Binance công khai thủ đoạn của hacker trong vụ tấn công tiền ảo kỷ lục

Ảnh minh họa - Ảnh: Getty/CNBC.

Sau đó, những kẻ tấn công tiếp tục chiếm quyền truy cập vào máy tính của một kỹ sư thứ ba để rút số tiền điện tử trị giá 6,3 tỷ USD trong vụ tấn công kỷ lục xảy ra vào tuần trước.

Trong báo cáo sơ bộ về cách thức các tin tặc thực hiện vụ trộm được cho là lớn nhất từ trước đến nay, Binance mô tả chi tiết một chiến dịch tấn công đa giai đoạn bắt đầu từ tháng 6 năm nay, dẫn đến hàng loạt lỗ hổng bảo mật và đỉnh điểm là vụ trộm gây chấn động vào hôm 29/10 vừa qua. Binance cho biết ngay cả khi sàn này nỗ lực phong tỏa hệ thống và tạm dừng các lệnh rút tiền sau khi phát hiện vụ tấn công vào cuối ngày 29/10, tin tặc vẫn tiếp tục rút tiền điện tử khỏi sàn trong gần 4 giờ sau khi vụ trộm đầu tiên diễn ra.

BINANCE TRẤN AN NHÀ ĐẦU TƯ, TRIỀU TIÊN BÁC BỎ CÁO BUỘC

Cùng ngày 3/11, đồng CEO Richard Teng của Binance cho biết tình trạng nhà đầu tư ồ ạt rút tài sản khỏi sàn giao dịch này đã lắng xuống và công ty đang có "vị thế tài chính rất vững mạnh". Trước đó, Binance đã ghi nhận lượng rút tài sản ròng lên tới 4,72 tỷ USD trong ngày 2/11, khi nhà đầu tư lo ngại về vụ tấn công nói trên.

Binance đã khẳng định sẽ hoàn trả toàn bộ số tiền cho những khách hàng bị mất tài sản.

"Trong 24 giờ đầu tiên, số lượng lệnh rút tiền đã tăng đột biến. Việc này hoàn toàn nằm trong dự báo. Nhưng sau đó, mọi thứ đã gần như trở lại bình thường”, hãng tin Reuters dẫn lời ông Teng tại một sự kiện ở Hồng Kông.

"Công ty đang có vị thế tài chính rất vững mạnh," ông khẳng định, đồng thời cho biết 95% số token bị ảnh hưởng đã được phục hồi và “đây là vấn đề nằm trong khả năng xử lý của chúng tôi. Chúng tôi hoàn toàn có thể giải quyết được”.

Cục Điều tra Liên bang Mỹ (FBI) đã cáo buộc một nhóm tin tặc từ Triều Tiên có tên TradeTraitor đứng sau vụ tấn công lịch sử nhằm vào Binance. Tuy nhiên phía Triều Tiên đã bác bỏ cáo buộc này.

Theo tin từ Thông tấn xã Trung ương Triều Tiên (KCNA) ngày 3/11, bà Kim Yo-jong, em gái của nhà lãnh đạo Triều Tiên Kim Jong-un, đã lên tiếng bác bỏ cáo buộc của FBI.

Bà Kim nói: “FBI đang cố gắng gán mác Triều Tiên là một ‘quốc gia tội phạm mạng’, với tuyên bố rằng họ thu thập được thông tin cho thấy một tổ chức tin tặc ‘được Triều Tiên hậu thuẫn’ có liên quan đến vụ việc”. Theo KCNA, bà Kim cáo buộc Washington đang đánh lạc hướng dư luận quốc tế bằng cách quy chụp rằng các vụ tội phạm mạng trên khắp thế giới đều là hành vi của Triều Tiên.

Theo hãng tin CNBC, vụ tấn công đã đặt ra nhiều câu hỏi về việc làm thế nào các tin tặc có thể xâm nhập vào sàn giao dịch tiền điện tử lớn nhất thế giới này, trong bối cảnh các cuộc tấn công được cho là liên quan đến Triều Tiên ngày càng gia tăng về cả quy mô lẫn tần suất, đồng thời làm dấy lên lo ngại về tính dễ bị tổn thương của các tài sản kỹ thuật số trước tội phạm mạng.

Ông Michael Barnhart, một nhà nghiên cứu tại công ty an ninh mạng DTEX, cho biết các chuyên gia an ninh mạng và quan chức chính phủ từ lâu đã cảnh báo về việc tin tặc Triều Tiên và các nhóm khác sử dụng các buổi phỏng vấn công việc giả để nhằm vào nhân viên tại các công ty mục tiêu. Phỏng vấn công việc giả là một thủ thuật tấn công mạng đã được biết đến rộng rãi.

Binance cho biết họ đã phát hiện và ngăn chặn 57 mối đe dọa an ninh mạng được cho là có liên quan đến Triều Tiên trong năm 2026. Ông Barnhart nhận định, điều này cho thấy Binance đang phải hứng chịu một "làn sóng tấn công dồn dập".

CUỘC TẤN CÔNG ĐƯỢC CHUẨN BỊ KỸ LƯỠNG TRONG NHIỀU THÁNG

Theo thông tin được Binance công bố ngày 3/11, cuộc tấn công bắt đầu từ tháng 6, khi một nhân viên thuộc đội ngũ phát triển ví điện tử của công ty tải xuống một công cụ từ internet đã bị tin tặc can thiệp. Sàn giao dịch này cho biết họ đã phát hiện ra sự việc sau đó, thay thế thiết bị và thay đổi thông tin xác thực, nhưng vai trò của nhân viên này cùng các thành viên khác trong đội ngũ phát triển ví đã bị lộ.

Một nguồn tin am hiểu về vụ việc cho biết phiên bản độc hại của công cụ này đã được chèn vào một quảng cáo, nên đã xuất hiện ở vị trí cao hơn phiên bản chính thức trên các công cụ tìm kiếm.

Tiếp đó, vào tháng 9, một kỹ sư phần mềm khác trong lúc tìm kiếm việc làm đã tải xuống một "kho lưu trữ mã độc" về máy tính cá nhân. Người này đã thực hiện các buổi phỏng vấn cho một vị trí công việc mà họ tưởng là có thật, bao gồm cả việc gặp gỡ trực tuyến với CEO của một công ty không có thật - theo báo cáo từ Binance.

Ngày 20/10, kẻ tấn công đã sử dụng chiếc máy tính bị xâm nhập cùng một công cụ trí tuệ nhân tạo (AI) nội bộ để giành quyền kiểm soát hệ thống của kỹ sư phát triển ví nói trên, cũng như hệ thống của một kỹ sư phát triển ví khác. 9 ngày sau, kẻ tấn công sử dụng máy tính của kỹ sư phát triển ví thứ hai, kết hợp với thông tin xác thực đã đánh cắp được từ kỹ sư thứ nhất, rồi kích hoạt một đoạn mã độc để thực hiện cuộc tấn công.

Theo nguồn tin am hiểu về vụ việc, chỉ một số ít kỹ sư tại Binance có quyền truy cập trực tiếp vào các ví điện tử, nơi lưu trữ hoặc thực hiện giao dịch tiền mã hóa.

Binance cho biết vụ tấn công diễn ra nhanh chóng vào ngày 29/10. Chỉ trong vòng 4 phút, 233,46 triệu đồng tiền điện tử XRP đã bị rút khỏi 5 ví nóng của Binance sang một địa chỉ do kẻ tấn công kiểm soát. Sau đó, những kẻ này tiếp tục rút thêm các loại tiền điện tử khác, bao gồm cả bitcoin.

Binance cho biết công ty đã nhận được cảnh báo nội bộ về các giao dịch chuyển tiền quy mô lớn và lập tức tiến hành điều tra. Sàn giao dịch này đã tạm dừng các lệnh rút tiền, đóng băng các token bị ảnh hưởng và thu hồi các quyền truy cập trái phép, qua đó phong tỏa được số tài sản trị giá khoảng 2,85 tỷ USD. Tuy nhiên, việc tạm dừng rút tiền không thể ngăn chặn hoàn toàn mọi hoạt động di chuyển tài sản trái phép.

Những kẻ tấn công đã thực hiện 50 giao dịch ký xác thực để thao túng tài khoản. Binance cho biết họ buộc phải xây dựng các quy trình mới để thu hồi quyền truy cập, điều này đã làm chậm tốc độ phản ứng của sàn.

Theo Binance, giao dịch trái phép cuối cùng diễn ra vào lúc 23:56 GMT, gần 4 giờ sau khi vụ tấn công bắt đầu.

Binance cho biết rằng sau sự cố này, sàn đang tăng cường đầu tư vào các hệ thống phát hiện dựa trên AI, đồng thời lên kế hoạch thành lập một quỹ nghiên cứu bảo mật và triển khai các sáng kiến hợp tác với những công ty AI hàng đầu.