Theo điều tra của Binance, vụ việc có thể khởi đầu từ một chiếc laptop của kỹ sư vận hành hệ thống bị xâm nhập.
Hôm thứ Năm, Binance bất ngờ tạm dừng toàn bộ hoạt động nạp và rút tiền. Sàn giao dịch tiền mã hóa lớn nhất thế giới cho biết đang kiểm tra an ninh, đóng băng tài sản và làm việc với cơ quan chức năng. Ông Changpeng Zhao, nhà sáng lập Binance, thừa nhận trên mạng xã hội X rằng đây có vẻ là một vụ hack. Ông khẳng định tiền của người dùng vẫn an toàn.
Con số thiệt hại đến nay chưa thống nhất. Chuyên gia Taylor Monahan của nhóm bảo mật SEAL 911 ước tính từ hơn 2 tỷ đến 5,5 tỷ USD. Chainalysis đưa ra con số 5,9 tỷ USD, còn TRM Labs cho rằng hơn 6 tỷ USD. Theo ước tính nào, đây cũng đều vượt kỷ lục cũ là 1,5 tỷ USD trong vụ tấn công sàn Bybit năm 2025.
Cuộc tấn công diễn ra như thế nào?
Vậy hacker đã làm cách nào? Câu trả lời bắt đầu từ EIP-7702, một tính năng của mạng Ethereum. Thông thường, ví Ethereum chỉ hành động theo lệnh của người giữ khóa riêng, tức chiếc chìa duy nhất mở được ví. Tính năng này cho phép chủ ví giao quyền điều khiển ví cho một đoạn phần mềm. Có thể hình dung đó như việc chủ két sắt ký giấy ủy quyền cho một người quản lý, làm việc theo quy tắc đã cài sẵn. Đây là tính năng hợp lệ, không phải lỗi của Ethereum.
Vậy kẻ tấn công vào bằng đường nào? Theo Binance, điều tra ban đầu chỉ ra laptop của một kỹ sư vận hành hệ thống đã bị xâm nhập. Từ máy này, hắn có thể vào môi trường chạy dịch vụ của sàn và gửi lệnh rút tiền trái phép. Sàn cho biết chưa thấy bằng chứng khóa riêng của ví bị lộ, nhưng cuộc điều tra vẫn đang tiếp diễn. Một số báo cáo ban đầu từng cho rằng hacker đã có khóa ví. Nhận định đó hiện chưa được xác nhận.
Công ty bảo mật Blockaid đưa ra đánh giá sơ bộ tương tự. Ông Ben-Natan của Blockaid gọi đây là “lạm dụng khóa”. Nghĩa là kẻ tấn công không lấy cắp chiếc khóa. Hắn chiếm hoặc đánh lừa hệ thống ký giao dịch của sàn, để hệ thống này tự duyệt những lệnh độc hại. Có thể hình dung như con dấu của một công ty. Kẻ gian không lấy con dấu, mà khiến chính bộ phận giữ dấu đóng vào giấy tờ giả. Ông Ben-Natan nói: “Có vẻ đây là việc chiếm hạ tầng ký giao dịch. Chúng tôi không nghĩ khóa bị lộ.”
Phân tích dữ liệu trên chuỗi của Blockaid cho thấy bước tiếp theo. Hacker gộp 50 giấy ủy quyền EIP-7702 vào một giao dịch nhắm vào ví mang tên “Binance 14”. Mỗi giấy mang một số thứ tự, và ví chỉ chấp nhận giấy có đúng số đang chờ. Một trong 50 giấy khớp số này nên được duyệt.
Sau đó, ví bị giao cho một hợp đồng thông minh chưa được xác minh. Hợp đồng này cho phép một người vận hành được chỉ định rút token và ETH. Đó chính là “máy hút tiền”, bất cứ tài sản nào được chuyển vào ví này đều lập tức bị tự động chuyển tiếp đến địa chỉ do kẻ tấn công kiểm soát. Ông Ben-Natan cho rằng chiến dịch có thể liên quan nhiều thiết bị bị xâm nhập và di chuyển trong mạng nội bộ của sàn.
Nói cách khác, hacker không cần liên tục đăng nhập vào ví hay tự tay tạo từng giao dịch rút tiền. Chúng chỉ cần khiến ví chấp nhận cơ chế chuyển tiếp nói trên, sau đó để phần mềm tự động làm phần việc còn lại. Chiếc ví vốn được dùng để lưu trữ tài sản đã trở thành một trạm trung chuyển tiền thẳng vào tay kẻ tấn công.
Thiệt hại lớn nhất trong lịch sử tiền mã hóa
Dữ liệu trên Etherscan cho thấy diễn biến sau đó. Lúc 20h24 theo giờ UTC, tức 4h24 chiều giờ miền Đông Mỹ, 167.464 ETH rời ví Binance 14. Tiếp đó, 28.005,6 ETH rời ví Binance 16. Cả hai khoản đều chảy vào ví của kẻ tấn công. Gần 15 phút sau, 195.460 ETH, trị giá khoảng 442 triệu USD, tiếp tục được chuyển sang một địa chỉ thứ hai.
Hậu quả nặng nề hơn vì đây không phải những chiếc ví bình thường. Mỗi tháng, Binance công bố danh sách ví do sàn kiểm soát cùng số tài sản trong đó, rồi đối chiếu với số dư của khách hàng để chứng minh sàn giữ đủ tiền. Báo cáo ngày 1/10 ghi nhận ví Binance 14 chứa 1,26 tỷ USDT và 89.475 ETH. Nói cách khác, chính những ví Binance dùng làm bằng chứng dự trữ lại là mục tiêu bị rút tiền.
Lớp đệm an toàn lúc đó rất mỏng. Ngày 1/10, Binance giữ đúng 100% lượng ETH so với số dư của khách. Khoảng 204.500 ETH bị lấy tương đương 5,6% dự trữ, nên mức bảo chứng ETH nhiều khả năng đã tụt xuống khoảng 94% cho đến khi sàn bù lại. Các token nhỏ hơn như ENA, UNI, PEPE và AAVE cũng mất từ 7% đến 15% lượng sàn nắm giữ.
Gần 6 tỷ USD tài sản mã hóa đã bị rút ra khỏi giao dịch do vụ tấn công này, lớn nhất trong lịch sử
Đó là lý do Binance liên tục trấn an. Bà Yi He, đồng CEO của sàn, và ông Zhao đều nói tiền người dùng an toàn. Trên thực tế, điều này có nghĩa là sàn sẽ trả đủ số dư cho khách dù tài sản phía sau đã bị lấy. Quỹ khẩn cấp SAFU của Binance đang giữ khoảng 1 tỷ USD bitcoin và có thể dùng để bù đắp.
Một phần tiền bị trộm đã bị chặn đứng nhờ các nhà phát hành stablecoin. Khi đóng băng, họ đưa địa chỉ ví của hacker vào danh sách đen. Số token trong ví đó nằm yên, hacker không thể chuyển, bán hay rút. Ông Paolo Ardoino, CEO Tether, cho biết hơn 1,567 tỷ USDT đã bị đóng băng. Theo ông Zhao, Circle đóng băng khoảng 823 triệu USDC. Ripple khóa khoảng 200 triệu USD, còn World Liberty Financial khóa 27 triệu USD1. Binance sau đó điều chỉnh tổng tài sản bị đóng băng lên 3 tỷ USD, trải trên nhiều loại tài sản.
Vụ việc cũng cho thấy vì sao sàn tiền mã hóa luôn là mục tiêu hấp dẫn. Khác với sàn chứng khoán, nhiều sàn tiền mã hóa trực tiếp giữ tài sản thay khách hàng, nên một lượng tiền rất lớn nằm tập trung trong các ví. Vài giờ trước đó, nền tảng dự đoán Polymarket cũng báo bị rút ít nhất 2,6 triệu USD. Binance.US cho biết không bị ảnh hưởng.
Ảnh chụp dự trữ tiếp theo của Binance sẽ diễn ra vào ngày 1/11. Báo cáo đó sẽ cho biết sàn đã bù lại số tài sản bị mất hay chưa. Cho đến lúc ấy, dự trữ ETH của Binance nhiều khả năng vẫn nằm dưới mức 100%, dù sàn cam kết không để khách hàng chịu thiệt.
