Vụ Binance bị hack 6,3 tỷ USD, tiền của nhà đầu tư có an toàn?

Vụ Binance bị hack 6,3 tỷ USD, tiền của nhà đầu tư có an toàn? Ảnh minh họa: Getty.

Vụ tấn công mạng nhằm vào Binance ngày 29/10 khiến khoảng 6,3 tỷ USD tài sản số bị chuyển trái phép khỏi các ví của sàn giao dịch tiền điện tử lớn nhất thế giới. Dù khoảng 3 tỷ USD đã được phong tỏa, giới chuyên gia cảnh báo quá trình thu hồi tài sản có thể kéo dài nhiều tháng, thậm chí nhiều năm.

Theo thông báo ngày 30/10 của Binance, sự cố an ninh đã ảnh hưởng tới lượng tài sản ước tính 6,3 tỷ USD. Sàn giao dịch cho biết đang phối hợp với các đối tác blockchain, đơn vị phát hành tiền điện tử và cơ quan thực thi pháp luật để ngăn chặn việc tẩu tán tài sản. Binance cam kết bù đắp toàn bộ tổn thất bằng quỹ bảo vệ người dùng SAFU và nguồn vốn của doanh nghiệp. Tuy nhiên, cam kết bồi thường không đồng nghĩa với việc toàn bộ số tiền bị đánh cắp đã được thu hồi.

Tin tặc rút hàng tỷ USD khỏi Binance trong khoảng 20 phút

Theo báo cáo công bố ngày 29/10 của TRM Labs, công ty chuyên phân tích dữ liệu và truy vết giao dịch blockchain, những kẻ tấn công đã chuyển khoảng 6,36 tỷ USD tài sản kỹ thuật số từ các ví liên quan đến Binance trên 10 mạng blockchain. Phần lớn số tài sản được chuyển đi trong khoảng 20 phút, bắt đầu từ 20h05 ngày 29/10 theo giờ UTC.

Ethereum là mạng chịu ảnh hưởng lớn nhất, với giá trị tài sản bị chuyển đi ước tính 3,79 tỷ USD. Tiếp theo là Bitcoin với khoảng 1,47 tỷ USD và Tron với khoảng 628 triệu USD. Những mạng khác bị ảnh hưởng gồm XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche và Polygon. TRM Labs nhận định đây có thể là vụ đánh cắp tiền điện tử lớn nhất từng được ghi nhận, với quy mô gấp hơn bốn lần vụ tấn công Bybit trị giá khoảng 1,5 tỷ USD hồi tháng 2/2025.

Vụ Binance bị hack 6,3 tỷ USD, tiền của nhà đầu tư có an toàn? Ảnh minh họa: DALL AI.

Điều tra ban đầu của Binance cho thấy sự cố có thể liên quan đến máy tính xách tay của một kỹ sư phụ trách vận hành và phát triển hệ thống, thường gọi là DevOps, bị xâm nhập. Từ điểm truy cập này, kẻ tấn công có thể đã tiếp cận một thành phần dịch vụ và gửi các giao dịch rút tiền trái phép. Binance cho biết chưa phát hiện bằng chứng khóa riêng của ví điện tử bị rò rỉ.

Khóa riêng là chuỗi thông tin bí mật cho phép chủ sở hữu kiểm soát và thực hiện giao dịch đối với tài sản điện tử. Việc khóa riêng không bị lộ, nếu được xác nhận, cho thấy vụ việc có thể xuất phát từ điểm yếu trong hệ thống cấp quyền hoặc phê duyệt giao dịch, thay vì hành vi đánh cắp trực tiếp khóa ví.

TRM Labs phát hiện kẻ tấn công đã chuẩn bị từ ít nhất 36 giờ trước khi thực hiện vụ trộm. Các ví phục vụ hoạt động tấn công nhận tiền thông qua Tornado Cash, một dịch vụ giúp che giấu nguồn gốc giao dịch tiền điện tử.

Sàn tiền ảo Binance bị rút ròng 2,8 tỷ USD chỉ trong một ngày

Trên mạng Ethereum, tin tặc được cho là đã lợi dụng cơ chế EIP-7702, cho phép một ví thông thường ủy quyền thực hiện thao tác thông qua hợp đồng thông minh. Theo phân tích kỹ thuật của TRM Labs, kẻ tấn công sử dụng các lệnh ủy quyền được ký trước để chiếm quyền điều khiển hoạt động của một ví nóng Binance. Ví nóng là loại ví kết nối internet, thường được sàn giao dịch sử dụng để xử lý yêu cầu rút tiền của khách hàng. Bằng cách này, tin tặc có thể chuyển tài sản ra ngoài và tiếp tục lấy những khoản tiền mới được chuyển vào ví đã bị kiểm soát.

TRM Labs cho rằng các giao dịch trái phép trên nhiều mạng blockchain khác nhau có dấu hiệu liên quan đến việc hệ thống ký giao dịch của Binance bị xâm phạm. Tuy nhiên, nguyên nhân kỹ thuật cuối cùng vẫn cần chờ kết luận điều tra chính thức.

Đóng băng 3 tỷ USD không đồng nghĩa thu hồi thành công

Một trong những câu hỏi lớn nhất sau vụ hack Binance là liệu khoảng 3 tỷ USD tài sản đã bị đóng băng có thể được hoàn trả cho sàn giao dịch và khách hàng hay không. Theo Ari Redbord, người đứng đầu chính sách toàn cầu tại TRM Labs, cần phân biệt giữa đóng băng và thu hồi tài sản.

Đóng băng là biện pháp kỹ thuật nhằm ngăn tài sản tiếp tục được chuyển đi. Trong khi đó, thu hồi là quá trình xác lập quyền sở hữu hợp pháp và thực hiện các thủ tục cần thiết để chuyển trả tài sản. Các cơ quan thực thi pháp luật có thể cần lệnh của tòa án hoặc quyết định tịch thu trước khi phối hợp với đơn vị phát hành tiền điện tử để hoàn trả số tiền bị đánh cắp.

Trong số các tài sản bị ảnh hưởng, stablecoin được đánh giá có khả năng thu hồi thuận lợi hơn. Stablecoin là loại tiền điện tử được thiết kế để duy trì giá trị ổn định, thường gắn với một đồng tiền pháp định như USD.

Khác với Bitcoin hoặc Ether, một số stablecoin như USDT của Tether và USDC của Circle có đơn vị phát hành quản lý hợp đồng kỹ thuật của đồng tiền. Trong những điều kiện nhất định, các đơn vị này có thể đóng băng, hủy và phát hành lại token nhằm hỗ trợ hoàn trả tài sản cho chủ sở hữu hợp pháp.

Theo TRM Labs, tính đến 00h30 UTC ngày 30/10, các đơn vị phát hành stablecoin và cơ chế bảo vệ mạng Arbitrum đã phong tỏa hoặc đưa ra khỏi tầm kiểm soát của tin tặc lượng tài sản trị giá khoảng 2,7 tỷ USD.

Trong đó, Tether đóng băng khoảng 1,77 tỷ USD, Circle khoảng 825 triệu USD, Ripple khoảng 40,5 triệu USD và World Liberty Financial khoảng 27,8 triệu USD. Hội đồng An ninh Arbitrum cũng can thiệp đối với lượng ETH và ARB trị giá khoảng 30 triệu USD.

Con số 2,7 tỷ USD trong thống kê của TRM Labs phản ánh dữ liệu mà công ty xác nhận tại thời điểm báo cáo. Binance sau đó công bố tổng giá trị tài sản được đóng băng khoảng 3 tỷ USD. Đối với Bitcoin và Ether, quá trình thu hồi phức tạp hơn bởi không có tổ chức phát hành trung tâm có thể đơn phương khóa tài sản trên mạng gốc.

Các nhà điều tra phải lần theo lịch sử giao dịch công khai, xác định ví nhận tiền và phối hợp với những sàn giao dịch hoặc tổ chức trung gian có khả năng kiểm soát tài sản khi chúng đi vào hệ thống. Eric Jardine, trưởng bộ phận nghiên cứu tại Chainalysis, cho biết không tồn tại một thời hạn tiêu chuẩn cho quá trình hoàn trả tiền điện tử bị đánh cắp.

Theo ông, việc phong tỏa có thể được thực hiện nhanh chóng, nhưng thủ tục pháp lý và phối hợp giữa các bên có thể khiến quá trình thu hồi kéo dài nhiều tháng hoặc nhiều năm. Điều này đồng nghĩa với việc số tiền đã bị khóa chưa thể ngay lập tức được tính là tài sản đã quay trở lại Binance.

Nhóm tin tặc Triều Tiên bị nghi đứng sau vụ tấn công

TRM Labs đánh giá với mức độ tin cậy cao rằng nhóm TraderTraitor, được cho là có liên hệ với nhà nước Triều Tiên, đứng sau vụ tấn công Binance. Nhận định này dựa trên dữ liệu giao dịch blockchain, thông tin tình báo ngoài chuỗi và sự tương đồng về phương thức thực hiện với những vụ tấn công trước đây.

TraderTraitor từng bị Cục Điều tra Liên bang Mỹ (FBI) xác định có liên quan đến vụ đánh cắp khoảng 1,5 tỷ USD tài sản tiền điện tử từ sàn Bybit vào tháng 2/2025. Theo TRM Labs, vụ Binance có nhiều dấu hiệu tương đồng, gồm hoạt động chuẩn bị trước, sử dụng các ví trung gian, thu thập chữ ký giao dịch và chuyển tài sản trên nhiều mạng blockchain trong thời gian ngắn.

Chainalysis cũng đưa ra đánh giá tương tự về khả năng TraderTraitor đứng sau vụ việc. Tuy nhiên, đây vẫn là kết luận phân tích của các công ty tình báo blockchain, chưa phải kết luận điều tra cuối cùng của cơ quan thực thi pháp luật.

Việc xác định chính xác thủ phạm có ý nghĩa quan trọng đối với quá trình truy tìm dòng tiền, xử lý tài sản bị đánh cắp và phối hợp giữa các quốc gia. Nếu số tiền được chuyển qua nhiều mạng blockchain, các nền tảng hoán đổi phi tập trung hoặc dịch vụ giao dịch ngoài sàn, việc phong tỏa và thu hồi sẽ càng khó khăn.

Binance có nguy cơ mất khả năng thanh toán?

Với quy mô tổn thất lên tới 6,3 tỷ USD, vụ tấn công làm dấy lên lo ngại về khả năng đáp ứng nghĩa vụ tài chính của Binance, nhất là khi khách hàng có thể đồng loạt yêu cầu rút tài sản. Sean Farrell, người đứng đầu chiến lược tài sản kỹ thuật số tại Fundstrat Global Advisors, nhận định vụ việc hiện chưa cho thấy nguy cơ mất khả năng thanh toán rõ ràng đối với Binance.

Theo tính toán được ông đưa ra, nếu khoảng 3 tỷ USD tài sản bị đóng băng cuối cùng được hoàn trả, số tổn thất còn lại có thể vào khoảng 3,3 tỷ USD. Trong kịch bản đó, quỹ SAFU trị giá khoảng 1,2 tỷ USD có thể bù đắp hơn một phần ba khoản thiếu hụt, còn phần còn lại phải được xử lý bằng nguồn vốn của sàn giao dịch.

Đây là kịch bản ước tính của chuyên gia, phụ thuộc vào khả năng thu hồi tài sản và tình hình tài chính thực tế của Binance. Điều cần theo dõi là tốc độ khôi phục hoạt động rút tiền và khả năng đáp ứng nhu cầu của khách hàng khi dịch vụ trở lại bình thường.

Nếu lượng yêu cầu rút tiền tăng nhanh, sàn giao dịch có thể chịu áp lực thanh khoản. Trong trường hợp phải bán lượng lớn tài sản dự trữ để đáp ứng nghĩa vụ, biến động giá trên thị trường tiền điện tử có nguy cơ gia tăng.

Reuters ghi nhận giá Bitcoin và Ether giảm trong phiên giao dịch sau thông tin vụ tấn công. Bitcoin có thời điểm chạm mức thấp nhất sáu tuần, cho thấy sự cố an ninh tại một sàn giao dịch lớn có thể nhanh chóng ảnh hưởng đến tâm lý toàn thị trường.

Tuy vậy, biến động giá trong ngắn hạn chưa đủ để kết luận Binance đang đối mặt với khủng hoảng thanh khoản. Cam kết bồi thường, tiến độ khôi phục dịch vụ, kết quả truy vết tài sản và dữ liệu chứng minh dự trữ của sàn sẽ là những yếu tố quan trọng để đánh giá mức độ an toàn tài chính sau sự cố.

Vụ hack Binance đặt ra yêu cầu mới về bảo mật tài sản số

Vụ tấn công Binance cho thấy những rủi ro an ninh mạng không chỉ xuất hiện từ lỗ hổng của bản thân blockchain, mà còn từ hạ tầng vận hành, quản lý quyền truy cập và cơ chế phê duyệt giao dịch tại các doanh nghiệp cung cấp dịch vụ tài sản số.

Chris Perkins, người đứng đầu bộ phận Franklin Crypto thuộc Franklin Templeton, cho rằng ngành tiền điện tử cần nâng cao tiêu chuẩn an ninh mạng và tăng cường hợp tác quốc tế để xử lý tội phạm.

Ông nhấn mạnh vai trò của chính phủ và cơ quan thực thi pháp luật trong việc truy tìm thủ phạm, đồng thời cho rằng trí tuệ nhân tạo có thể hỗ trợ phát hiện lỗ hổng và nâng cao năng lực phòng vệ.

Ở góc độ kỹ thuật, TRM Labs khuyến nghị các sàn giao dịch và tổ chức quản lý tài sản tăng cường giám sát giao dịch bất thường, kiểm soát các quyền ủy nhiệm trên Ethereum và phân tách cơ chế ký giao dịch giữa những mạng blockchain khác nhau.

Việc một đối tượng có thể thực hiện các giao dịch được ký hợp lệ trên nhiều mạng trong thời gian ngắn đặt ra câu hỏi về cách thiết kế hệ thống phân quyền và giới hạn phạm vi truy cập.

Đối với doanh nghiệp hoạt động trong lĩnh vực blockchain tại Việt Nam, sự cố là lời cảnh báo về yêu cầu bảo vệ thiết bị làm việc của nhân sự kỹ thuật, xác thực nhiều lớp và kiểm soát quyền thực hiện giao dịch.

Như vậy có thể nhìn ra, những nền tảng quản lý tài sản số nên ưu tiên cơ chế phê duyệt độc lập đối với giao dịch giá trị lớn, giới hạn quyền truy cập theo từng nhiệm vụ và xây dựng phương án ngắt giao dịch khẩn cấp khi phát hiện dấu hiệu bất thường. Với người dùng, vụ việc cũng cho thấy việc lưu trữ toàn bộ tài sản trên một nền tảng tập trung có thể phát sinh rủi ro ngoài khả năng kiểm soát cá nhân.

Người nắm giữ tài sản số cần phân biệt giữa cam kết bảo vệ tài sản của doanh nghiệp với khả năng thực tế trong việc duy trì thanh khoản và hoàn trả tiền sau một sự cố nghiêm trọng. Về dài hạn, vụ hack Binance có thể trở thành phép thử đối với các cơ chế giám sát, chia sẻ dữ liệu giao dịch và hợp tác quốc tế trong phòng chống tội phạm tiền điện tử.

Khi dòng tiền có thể di chuyển qua nhiều blockchain chỉ trong vài phút, khả năng phát hiện sớm và phối hợp phong tỏa tài sản sẽ quyết định phần lớn hiệu quả ứng phó với những vụ tấn công có quy mô hàng tỷ USD.