Vụ Binance mất 6,3 tỷ USD tài sản số: Hacker giả nhà tuyển dụng cài mã độc vào máy kỹ sư Binance
Binance công bố báo cáo ban đầu: cuộc phỏng vấn giả mạo, Homebrew nhiễm mã độc và tính năng EIP-7702 của Ethereum bị khai thác trong chuỗi tấn công vào ví nóng.
Sàn giao dịch tiền mã hóa Binance cho biết vụ tấn công khiến khoảng 6,3 tỷ USD tài sản số bị đánh cắp bắt đầu từ một cuộc phỏng vấn tuyển dụng giả nhắm vào kỹ sư phần mềm đang tìm việc mới. Theo báo cáo ban đầu công bố ngày 3/11, tin tặc gửi bài kiểm tra lập trình chứa mã độc, mở đường cho vụ đánh cắp cuối tháng 10.
Cuộc phỏng vấn giả mạo: kỹ thuật tấn công nhắm vào con người
Theo CEO Binance Richard Teng, tin tặc giả danh nhà tuyển dụng và tiếp cận một kỹ sư của sàn qua nền tảng tuyển dụng hợp pháp. Sau đó, chúng gửi bài kiểm tra lập trình có chứa mã độc.
Giám đốc an ninh thông tin của Binance Jimmy Su cho biết vào tháng 9, một kỹ sư phần mềm đang tìm việc khác được người tự xưng là giám đốc dự án liên hệ. Để tạo lòng tin, kẻ tấn công tổ chức phỏng vấn trực tuyến và dùng tài khoản mạng xã hội có hình ảnh cá nhân.
Ở vòng tiếp theo, một người tự nhận là CEO gọi video trực tiếp cho kỹ sư và yêu cầu tải bài tập lập trình về máy tính làm việc. Theo Binance, tệp này chứa mã độc chưa từng được phát hiện, có khả năng vượt qua các biện pháp bảo vệ trên thiết bị. Việc tải tệp đã giúp tin tặc xâm nhập máy tính của nhân viên.
Chuẩn bị nhiều tháng: từ gói Homebrew bị chỉnh sửa đến công cụ AI nội bộ
Báo cáo cho thấy đây không phải lần đầu hệ thống của sàn bị nhắm tới. Vào tháng 6, một kỹ sư khác đã cài gói phần mềm Homebrew bị chỉnh sửa khi tìm kiếm công cụ trí tuệ nhân tạo. Homebrew là công cụ miễn phí giúp người dùng macOS cài đặt và quản lý phần mềm qua dòng lệnh.
Binance phát hiện sự cố và thay thế máy tính bị ảnh hưởng. Tuy vậy, sàn thừa nhận các kỹ sư thuộc bộ phận quản lý ví vẫn đứng trước nguy cơ bị tấn công.
Đến ngày 20/10, hacker dùng máy tính bị xâm nhập qua cuộc phỏng vấn giả, kết hợp với một công cụ AI nội bộ để tiếp cận thiết bị của hai kỹ sư phụ trách hệ thống ví tiền số. Ngày 29/10, chúng dùng thông tin đăng nhập đã đánh cắp để thiết lập môi trường chạy phần mềm và thực thi mã độc.
Dòng thời gian vụ tấn công theo báo cáo của Binance
| Mốc thời gian | Diễn biến |
|---|---|
| Tháng 6 | Một kỹ sư cài gói Homebrew bị chỉnh sửa; Binance thay máy tính bị ảnh hưởng |
| Tháng 9 | Kỹ sư phần mềm được liên hệ phỏng vấn giả và tải bài tập lập trình chứa mã độc |
| 20/10 | Hacker tiếp cận thiết bị của hai kỹ sư phụ trách hệ thống ví tiền số |
| 29/10, 20h05 UTC | Tài sản bắt đầu bị rút khỏi hệ thống |
| Đến 0h10 ngày 30/10, UTC | Kết thúc quá trình khống chế sự cố |
| 31/10 | Binance thông báo huy động ba nguồn tài chính để bù đắp thiệt hại |
| 3/11 | Binance công bố báo cáo ban đầu |
EIP-7702 và ví nóng MPC: vì sao việc thu hồi quyền không đơn giản
Trong quá trình tấn công, hacker khai thác tính năng EIP-7702 của mạng Ethereum để thiết lập quyền thực hiện giao dịch trái phép đối với ví nóng của Binance. Ví nóng là loại ví kết nối internet, dùng cho các giao dịch thường xuyên.
Theo ông Jimmy Su, hệ thống ví nóng của sàn dùng công nghệ tính toán đa bên (MPC). Vì vậy, việc thu hồi quyền thực hiện giao dịch trái phép không thể giải quyết bằng một khóa riêng lẻ. Đây là đánh đổi kỹ thuật: MPC phân tán quyền kiểm soát, nhưng khi quyền trái phép đã được thiết lập thì cách xử lý cũng phức tạp hơn.
Thiệt hại và biện pháp khắc phục: những con số cần đặt trong bối cảnh
Sau vụ tấn công, Binance cho biết đã phong tỏa khoảng 2,85 tỷ USD tài sản liên quan và khôi phục khoảng 98% lượng token bị ảnh hưởng. Sàn khẳng định khách hàng không phải chịu thiệt hại tài chính. Tuy nhiên, đây là thông tin do chính Binance công bố trong báo cáo ban đầu, chưa phải kết quả đánh giá độc lập.
Ngày 31/10, Binance thông báo sẽ huy động ba nguồn tài chính để bù đắp thiệt hại, gồm:
- Quỹ bảo vệ người dùng SAFU
- Một phần quỹ bảo hiểm hợp đồng tương lai
- Nguồn tiền của chính doanh nghiệp
Doanh nghiệp cam kết khôi phục tài sản cho khách hàng và tiếp tục phối hợp truy tìm, thu hồi số tiền mã hóa bị đánh cắp.
Hướng đi sau sự cố: đánh giá độc lập và tăng cường phát hiện mối đe dọa bằng AI
Theo Binance, trong năm 2026, hệ thống bảo mật của doanh nghiệp đã ngăn chặn 57 nỗ lực tấn công bị nghi có liên quan đến Triều Tiên. Sau sự cố, sàn dự kiến mời các chuyên gia an ninh mạng độc lập tham gia đánh giá, tăng đầu tư vào công nghệ phát hiện mối đe dọa bằng AI và xây dựng quỹ nghiên cứu an ninh mạng.
Binance cũng lên kế hoạch hợp tác với các doanh nghiệp AI lớn nhằm tăng cường năng lực bảo vệ hệ thống. Nhìn chung, vụ việc cho thấy chuỗi tấn công có thể bắt đầu từ thiết bị cá nhân của một nhân sự, rồi lan tới hệ thống quản lý ví, nơi các lớp bảo vệ kỹ thuật như MPC vẫn có thể bị khai thác qua những mắt xích khác.
