Tóm tắt nhanh
- TRM Labs ước tính khoảng 6,36 tỷ USD tài sản đã rời ví Binance trên 10 blockchain trong ngày 29/10/2026.
- Trên Ethereum, kẻ tấn công dùng EIP-7702 để chuyển quyền thực thi của ví nóng sang hợp đồng do chúng kiểm soát; các giao dịch trên những chuỗi khác lại sử dụng chữ ký thông thường.
- Binance nói điều tra sơ bộ chỉ ra khả năng máy tính của kỹ sư DevOps bị xâm nhập, nhưng chưa công bố nguyên nhân gốc rễ.
- Các đơn vị phát hành và Arbitrum đã phong tỏa khoảng 2,7 tỷ USD; phần tài sản không thể bị nhà phát hành đóng băng vẫn được TRM định giá khoảng 2,4 tỷ USD.
Khoảng 6,36 tỷ USD tài sản đã bị rút khỏi ví Binance trên 10 blockchain trong một cuộc tấn công ngày 29/10/2026, theo dữ liệu on-chain của TRM Labs. Điểm đáng chú ý không chỉ là quy mô: các giao dịch hợp lệ trên nhiều mạng cùng xuất hiện trong một khoảng thời gian ngắn, khiến trọng tâm điều tra chuyển từ một chiếc ví riêng lẻ sang hạ tầng ký giao dịch của sàn.
EIP-7702 biến một ví nóng Ethereum thành công cụ rút tiền
Trên Ethereum, một chữ ký ủy quyền hợp lệ có thể khiến ví chạy mã của bên khác mà không cần phá thuật toán mã hóa. EIP-7702 cho phép một tài khoản thông thường ủy quyền việc thực thi cho mã của hợp đồng thông minh; trong sự cố này, ví nóng Binance đã được ủy quyền cho hợp đồng quét tiền do kẻ tấn công kiểm soát. Cách có được chữ ký đó vẫn là phần cần điều tra, không phải bằng chứng rằng khóa riêng đã bị lộ.
Giao dịch đầu tiên chứa 50 ủy quyền đã được ký sẵn. Mỗi chữ ký gắn với một nonce, tức số thứ tự giao dịch của ví; vì ví nóng xử lý lệnh liên tục, nonce thay đổi theo thời gian. Chuẩn bị một dải 50 giá trị liên tiếp giúp kẻ tấn công có cơ hội để ít nhất một ủy quyền còn khớp khi giao dịch được đưa lên mạng. Một ủy quyền hợp lệ là đủ để chuyển quyền thực thi sang hợp đồng chỉ nhận lệnh từ phía tấn công.
Ba phút 24 giây sau khi ủy quyền, giao dịch quét đã chuyển 167.464 ETH cùng 63 token, trong đó có 1,615 tỷ USDT. Hợp đồng vẫn được gắn với ví, nên kẻ tấn công tiếp tục hút các khoản tiền mới đổ vào ở nhiều thời điểm sau đó. Đây là rủi ro vận hành đáng lưu ý của EIP-7702: chữ ký ủy quyền không đơn thuần là một lệnh chuyển tiền, mà có thể thay đổi cách tài khoản thực thi các lệnh tiếp theo.
Điều đó không đồng nghĩa bản thân EIP-7702 là lỗ hổng. Cơ chế cần chữ ký ủy quyền từ tài khoản; câu hỏi quan trọng là làm sao những chữ ký có quyền thay đổi hành vi ví nóng được tạo, phê duyệt và giám sát trong môi trường của sàn.
Các giao dịch trên nhiều chuỗi gợi ý vấn đề rộng hơn một hợp đồng
Nếu chỉ nhìn vào Ethereum, sự cố có thể được giải thích bằng việc ủy quyền bị lạm dụng. Nhưng cùng thời điểm, các ví Binance trên Bitcoin, Tron, XRP Ledger, Solana và nhiều mạng khác cũng gửi tài sản bằng những giao dịch đã ký theo cách thông thường. TRM cho biết tổng dòng tiền xuất phát từ ví của sàn trải trên 10 blockchain.
Các chuỗi sử dụng loại khóa và quy trình ký khác nhau. Việc nhiều ví phát ra chữ ký hợp lệ trong một khoảng thời gian ngắn gợi ý điểm yếu có thể nằm ở hạ tầng ký ví nóng dùng chung, thay vì chỉ ở một tài khoản Ethereum. Nếu chỉ xử lý hợp đồng trên Ethereum mà bỏ qua luồng cấp quyền ký trên những mạng khác, nguy cơ rút tiền trái phép có thể vẫn còn. Đây là suy luận từ các giao dịch trên chuỗi, không phải kết luận điều tra cuối cùng: Binance chưa công bố nguyên nhân gốc rễ.
Binance cho biết điều tra ban đầu cho thấy sự cố có thể liên quan đến máy tính xách tay của một kỹ sư DevOps bị xâm nhập, qua đó kẻ tấn công vào được một service container và gửi lệnh rút tiền trái phép. Sàn đồng thời nói chưa có bằng chứng khóa riêng của ví bị rò rỉ. Hai thông tin này mô tả một khả năng trong điều tra nội bộ, chưa xác định đầy đủ cách quyền ký bị chiếm hoặc những lớp phê duyệt nào đã bị vượt qua.
Phân biệt này quan trọng. Nếu khóa riêng bị đánh cắp, biện pháp ưu tiên là thay khóa và chuyển tài sản. Nếu hệ thống ký bị điều khiển để tự tạo chữ ký hợp lệ, chỉ thay khóa có thể không giải quyết được điểm yếu trong máy trạm, container, quyền truy cập hay luồng phê duyệt. Dữ liệu công khai hiện có chưa đủ để xác định chính xác mắt xích nào bị vượt qua.
Phong tỏa stablecoin giúp thu hồi một phần, nhưng không đảo ngược mọi giao dịch
Khoảng 2,7 tỷ USD đã được phong tỏa theo thống kê của TRM Labs, nhờ các nhà phát hành stablecoin như Tether, Circle, Ripple và World Liberty Financial, cùng hành động khẩn cấp trên mạng Arbitrum. Đây là phần khác biệt rõ giữa tài sản do một tổ chức phát hành quản lý và tài sản gốc như ETH hay BTC: nhà phát hành có thể chặn một số token tại địa chỉ cụ thể, còn mạng blockchain không có một nút trung tâm để đảo giao dịch.
Kẻ tấn công tìm cách đổi một phần USDT sang ETH qua các giao dịch với nhà tạo lập thị trường và giao thức DeFi trước khi lệnh đóng băng có hiệu lực. TRM ghi nhận khoảng 325 triệu USDT được bán đổi lấy khoảng 122.300 ETH. Việc chấp nhận thiệt khi chuyển đổi cho thấy bên tấn công ưu tiên lấy tài sản khó bị nhà phát hành phong tỏa hơn là giữ nguyên giá trị giao dịch. Một lượng USDT khác được dùng làm tài sản thế chấp để vay ETH trên Aave; giao thức sau đó đóng băng các thị trường liên quan.
Sau các đợt phong tỏa và chuyển đổi, TRM ước tính kẻ tấn công còn kiểm soát hơn 420.000 ETH và 18.270 BTC, trị giá khoảng 2,4 tỷ USD tại thời điểm báo cáo, ngoài các khoản nhỏ hơn trên những chuỗi khác. Con số có thể thay đổi theo giá thị trường và tiến trình truy vết. “Bị đánh cắp” vì thế không đồng nghĩa toàn bộ tài sản đã mất vĩnh viễn, nhưng cũng không thể xem số bị phong tỏa là đã hoàn trả cho người dùng.
Người dùng Việt Nam nên theo dõi khả năng nạp rút, không suy diễn từ số tiền bị rút
Với người dùng tại Việt Nam, tác động trước mắt là tình trạng nạp hoặc rút trên các mạng bị ảnh hưởng và thông báo cập nhật từ Binance. Sự cố xảy ra trên ví vận hành của sàn; dữ liệu được công bố không cho thấy tài khoản của từng người dùng đều bị chiếm quyền. Binance cam kết bù đắp tổn thất bằng quỹ SAFU và nguồn vốn của công ty, nhưng cam kết này là tuyên bố của sàn, không thay thế việc theo dõi thông báo chính thức về phạm vi ảnh hưởng và thời điểm mở lại từng mạng.
Bài học kỹ thuật không nằm ở việc người dùng có thể tự kiểm tra EIP-7702 trên ví sàn của mình. Rủi ro tập trung ở quyền vận hành: một máy trạm, dịch vụ trung gian hay quy trình ký có thể trở thành đường vào hệ thống quản lý tài sản trên nhiều blockchain. Với các tổ chức lưu ký, việc tách quyền ký theo chuỗi và cấp độ ví, giới hạn quyền của máy trạm, cùng cảnh báo khi có ủy quyền EIP-7702 bất thường là những biện pháp đáng xem xét. Sự cố vẫn đang được điều tra, nên chưa thể quy trách nhiệm cuối cùng cho một cá nhân hoặc một thành phần cụ thể.
Nguồn tham khảo: TRM Labs; The Hacker News; CNET
