Tối 3/11 theo giờ Hà Nội, Binance lần đầu công bố chi tiết quá trình tin tặc xâm nhập hệ thống, dẫn đến vụ đánh cắp khoảng 6,3 tỷ USD tiền mã hóa xảy ra ngày 29/10. Theo đó, cuộc tấn công không bắt đầu từ một lỗ hổng trực tiếp trong ví tiền mã hóa, mà từ một chiến dịch giả mạo tuyển dụng nhằm vào nhân viên kỹ thuật của sàn

Theo CoinDesk và Reuters, tại buổi cung cấp thông tin cho báo chí ngày 3/11, lãnh đạo Binance xác nhận tin tặc đã sử dụng một cuộc phỏng vấn tuyển dụng giả để xâm nhập máy tính làm việc của một kỹ sư phần mềm. Sau khi kiểm soát thiết bị, nhóm tấn công tiếp tục khai thác công cụ AI nội bộ, mở rộng quyền truy cập và từng bước tiếp cận hạ tầng quản lý ví tiền mã hóa của sàn giao dịch lớn nhất thế giới.

Đồng CEO Binance Richard Teng mô tả đây là một chiến dịch được chuẩn bị trong nhiều tháng, thay vì một hành động tấn công đơn lẻ. Thông tin mới cũng làm sáng tỏ phần nào câu hỏi lớn nhất kể từ khi vụ hack xảy ra: Bằng cách nào tin tặc có thể vượt qua hệ thống bảo mật của một trong những định chế nắm giữ lượng tài sản kỹ thuật số lớn nhất toàn cầu?

Cuộc phỏng vấn tuyển dụng được dàn dựng trong nhiều tháng

Theo Giám đốc An ninh thông tin Binance Jimmy Su, một trong những bước ngoặt của chiến dịch xảy ra vào tháng 9/2026, khi một kỹ sư phần mềm của Binance được tiếp cận thông qua một nền tảng tuyển dụng hợp pháp.

Người liên hệ tự giới thiệu là giám đốc dự án và đề cập đến một cơ hội nghề nghiệp. Sau đó, kỹ sư này tham gia cuộc phỏng vấn trực tuyến với một người tự nhận là đại diện bộ phận nhân sự. Để tạo dựng lòng tin, đối tượng còn chia sẻ tài khoản mạng xã hội có ảnh cá nhân, khiến quá trình tuyển dụng trông giống một hoạt động thông thường.

Một cuộc phỏng vấn thứ hai tiếp tục được tổ chức với người tự xưng là giám đốc điều hành của doanh nghiệp tuyển dụng. Kết thúc cuộc trao đổi, kỹ sư Binance nhận được yêu cầu tải một bài kiểm tra lập trình về máy tính làm việc để hoàn thành vòng đánh giá năng lực. Đây chính là bước giúp tin tặc xâm nhập hệ thống.

Theo ông Jimmy Su, bài kiểm tra lập trình thực chất chứa mã độc khai thác lỗ hổng bảo mật chưa được biết đến trước đó, thường được gọi là lỗ hổng zero-day. Mã độc có khả năng vượt qua công cụ bảo vệ thiết bị đầu cuối, qua đó cho phép những kẻ tấn công kiểm soát máy tính của nhân viên.

Điểm đáng quan tâm là toàn bộ quá trình được ngụy trang dưới hình thức tuyển dụng khá hoàn chỉnh, từ việc tiếp cận ứng viên trên nền tảng hợp pháp, tổ chức phỏng vấn video đến tạo dựng danh tính của các nhân sự cấp cao. Thay vì gửi một đường dẫn lừa đảo đơn giản, tin tặc đã đầu tư thời gian xây dựng lòng tin để khiến nạn nhân tự tải và thực thi phần mềm độc hại.

Tuy nhiên, cuộc phỏng vấn giả không phải là dấu hiệu xâm nhập duy nhất được Binance phát hiện. Theo CoinDesk, từ tháng 6/2026, một kỹ sư khác của Binance đã cài đặt gói phần mềm Homebrew bị chỉnh sửa trong lúc tìm kiếm công cụ AI. Binance phát hiện sự cố và thay thế thiết bị liên quan, song những người làm việc trong nhóm quản lý ví vẫn có nguy cơ bị ảnh hưởng.

Đến ngày 20/10, nhóm tin tặc sử dụng máy tính đã bị xâm nhập thông qua cuộc phỏng vấn giả cùng một công cụ AI nội bộ để tiếp cận máy tính của hai kỹ sư thuộc bộ phận ví tiền mã hóa. Như vậy, những kẻ tấn công đã có khả năng di chuyển sâu hơn vào hạ tầng nội bộ Binance ít nhất chín ngày trước khi vụ đánh cắp tiền mã hóa diễn ra.

Từ máy tính nhân viên đến vụ đánh cắp 6,3 tỷ USD tại Binance

Sau nhiều tháng chuẩn bị, nhóm tin tặc tiến hành giai đoạn cuối của cuộc tấn công vào ngày 29/10. Theo Binance, những kẻ tấn công sử dụng thông tin xác thực đã đánh cắp để triển khai một môi trường phần mềm nội bộ và thực thi tập lệnh độc hại. Các giao dịch chuyển tiền trái phép bắt đầu xuất hiện lúc 20h05 ngày 29/10 theo giờ UTC, tương đương 3h05 ngày 30/10 theo giờ Việt Nam.

Một trong những cơ chế được sử dụng là EIP-7702, tính năng của mạng Ethereum cho phép tài khoản ủy quyền việc thực thi cho mã hợp đồng thông minh. Trong trường hợp Binance, tin tặc đã lợi dụng cơ chế này để thiết lập quyền thực thi không hợp lệ đối với một ví nóng của sàn.

Ví nóng là loại ví tiền mã hóa có kết nối với hệ thống trực tuyến, thường được các sàn giao dịch sử dụng để xử lý hoạt động nạp và rút tài sản của khách hàng.

Theo giải thích của Binance, quyền thực thi được thiết lập thông qua EIP-7702 đã không đi qua quy trình phê duyệt thông thường của sàn. Điều này tạo điều kiện để tin tặc thực hiện các giao dịch chuyển tài sản mà không cần tuân theo cơ chế kiểm soát rút tiền vốn được thiết kế để ngăn chặn hoạt động trái phép.

Binance sử dụng công nghệ tính toán đa bên (MPC) trong hạ tầng ví. Đây là cơ chế phân tán hoạt động xử lý khóa mật mã nhằm tránh phụ thuộc vào một khóa đơn lẻ. Tuy nhiên, theo ông Jimmy Su, chính đặc điểm này cũng khiến việc vô hiệu hóa quyền thực thi độc hại không thể hoàn tất chỉ bằng một khóa riêng lẻ.

Phải đến 0h10 ngày 30/10 theo giờ UTC, tức hơn bốn giờ sau khi dòng tiền bắt đầu bị rút trái phép, Binance mới hoàn tất quá trình ngăn chặn quyền truy cập liên quan.

Trong khoảng thời gian đó, lượng tài sản khổng lồ đã bị chuyển khỏi các ví của Binance. Dữ liệu blockchain được các đơn vị điều tra phân tích cho thấy phần lớn số tiền bị đánh cắp đã rời khỏi hệ thống chỉ trong khoảng 20 phút đầu tiên.

Vụ việc được đánh giá là cuộc tấn công đánh cắp tiền mã hóa lớn nhất từng được ghi nhận, vượt xa vụ mất khoảng 1,5 tỷ USD tại sàn Bybit hồi tháng 2/2025.

Cục Điều tra Liên bang Mỹ (FBI) đã quy trách nhiệm vụ tấn công cho nhóm TraderTraitor. Đây cũng là nhóm từng bị cáo buộc đứng sau nhiều vụ đánh cắp tài sản kỹ thuật số quy mô lớn. Tuy nhiên, phía CHDCND Triều Tiên đã bác bỏ cáo buộc liên quan đến vụ Binance.

Binance đang huy động nguồn lực tài chính để khắc phục hậu quả. Theo thông tin được công bố tại buổi họp báo ngày 3/11, khoảng 2,85 tỷ USD tài sản liên quan đến vụ tấn công đã được phong tỏa, trong khi sàn đã bổ sung lượng tài sản tương đương khoảng 98% số token bị ảnh hưởng bằng nguồn vốn của doanh nghiệp.

Con số tài sản được bổ sung không đồng nghĩa với việc Binance đã thu hồi được 98% số tiền bị đánh cắp. Đây là hai quá trình khác nhau, gồm sử dụng nguồn lực tài chính để khôi phục lượng tài sản dự trữ và phối hợp với các đối tác nhằm truy tìm, phong tỏa tài sản bị tin tặc chiếm đoạt.

Ông Richard Teng khẳng định Binance sẽ tự gánh chịu tổn thất tài chính, không chuyển thiệt hại sang khách hàng. Sàn cũng đã từng bước khôi phục hoạt động rút tiền từ ngày 1/11, sau khi tạm dừng dịch vụ để kiểm tra và tái thiết các hệ thống liên quan.

Theo Reuters, Binance dự kiến tăng đầu tư vào công nghệ phát hiện mối đe dọa bằng AI, thành lập quỹ nghiên cứu an ninh mạng và triển khai các chương trình hợp tác với những doanh nghiệp AI hàng đầu. Sàn cũng sẽ mời chuyên gia an ninh mạng độc lập tham gia đánh giá sự cố.

Trong khi quá trình điều tra vẫn tiếp tục, những thông tin được công bố ngày 3/11 đã phác họa rõ hơn phương thức hoạt động của nhóm tin tặc. Vụ đánh cắp hàng tỷ USD không khởi đầu bằng việc phá vỡ trực tiếp lớp bảo vệ ví tiền mã hóa, mà bằng cách khiến một kỹ sư tin rằng mình đang tham gia một quy trình tuyển dụng thông thường.

Từ bài kiểm tra lập trình giả đến quyền kiểm soát ví điện tử, nhóm tấn công đã kết hợp kỹ thuật lừa đảo con người, mã độc và việc khai thác quyền truy cập nội bộ để tạo ra vụ thất thoát tài sản kỹ thuật số có quy mô chưa từng có.

VNF