Cuộc phỏng vấn xin việc giả trở thành cái bẫy trong vụ tấn công Binance

Đồng tiền mã hóa XRP, một trong những tài sản bị tin tặc đánh cắp trong vụ tấn công sàn giao dịch Binance. Ảnh: Binance

Theo truyền thông quốc tế, Binance ngày 3/11 công bố báo cáo ban đầu về vụ tấn công mạng quy mô lớn xảy ra tuần trước, hé lộ chiến dịch xâm nhập kéo dài nhiều tháng. Tin tặc bắt đầu triển khai kế hoạch từ tháng 6, từng bước kiểm soát máy tính của nhân viên trước khi thực hiện vụ đánh cắp hôm 29/10.

Theo Binance, ngay cả khi sàn phát hiện sự cố và khẩn trương triển khai biện pháp ngăn chặn, tin tặc vẫn tiếp tục chuyển tiền khỏi hệ thống trong gần 4 giờ sau giao dịch đánh cắp đầu tiên.

Cục Điều tra Liên bang Mỹ (FBI) cáo buộc một nhóm tin tặc có liên hệ với Triều Tiên đứng sau vụ việc. Triều Tiên bác bỏ cáo buộc. Binance tuyên bố sẽ hoàn trả toàn bộ số tiền bị đánh cắp cho khách hàng chịu ảnh hưởng.

Xâm nhập qua phỏng vấn tuyển dụng giả

Theo báo cáo, vụ tấn công bắt đầu từ tháng 6, khi một nhân viên thuộc nhóm phát triển ví tiền số tải xuống công cụ trên Internet đã bị tin tặc cài mã độc. Binance sau đó phát hiện sự cố, thay thế thiết bị và thay đổi thông tin đăng nhập, nhưng dữ liệu về vị trí công việc của nhân viên này cùng các thành viên khác trong nhóm đã bị lộ.

Một nguồn tin am hiểu vụ việc cho biết phiên bản chứa mã độc được đặt trong quảng cáo trực tuyến, khiến nó xuất hiện ở vị trí cao hơn phiên bản chính thức trên công cụ tìm kiếm.

Đến tháng 9, một kỹ sư phần mềm khác của Binance tiếp tục trở thành mục tiêu sau khi tham gia cuộc phỏng vấn xin việc giả mạo. Người này đã tải về một kho mã nguồn chứa mã độc, trong khi tin rằng mình đang ứng tuyển vào một công ty hợp pháp. Quá trình tuyển dụng thậm chí có cuộc gặp trực tuyến với giám đốc điều hành của doanh nghiệp không có thật.

Ngày 20/10, tin tặc sử dụng máy tính đã bị xâm nhập cùng một công cụ trí tuệ nhân tạo (AI) nội bộ để giành quyền kiểm soát hệ thống của hai kỹ sư phát triển ví.

Chín ngày sau, nhóm tấn công tiếp tục khai thác máy tính của một kỹ sư, kết hợp thông tin đăng nhập đánh cắp từ người còn lại và kích hoạt mã độc để triển khai vụ đánh cắp.

Michael Barnhart, nhà nghiên cứu tại công ty an ninh mạng DTEX, cho biết các cuộc phỏng vấn tuyển dụng giả mạo từ lâu là thủ đoạn quen thuộc của tin tặc nhằm nhắm vào nhân viên tại những doanh nghiệp mục tiêu.

Ông Barnhart nhận định việc Binance phát hiện và ngăn chặn 57 mối đe dọa mạng trong năm 2026 cho thấy sàn giao dịch này đang phải đối mặt với sức ép tấn công liên tục.

6,3 tỷ USD tiền số bị đánh cắp

Cuộc tấn công diễn ra nhanh chóng ngày 29/10. Theo Binance, chỉ trong 4 phút, tin tặc đã chuyển 233,46 triệu XRP từ 5 ví nóng của sàn, tức các ví có kết nối Internet, đến địa chỉ do chúng kiểm soát.

Sau đó, nhóm này tiếp tục rút nhiều loại tiền mã hóa khác, trong đó có Bitcoin, nâng tổng giá trị tài sản bị đánh cắp lên 6,3 tỷ USD.

Binance phát hiện giao dịch bất thường thông qua cảnh báo nội bộ về các khoản chuyển tiền lớn. Sàn lập tức điều tra, tạm dừng hoạt động rút tiền, đóng băng các token bị ảnh hưởng và thu hồi quyền truy cập trái phép.

Những biện pháp này giúp Binance đóng băng khoảng 2,85 tỷ USD tài sản. Tuy nhiên, việc tạm ngừng rút tiền không thể ngăn chặn toàn bộ giao dịch trái phép đang diễn ra.

Tin tặc đã sử dụng 50 giao dịch ký xác thực để thao túng tài khoản. Trong khi đó, Binance phải xây dựng quy trình mới nhằm thu hồi quyền phê duyệt giao dịch, khiến quá trình ứng phó kéo dài. Giao dịch trái phép cuối cùng diễn ra lúc 23h56 GMT ngày 29/10, gần 4 giờ sau khi vụ tấn công bắt đầu.

Vụ việc làm dấy lên lo ngại về mức độ an toàn của tài sản số, trong bối cảnh các nhóm tin tặc ngày càng chuyển hướng sang khai thác nhân viên và hệ thống nội bộ thay vì chỉ tìm kiếm lỗ hổng kỹ thuật.

Binance cho biết sẽ tăng đầu tư vào công nghệ phát hiện mối đe dọa ứng dụng AI, đồng thời nghiên cứu thành lập quỹ an ninh mạng và triển khai các chương trình hợp tác với những công ty AI hàng đầu.

Sàn giao dịch thừa nhận sự cố không đáng lẽ xảy ra, đồng thời xin lỗi khách hàng và đối tác vì những gián đoạn, lo ngại mà vụ tấn công gây ra. Công ty cam kết hoàn trả toàn bộ tài sản bị đánh cắp cho khách hàng chịu ảnh hưởng.