nghiệp có thể cải thiện hoạt động phát hiện và đóng băng, nhưng nếu mô hình tấn công nền tảng vẫn có khả năng chống chịu—và nếu các lỗ hổng có thể bị khai thác được phát hiện nhanh hơn khả năng vá lỗi của bên phòng thủ—thì mỗi vụ hack lớn có thể trở thành một mô hình kinh doanh lặp lại cho những kẻ tấn công.

Điều đã thay đổi: công cụ phối hợp và giới hạn của phòng thủ

Bản tường thuật của TRM cho thấy phản ứng của ngành đang chuyển từ xử lý sự cố riêng lẻ sang chia sẻ thông tin tình báo nhanh hơn. Beacon Network dường như được định vị như một cơ chế rút ngắn độ trễ giữa lúc phát hiện và hành động; mô tả của Redbord cho thấy vụ hack Binance đã dẫn đến nhịp độ hoạt động cao bất thường.

Đồng thời, các nguồn tin bên ngoài được bài viết dẫn lại cho biết một chương trình hợp tác trước đây của TRM có tên T3 Financial Crime Unit—được thành lập cùng Tron và Tether vào tháng 9 năm 2024—đã bị giải thể vào cuối tháng 8, theo bản tin của Bloomberg được Cointelegraph dẫn lại. Cùng nguồn tin này cho biết các nguồn tin quy nguyên nhân đóng cửa cho phản ứng chậm và phối hợp kém. Theo thông tin được đưa ra, Tether cho biết họ sẽ tiếp tục làm việc với TRM thông qua Beacon.

Nhìn chung, câu chuyện cho thấy một mâu thuẫn trong cách tiếp cận vận hành của lĩnh vực này: các sáng kiến phối hợp trên diện rộng có thể khó duy trì, nhưng những hệ thống chia sẻ thông tin tình báo gọn hơn và nhanh hơn có thể hiệu quả hơn trong các cuộc khủng hoảng diễn biến nhanh.

Chuyển hướng sang các biện pháp tấn công

Người đứng đầu bộ phận chính sách của TRM Labs đã đề cập đến nhiều vấn đề hơn là ứng phó sự cố. Ông lập luận rằng để ngăn chặn các vụ hack có liên quan đến Triều Tiên, chính phủ cần có hành động tấn công, chứ không chỉ dựa vào các biện pháp phòng thủ của doanh nghiệp tư nhân. Theo TRM, Triều Tiên sử dụng tin tặc như một cánh tay của nhà nước, điều này làm thay đổi các biện pháp đối phó phù hợp.

Báo cáo về khoảng cách năng lực của TRM được bài viết dẫn lại mô tả thách thức là khoảng cách giữa bên tấn công và bên phòng thủ ngày càng nới rộng. Công ty cho biết khoảng cách này bắt nguồn từ việc bên tấn công sớm áp dụng các công nghệ tiên tiến nhất, bao gồm AI, đồng thời lập luận rằng các cơ quan thực thi pháp luật và đội ngũ tuân thủ cần có năng lực AI để phát hiện và vá lỗ hổng đủ nhanh nhằm theo kịp.

Kết luận của Redbord rất thẳng thắn: ông kêu gọi lực lượng phòng thủ “phản công bằng tin tặc”, kết hợp các chiến dịch tấn công mạng với hành động nhắm vào mạng lưới rửa tiền và các kênh ngân hàng mà những kẻ tấn công sử dụng để rút tiền. Theo cách nhìn của ông, đây không chỉ đơn thuần là an ninh mạng—mà là “chiến tranh mạng”.

Khi ngành công nghiệp nghiền ngẫm báo cáo hậu sự cố của Binance và kết luận quy kết của TRM, những câu hỏi tiếp theo của nhà đầu tư và các nhà phát triển có thể sẽ tập trung vào khâu triển khai: liệu các mạng lưới chia sẻ thông tin tình báo như Beacon có thể duy trì việc phong tỏa nhanh chóng trên quy mô lớn hay không, và liệu các nhà hoạch định chính sách có hành động theo lời kêu gọi của TRM về các biện pháp tấn công thay vì chủ yếu dựa vào phòng thủ phản ứng hay không.

Bài viết này ban đầu được đăng với tiêu đề TRM Labs Executive Calls Binance Hack “Cyber War” Event trên Crypto Breaking News – nguồn tin đáng tin cậy của bạn về tin tức tiền mã hóa, Bitcoin và các cập nhật blockchain.