Tóm tắt nhanh
- Theo báo cáo cập nhật ngày 3/11 của Binance, vụ mất tài sản ngày 29/10 là kết quả của chiến dịch nhiều giai đoạn: bản cài Homebrew bị cài cắm nhắm vào một kỹ sư Wallet DevOps hồi tháng 6, rồi đến tuyển dụng giả nhắm vào kỹ sư thứ hai hồi tháng 9.
- Ngày 20/10, kẻ tấn công dùng máy tính đã bị chiếm và một công cụ AI nội bộ để kiểm soát thêm hai máy của kỹ sư ví; đến 29/10 chúng truy cập được dịch vụ ký giao dịch ví nội bộ và rút tiền ngoài quy trình rút thông thường.
- Số tiền bị lấy được ghi từ khoảng 6,3 đến 6,43 tỷ USD tùy nguồn và thời điểm; Binance cho biết khoảng 2,85 tỷ USD trong số 6,34 tỷ USD bị rút đã được đóng băng hoặc chặn lại.
- FBI quy trách nhiệm cho nhóm TraderTraitor của Triều Tiên; Triều Tiên gọi cáo buộc này là lời lẽ vô lý. Toàn bộ chi tiết xâm nhập kỹ thuật hiện chỉ đến từ chính Binance.
Binance vừa công bố bản mô tả chi tiết nhất cho đến nay về vụ mất hơn 6 tỷ USD tài sản số xảy ra vào khoảng 29/10, và câu chuyện không bắt đầu bằng một lỗ hổng trong hệ thống ví. Nó bắt đầu từ hai máy tính cá nhân của hai kỹ sư: một máy tải nhầm bản cài Homebrew đã bị sửa, một máy chạy bài tập lập trình trong buổi phỏng vấn của một công ty không tồn tại. Sàn nói đây “không phải một vụ xâm nhập đơn lẻ hay một vụ lừa đảo phishing đơn giản”.
Homebrew độc hại hồi tháng 6 mới chỉ lộ thông tin, chưa mở được cửa vào ví
Mắt xích đầu tiên Binance truy ra nằm ở tháng 6/2026. Một kỹ sư thuộc nhóm Wallet DevOps, được báo cáo gọi là Engineer A, tìm một công cụ AI phổ biến trên công cụ tìm kiếm rồi tải về một bản cài Homebrew đã bị cài cắm. Homebrew là trình quản lý gói mà lập trình viên dùng trên macOS để cài các công cụ dòng lệnh, nên một bản cài giả của nó chạy với quyền của chính người dùng ngay trên máy làm việc.
Binance cho biết họ đã phát hiện hoạt động bất thường, thay máy và đổi toàn bộ thông tin đăng nhập liên quan. Việc đó là cần thiết nhưng đến muộn: kẻ tấn công đã biết vai trò của người này và danh sách đồng nghiệp đang làm hạ tầng ví của sàn. Chi tiết cần tách bạch ở đây là tháng 6 chưa phải lúc ví bị chiếm. Nó là lúc kẻ tấn công có được tấm bản đồ nhân sự, và tấm bản đồ ấy được dùng ba tháng sau.
Một bài tập lập trình trong buổi phỏng vấn giả đã trở thành đường vào máy làm việc
Sang tháng 9, một kẻ đóng vai Project Director liên hệ kỹ sư thứ hai (Engineer B) qua một nền tảng tìm việc hợp pháp. Buổi phỏng vấn đầu là cuộc gọi video với một người tự nhận là nhân sự; người này chia sẻ cả một tài khoản mạng xã hội có ảnh và video cá nhân để tạo lòng tin. Vòng hai diễn ra trên một ứng dụng chat phổ biến với người xưng là CEO của một công ty không có thật, và Binance không nêu tên công ty đó.
Gần cuối buổi, kỹ sư được yêu cầu tải về một “bài tập” gồm một kho mã nguồn độc hại ngay trên máy tính công ty. Mã độc chạy trong lúc cài đặt, thay một thành phần của công cụ phát triển bằng bản đã bị nhiễm để thực thi lệnh và liên lạc với máy chủ do kẻ tấn công kiểm soát. Theo Binance, phần mềm bảo vệ điểm cuối của sàn không phát hiện được, và kẻ tấn công còn xóa dấu vết pháp y sau khi vào máy.
Lỗ hổng ở đây là thói quen nghề nghiệp, không phải một dòng mã nào. Chạy thử một repo mà nhà tuyển dụng gửi là việc ứng viên lập trình làm bình thường, và kẻ tấn công đã dựng cả một câu chuyện có người thật, có tài khoản xã hội, có hai vòng phỏng vấn để việc đó diễn ra trên máy công việc thay vì máy cá nhân.
Công cụ AI nội bộ là cầu nối để đi từ máy này sang máy khác
Ngày 20/10, hai nhánh tấn công gặp nhau. Kẻ tấn công dùng máy của Engineer B và lạm dụng một công cụ AI nội bộ của Binance để kiểm soát máy của Engineer A cùng một kỹ sư phần mềm ví thứ ba (Engineer C). Trên máy Engineer A có sẵn một token cấp quyền triển khai container, và đó là thứ chúng cần.
Ngày 29/10, trong khoảng từ 17:15 đến 19:56, kẻ tấn công đăng nhập vào máy của Engineer C, dùng thông tin đăng nhập lấy từ Engineer A để triển khai một container và kích hoạt script độc hại. Từ đó chúng vào được dịch vụ ký giao dịch nội bộ và tạo ra các lệnh chuyển tiền ngoài quy trình rút thông thường; bản mô tả nhắc đến năm ví nóng bị rút tiền theo cách này.
Cần đọc đúng vai trò của AI trong chuỗi này. Công cụ AI nội bộ là một mắt xích giúp mở rộng quyền truy cập từ máy bị chiếm sang máy khác. Không có nguồn nào nói AI tự viết mã độc, tự phê duyệt giao dịch hay là nguyên nhân duy nhất của vụ việc. Một công cụ nội bộ có quyền chạm vào nhiều máy kỹ sư sẽ trở thành đường tắt cho kẻ tấn công khi một máy trong số đó đã bị chiếm, và đó là điều Binance đã dựng lại sau sự cố: sàn xây lại công cụ AI và các cơ chế kiểm soát truy cập từ đầu.
FBI quy trách nhiệm cho Triều Tiên, còn chi tiết xâm nhập thì chỉ có Binance kể
Ba tầng thông tin trong vụ này có độ chắc chắn khác nhau. Tầng thứ nhất là con số: các nguồn dùng 6,3 tỷ, 6,34 tỷ hoặc 6,43 tỷ USD, chưa có lời giải thích đầy đủ cho chênh lệch, nên cách an toàn nhất là nói “hơn 6 tỷ USD”. Binance cho biết khoảng 2,85 tỷ USD trong số 6,34 tỷ USD bị rút đã được đóng băng hoặc chặn lại.
Tầng thứ hai là quy kết. FBI nói Triều Tiên chịu trách nhiệm cho vụ trộm hơn 6 tỷ USD tài sản ảo vào khoảng 29/10 và gọi hoạt động này là TraderTraitor. Cùng với Cục Mật vụ Mỹ và IRS-CI, FBI ghi nhận nhóm này đang đổi phần lớn tài sản đánh cắp sang Ether để tiếp tục rửa qua các dịch vụ DeFi và hoán đổi tức thời. Bình Nhưỡng bác bỏ, gọi cáo buộc là lời lẽ vô lý. Thông báo của FBI xác nhận quy kết và dòng tiền, nhưng không nêu chuỗi Homebrew hay tuyển dụng giả.
Tầng thứ ba là toàn bộ chi tiết kỹ thuật ở trên: tháng 6, tháng 9, ngày 20/10, ngày 29/10. Tất cả đến từ báo cáo tự công bố của Binance, và Binance cho biết điều tra vẫn tiếp diễn. Chưa có bên độc lập nào đối chiếu từng bước, nên đây là lời kể của nạn nhân, đáng tin nhưng chưa phải kết luận cuối.
Kiểu tấn công này cũng không mới. Binance cho biết từ đầu năm họ đã chặn 57 vụ nghi liên quan đến nhóm gắn với Triều Tiên, gồm phỏng vấn việc làm giả, phần mềm độc hại ngụy trang thành công cụ lập trình quen thuộc, gói phần mềm và tiện ích trình duyệt bị cài cắm, ứng dụng họp video giả. Chainalysis ước tính các chiêu phỏng vấn giả tương tự đã gây thiệt hại hơn 14,3 triệu USD trong 18 tháng qua, và nhận định những vụ nhỏ trước đó giúp tin tặc mài giũa cách làm trước khi nhắm vào mục tiêu lớn hơn.
Với lập trình viên Việt Nam, bài học nằm ở máy làm việc chứ không ở ví
Kỹ sư phần mềm Việt Nam, nhất là người làm outsource hoặc ứng tuyển cho công ty nước ngoài qua LinkedIn và các nền tảng tuyển dụng quốc tế, đứng đúng ở vị trí mà chiến dịch này nhắm tới. Bài kiểm tra lập trình qua repo GitHub là quy trình quen thuộc, và một lời mời lương cao từ công ty “mới nổi” ở nước ngoài không đủ để chứng minh công ty đó có thật.
Trường hợp của Binance cho thấy hai thói quen cần bỏ. Thứ nhất, tìm công cụ trên Google rồi chạy lệnh cài đặt dán từ trang bất kỳ: Homebrew bản chính chỉ nên lấy từ trang chính thức, gõ địa chỉ trực tiếp thay vì bấm quảng cáo. Thứ hai, chạy bài tập của nhà tuyển dụng ngay trên máy công việc có token và khóa truy cập. Cách rẻ nhất là chạy trong máy ảo hoặc container tách biệt, không có sẵn thông tin đăng nhập, và coi mọi repo không rõ nguồn là mã chưa được kiểm chứng. Một token triển khai container nằm trên máy cá nhân của một kỹ sư là đủ để biến hai lần xâm nhập nhỏ thành một vụ mất hàng tỷ USD.
Nguồn tham khảo: The Hacker News; Tom’s Hardware; The Guardian; FBI; The Register
