Vụ hack 6,3 tỷ USD tại Binance được thực hiện ra sao trong 20 phút?

Ngày 29/10, Binance trở thành mục tiêu của một trong những vụ đánh cắp tiền mã hóa lớn nhất từng được ghi nhận.

Theo WIRED, tin tặc đã rút khoảng 6,3 tỷ USD tài sản số từ các ví thuộc Binance trên ít nhất 10 blockchain, trong đó có Bitcoin, Ethereum, Tron và Solana. Phần lớn số tiền được chuyển khỏi các ví chỉ trong khoảng 20 phút.

Ngay sau khi phát hiện sự cố, Binance tạm dừng hoạt động nạp và rút tiền để điều tra. Sàn giao dịch cho biết sẽ bù đắp toàn bộ tổn thất và phối hợp với cơ quan thực thi pháp luật để xác định những người đứng sau cuộc tấn công.

Chuẩn bị ít nhất 36 giờ trước khi ra tay

Dù phần lớn tài sản bị rút trong khoảng 20 phút, cuộc tấn công không diễn ra một cách đột ngột.

Phân tích của TRM Labs cho thấy quá trình chuẩn bị đã bắt đầu ít nhất 36 giờ trước thời điểm tiền bị đánh cắp.

Một trong những ví do kẻ tấn công kiểm soát trước đó nhận ba giao dịch nhỏ. Đây được cho là những lần thử nhằm kiểm tra quy trình trước khi mở rộng hoạt động.

Sáng 29/10, tin tặc triển khai phiên bản đầu tiên của mã phục vụ cuộc tấn công và thử nghiệm trên hai ví. Sau đó, phiên bản hoàn chỉnh được chạy thử trên một ví thứ ba trước khi số tiền thử nghiệm được chuyển trở lại địa chỉ của kẻ tấn công.

Khoảng 4 giờ sau lần diễn tập cuối cùng, mã tương tự xuất hiện trên một ví nóng của Binance.

Ví nóng là loại ví kết nối trực tiếp với Internet, thường được các sàn giao dịch sử dụng để xử lý hoạt động rút tiền của khách hàng. Chính khả năng giao dịch nhanh cũng khiến loại ví này trở thành mục tiêu hấp dẫn với tin tặc.

Theo Reuters, những kẻ tấn công dường như đã xâm nhập được vào hạ tầng dùng để ký và phê duyệt giao dịch của Binance, từ đó gửi hàng loạt yêu cầu rút tiền trái phép.

Binance ban đầu cho biết sự cố có thể liên quan đến laptop của một kỹ sư DevOps bị xâm nhập. Thiết bị này được cho là đã tạo điều kiện để kẻ tấn công truy cập một service container và gửi lệnh rút tiền.

Tuy nhiên, quá trình điều tra sau đó phát hiện thêm những điểm xâm nhập khác. Binance mô tả đây là một cuộc tấn công phức tạp và chưa công bố đầy đủ cách tin tặc vượt qua hệ thống bảo vệ. Hãng cũng cho biết chưa tìm thấy bằng chứng khóa riêng của các ví bị lộ.

Hàng nghìn giao dịch được thực hiện tự động

Sau khi chiếm được quyền thực hiện giao dịch, tốc độ trở thành yếu tố quyết định.

Các ví Binance trên nhiều blockchain đồng loạt bị rút tài sản và số tiền được đưa tới nhiều địa chỉ khác nhau do cùng một bên kiểm soát.

Chainalysis cho biết họ quan sát thấy hàng nghìn giao dịch được xử lý với tốc độ rất cao sau vụ tấn công. Những mô hình rửa tiền xuất hiện sau đó được công ty mô tả là khác với những gì từng thấy trước đây.

Các nhà phân tích nghi ngờ tin tặc đã sử dụng hệ thống tự động để liên tục chia nhỏ, chuyển đổi và di chuyển tài sản, nhằm khiến quá trình truy vết trở nên khó khăn hơn.

Tuy vậy, đặc điểm của blockchain cũng cho phép các công ty phân tích theo dõi luồng tiền theo thời gian thực.

Khoảng 2,8-3 tỷ USD tài sản đã được đóng băng sau cuộc tấn công. Phần lớn trong số này là stablecoin, loại tài sản mà đơn vị phát hành có khả năng đưa địa chỉ liên quan vào danh sách đen và ngăn chúng tiếp tục được chuyển đi.

Trong khi đó, khoảng 3,3 tỷ USD còn lại chủ yếu là Bitcoin, Ether và XRP. Những tài sản này không thể bị đơn vị phát hành trực tiếp đóng băng. Cơ hội thu hồi thường chỉ xuất hiện khi chúng được chuyển tới một sàn giao dịch hoặc dịch vụ có khả năng can thiệp.

FBI quy trách nhiệm nhóm tin tặc TraderTraitor

Ngay sau sự cố, ba công ty theo dõi tiền mã hóa gồm TRM Labs, Chainalysis và Elliptic đều nhận thấy dấu hiệu cho thấy cuộc tấn công có thể liên quan đến nhóm tin tin tặc TraderTraitor, nhóm từng bị FBI quy trách nhiệm cho vụ đánh cắp khoảng 1,5 tỷ USD từ sàn Bybit năm 2025.

Các nhà điều tra phát hiện nhiều điểm tương đồng về phương thức hoạt động, bao gồm nhắm mục tiêu vào nhân viên của công ty tiền mã hóa, chuẩn bị và thử nghiệm trước khi tấn công, cũng như sử dụng các dịch vụ che giấu nguồn tiền.

Đến ngày 1/11, FBI chính thức quy vụ đánh cắp 6,3 tỷ USD tại Binance cho TraderTraitor.

Vụ việc không chỉ gây thiệt hại tài chính lớn mà còn đặt ra câu hỏi về mức độ an toàn của hạ tầng lưu ký và phê duyệt giao dịch tại các sàn tiền mã hóa tập trung.

Điểm đáng chú ý là khoảng thời gian 20 phút chỉ phản ánh tốc độ rút phần lớn tài sản. Đằng sau đó là ít nhất 36 giờ chuẩn bị, thử nghiệm và tìm cách xâm nhập hệ thống trước khi tin tặc thực hiện hàng loạt giao dịch gần như đồng thời.