Hạ tầng ký duyệt của sàn Binance bị xâm nhập: Tin tặc tẩu tán 6,3 tỷ USD chỉ trong 20 phút

Vụ xâm nhập an ninh nghiêm trọng tại sàn giao dịch Binance ghi nhận tổng lượng tài sản số bị tác động lên tới 6,3 tỷ USD. Dữ liệu phân tích chuỗi khối cho thấy toàn bộ chiến dịch rút tài sản quy mô lớn này diễn ra chóng vánh chỉ trong vòng 20 phút, bắt nguồn từ việc tin tặc can thiệp trực tiếp vào hệ thống hạ tầng ký duyệt giao dịch sau ít nhất 36 giờ chuẩn bị kỹ lưỡng.

Cơ chế tấn công hạ tầng ký duyệt và điểm xâm nhập ban đầu

Theo báo cáo từ công ty phân tích blockchain TRM Labs, mắt xích then chốt bị kẻ tấn công bẻ gãy chính là hạ tầng ký giao dịch của sàn. Trong kiến trúc kỹ thuật của các sàn giao dịch tập trung, hệ thống ký có nhiệm vụ xác thực chữ ký mật mã để phê duyệt mọi lệnh chuyển tiền từ ví nóng ra bên ngoài. Khi kiểm soát được bộ phận này, kẻ tấn công có quyền hợp thức hóa các lệnh rút tài sản mà không bị rào cản tự động ngăn chặn.

Đánh giá sơ bộ ban đầu từ phía Binance cho thấy khả năng máy tính cá nhân của một kỹ sư DevOps đã bị cài cắm mã độc hoặc chiếm quyền điều khiển. Vị trí DevOps vốn nắm giữ quyền truy cập cấu hình hệ thống, triển khai hạ tầng và tích hợp dịch vụ. Dù vậy, các cuộc điều tra chuyên sâu tiếp theo phát hiện thêm nhiều điểm thâm nhập khác, cho thấy một lộ trình xâm nhập đa tầng thay vì một lỗ hổng đơn lẻ.

Lộ trình chuẩn bị 36 giờ và 20 phút rút cạn ví nóng

Dấu vết on-chain ghi nhận nhóm tấn công bắt đầu chuẩn bị từ sáng ngày 28/10 bằng việc thử nghiệm ba giao dịch rút tiền giá trị nhỏ. Đến đầu ngày 29/10, đoạn mã khai thác đầu tiên được kiểm thử liên tiếp qua hai ví, sau đó hoàn thiện ở ví thứ ba trước khi hoàn lại tiền thử nghiệm. Bốn giờ sau các bước kiểm thử, mã độc chính thức được cài đặt thành công lên ví nóng Binance – nơi luôn duy trì kết nối Internet để phục vụ thanh khoản liên tục.

Đợt tấn công tổng lực bùng nổ vào lúc 20h05 ngày 29/10 (giờ UTC, tức 3h05 ngày 30/10 tại Hà Nội) và được thực hiện với tốc độ đáng kinh ngạc:

Mạng blockchain	Thời điểm (UTC)	Tài sản bị rút	Hành vi xử lý dòng tiền
XRP Ledger	20h05 - 20h09	233,46 triệu XRP	Rút cạn số dư 5 ví về địa chỉ chỉ định
Solana & Optimism	Sau 20h09	Nhiều danh mục tài sản	Thực hiện song song, rút cạn số dư
Bitcoin	20h20	18.270 BTC	Chia nhỏ thành các phần 100 - 1.000 BTC
Tron	20h22 - 20h24	612,7 triệu USDT & 46,4 triệu TRX	Tẩu tán nhanh ra khỏi tầm kiểm soát của sàn

Kỹ thuật phân mảnh lượng lớn Bitcoin thành các gói nhỏ từ 100 đến 1.000 BTC được triển khai ngay lập tức nhằm gây nhiễu các công cụ giám sát dòng tiền, gây khó khăn cho quá trình truy vết của các tổ chức điều tra.

Chiến lược phân tán tài sản và phương án bảo vệ quỹ của Binance

Ngay sau khi rút thành công các loại stablecoin như USDT trên mạng Tron, tin tặc lập tức đưa số tiền này ra ngoài tầm kiểm soát của các nhà phát hành và các đối tác thanh khoản liên kết với Binance. Động thái này nhằm vô hiệu hóa khả năng đóng băng hợp đồng thông minh từ các đơn vị phát hành token.

Trước nguy cơ tổn thất, đồng CEO Binance Richard Teng khẳng định toàn bộ thiệt hại thực tế của người dùng sẽ được bù đắp hoàn toàn thông qua quỹ Bảo vệ Tài sản Người dùng (SAFU) cùng các nguồn tài chính tự có. Quỹ SAFU được thiết lập từ năm 2018 và hiện lưu trữ lượng Bitcoin trị giá xấp xỉ một tỷ USD chuyên dùng cho các sự cố khẩn cấp. Nhà sáng lập kiêm cựu CEO Changpeng Zhao cũng nhấn mạnh quyền lợi tài sản của người dùng phải được đặt lên hàng đầu.

Sự cố lần này vượt xa vụ tấn công vào sàn Bybit từng ghi nhận mức thiệt hại 1,5 tỷ USD năm 2025 và vụ đánh cắp 127.000 Bitcoin của LuBian năm 2020. Dù số tài sản chịu ảnh hưởng lên tới 6,3 tỷ USD, mức độ thiệt hại thực tế không thể thu hồi vẫn phụ thuộc vào kết quả điều tra và khả năng ngăn chặn dòng tiền lưu chuyển trên các chuỗi khối.