Vụ tấn công Binance: Cảnh báo rủi ro trong quản trị tài sản số

Theo Hiệp hội Blockchain và tài sản số Việt Nam (VBA), trong vụ tấn công Binance, kẻ tấn công đã sử dụng EIP-7702, tính năng được tích hợp trong bản nâng cấp Pectra của Ethereum từ tháng 5-2025.

Tính năng này cho phép ví thông thường tạm thời thực thi mã của hợp đồng thông minh, tuy nhiên việc kích hoạt vẫn cần chữ ký ủy quyền từ khóa riêng của ví. Vì vậy, EIP-7702 không phải lỗ hổng bảo mật, mà có thể trở thành công cụ khuếch đại thiệt hại khi khóa riêng bị lộ hoặc chủ ví bị lừa ký giao dịch độc hại.

Theo dữ liệu truy vết on-chain của ChainTracer - chuơng trình do VBA phát triển, Binance 14 bị ủy quyền thông qua EIP-7702, Binance 16 thực hiện các giao dịch chuyển tiền bằng chữ ký từ khóa riêng của chính ví này; Hot Wallet 34 cũng bị điều khiển gián tiếp thông qua Binance 14.

Vụ việc đồng thời phản ánh xu hướng tấn công tài sản mã hóa ngày càng phức tạp, chuyển dịch từ khai thác lỗ hổng công nghệ sang thao túng quy trình phê duyệt và kiểm soát quyền ký giao dịch.

Năm 2019, Binance mất 7.000 BTC do phishing và mã độc; năm 2022, hệ sinh thái BNB bị khai thác lỗi xác minh cầu nối, gây thiệt hại khoảng 570 triệu USD. Đến năm 2025, Bybit mất khoảng 1,5 tỷ USD do giao dịch bị ngụy trang trong giao diện ký; tháng 9-2026, Bitget tiếp tục ghi nhận thiệt hại 388 triệu USD khi hệ thống phê duyệt nội bộ bị vượt qua.

Trong sự cố lần này, các tổ chức phát hành tài sản số đã triển khai biện pháp ngăn chặn, trong đó Tether phong tỏa hơn 1,5 tỷ USDT, Circle phong tỏa 823 triệu USDC và phối hợp với cơ quan thực thi pháp luật. Ripple, World Liberty Financial cùng một số tổ chức phát hành token khác cũng tham gia ngăn chặn tài sản liên quan.

Ông Phan Đức Trung, Chủ tịch Hiệp hội Blockchain và tài sản số Việt Nam (VBA), cho biết, an ninh của một sàn giao dịch hiện không chỉ phụ thuộc vào khả năng bảo vệ máy chủ hay hệ thống mạng, mà quan trọng hơn là chính sách quản trị khóa và ký giao dịch. Các vấn đề cốt lõi gồm xác định người có quyền ký, phạm vi và hạn mức giao dịch được phép, khả năng phát hiện những thao tác ủy quyền bất thường trước khi giao dịch được thực hiện.

“Đối với Việt Nam, sự cố Binance là bài học đáng chú ý trong quá trình triển khai thí điểm thị trường tài sản mã hóa theo Nghị quyết 05/2025/NQ-CP ngày 9-9-2025. Bên cạnh yêu cầu hệ thống công nghệ thông tin đạt tiêu chuẩn an toàn cấp độ 4, các sàn cần tăng cường kiểm soát vận hành thông qua giới hạn tài sản lưu trữ trong ví nóng, áp dụng cơ chế ký nhiều bên, giám sát on-chain theo thời gian thực, tự động ngừng nạp tiền vào ví có dấu hiệu bị chiếm quyền và xây dựng quỹ bảo vệ người dùng”, ông Phan Đức Trung chia sẻ.

Bảo mật tài sản số không còn đơn thuần là vấn đề công nghệ, mà là bài toán tổng thể về quản trị, kiểm soát quyền truy cập và trách nhiệm bảo vệ tài sản khách hàng. Bởi ngay cả khi blockchain bảo đảm tính minh bạch và khả năng truy vết, tài sản vẫn có thể bị chiếm đoạt nếu quyền ký giao dịch rơi vào tay kẻ tấn công.