Tóm tắt nhanh
- TRM Labs thống kê khoảng 6,36 tỷ USD rời các ví Binance trên 10 blockchain ngày 29/10/2026, tính theo giá lúc tài sản bị chuyển đi.
- Binance cho biết laptop DevOps bị xâm nhập có thể liên quan đến sự cố; chưa có bằng chứng khóa riêng của ví bị lộ.
- EIP-7702 xuất hiện trong nhánh tấn công Ethereum, nhưng không giải thích các giao dịch trên những mạng còn lại.
- Binance cam kết bù đắp toàn bộ tổn thất bằng quỹ SAFU và vốn công ty; đây là cam kết của sàn, không phải xác nhận tiền đã được hoàn trả.
Binance đang điều tra vụ thất thoát tiền mã hóa ước tính khoảng 6,36 tỷ USD trên 10 blockchain, phần lớn diễn ra trong khoảng 20 phút. Dấu vết ban đầu dẫn tới laptop của một kỹ sư DevOps có thể đã bị xâm nhập, nhưng điều đáng lo hơn là khả năng kẻ tấn công khiến hệ thống của sàn ký các lệnh chuyển tiền trái phép.
Binance cho biết đường truy cập này liên quan đến một service container, tức môi trường chạy dịch vụ phần mềm, và chưa tìm thấy bằng chứng khóa riêng của ví bị lộ. Sàn cũng phát hiện thêm điểm xâm nhập, nên chưa thể thu gọn nguyên nhân thành một chiếc laptop hay một thao tác của nhân viên.
Chữ ký hợp lệ không đồng nghĩa giao dịch được phép
Giữ bí mật khóa riêng chỉ giải quyết một phần bài toán bảo vệ ví nóng. Ví nóng kết nối Internet để xử lý nhu cầu rút tiền; nếu quy trình nhận lệnh và cấp chữ ký bị chi phối, hệ thống vẫn có thể tạo ra chữ ký đúng về mặt mật mã cho một giao dịch sai về quyền hạn.
Blockchain xác thực chữ ký chứ không biết một yêu cầu rút tiền có thực sự được khách hàng hay bộ phận vận hành phê duyệt hay không. Vì thế, việc giao dịch được mạng lưới chấp nhận không chứng minh quy trình nội bộ an toàn, và cũng không phải bằng chứng thuật toán mã hóa đã bị phá.
Binance nhấn mạnh kẻ tấn công không đơn giản dùng quyền của một kỹ sư để thực hiện một cú nhấp chuột duy nhất. Cuộc điều tra chưa quy trách nhiệm cho cá nhân nào. Laptop bị xâm nhập hiện là khả năng trong điều tra ban đầu, còn kết luận về cách vượt qua các lớp kiểm soát phải chờ báo cáo kỹ thuật cuối cùng.
EIP-7702 có thể khiến ví tiếp tục mất tiền sau lệnh đầu tiên
Ủy quyền cho hợp đồng thông minh khiến rủi ro khác với một lần chuyển nhầm tài sản. Với EIP-7702 trên Ethereum, ví thông thường có thể ký ủy quyền để thực thi mã của một hợp đồng; cơ chế này tiếp tục có hiệu lực cho đến khi được thay đổi bằng một ủy quyền mới.
TRM Labs ghi nhận giao dịch tấn công chứa 50 ủy quyền ký sẵn, ứng với các nonce liên tiếp. Nonce là số đếm mà hệ thống dùng để xác định thứ tự và tính hợp lệ của giao dịch hoặc ủy quyền. Ví nóng xử lý rút tiền liên tục nên số đếm thay đổi; chuẩn bị cả dải chữ ký làm tăng khả năng một ủy quyền khớp khi giao dịch được thực thi.
Dữ liệu giao dịch trong báo cáo cho thấy khoảng 3 phút 24 giây sau khi ủy quyền có hiệu lực, một lệnh đã chuyển 167.464 ETH cùng 63 token ra ngoài. Hợp đồng nhận ủy quyền chỉ chấp nhận chỉ thị từ bên tấn công, còn tiền mới đi vào ví tiếp tục bị quét trong những đợt sau. Bởi vậy, chỉ nạp tiền để bù số dư mà chưa xử lý ủy quyền nguy hiểm có thể làm tăng tổn thất.
Không thể từ đó kết luận EIP-7702 gây ra toàn bộ vụ mất tiền. Những ví trên các mạng khác chuyển tài sản bằng giao dịch ký thông thường; ngay trên Ethereum cũng có ví bị rút tiền mà không dùng cơ chế ủy quyền này. Khả năng hạ tầng ký bị xâm nhập phù hợp với dấu vết đa chuỗi, nhưng vẫn là giả thuyết kỹ thuật cần được hậu kiểm, không phải nguyên nhân đã được Binance xác nhận.
Thiệt hại đa chuỗi đặt ra câu hỏi về phạm vi quyền ký
Điểm cần kiểm tra là một sự xâm nhập có thể lan tới bao nhiêu nhóm ví, thay vì chỉ đếm số blockchain được hỗ trợ. Các mạng dùng loại khóa và cơ chế ký khác nhau vẫn đồng loạt phát ra giao dịch hợp lệ; nếu đường phê duyệt dùng chung bị chiếm quyền, việc tách tài sản sang nhiều mạng chưa chắc tạo được ranh giới bảo vệ thực sự.
TRM Labs định giá từng khoản chuyển theo giá tài sản lúc bị lấy, cho tổng khoảng 6,36 tỷ USD; ở mức giá trong thời điểm báo cáo, cùng lượng tài sản đó còn khoảng 6,23 tỷ USD. Hai con số mô tả cùng dòng tiền theo thời điểm định giá khác nhau, không phải hai vụ thất thoát.
| Mạng lưới | Giá trị tài sản rời ví, triệu USD |
|---|---|
| Ethereum | Khoảng 3.790 |
| Bitcoin | Khoảng 1.470 |
| Tron | Khoảng 628 |
| XRP Ledger | Khoảng 296 |
| Solana | Khoảng 96 |
| Arbitrum, Optimism và Base cộng lại | Khoảng 39 |
| Avalanche | Khoảng 28 |
| Polygon | Khoảng 10 |
Số liệu: TRM Labs, định giá tại thời điểm chuyển tài sản. Các khoản đã làm tròn nên cộng lại có thể lệch tổng ước tính.
Ethereum chiếm phần lớn giá trị nhưng không phải điểm mất tiền duy nhất. Với bên vận hành, ưu tiên hợp lý là phân tách quyền ký theo mạng và cấp ví, để một đường truy cập bị lộ không tự động mở sang toàn bộ tài sản.
Đóng băng token không đồng nghĩa đã thu hồi tiền
Khả năng phong tỏa phụ thuộc vào loại tài sản và quyền can thiệp của từng tổ chức. Nhà phát hành stablecoin có thể chặn token trong phạm vi cơ chế họ kiểm soát; điều đó khác với việc có quyền đóng băng mọi tài sản trên blockchain.
Tại mốc 00:30 UTC ngày 30/10, TRM Labs thống kê khoảng 2,7 tỷ USD đã bị phong tỏa, gồm khoảng 2,67 tỷ USD stablecoin và phần tài sản bị Hội đồng An ninh Arbitrum can thiệp. Trong thông báo được PC Gamer dẫn lại, Binance nêu số đóng băng khoảng 3 tỷ USD. Đây là những cập nhật ở các mốc ghi nhận khác nhau; không nên gộp thành một số liệu đồng nhất hoặc xem khoản phong tỏa là tiền đã hoàn trả cho khách hàng.
Việc đổi stablecoin sang ETH làm cuộc đua ứng phó khó hơn. Các giao dịch được thống kê gồm khoảng 325 triệu USDT được đổi lấy khoảng 122.300 ETH qua các bên tạo lập thị trường và cơ chế khớp lệnh, trong khi một ví khác đem 60 triệu USDT thế chấp trên Aave để vay khoảng 19.760 ETH. Token có thể bị chặn đã được biến thành tài sản nằm ngoài quyền phong tỏa trực tiếp của nhà phát hành stablecoin.
Theo thống kê cùng thời điểm của TRM Labs, bên tấn công nắm hơn 420.000 ETH và 18.270 BTC, tương đương khoảng 2,4 tỷ USD ngoài tầm phong tỏa của các nhà phát hành. Không nên lấy tổng thiệt hại trừ khoản bị đóng băng rồi gọi toàn bộ chênh lệch là khoản này: chúng không mô tả cùng một nhóm tài sản và còn chịu biến động giá.
Bật xác thực tài khoản vẫn không thay được kiểm soát của sàn
Đối với người dùng Việt Nam giữ tiền trên sàn, bảo vệ tài khoản cá nhân và bảo vệ hạ tầng lưu ký là hai việc khác nhau. Xác thực nhiều lớp giúp giảm nguy cơ người khác đăng nhập tài khoản của mình, nhưng không kiểm soát được hệ thống ký ví nóng do sàn vận hành. Việc tài khoản không bị chiếm không bảo đảm dịch vụ luôn rút tiền bình thường khi hạ tầng chung gặp sự cố.
Binance cho biết đã tạm ngừng nạp, rút để kiểm tra bảo mật và thu hồi ủy quyền của địa chỉ bị ảnh hưởng. Cam kết bù đắp từ quỹ SAFU cùng vốn công ty là thông tin cần theo dõi, nhưng người dùng vẫn cần phân biệt lời cam kết, tình trạng khôi phục dịch vụ và tiền thực tế có thể rút. Sàn dự kiến công bố bản cập nhật Proof of Reserves sau khi khắc phục; một ảnh chụp dự trữ cũng không thay được giải thích về quy trình cấp chữ ký đã bị vượt qua thế nào.
Với doanh nghiệp vận hành tài sản số, ranh giới cần bảo vệ nằm cả ở máy trạm và đường đưa yêu cầu tới bộ ký. Chính sách ký nên từ chối ủy quyền ngoài dự kiến, cảnh báo khi xuất hiện hàng loạt yêu cầu theo dải nonce, đồng thời chuẩn bị sẵn cách thu hồi ủy quyền khẩn cấp. Điểm phải chờ ở báo cáo hậu kiểm của Binance là những lớp kiểm soát nào đã không chặn được chuỗi truy cập này, chứ không chỉ tên phần mềm độc hại trên laptop.
Nguồn tham khảo: TRM Labs, BleepingComputer, PC Gamer
