Binance mất 6,3 tỷ USD vào tay hacker, phần lớn chỉ trong 20 phút

Binance, sàn giao dịch tiền mã hóa lớn nhất thế giới, mất khoảng 6,3 tỷ USD vào tay tin tặc sau khi chúng vét sạch ví trực tuyến trên mười blockchain, phần lớn số tiền bị lấy đi chỉ trong khoảng 20 phút. Đây là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận, với quy mô gấp khoảng bốn lần kỷ lục trước đó: 1,5 tỷ USD bị đánh cắp từ sàn đối thủ Bybit. Binance đã ngừng cho rút tiền trong lúc tìm hiểu cách những kẻ tấn công đột nhập, vì vậy hiện giờ người dùng có coin trên nền tảng này chưa thể chuyển chúng đi nơi khác.

Sàn giao dịch cho biết khách hàng sẽ không phải gánh khoản thiệt hại. “Binance sẽ bù đắp toàn bộ tổn thất bằng quỹ SAFU và nguồn tiền của công ty. Tài sản của người dùng vẫn an toàn”, công ty tuyên bố, nhắc đến Secure Asset Fund for Users — quỹ dự phòng khẩn cấp được lập ra để ứng phó với những sự cố như vậy. Nạp tiền vẫn hoạt động bình thường. Vấn đề nằm ở quyền truy cập: chừng nào Binance chưa mở lại chức năng rút tiền, số dư trên sàn chỉ là thứ bạn có thể nhìn thấy chứ không thể chuyển đi đâu khác — đó chính là rủi ro người dùng chấp nhận khi giữ tiền mã hóa trên sàn thay vì cất trong ví do mình kiểm soát.

Giải thích ban đầu của Binance hướng đến một chiếc máy tính duy nhất. Cuộc điều tra sơ bộ cho thấy máy tính xách tay của một kỹ sư DevOps bị xâm nhập đã giúp kẻ tấn công tiếp cận một vùng chứa dịch vụ và gửi các giao dịch rút tiền trái phép. Vài giờ sau, công ty mở rộng nhận định, cho biết đã “phát hiện thêm các điểm bị xâm nhập” và gọi đây là một cuộc tấn công phức tạp. Đồng CEO Richard Teng viết rằng “kẻ tấn công không chỉ đơn giản sử dụng quyền hạn của một kỹ sư, và đây cũng không phải hành động ‘một cú nhấp chuột’ duy nhất”. Binance nói chưa tìm thấy bằng chứng cho thấy khóa riêng của ví bị rò rỉ.

Các đơn vị điều tra độc lập mô tả đây là một vụ trộm đã được diễn tập từ trước. Công ty phân tích blockchain TRM Labs lần theo khoảng 6,36 tỷ USD rời khỏi các ví Binance trên Ethereum, Bitcoin, Tron, XRP Ledger, Solana và năm mạng lưới khác; đồng thời phát hiện mã tấn công đã được chạy thử trên những ví khác vài giờ trước vụ trộm. Vì các ví sử dụng nhiều loại khóa và cơ chế ký khác nhau đều tạo ra chữ ký hợp lệ cho kẻ tấn công trong khoảng nửa giờ, TRM kết luận nhiều khả năng kẻ này đã giành được quyền khiến hệ thống ký của chính Binance phê duyệt những giao dịch do hắn lựa chọn.

TRM với độ tin cậy cao quy trách nhiệm vụ tấn công cho TraderTraitor, một nhóm tin tặc thuộc nhà nước Triều Tiên mà FBI cáo buộc đứng sau vụ trộm tại Bybit; Chainalysis cũng đưa ra kết luận tương tự. Binance chưa nêu tên thủ phạm.

Cuộc chạy đua phong tỏa tiền bắt đầu chỉ vài phút sau đó. Các công ty phát hành stablecoin có thể khóa tài sản của mình, và họ đã làm vậy: Tether đóng băng khoảng 1,77 tỷ USDT, Circle khoảng 825 triệu USDC và Ripple 40,5 triệu RLUSD. Theo TRM, Hội đồng An ninh của Arbitrum cũng buộc khoảng 30 triệu USD rời khỏi ví của kẻ tấn công trên mạng lưới này. Binance cho biết tổng số tiền bị phong tỏa vào khoảng 3 tỷ USD. Bitcoin và Ether không có đơn vị phát hành nào có thể khóa chúng, vì vậy kẻ tấn công vội đổi stablecoin sang Ether, chấp nhận bán một phần với mức chiết khấu hơn 10% để đưa tiền ra khỏi tầm với.

Đến đây, những lời trấn an bắt đầu trở nên kém thuyết phục. TRM ước tính kẻ tấn công vẫn kiểm soát hơn 420.000 ETH và 18.270 BTC, tương đương khoảng 2,4 tỷ USD mà không ai có thể phong tỏa; các bước tiếp theo nhiều khả năng sẽ đi qua cầu nối xuyên chuỗi, dịch vụ hoán đổi và các nhà môi giới giao dịch phi tập trung. Binance chưa cho biết khoản tổn thất sẽ tiêu tốn bao nhiêu trong quỹ dự phòng khẩn cấp, cũng chưa công bố nguyên nhân gốc rễ. Hiện tại, lời cam kết rằng tài sản người dùng vẫn an toàn chỉ dựa trên lời nói của công ty, còn “các điểm bị xâm nhập khác” không đồng nghĩa với việc lỗ hổng đã được khống chế.

Các sàn giao dịch là mục tiêu hấp dẫn vì họ giữ coin thay mặt khách hàng trong những ví nóng, luôn kết nối với internet để có thể xử lý lệnh rút nhanh chóng. Tháng trước, Bitget mất 387,5 triệu USD trong một vụ tấn công mà sàn này cũng quy cho Triều Tiên. Thị trường nói chung cũng chịu ảnh hưởng: Bitcoin và Ether giảm sau khi tin tức được công bố, đến giữa trưa tại Hong Kong, cả hai giao dịch thấp hơn khoảng 2–3%, theo CNN.

Việc tạm ngừng rút tiền cũng tạo cơ hội cho những kẻ lừa đảo. Binance đã nhắc khách hàng “cảnh giác với các chiêu trò lừa đảo” và “không tin vào liên kết, tin nhắn hoặc yêu cầu cung cấp thông tin tài khoản từ nguồn không chính thức”. Sàn chưa công bố quy trình hoàn tiền hay khôi phục tài sản nào yêu cầu mật khẩu, mã xác minh hoặc thông tin ví; vì vậy, bất kỳ tin nhắn nào hứa giúp rút tiền nhanh hơn đều là lừa đảo, bất kể mang logo nào. Binance chưa cho biết người dùng ở quốc gia hay mạng lưới nào sẽ được khôi phục quyền truy cập trước.

Chức năng rút tiền đã bị đình chỉ từ khoảng 22:15 UTC ngày 29 tháng 10. Trong cập nhật vào sáng 30 tháng 10, Binance cho biết vẫn dự kiến mở lại chức năng này sau khoảng 45 giờ, tức vào sáng sớm Chủ nhật, ngày 1 tháng 11, dù chưa nói rõ liệu tất cả các mạng lưới có hoạt động trở lại cùng lúc hay không. Công ty hứa sẽ cập nhật Proof of Reserves sau khi hoàn tất sửa chữa và công bố báo cáo hậu kiểm kỹ thuật khi cuộc điều tra kết thúc.

Cho đến lúc đó, sàn giao dịch lớn nhất trong ngành tiền mã hóa đang đề nghị khách hàng đặt niềm tin vào điều mà tiền mã hóa vốn được tạo ra để giúp họ không còn phải cần đến: lòng tin.

Thẻ: an ninh mạng, tiền mã hóa, Binance, Bybit, Richard Teng, TraderTraitor