Binance bị hack 6,3 tỷ USD: vụ trộm crypto lớn nhất lịch sử

Rạng sáng 30/10 theo giờ Việt Nam, Binance, sàn tiền điện tử lớn nhất thế giới, bị rút khoảng 6,3 tỷ USD tài sản khỏi các ví nóng (hot wallet). Theo công ty phân tích blockchain TRM Labs, phần lớn số tiền bị chuyển đi chỉ trong khoảng 20 phút, trải trên 10 blockchain. Đây là vụ trộm crypto lớn nhất từng được ghi nhận, gấp khoảng 4 lần vụ hack sàn Bybit 1,5 tỷ USD hồi tháng 2/2025.

Binance khẳng định tiền của người dùng an toàn và sẽ bù toàn bộ thiệt hại. Dù vậy, chức năng rút tiền vẫn đang bị khóa để sàn dựng lại hệ thống.

Chuyện gì đã xảy ra?

Theo TRM Labs, cuộc tấn công bắt đầu lúc 20:05 UTC ngày 29/10 (tức 3:05 sáng 30/10 giờ Việt Nam). Kẻ tấn công chuyển tiền ra khỏi ví Binance trên 10 mạng blockchain khác nhau, với tổng giá trị khoảng 6,36 tỷ USD tính theo giá tại thời điểm bị lấy. Binance công bố con số ước tính của mình là khoảng 6,3 tỷ USD.

Khoảng 22:15 UTC, Binance tạm dừng rút tiền trên nhiều mạng. Ban đầu sàn chỉ xác nhận "đang điều tra một vấn đề bảo mật tiềm ẩn", sau đó mới công bố quy mô thiệt hại và nguyên nhân sơ bộ.

Laptop của một kỹ sư DevOps là điểm khởi đầu

Trong thông báo cập nhật ngày 30/10, Binance cho biết điều tra ban đầu cho thấy laptop của một kỹ sư DevOps bị xâm nhập. Từ đó, kẻ tấn công vào được một service container và gửi các giao dịch rút tiền trái phép. Binance nói chưa thấy dấu hiệu lộ khóa riêng (private key) của ví.

Tuy nhiên, đồng CEO Richard Teng sau đó cho biết cuộc điều tra đã phát hiện thêm nhiều điểm xâm nhập khác, và kẻ tấn công dùng cơ chế tự hủy để xóa dấu vết. Theo ông, đây là "một cuộc tấn công phức tạp" và Binance vẫn chưa xác định được toàn bộ trình tự sự việc.

EIP-7702: tính năng mới của Ethereum bị lợi dụng ra sao

Trên Ethereum, kẻ tấn công lợi dụng EIP-7702, tính năng ra mắt cùng bản nâng cấp Pectra vào tháng 5/2025. EIP-7702 cho phép một ví thông thường "mượn" mã của một smart contract bằng cách ký một bản ủy quyền (authorization). Sau khi ủy quyền được chấp nhận, mọi lệnh gọi tới ví sẽ chạy mã của contract đó.

Lúc 20:20 UTC, kẻ tấn công gửi một giao dịch chứa 50 bản ủy quyền được ký sẵn bằng khóa của ví "Binance 14", tất cả trỏ tới một contract quét tiền (sweeper) do chúng kiểm soát. Vì ví nóng xử lý giao dịch liên tục nên số nonce (bộ đếm giao dịch) luôn thay đổi; ký sẵn 50 nonce liên tiếp giúp chắc chắn ít nhất một bản còn hợp lệ. Chỉ 3 phút 24 giây sau, ví bị ra lệnh chuyển toàn bộ số dư, gồm 167.464 ETH cùng 63 loại token, trong đó có 1,615 tỷ USDT. CoinDesk ước tính riêng đợt này khoảng 2,5 tỷ USD bị rút trong chưa đầy 4 phút.

Ủy quyền độc hại vẫn còn hiệu lực thêm vài giờ, nên mỗi khi tiền nạp mới chảy vào ví, kẻ tấn công lại quét tiếp. Ở 9 blockchain còn lại, tiền đi ra bằng các lệnh chuyển có chữ ký bình thường. TRM đánh giá điều này cho thấy hạ tầng ký giao dịch của ví nóng Binance đã bị xâm nhập, chứ bản thân EIP-7702 không phải lỗ hổng.

Thủ phạm bị nghi là nhóm hacker Triều Tiên

Binance chưa nêu tên nhóm tấn công. Nhưng cả TRM Labs và Chainalysis đều quy vụ việc cho TraderTraitor, đơn vị hacker được nhà nước Triều Tiên hậu thuẫn, còn được biết tới với tên Lazarus Group hay APT38, với "mức độ tin cậy cao". Đây cũng là nhóm từng bị FBI xác định đứng sau vụ Bybit năm 2025.

TRM chỉ ra nhiều điểm giống các vụ trước: dùng các khoản rút nhỏ từ Tornado Cash để nuôi ví điều hành, chuẩn bị từ rất sớm, lấy chữ ký trước rồi thực thi một lượt. Cơ quan Mật vụ Mỹ (Secret Service) cho biết đang hỗ trợ truy vết tiền, còn FBI nói đã nắm được sự việc.

Khoảng một nửa số tiền đã bị đóng băng

Binance cho biết đã phối hợp với các đối tác để đóng băng khoảng 3 tỷ USD tài sản on-chain. Theo TRM, Tether, Circle, Ripple và World Liberty Financial đã khóa khoảng 2,67 tỷ USD stablecoin, Security Council của Arbitrum cũng đóng băng 8.426 ETH và 74,6 triệu ARB.

Kẻ tấn công thì chạy đua với các lệnh đóng băng bằng cách bán USDT cho các nhà tạo lập thị trường và vay ETH trên Aave. TRM ước tính chúng đang nắm hơn 420.000 ETH và 18.270 BTC, khoảng 2,4 tỷ USD nằm ngoài tầm với của mọi đơn vị phát hành.

Binance cam kết bù 100%, rút tiền dự kiến mở lại cuối tuần

Binance tuyên bố sẽ bù toàn bộ thiệt hại bằng quỹ SAFU và tiền của công ty. Theo CoinDesk, Richard Teng cho biết sàn đã dành ra hơn 6,34 tỷ USD, trong đó 5 tỷ USD đang nắm sẵn bằng chính các đồng bị ảnh hưởng, phần còn lại đang được mua qua sàn và thị trường OTC.

Nạp tiền từng bị tạm ngưng vài giờ trong sáng 30/10 nhưng hiện đã hoạt động bình thường trở lại. Rút tiền chỉ mở lại khi dịch vụ đã được dựng lại và "vượt qua kiểm thử nghiêm ngặt"; Binance đặt mục tiêu khôi phục vào khoảng Chủ nhật 1/11. Sàn cũng hứa công bố báo cáo bằng chứng dự trữ (Proof of Reserves) đầy đủ trước thứ Hai, đồng thời rà soát lại hệ thống cloud, thiết bị nhân viên, quản lý khóa và quy trình ký giao dịch.

Người dùng Việt Nam nên làm gì?

• Không hoảng loạn bán tháo: Binance cam kết tài sản người dùng được bảo toàn và bù bằng quỹ của sàn.

• Chỉ theo dõi thông tin qua kênh chính thức của Binance; cảnh giác với link "hoàn tiền", "xác minh tài khoản" hay tin nhắn mạo danh hỗ trợ, vì kẻ lừa đảo thường lợi dụng những vụ lớn như thế này.

• Bật xác thực hai lớp bằng passkey hoặc ứng dụng xác thực, kiểm tra lại danh sách địa chỉ rút tiền (whitelist) và thiết bị đăng nhập.

• Với số tiền lớn để lâu dài, cân nhắc ví lạnh do mình tự giữ khóa, thay vì để toàn bộ trên sàn.

• Khi rút tiền mở lại, nên chờ thêm và rút theo từng đợt, vì có thể có hàng chờ và giới hạn tạm thời.

Bài học cho cả ngành

Vụ Binance cho thấy điểm yếu không nằm ở blockchain mà ở con người và hạ tầng vận hành: chỉ một chiếc laptop của nhân viên cũng có thể trở thành cửa ngõ dẫn tới ví nóng chứa hàng tỷ USD. Sau Bybit và giờ là Binance, áp lực sẽ dồn lên các sàn trong việc tách biệt hệ thống ký giao dịch, siết quyền truy cập của kỹ sư và giám sát các ủy quyền EIP-7702 bất thường.

Nguồn tham khảo

• Binance - Security Incident Update (2026-10-30): https://www.binance.com/en/support/announcement/detail/c5a8729a97ac486d963784d96c5642d7

• TRM Labs - North Korea Steals USD 6.36 Billion From Binance: https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history

• CoinDesk - Binance discovers multiple breach points, eyes Sunday reopening: https://www.coindesk.com/tech/2026/10/30/binance-uncovers-wider-breach-in-usd6-3-billion-exploit-targets-sunday-withdrawal-restart

• CoinDesk - How an Ethereum upgrade helped drain part of Binance's loss: https://www.coindesk.com/tech/2026/10/30/here-s-how-one-ethereum-permission-let-an-attacker-drain-usd2-5-billion-from-binance

• BleepingComputer - Binance links $6.3 billion crypto theft to compromised DevOps laptop: https://www.bleepingcomputer.com/news/security/binance-links-63-billion-crypto-theft-to-compromised-devops-laptop/

• BBC News - Crypto giant Binance hit by hack suspected to be largest in history: https://www.bbc.com/news/articles/cwg7xp8kx4v5o

• TechCrunch - Binance pauses withdrawals as hackers suspected of stealing billions: https://techcrunch.com/2026/10/29/binance-pauses-withdrawals-as-hackers-suspected-of-stealing-billions-in-crypto/