Binance hé lộ cách tin tặc đánh cắp 6,34 tỷ USD qua phỏng vấn giả

Báo cáo điều tra sơ bộ công bố ngày 3/11/2026 của Binance cho thấy vụ đánh cắp khoảng 6,34 tỷ USD tiền mã hóa không bắt đầu từ một giao dịch đơn lẻ mà là kết quả của chiến dịch xâm nhập kéo dài nhiều tháng. Tin tặc liên tiếp nhắm vào máy tính của nhân viên, giả mạo hoạt động tuyển dụng rồi lợi dụng công cụ AI nội bộ để tiếp cận hạ tầng quản lý ví. Vụ việc xảy ra ngày 29/10 và đang được xem là một trong những vụ trộm tài sản mã hóa lớn nhất từng được ghi nhận.

Dấu hiệu đầu tiên xuất hiện từ tháng 6, khi một kỹ sư thuộc bộ phận vận hành ví tải phiên bản Homebrew đã bị chỉnh sửa trong quá trình tìm cách cài đặt công cụ hỗ trợ lập trình bằng AI. Bộ phận bảo mật Binance phát hiện bất thường, thay thiết bị và thu hồi những thông tin xác thực liên quan. Tuy nhiên, quá trình này vẫn để lộ thông tin về vai trò và các đồng nghiệp của nhân viên, giúp nhóm tấn công xác định mục tiêu tiếp theo.

Đến tháng 9, nhóm tin tặc tiếp cận một kỹ sư khác qua nền tảng tuyển dụng hợp pháp, giả danh người đại diện của công ty không có thật. Sau các buổi phỏng vấn, bao gồm cuộc gọi video nhằm tạo dựng sự tin tưởng, nạn nhân được giao tải một kho mã nguồn để thực hiện bài kiểm tra chuyên môn. Kho mã chứa phần mềm độc hại sử dụng kỹ thuật che giấu và né tránh giám sát, tự thực thi trong quá trình thiết lập môi trường phát triển; theo Binance, công cụ bảo vệ thiết bị đầu cuối lúc đó không phát hiện được mẫu mã độc này.

Ngày 20/10, kẻ tấn công tận dụng máy tính đã bị xâm nhập và một công cụ AI sử dụng nội bộ để mở rộng quyền truy cập sang thiết bị của hai nhân viên thuộc nhóm phát triển, vận hành ví. Chúng phát hiện một nhân viên có token cấp quyền triển khai container, thứ cho phép đưa thành phần phần mềm mới vào môi trường kỹ thuật. Đến ngày 29/10, tin tặc dùng thông tin xác thực bị đánh cắp để truy cập hệ thống của một kỹ sư khác, triển khai container và kích hoạt tập lệnh độc hại nhắm vào dịch vụ ký giao dịch.

Các giao dịch rút trái phép bắt đầu lúc 20h05 ngày 29/10 theo giờ UTC, tức 03h05 ngày 30/10 tại Việt Nam. Việc phong tỏa hoạt động rút tiền trên giao diện sàn không đủ để chặn toàn bộ luồng tiền vì nhóm tấn công đã lợi dụng cơ chế ủy quyền thực thi trên Ethereum theo EIP-7702, cho phép lệnh chuyển tài sản tiếp tục được thực hiện bằng quyền đã chiếm đoạt trên chuỗi. Giao dịch trái phép cuối cùng được xác nhận lúc 23h56 UTC; đến 00h10 UTC ngày 30/10, Binance mới hoàn tất bước xóa quyền ủy quyền bị lợi dụng tại ví nóng liên quan.

Chi tiết này cũng cho thấy không thể đơn giản quy trách nhiệm cho AI tự thực hiện cuộc tấn công. Trong chuỗi sự kiện do Binance mô tả, công cụ AI nội bộ là một trong các phương tiện bị kẻ tấn công khai thác sau khi đã chiếm được thiết bị và quyền truy cập của nhân viên, còn các giao dịch trái phép dựa vào hệ thống ký giao dịch và cơ chế ủy quyền của ví. Binance cho biết chưa phát hiện bằng chứng khóa riêng của ví bị lộ, nhưng công tác điều tra vẫn đang tiếp tục và kết luận kỹ thuật chưa phải kết quả hậu kiểm cuối cùng.

Binance ước tính khoảng 6,34 tỷ USD tài sản số đã bị ảnh hưởng, trong đó chừng 2,85 tỷ USD được phong tỏa hoặc chặn lại tính đến bản báo cáo ngày 3/11. Công ty cho biết đã sử dụng nguồn lực doanh nghiệp và quỹ bảo vệ người dùng để bù đắp thiệt hại, đồng thời bổ sung 98% số token bị ảnh hưởng tính đến ngày 31/10. Cần phân biệt hai con số: tỷ lệ bù đắp dự trữ cho khách hàng không có nghĩa 98% số tiền đã được thu hồi từ tin tặc. Trong khi đó, Elliptic cho biết đã theo dấu dòng tiền qua hơn 12.000 ví trên 11 blockchain, cho thấy quá trình phân tán và rửa tài sản vẫn là trở ngại lớn.

Ngày 31/10, FBI công khai quy trách nhiệm vụ việc cho nhóm tấn công TraderTraitor có liên hệ với Triều Tiên, trong khi Bình Nhưỡng bác bỏ cáo buộc. Binance cho biết đã xây dựng lại các hệ thống bị ảnh hưởng, thay thiết bị và tăng kiểm soát truy cập, đồng thời sẽ mời đơn vị bảo mật độc lập đánh giá sự cố. GameN.Pro từng đưa tin về thiệt hại ban đầu ngày 30/10; người quan tâm có thể xem báo cáo điều tra của Binance và thông báo của FBI để đối chiếu những thông tin đã công bố.