Cuộc tấn công vào Binance: Hack 6,3 tỷ USD diễn ra thế nào chỉ trong 20 phút?

Cuộc tấn công quy mô lớn, có chuẩn bị bài bản

Ngày 29/10, sàn giao dịch tiền mã hóa Binance đã trở thành mục tiêu của một trong những vụ đánh cắp tài sản số lớn nhất trong lịch sử. Theo WIRED, tin tặc đã rút khoảng 6,3 tỷ USD từ các ví của Binance trên ít nhất 10 blockchain, bao gồm Bitcoin, Ethereum, Tron và Solana. Đáng chú ý, phần lớn số tiền này đã được chuyển đi chỉ trong vòng 20 phút.

Ngay sau khi phát hiện sự cố, Binance đã tạm dừng hoạt động nạp và rút tiền để tiến hành điều tra. Sàn giao dịch cam kết sẽ bù đắp toàn bộ tổn thất và phối hợp với các cơ quan thực thi pháp luật để truy tìm những kẻ đứng sau cuộc tấn công.

Mặc dù phần lớn tài sản bị rút trong khoảng thời gian ngắn, cuộc tấn công không diễn ra đột ngột. Quá trình chuẩn bị đã bắt đầu ít nhất 36 giờ trước khi tiền bị đánh cắp. Tin tặc đã kiểm soát một trong các ví và thực hiện ba giao dịch nhỏ nhằm thử nghiệm quy trình trước khi tiến hành tấn công quy mô lớn.

Vào sáng 29/10, tin tặc đã triển khai phiên bản đầu tiên của mã tấn công và thử nghiệm trên hai ví. Sau đó, phiên bản hoàn chỉnh được chạy thử trên một ví thứ ba trước khi số tiền thử nghiệm được chuyển trở lại địa chỉ của kẻ tấn công. Khoảng 4 giờ sau lần diễn tập cuối cùng, mã tương tự đã xuất hiện trên một ví nóng của Binance.

Ví nóng là loại ví kết nối trực tiếp với Internet, thường được các sàn tiền số dụng để xử lý giao dịch rút tiền của khách hàng. Thời gian gần đây, ví nóng đã trở thành mục tiêu hấp dẫn cho tin tặc. Theo Reuters, những kẻ tấn công dường như đã xâm nhập vào hạ tầng dùng để ký và phê duyệt giao dịch của Binance, từ đó gửi hàng loạt yêu cầu rút tiền trái phép.

Ban đầu, Binance cho biết sự cố có thể liên quan đến laptop của một kỹ sư DevOps bị xâm nhập. Tuy nhiên, quá trình điều tra sau đó đã phát hiện thêm nhiều điểm xâm nhập khác, cho thấy đây là một cuộc tấn công phức tạp.

Sau khi chiếm quyền thực hiện giao dịch, tốc độ trở thành yếu tố quyết định. Các ví Binance trên nhiều blockchain đồng loạt bị rút tài sản, với hàng nghìn giao dịch được xử lý nhanh chóng.

Chainalysis cho biết những mô hình rửa tiền xuất hiện sau đó khác với những gì từng thấy trước đây, cho thấy tin tặc đã sử dụng hệ thống tự động để làm khó quá trình truy vết.

Khoảng 2,8 - 3 tỷ USD tài sản đã được đóng băng sau cuộc tấn công, chủ yếu là stablecoin, trong khi khoảng 3,3 tỷ USD còn lại là Bitcoin, Ether và XRP, những tài sản không thể bị đóng băng trực tiếp.

FBI quy trách nhiệm nhóm tin tặc Triều Tiên

Ngay sau sự cố, ba công ty theo dõi tiền mã hóa gồm TRM Labs, Chainalysis và Elliptic đã phát hiện dấu hiệu cho thấy cuộc tấn công có thể liên quan đến tin tặc Triều Tiên. FBI đã chính thức quy trách nhiệm cho nhóm TraderTraitor, nhóm từng bị cáo buộc trong vụ đánh cắp 1,5 tỷ USD từ sàn Bybit năm 2025.

Vụ việc không chỉ gây thiệt hại tài chính lớn mà còn đặt ra câu hỏi về mức độ an toàn của hạ tầng lưu ký và phê duyệt giao dịch tại các sàn tiền mã hóa tập trung. Thời gian 20 phút chỉ phản ánh tốc độ rút phần lớn tài sản, trong khi đó là kết quả của ít nhất 36 giờ chuẩn bị và thử nghiệm trước khi tin tặc thực hiện hàng loạt giao dịch gần như đồng thời.