Tóm tắt nhanh
- TRM Labs ước tính khoảng 6,36 tỷ USD rời các ví Binance trên 10 blockchain ngày 29/10/2026, tính theo giá lúc chuyển; phần lớn bị rút trong khoảng 20 phút.
- Ví Ethereum bị lợi dụng thông qua 50 ủy quyền EIP-7702 ký sẵn, còn nhiều ví trên các mạng khác gửi tiền bằng giao dịch thông thường có chữ ký hợp lệ.
- Dữ liệu blockchain cho thấy tiền đi đâu, nhưng chưa xác định được ai đã yêu cầu hệ thống ký hoặc cách quyền đó bị chiếm.
- TRM ghi nhận khoảng 2,7 tỷ USD bị đóng băng đến 00:30 UTC ngày 30/10; đóng băng tài sản không đồng nghĩa tiền đã được hoàn trả.
Khoảng 6,36 tỷ USD đã rời các ví Binance trong sự cố ngày 29/10/2026, theo định giá của TRM Labs tại thời điểm tài sản được chuyển trên 10 blockchain. Phần lớn dòng tiền xuất hiện trong khoảng 20 phút bắt đầu lúc 20:05 UTC, tức 03:05 ngày 30/10 theo giờ Việt Nam, nhưng các đợt rút tiếp diễn sau đó nên không thể gói toàn bộ thiệt hại vào cửa sổ này.
Binance xác nhận sự cố an ninh và tạm dừng rút tiền trên nhiều mạng. Sàn cho biết tài sản người dùng an toàn và sẽ bù đắp tổn thất, còn nguyên nhân kỹ thuật cuối cùng vẫn đang được điều tra. Điều đáng chú ý là các giao dịch rút tiền mang chữ ký hợp lệ: blockchain chấp nhận chúng, dù người vận hành sàn không cho phép những khoản rút đó.
Chữ ký đúng không có nghĩa yêu cầu rút tiền đúng
Điểm cần phân biệt ở đây là khả năng tạo một chữ ký hợp lệ và quyền thực hiện một khoản rút tiền. Blockchain kiểm tra chữ ký theo quy tắc của mạng, chứ không biết yêu cầu đó có được bộ phận vận hành sàn phê duyệt đúng quy trình hay không. Vì vậy, một giao dịch được xác nhận trên chuỗi vẫn có thể bắt nguồn từ quyền truy cập bị lợi dụng ở phía dịch vụ nội bộ.
Binance cho biết điều tra ban đầu chỉ ra máy tính của một kỹ sư DevOps bị xâm nhập, từ đó kẻ tấn công tiếp cận một dịch vụ để gửi giao dịch rút trái phép. Đây là thông tin ban đầu của sàn, chưa phải mô tả hoàn chỉnh về đường xâm nhập hay toàn bộ quy trình ký. Dữ liệu công khai chưa đủ để kết luận một chiếc máy tính đơn lẻ có thể trực tiếp chuyển hết số tiền nói trên.
Trên Ethereum, TRM Labs ước tính lượng tài sản bị rút khoảng 3,79 tỷ USD; lượng Bitcoin rời ví là 18.270 BTC, trị giá khoảng 1,47 tỷ USD theo giá lúc chuyển. Các ví ở nhiều mạng khác cũng tạo chữ ký cho giao dịch chuyển tiền trong cùng khoảng thời gian. Phạm vi đó khiến giả thuyết hệ thống ký bị lợi dụng đáng được xem xét, nhưng chưa chứng minh cơ chế xâm nhập cụ thể.
Một điểm chưa thể đọc từ blockchain là danh tính người hoặc dịch vụ đã gửi yêu cầu ký vào hệ thống Binance. Chữ ký hợp lệ cũng không tự phân biệt được giữa tình huống khóa riêng bị sao chép và tình huống dịch vụ giữ khóa bị yêu cầu ký lệnh trái phép. Muốn xác định khác biệt này phải đối chiếu nhật ký truy cập, chính sách phê duyệt và hoạt động bên trong hạ tầng, thay vì chỉ lần theo địa chỉ nhận tiền.
Ủy quyền Ethereum khiến tiền nạp sau cũng có thể bị quét
Rủi ro riêng của ví Ethereum nằm ở quyền thực thi mã được duy trì sau giao dịch đầu tiên. EIP-7702 cho phép một tài khoản thông thường ủy quyền cho mã hợp đồng thông minh; khi ủy quyền có hiệu lực, lời gọi tới ví có thể chạy mã đó. Trong sự cố này, ví nóng bị làm cho chạy hợp đồng quét tiền do kẻ tấn công kiểm soát, thay vì chỉ ký một khoản chuyển đơn lẻ.
Giao dịch lúc 20:20 UTC chứa 50 ủy quyền đã ký trước, tương ứng các giá trị nonce liên tiếp. Nonce là bộ đếm dùng trong việc xác định thứ tự và tính hợp lệ của giao dịch; với ví nóng đang liên tục xử lý lệnh rút, giá trị này có thể thay đổi trước lúc ủy quyền được thực thi. Chuẩn bị một dải giá trị giúp kẻ tấn công có cơ hội khớp đúng bộ đếm, và một ủy quyền hợp lệ đã đủ để cài quyền chạy mã.
Sau đó 3 phút 24 giây, giao dịch quét ví chuyển 167.464 ETH cùng 63 token, trong đó có 1,615 tỷ USDT. Quyền ủy nhiệm vẫn còn, nên những lần quét tiếp theo có thể lấy cả tài sản vừa được chuyển vào ví. Lần quét cuối được ghi nhận lúc 23:56 UTC, cho thấy chặn giao diện rút tiền của khách hàng và thu hồi quyền đã tồn tại trên chuỗi là hai việc khác nhau.
Cơ chế EIP-7702 này chỉ giải thích phần hoạt động được xác định trên Ethereum. Nhiều ví ở các blockchain khác chuyển tiền qua giao dịch có chữ ký thông thường, nên không có căn cứ gán toàn bộ vụ việc cho một tính năng của Ethereum. Với đơn vị lưu ký, việc cần kiểm soát là cả loại yêu cầu ký lẫn phạm vi quyền mà chữ ký tạo ra: một khoản thanh toán và một ủy quyền chạy mã để lại hậu quả rất khác nhau.
Tiền đóng băng chưa phải tiền đã thu hồi
Khả năng đóng băng phụ thuộc loại tài sản và nơi nó đang nằm. Nhà phát hành có thể chặn chuyển token như USDT hay USDC tại một địa chỉ, trong khi BTC và ETH trên mạng gốc không có nhà phát hành sở hữu nút đóng băng tương tự. Vì vậy, việc đổi stablecoin sang ETH có thể làm giảm khả năng can thiệp của nhà phát hành, dù đường đi của khoản tiền vẫn hiện trên blockchain.
TRM Labs ghi nhận khoảng 2,7 tỷ USD bị đóng băng trên chuỗi đến 00:30 UTC ngày 30/10, tức 07:30 cùng ngày tại Việt Nam, và ước tính khoảng 2,4 tỷ USD tài sản vẫn do kẻ tấn công kiểm soát ở mốc đó. Trong báo cáo ngày 30/10, Chainalysis nêu tổng tài sản đóng băng khoảng 2,8 tỷ USD tại thời điểm công bố. Bitquery lại ước tính số tài sản còn trong tay kẻ tấn công khoảng 3,2 tỷ USD tại 06:43 UTC, tức 13:43 giờ Việt Nam.
Không nên lấy các con số này làm những ô trong cùng một phép trừ. Chúng khác thời điểm, phạm vi theo dõi và cách phân loại; riêng tổng tiền 6,36 tỷ USD được định giá theo giá lúc chuyển, còn tài sản có thể tiếp tục được đổi sang token khác sau đó. Chênh lệch giữa ước tính còn lại của TRM Labs và Bitquery không đủ để kết luận kẻ tấn công đã kiếm thêm đúng phần chênh lệch ấy.
Tốc độ chuyển đổi cũng thể hiện ở một nhánh dòng tiền: Chainalysis ghi nhận 325 triệu USD stablecoin được đổi lấy khoảng 285 triệu USD ETH, còn 175 triệu USD stablecoin còn lại trong nhánh này bị đóng băng. Đây là số liệu của một nhánh giao dịch, không phải tổng thiệt hại hay toàn bộ số tiền đã đổi của vụ việc. Nó cho thấy kẻ tấn công chấp nhận nhận ít giá trị hơn để rời khỏi loại token có thể bị chặn.
Ngay cả khi token đã bị đóng băng, việc hoàn trả còn cần được xử lý riêng. Với người có tài sản trên sàn, tổng tiền bị rút, tổng tiền bị chặn và số tiền đã trở lại quyền kiểm soát của sàn là những chỉ tiêu khác nhau; chỉ một thông báo tăng lượng đóng băng chưa đủ để khẳng định đã khôi phục được số dư tương ứng.
Người dùng cần theo dõi quyền rút tiền, không chỉ số dư
Số dư hiển thị trong tài khoản và khả năng rút tài sản ra một mạng cụ thể không phải cùng một việc. Binance có thể cam kết bù tổn thất trong khi vẫn tạm ngừng một số tuyến rút để kiểm tra an ninh. Với người dùng tại Việt Nam, thông tin cần kiểm tra trực tiếp là mạng mình định sử dụng đã được mở lại hay chưa, thay vì suy từ trạng thái của một mạng khác hoặc từ việc vẫn đăng nhập được ứng dụng.
Nhận định về thủ phạm cũng cần được giữ đúng mức chắc chắn. TRM Labs quy trách nhiệm với độ tin cậy cao cho TraderTraitor, nhóm có liên hệ Triều Tiên; Chainalysis đưa ra đánh giá tương tự dựa trên hoạt động trên chuỗi, trong đó có dấu vết trộn dòng tiền với một vụ tấn công trước. Đây là đánh giá của các công ty phân tích, chưa phải kết luận cuối cùng của cơ quan điều tra. Dấu vết giao dịch có thể củng cố quy kết, nhưng không thay thế bằng chứng về cách xâm nhập.
Vụ việc đặt ra một yêu cầu thực tế cho dịch vụ lưu ký: bảo vệ nơi giữ khóa phải đi cùng việc giới hạn ai được yêu cầu ký, được ký loại lệnh nào và được tác động tới những mạng nào. Còn với người dùng, một tin nhắn đề nghị kết nối ví hoặc ký giao dịch để nhận bồi thường không nên được coi là hướng dẫn hợp lệ chỉ vì nó nhắc đúng tên sự cố. Cần tự mở kênh chính thức của Binance để kiểm tra, không gửi tiền hay ký theo người chủ động liên hệ.
Điểm cần chờ trong báo cáo hậu kiểm là cách yêu cầu rút trái phép vượt qua kiểm soát nội bộ và cách sàn thu hồi quyền chạy mã đã được cấp. Chừng nào hai phần đó chưa được giải thích đầy đủ, chữ ký hợp lệ mới cho biết vì sao mạng chấp nhận giao dịch, chưa cho biết vì sao hệ thống của sàn lại tạo ra chúng.
Nguồn tham khảo: TRM Labs; Chainalysis; Bitquery; CNBC; The Guardian; TechRadar.
