Chỉ trong một cuộc tấn công, Binance đã mất khoảng 6,36 tỷ USD tiền mã hóa từ hệ thống ví nóng. Đáng chú ý, dấu vết ban đầu không chỉ đến từ lỗ hổng bảo mật blockchain mà còn liên quan đến một thiết bị của nhân viên nội bộ. Vụ việc nhanh chóng thu hút sự chú ý khi FBI xác định nhóm tin tặc Triều Tiên TraderTraitor đứng sau chiến dịch tấn công.
Bài viết sẽ phân tích dấu hiệu về phương thức tấn công, cách Binance xử lý khoản thiệt hại và những vấn đề bảo mật mà người dùng cần lưu ý sau sự cố.
Xem thêm: Binance là quỹ tài trợ đầu tiên cho Ronin của Sky Mavis với trị giá 150 triệu USD
Vụ hack Binance 6,36 tỷ USD bắt đầu từ đâu?
Sự cố xảy ra vào khoảng 20:05 UTC ngày 29/10/2026, tương đương 03:05 sáng ngày 30/10 theo giờ Việt Nam. Binance xác nhận các ví nóng của sàn bị xâm nhập và phát sinh những lệnh rút tài sản trái phép, gây thiệt hại ước tính khoảng 6,3 tỷ USD, đây là sự cố bảo mật nghiêm trọng, không đơn thuần là biến động số dư hay lỗi hiển thị trên hệ thống.
Điểm đáng chú ý nằm ở dấu hiệu xâm nhập ban đầu, trong thông báo ngày 30/10, Binance cho biết cuộc điều tra sơ bộ phát hiện khả năng một máy tính xách tay đã bị xâm phạm. Tuy nhiên, qua quá trình kiểm tra sâu hơn tiếp tục phát hiện thêm những điểm bị xâm nhập khác. Hiện sàn chưa công bố được toàn bộ chuỗi tấn công và cũng chưa xác định chính xác hacker đã vượt qua từng lớp kiểm soát nội bộ như thế nào.
Binance cũng cho biết chưa tìm thấy bằng chứng cho thấy khóa riêng của các ví bị rò rỉ, vụ việc hiện được mô tả là hành vi truy cập trái phép vào hạ tầng và thực hiện lệnh rút tiền, chứ chưa có cơ sở để kết luận hacker đã đánh cắp trực tiếp private key của ví.
Ngày 31/10, FBI chính thức quy trách nhiệm vụ đánh cắp hơn 6 tỷ USD tài sản ảo từ Binance cho nhóm tin tặc Triều Tiên mà cơ quan này gọi là TraderTraitor. Theo FBI, nhóm này đã chuyển đổi phần lớn tài sản đánh cắp sang Ethereum (ETH), sau đó có thể tiếp tục rửa tiền thông qua các giao thức DeFi và dịch vụ hoán đổi tức thời.
Hacker đã xâm nhập và rút tiền khỏi Binance bằng cách nào?
Ở thời điểm hiện tại, Binance chưa công bố báo cáo hậu kiểm đầy đủ nên chưa thể khẳng định chính xác hacker đã sử dụng công cụ hay khai thác lỗ hổng nào. Tuy nhiên, thông tin về chiếc laptop bị xâm nhập và các điểm xâm phạm bổ sung cho thấy cuộc tấn công có thể liên quan đến hạ tầng vận hành nội bộ, thay vì chỉ nhắm trực tiếp vào hệ thống ví blockchain, có thể phân tích diễn biến theo ba khâu chính:
Xâm nhập thiết bị hoặc hạ tầng nội bộ
Dấu hiệu ban đầu từ Binance cho thấy một máy tính xách tay có thể đã bị xâm phạm. Theo thông báo ban đầu của Binance, sự cố có thể liên quan đến việc laptop của một kỹ sư DevOps bị xâm nhập, thiết bị này được cho là đã tạo điều kiện để kẻ tấn công tiếp cận một service container và gửi các giao dịch rút tiền trái phép. Tuy nhiên, Binance chưa công bố cách hacker kiểm soát thiết bị, phương thức xác thực bị vượt qua hay cơ chế leo thang quyền truy cập được sử dụng.
Lợi dụng quyền truy cập để thực hiện lệnh rút tiền
Sau khi xâm nhập được vào môi trường nội bộ, kẻ tấn công có thể tìm cách sử dụng hoặc vượt qua các cơ chế cấp quyền để tạo ra những giao dịch rút tài sản trái phép. Điểm đáng chú ý là hệ thống ví nóng được thiết kế để xử lý giao dịch thường xuyên, vì vậy việc kiểm soát quyền truy cập và xác thực lệnh rút có vai trò đặc biệt quan trọng.
Khi tiếp cận được service container, hacker đã tìm cách sử dụng môi trường vận hành này để gửi các giao dịch rút tài sản trái phép. Binance xác nhận đã phát hiện những giao dịch rút tiền không được ủy quyền, đồng thời thu hồi các quyền truy cập bị ảnh hưởng và triển khai thêm cơ chế kiểm soát.
Một điểm đáng chú ý là Binance chưa tìm thấy bằng chứng cho thấy private key của ví bị rò rỉ. Điều này cho thấy cuộc tấn công có thể đã khai thác các quyền truy cập hoặc thành phần vận hành trung gian, thay vì trực tiếp đánh cắp khóa riêng của ví.
Chuyển tài sản qua nhiều blockchain để gây khó khăn cho việc truy vết
Theo FBI, nhóm TraderTraitor đã chuyển đổi phần lớn tài sản đánh cắp sang Ethereum (ETH). Cơ quan này cảnh báo tài sản có thể tiếp tục được luân chuyển qua các giao thức DeFi và dịch vụ hoán đổi tức thời nhằm che giấu nguồn gốc. Phân tích của Elliptic cũng ghi nhận hoạt động chuyển tài sản qua nhiều blockchain, hoán đổi token và sử dụng nhiều địa chỉ ví khác nhau khiến những hoạt động này khiến việc theo dõi dòng tiền và thu hồi tài sản trở nên phức tạp hơn.
Binance đã làm gì để thu hồi và bù đắp 6,3 tỷ USD thiệt hại?
Ngay sau khi phát hiện vụ tấn công, Binance triển khai các biện pháp khẩn cấp nhằm ngăn thiệt hại lan rộng và bảo vệ tài sản còn lại. Sàn đồng thời phối hợp với cơ quan thực thi pháp luật, các công ty phân tích blockchain, tổ chức phát hành tài sản số và đối tác trong ngành để truy vết, đóng băng những khoản tiền có thể kiểm soát.
Ngoài ra Binance cam kết tự chịu trách nhiệm tài chính cho khoản thất thoát thay vì chuyển tổn thất trực tiếp sang người dùng, tài sản được Binance bổ sung để bảo đảm số dư và số tiền thực tế thu hồi từ hacker.
Cô lập hệ thống bị xâm nhập và chặn các giao dịch trái phép
Binance cho biết đã nhanh chóng cô lập hạ tầng bị xâm phạm, thu hồi các quyền ủy quyền bị ảnh hưởng và triển khai thêm cơ chế kiểm soát nhằm ngăn giao dịch trái phép tiếp diễn, sàn cũng tăng cường kiểm tra bảo mật trên những thành phần hạ tầng liên quan đến sự cố.
Để kiểm tra tính toàn vẹn của hệ thống, Binance tạm thời dừng hoạt động rút tiền trong quá trình rà soát và khắc phục. Các dịch vụ không bị ảnh hưởng, bao gồm nạp tiền, vẫn được duy trì bình thường. Đây là biện pháp phòng ngừa nhằm hạn chế rủi ro phát sinh thêm, đồng thời tạo điều kiện để đội ngũ kỹ thuật xác minh hệ thống trước khi khôi phục dịch vụ rút tiền.
Phối hợp đóng băng khoảng 3 tỷ USD tài sản bị đánh cắp
Binance đã làm việc với cơ quan thực thi pháp luật, các công ty phân tích blockchain, tổ chức phát hành token và những đối tác trong ngành để truy vết dòng tiền. Theo thông báo ngày 30/10/2026, khoảng 3 tỷ USD tài sản đã được đóng băng trên blockchain. Việc đóng băng này không đồng nghĩa toàn bộ số tiền đã được trả về Binance. Một phần tài sản có thể bị khóa tại địa chỉ ví hoặc thông qua sự phối hợp của các đơn vị phát hành stablecoin, khiến hacker không thể tiếp tục sử dụng hoặc chuyển nhượng.
Quá trình thu hồi thực tế còn phụ thuộc vào khả năng kiểm soát tài sản, xác minh quyền sở hữu và các thủ tục phối hợp giữa những bên liên quan.
Đây là lý do cần phân biệt giữa số tiền bị đóng băng và số tiền đã thu hồi thành công. Khoản tài sản bị đóng băng vẫn có thể cần thêm thời gian xử lý trước khi được hoàn trả hoặc sử dụng để bù đắp thiệt hại.
Sử dụng quỹ SAFU và nguồn lực doanh nghiệp để bù đắp thiệt hại
Đến ngày 31/10, Binance cập nhật tỷ lệ tài sản được bổ sung đã tăng từ khoảng 80% lên 90%. Trong đó, BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD và ZEC đã được bảo chứng ở mức 100%, phần 10% còn lại chủ yếu gồm những token có thanh khoản thấp hơn, khiến việc mua bổ sung số lượng cần thiết mất nhiều thời gian hơn.
Theo bản cập nhật Recovery Update #4 ngày 01/11/2026, tỷ lệ tài sản được bổ sung đã tiếp tục tăng lên khoảng 95%. Binance cho biết 5% còn lại vẫn là những token nằm ngoài nhóm 10 tài sản kể trên, có thanh khoản thấp và cần thêm thời gian để thu mua thông qua thị trường cũng như các giao dịch OTC.
Binance cũng đã thực hiện một đợt chụp dữ liệu Proof of Reserves (PoR) mới vào ngày 31/10/2026. Sàn cho biết bằng chứng Zero-Knowledge Proof đầy đủ dự kiến hoàn tất vào ngày 03/11/2026 (UTC), cho phép người dùng tự kiểm chứng tài sản của mình được bảo chứng tối thiểu 1:1.
Như vậy, Binance đang thực hiện song song hai hướng xử lý: phối hợp truy vết và thu hồi tài sản từ hacker, đồng thời sử dụng nguồn lực tài chính của mình để bổ sung tài sản cho người dùng. Tính đến ngày 01/11, sàn đã bổ sung khoảng 95% giá trị tài sản bị ảnh hưởng. Tuy nhiên, con số này không đồng nghĩa 95% tài sản bị đánh cắp đã được thu hồi từ hacker.
Binance khôi phục dịch vụ rút tiền và củng cố bảo mật ra sao?
Sau khi tạm dừng rút tiền để rà soát hệ thống, Binance bắt đầu mở lại dịch vụ theo từng giai đoạn từ ngày 01/11/2026. Thay vì khôi phục đồng loạt, sàn ưu tiên những mạng lưới và tài sản có nhu cầu rút cao, đồng thời kiểm tra độ ổn định và an toàn trước khi mở thêm các lựa chọn khác.
Mở lại rút tiền theo từng giai đoạn
Theo thông báo Recovery Update #4 ngày 01/11, Binance công bố kế hoạch mở lại rút tiền trên 15 mạng lưới, bao gồm Bitcoin, Ethereum, BNB Smart Chain, TRON, Solana, XRP, Zcash, Dogecoin, TON, Polygon, Avalanche C-Chain, Arbitrum, Base, Optimism và Sui. Mỗi mạng lưới hỗ trợ những tài sản khác nhau, chẳng hạn, mạng Ethereum hỗ trợ ETH, USDT và USDC; BNB Smart Chain hỗ trợ BNB, USDT và USDC; trong khi Arbitrum hỗ trợ ETH, USDT, USDC và ARB.
Binance cho biết thứ tự khôi phục được xác định dựa trên dữ liệu nhu cầu rút tiền của người dùng trong tuần trước đó. Việc mở lại được thực hiện sau khi hoàn tất các bước kiểm tra tính ổn định và an toàn của từng cặp mạng lưới, tài sản.
Đến 12:36 UTC ngày 01/11, cả 15 mạng lưới và nhóm tài sản thuộc giai đoạn đầu đã được mở lại. Tuy nhiên, các mạng lưới và token khác vẫn tiếp tục được kiểm tra trước khi khôi phục dịch vụ, trong thời gian đầu, người dùng có thể gặp tình trạng giao dịch chậm hoặc rút tiền thất bại do lưu lượng tăng cao. Binance khuyến nghị kiểm tra trạng thái của từng mạng lưới và tài sản ngay trên trang rút tiền trước khi thực hiện giao dịch.
Theo dõi dòng tiền rút ra và trấn an người dùng
Việc mở lại dịch vụ cũng là phép thử quan trọng đối với niềm tin của khách hàng. Theo số liệu Binance công bố, trong 9,5 giờ đầu sau khi khôi phục rút tiền một phần vào ngày 01/11, sàn đã xử lý khoảng 4,65 tỷ USD tiền rút và 1,01 tỷ USD tiền nạp, tương đương dòng tiền ròng chảy ra khoảng 3,64 tỷ USD.
Binance cho biết lượng rút tiền ban đầu đã giảm dần và bắt đầu ổn định. Khoản tiền ròng chảy ra tương đương khoảng 2,1% tổng tài sản 171 tỷ USD mà sàn công bố, dựa trên dữ liệu Proof of Reserves gần nhất ngày 28/10/2026.
Con số 3,64 tỷ USD phản ánh lượng tài sản ròng người dùng chuyển khỏi sàn trong giai đoạn đầu mở lại dịch vụ, không phải khoản thiệt hại mới do vụ tấn công gây ra. Tuy nhiên, diễn biến này cho thấy một bộ phận khách hàng vẫn muốn chủ động nắm giữ tài sản bên ngoài sàn sau sự cố.
Theo Reuters ngày 02/11, Binance cho biết lượng rút tiền đã giảm sau đợt tăng mạnh ban đầu, trong khi dòng tiền nạp vào vẫn duy trì ở mức đáng kể. Đây là dấu hiệu cho thấy áp lực rút tiền ban đầu đang dịu lại, dù niềm tin của người dùng vẫn cần thời gian để phục hồi.
Công bố Proof of Reserves và báo cáo hậu kiểm
Bên cạnh khôi phục dịch vụ rút tiền, Binance cũng tăng cường tính minh bạch thông qua Proof of Reserves (PoR). Đây là cơ chế công bố dữ liệu dự trữ, giúp người dùng kiểm tra mức tài sản mà sàn nắm giữ so với nghĩa vụ số dư khách hàng. Theo Recovery Update #3 ngày 31/10/2026, Binance đã thực hiện snapshot PoR mới vào lúc 00:00 UTC cùng ngày (07:00 theo giờ Việt Nam) và cập nhật dữ liệu trên website Proof of Reserves.
Tuy nhiên, snapshot dữ liệu và bằng chứng Zero-Knowledge Proof đầy đủ là hai bước khác nhau. Binance cho biết quá trình tạo bằng chứng Zero-Knowledge Proof cần khoảng 40–50 giờ xử lý do khối lượng tính toán lớn. Sàn dự kiến hoàn tất vào ngày 03/11/2026 (UTC), cho phép người dùng tự kiểm chứng tài sản được bảo chứng tối thiểu 1:1 đối với những token đã được xác nhận đầy đủ.
Ngoài ra, Binance cam kết công bố báo cáo hậu kiểm (Post-Incident Report) sau khi cuộc điều tra hoàn tất. Báo cáo này được kỳ vọng sẽ cung cấp thông tin kỹ thuật chi tiết hơn về cách hacker xâm nhập, những điểm yếu trong hệ thống và các biện pháp bảo mật bổ sung được triển khai sau sự cố. Hiện sàn chưa công bố thời điểm phát hành cụ thể.
Dù vậy, PoR và báo cáo hậu kiểm có vai trò khác nhau. PoR giúp người dùng kiểm tra dữ liệu dự trữ và mức bảo chứng tài sản tại một thời điểm, nhưng không tự chứng minh hệ thống vận hành không thể bị xâm nhập hoặc mọi rủi ro bảo mật đã được loại bỏ. Vì thế, việc khôi phục rút tiền và bổ sung tài sản là những bước quan trọng, nhưng chưa đồng nghĩa quá trình xử lý sự cố đã kết thúc.
Người dùng Binance cần làm gì sau vụ hack?
Dù Binance cam kết tự chịu trách nhiệm tài chính đối với khoản thiệt hại, người dùng vẫn nên chủ động kiểm tra tài khoản và điều chỉnh cách lưu trữ tài sản. Một sự cố xuất phát từ hạ tầng vận hành nội bộ cho thấy việc chỉ bảo vệ mật khẩu hoặc private key cá nhân chưa đủ để loại bỏ mọi rủi ro khi sử dụng sàn giao dịch tập trung.
Kiểm tra số dư và lịch sử giao dịch
Người dùng nên đăng nhập Binance thông qua website hoặc ứng dụng chính thức để rà soát tình trạng tài khoản, bao gồm:
- Số dư tài sản: Đối chiếu số dư từng loại token với dữ liệu trước thời điểm xảy ra sự cố.
- Lịch sử giao dịch: Kiểm tra các lệnh mua bán, chuyển khoản nội bộ và rút tiền không do mình thực hiện.
- Lịch sử đăng nhập: Rà soát thiết bị, địa chỉ IP và phiên đăng nhập bất thường.
- API Key: Kiểm tra những khóa API đang hoạt động và thu hồi các khóa không còn sử dụng.
- Thông tin bảo mật: Xác minh email, số điện thoại, phương thức 2FA và danh sách địa chỉ rút tiền được tin cậy.
Nếu phát hiện giao dịch đáng ngờ, hãy lưu lại mã giao dịch (TXID), thời gian và thông tin liên quan để gửi yêu cầu hỗ trợ qua kênh chính thức của Binance. Người dùng cũng nên liên hệ bộ phận hỗ trợ ngay nếu phát hiện tài khoản bị truy cập trái phép.
Tăng cường bảo mật tài khoản
Người dùng nên rà soát lại các phương thức bảo vệ tài khoản, đặc biệt là xác thực hai yếu tố (2FA), thiết bị đăng nhập và API Key, một số biện pháp nên thực hiện:
- Bật 2FA: Ưu tiên ứng dụng xác thực hoặc Passkey thay vì chỉ phụ thuộc vào mã SMS.
- Thiết lập Anti-phishing Code: Tạo mã chống lừa đảo để nhận diện email chính thức từ Binance.
- Giới hạn API Key: Thu hồi các khóa không cần thiết, hạn chế quyền truy cập và chỉ cho phép những địa chỉ IP đáng tin cậy nếu nền tảng hỗ trợ.
- Bật Withdrawal Address Whitelist: Chỉ cho phép rút tiền đến những địa chỉ ví đã được xác minh và tin cậy.
- Bảo vệ thiết bị: Cập nhật hệ điều hành, trình duyệt và phần mềm bảo mật; tránh cài ứng dụng không rõ nguồn gốc.
Ngoài ra, không chia sẻ mã xác thực, mật khẩu, seed phrase hoặc thông tin đăng nhập cho bất kỳ cá nhân nào tự nhận là nhân viên hỗ trợ Binance. Những thông báo yêu cầu kết nối ví, cài phần mềm hoặc cung cấp mã bảo mật để nhận bồi thường cần được kiểm tra kỹ thông qua website chính thức.
Cân nhắc phân tán tài sản khỏi một sàn giao dịch
Vụ việc cũng cho thấy rủi ro khi tập trung lượng lớn tài sản trên một nền tảng duy nhất. Người dùng có thể cân nhắc phân bổ tài sản theo mục đích sử dụng:
- Tài sản giao dịch thường xuyên: Giữ một phần trên sàn để thuận tiện mua bán và quản lý lệnh.
- Tài sản nắm giữ dài hạn: Cân nhắc ví cá nhân, đặc biệt là ví lạnh nếu có đủ kiến thức quản lý khóa riêng.
- Tài sản dự phòng: Phân bổ vào những hình thức lưu trữ phù hợp, tránh phụ thuộc hoàn toàn vào một nền tảng.
Tuy nhiên, tự lưu ký cũng đi kèm trách nhiệm bảo vệ seed phrase và private key, người dùng cần lưu thông tin khôi phục ở nơi an toàn, không chụp ảnh hoặc lưu trữ chúng trên các dịch vụ đám mây không được bảo vệ. Mất seed phrase hoặc để lộ private key có thể khiến tài sản không thể khôi phục. Việc chuyển tài sản khỏi sàn cũng cần kiểm tra kỹ địa chỉ nhận, mạng blockchain và phí giao dịch. Không nên chuyển toàn bộ tài sản chỉ vì tâm lý hoảng loạn sau một sự cố bảo mật.
Kết luận
Vụ hack Binance với thiệt hại ước tính 6,36 tỷ USD cho thấy rủi ro bảo mật của một sàn giao dịch không chỉ nằm ở ví lưu trữ tài sản mà còn có thể xuất phát từ thiết bị và hạ tầng nội bộ. Dù FBI đã xác định nhóm tin tặc TraderTraitor đứng sau vụ việc, cơ chế xâm nhập cụ thể vẫn cần được làm rõ qua quá trình điều tra.
Binance đã triển khai nhiều biện pháp để kiểm soát sự cố, phối hợp đóng băng khoảng 3 tỷ USD tài sản trên blockchain và sử dụng nguồn lực nội bộ để bù đắp phần tài sản bị ảnh hưởng. Việc khôi phục rút tiền theo từng giai đoạn, cập nhật Proof of Reserves và chuẩn bị báo cáo hậu kiểm cũng là những bước quan trọng nhằm củng cố niềm tin người dùng.
Tuy nhiên, khả năng bù đắp tài sản không đồng nghĩa với việc toàn bộ số tiền bị đánh cắp đã được thu hồi. Sau sự cố, người dùng vẫn nên chủ động bảo vệ tài khoản, sử dụng xác thực nhiều lớp, kiểm tra thiết bị đăng nhập và cân nhắc phân bổ tài sản thay vì phụ thuộc hoàn toàn vào một sàn giao dịch tập trung.
Tin liên quan