Vụ Binance mất 6,3 tỷ USD: Tin tặc giả nhà tuyển dụng, cài mã độc qua bài kiểm tra lập trình

Theo báo cáo ban đầu ngày 3/11 của Binance, vụ đánh cắp khoảng 6,3 tỷ USD tài sản số cuối tháng 10 bắt đầu từ một cuộc phỏng vấn tuyển dụng giả. Tin tặc đóng vai nhà tuyển dụng, gửi cho một kỹ sư của sàn bài kiểm tra lập trình chứa mã độc, từ đó mở đường vào hệ thống.

Một cuộc phỏng vấn giả và tệp tin không ai nghi ngờ

CEO Binance Richard Teng cho biết tin tặc tiếp cận một kỹ sư của sàn qua nền tảng tuyển dụng hợp pháp. Sau đó, chúng gửi bài kiểm tra lập trình có chứa mã độc. Đây được xác định là một trong những bước đầu của cuộc tấn công.

Theo Jimmy Su, Giám đốc an ninh thông tin của Binance, vào tháng 9 một kỹ sư phần mềm đang tìm việc được người tự xưng là giám đốc dự án liên hệ. Để tạo lòng tin, kẻ tấn công tổ chức phỏng vấn trực tuyến và dùng tài khoản mạng xã hội có hình ảnh cá nhân.

Ở vòng tiếp theo, một người tự nhận là CEO gọi video trực tiếp cho kỹ sư và yêu cầu tải bài tập lập trình về máy tính làm việc. Tệp tin thực chất chứa mã độc chưa từng được phát hiện, có khả năng vượt qua các biện pháp bảo vệ trên thiết bị. Việc tải tệp giúp tin tặc xâm nhập máy tính của nhân viên Binance.

Chiến dịch được chuẩn bị từ nhiều tháng trước

Theo báo cáo, cuộc phỏng vấn giả không phải lần đầu hệ thống của sàn bị nhắm đến. Vào tháng 6, một kỹ sư khác đã cài đặt gói phần mềm Homebrew bị chỉnh sửa khi tìm kiếm công cụ trí tuệ nhân tạo. Homebrew là công cụ miễn phí giúp người dùng macOS cài đặt và quản lý phần mềm qua dòng lệnh.

Binance phát hiện sự cố này và thay thế máy tính bị ảnh hưởng. Tuy nhiên, sàn cho biết các kỹ sư thuộc bộ phận quản lý ví vẫn đứng trước nguy cơ bị tấn công.

Thời điểm	Diễn biến theo báo cáo của Binance
Tháng 6	Một kỹ sư cài Homebrew bị chỉnh sửa khi tìm công cụ AI
Tháng 9	Kỹ sư đang tìm việc bị tiếp cận qua phỏng vấn giả
20/10	Tin tặc dùng máy tính bị xâm nhập cùng một công cụ AI nội bộ để tiếp cận thiết bị của hai kỹ sư phụ trách hệ thống ví tiền số
29/10	Tin tặc dùng thông tin đăng nhập đã đánh cắp, thiết lập môi trường chạy phần mềm và thực thi mã độc; tài sản bắt đầu bị rút lúc 20h05 (giờ UTC)
Đến 0h10 ngày 30/10	Kết thúc quá trình khống chế sự cố (giờ UTC)

EIP-7702 và bài toán thu hồi quyền trên ví nóng

Trong quá trình tấn công, tin tặc khai thác tính năng EIP-7702 của mạng Ethereum để thiết lập quyền thực hiện giao dịch trái phép đối với ví nóng của Binance.

Theo ông Jimmy Su, hệ thống ví nóng của sàn sử dụng công nghệ tính toán đa bên (MPC). Vì vậy, việc thu hồi quyền giao dịch trái phép không thể giải quyết bằng một khóa riêng lẻ, khiến quá trình xử lý phức tạp hơn.

Phong tỏa 2,85 tỷ USD và cam kết bù đắp cho người dùng

Sau vụ tấn công, Binance cho biết đã phong tỏa khoảng 2,85 tỷ USD tài sản liên quan và khôi phục khoảng 98% lượng token bị ảnh hưởng. Sàn khẳng định khách hàng không phải chịu thiệt hại tài chính. Đáng lưu ý, đây là thông tin do chính Binance công bố trong báo cáo ban đầu, chưa phải kết quả đánh giá độc lập.

Trước đó, ngày 31/10, Binance thông báo sẽ huy động ba nguồn tài chính để bù đắp thiệt hại:

• Quỹ bảo vệ người dùng SAFU
• Một phần quỹ bảo hiểm hợp đồng tương lai
• Nguồn tiền của chính doanh nghiệp

Doanh nghiệp cam kết khôi phục tài sản cho khách hàng và tiếp tục phối hợp truy tìm, thu hồi số tiền mã hóa bị đánh cắp.

Bài học về an ninh: Mục tiêu là con người, không chỉ hệ thống

Theo Binance, trong năm 2026, hệ thống bảo mật của sàn đã ngăn chặn 57 nỗ lực tấn công bị nghi có liên quan đến Triều Tiên. Vụ việc lần này cho thấy tin tặc có thể nhắm vào nhân viên có quyền truy cập quan trọng, thông qua tuyển dụng giả hoặc phần mềm bị chỉnh sửa, thay vì chỉ tấn công trực diện vào hạ tầng.

Sau sự cố, Binance dự kiến thực hiện các biện pháp sau:

• Mời các chuyên gia an ninh mạng độc lập tham gia đánh giá
• Tăng đầu tư vào công nghệ phát hiện mối đe dọa bằng AI
• Xây dựng quỹ nghiên cứu an ninh mạng
• Hợp tác với các doanh nghiệp AI lớn để tăng cường năng lực bảo vệ hệ thống

Do đây mới là báo cáo ban đầu của Binance, các chi tiết kỹ thuật và quy mô thiệt hại thực tế vẫn cần được đánh giá độc lập để kiểm chứng.