Hé lộ kỹ thuật tin tặc xâm nhập hệ thống ký ví Binance, rút sạch 6,3 tỷ USD trong 20 phút

Sự cố bảo mật gây chấn động nhắm vào Binance khiến lượng tài sản số trị giá ước tính 6,3 tỷ USD bị ảnh hưởng. Phân tích dữ liệu blockchain từ đơn vị điều tra độc lập chỉ ra rằng nhóm tấn công đã kiểm soát thành công hệ thống hạ tầng ký giao dịch, chuẩn bị kịch bản thực thi kỹ lưỡng trước 36 giờ và hoàn tất việc rút phần lớn tài sản chỉ trong vòng 20 phút ngắn ngủi.

Lỗ hổng tại hạ tầng ký duyệt giao dịch

Theo báo cáo từ TRM Labs do Reuters dẫn lại, điểm then chốt của vụ tấn công nằm ở hệ thống hạ tầng ký giao dịch (transaction signing infrastructure) của Binance. Trong mô hình quản trị tài sản số của các sàn giao dịch lớn, đây là lớp kiến trúc kiểm duyệt tối quan trọng chịu trách nhiệm ký phát và phê chuẩn mọi giao dịch rút tiền từ ví nóng (hot wallet) ra mạng ngoài.

Khi kẻ tấn công chiếm được quyền kiểm soát hoặc can thiệp vào quy trình cấp chữ ký này, hệ thống sẽ nhận diện các lệnh chuyển tiền độc hại như những giao dịch hợp lệ thông thường. Điều này lý giải tại sao lượng tài sản khổng lồ có thể di chuyển ra khỏi hệ thống bảo mật đa tầng của sàn mà không bị cơ chế ngắt mạch tự động phong tỏa ngay lập tức.

Về vector xâm nhập ban đầu, đại diện Binance cho biết nghi vấn tập trung vào thiết bị xách tay của một kỹ sư thuộc bộ phận DevOps – vị trí phụ trách vận hành và phát triển hạ tầng phần mềm. Dù vậy, các cuộc điều tra chuyên sâu sau đó cho thấy tin tặc có thể đã khai thác nhiều điểm xâm nhập phức tạp khác nhau.

Lộ trình chuẩn bị 36 giờ và đòn tấn công chớp nhoáng

Dữ liệu on-chain cho thấy cuộc tấn công không diễn ra bộc phát mà được tính toán chi tiết từng bước:

• Ngày 28/10: Nhóm tin tặc thực hiện ba giao dịch rút thử nghiệm với giá trị nhỏ về địa chỉ ví kiểm soát để đo lường phản ứng hệ thống.
• Đầu ngày 29/10: Mã độc đầu tiên được kích hoạt thử nghiệm lần lượt trên hai ví, sau đó hoàn thiện phiên bản cuối trên ví thứ ba trước khi hoàn trả tiền thử nghiệm.
• Khoảng 4 giờ sau thử nghiệm: Đoạn mã độc hại chính thức được cài đặt thẳng vào hạ tầng ví nóng của Binance.
• 20h05 UTC ngày 29/10 (3h05 ngày 30/10 tại Hà Nội): Đợt tổng lực rút tiền bắt đầu. Trong 4 phút đầu, 5 ví trên mạng XRP Ledger bị rút sạch 233,46 triệu XRP.
• Từ 20h09 đến 20h20 UTC: Các luồng tiền trên Solana, Optimism và Bitcoin lần lượt bị kích hoạt. Ví nóng Bitcoin chuyển đi 18.270 BTC.
• Hai phút tiếp theo: Ví nóng trên mạng Tron bị rút tiếp 612,7 triệu USDT cùng 46,4 triệu TRX.

Sau khi rút thành công 18.270 BTC, kẻ tấn công lập tức băm nhỏ số tiền thành các gói 100 BTC và 1.000 BTC. Đây là kỹ thuật phân tán dòng tiền điển hình nhằm gây nhiễu các công cụ theo dõi on-chain tự động và làm chậm quá trình đóng băng tài sản từ các đơn vị quản lý.

Quy mô luồng tiền bị ảnh hưởng qua các mạng blockchain

Dưới đây là chi tiết các dòng tài sản trọng yếu bị tin tặc chuyển hướng trong đợt tấn công:

Mạng blockchain	Tài sản bị ảnh hưởng	Khối lượng ghi nhận	Đặc điểm xử lý của tin tặc
XRP Ledger	XRP	233,46 triệu XRP	Rút cạn kiệt số dư trên 5 ví trong 4 phút đầu
Bitcoin	BTC	18.270 BTC	Chia nhỏ dòng tiền thành các lô 100 và 1.000 BTC
Tron	USDT, TRX	612,7 triệu USDT / 46,4 triệu TRX	Tẩu tán nhanh nhằm tránh cơ chế đóng băng của nhà phát hành
Solana & Optimism	Đa tài sản	Chưa công bố chi tiết	Rút đồng loạt ngay sau mạng XRP

Đánh giá thiệt hại và cơ chế phòng vệ của hệ thống

Binance xác nhận tổng giá trị tài sản số chịu tác động là khoảng 6,3 tỷ USD, song con số này không đồng nghĩa với khoản tổn thất vĩnh viễn không thể thu hồi. Quy mô vụ việc vượt qua đợt tấn công sàn Bybit (khoảng 1,5 tỷ USD năm 2025) và vụ LuBian mất 127.000 BTC năm 2020, đặt ra thách thức bảo mật lớn nhất từ trước đến nay cho ngành tiền mã hóa.

Để bảo toàn thanh khoản và niềm tin người dùng, sàn giao dịch kích hoạt quỹ SAFU (Secure Asset Fund for Users), hiện đang nắm giữ lượng Bitcoin trị giá xấp xỉ một tỷ USD, kết hợp nguồn lực tài chính nội bộ nhằm cam kết bảo đảm an toàn toàn diện cho tài sản của khách hàng. Đồng CEO Richard Teng khẳng định danh tính nhóm tin tặc vẫn đang trong quá trình xác minh, bất chấp nhiều giả thuyết kỹ thuật liên hệ dấu vết với các nhóm tấn công mạng chuyên nghiệp.