Giải mã lỗ hổng hạ tầng ký duyệt ví Binance giúp tin tặc tẩu tán 6,3 tỷ USD trong 20 phút

Sàn giao dịch tiền mã hóa Binance vừa đối mặt với vụ tấn công an ninh nghiêm trọng làm ảnh hưởng đến khối tài sản kỹ thuật số trị giá khoảng 6,3 tỷ USD. Dữ liệu phân tích on-chain cho thấy kẻ tấn công không xâm nhập ví theo phương thức brute-force thông thường, mà đã chiếm quyền điều khiển hạ tầng ký giao dịch. Cuộc tấn công được chuẩn bị tỉ mỉ ít nhất 36 giờ trước đó, nhưng toàn bộ quá trình tẩu tán phần lớn tài sản diễn ra chỉ trong vòng vỏn vẹn 20 phút.

Ảnh minh hoạ.

Hạ tầng ký giao dịch: Tử huyệt trong đợt xâm nhập ví nóng

Theo báo cáo từ đơn vị phân tích blockchain TRM Labs của Mỹ, mắt xích then chốt bị khoan thủng là hệ thống hạ tầng ký giao dịch (transaction signing infrastructure) của sàn Binance. Trong kiến trúc bảo mật của các sàn giao dịch quy mô lớn, ví nóng (hot wallet) được kết nối Internet liên tục để xử lý tức thời các lệnh nạp và rút tiền cho người dùng. Mọi giao dịch phát sinh bắt buộc phải thông qua hệ thống ký để xác thực chữ ký mật mã hợp lệ trước khi đẩy lên mạng blockchain.

Khi chiếm quyền kiểm soát hệ thống phê duyệt này, tin tặc có thể tự tạo các lệnh chuyển tiền hợp lệ trên danh nghĩa hệ thống của Binance mà không kích hoạt các cơ chế từ chối tự động. Các giao dịch được ghi nhận rút thành công trên hàng loạt chuỗi khối lớn bao gồm Ethereum, Bitcoin, Tron và Solana.

Lộ trình 36 giờ thử nghiệm và 20 phút rút tiền thần tốc

Các dữ liệu truy vết on-chain khẳng định nhóm tấn công đã lên kế hoạch bài bản từ ngày 28/10, trải qua nhiều bước kiểm tra nhằm đảm bảo mã độc vận hành trơn tru trước khi kích hoạt đợt rút tiền diện rộng.

Đợt tấn công chính thức bắt đầu vào lúc 20h05 ngày 29/10 theo giờ UTC (tức 3h05 ngày 30/10 tại Hà Nội). Chỉ trong 4 phút đầu tiên, nhóm tin tặc đã rút sạch 233,46 triệu XRP từ 5 ví Binance, khiến số dư mỗi ví chỉ còn mức tối thiểu theo quy định mạng lưới. Tiếp theo đó, các ví nóng trên Solana và Optimism lần lượt bị khai thác.

Đỉnh điểm lúc 20h20 UTC, một ví nóng Bitcoin của sàn đã chuyển đi 18.270 BTC. Ngay sau đó 2 phút, ví nóng trên mạng Tron tiếp tục bị bòn rút 612,7 triệu USDT cùng 46,4 triệu TRX. Phần lớn tài sản bị bòn rút thành công chỉ trong vòng 20 phút, cho thấy kẻ tấn công đã tự động hóa hoàn toàn quy trình kích hoạt lệnh chuyển tiền.

Chiến thuật phân mảnh dòng tiền và đối phó cơ chế đóng băng

Sau khi tiếp nhận số tài sản khổng lồ, nhóm tin tặc lập tức triển khai kỹ thuật phân tách dòng tiền nhằm gây nhiễu quá trình phân tích của các công cụ theo dõi on-chain. Cụ thể, lượng lớn Bitcoin được chia nhỏ thành các gói khoảng 100 BTC hoặc 1.000 BTC rồi phân tán qua nhiều địa chỉ ví trung gian.

Đối với các loại stablecoin như USDT, nhóm này tìm mọi cách di chuyển số tiền ra khỏi tầm kiểm soát của các đơn vị phát hành như Tether và các đối tác thanh toán liên kết với Binance. Mục tiêu của động thái này là chạy đua với thời gian, ngăn chặn nguy cơ các địa chỉ ví nhận tiền bị đưa vào danh sách đen (blacklist) và bị đóng băng tài sản.

Điểm xâm nhập và cam kết bảo vệ người dùng từ sàn

Ngày 30/10, Binance đưa ra nhận định sơ bộ rằng máy tính cá nhân của một kỹ sư thuộc đội ngũ DevOps (vận hành và phát triển phần mềm) có khả năng đã bị mã độc xâm nhập. Tuy nhiên, thông báo sau đó từ sàn cho biết quá trình điều tra chuyên sâu đã phát hiện thêm các điểm xâm nhập khác vào hệ thống.

Về danh tính thủ phạm, một số đơn vị điều tra nhận định hành vi và kỹ thuật tấn công có nhiều nét tương đồng với các nhóm tin tặc Triều Tiên từng thực hiện trước đây, dù phía Triều Tiên luôn bác bỏ các cáo buộc tấn công mạng. Đồng CEO Binance Richard Teng khẳng định công ty vẫn đang phối hợp với các cơ quan chức năng để điều tra và chưa đưa ra kết luận cuối cùng về thủ phạm.

Để bảo vệ người dùng, Binance tuyên bố sẽ sử dụng quỹ Secure Asset Fund for Users (SAFU) – hiện đang lưu trữ lượng Bitcoin trị giá khoảng một tỷ USD – cùng nguồn lực tài chính nội bộ để bù đắp các tổn thất. Nhà sáng lập kiêm cựu CEO Changpeng Zhao (CZ) cũng khẳng định quyền lợi của khách hàng sẽ được ưu tiên đảm bảo đầy đủ. Dù con số tài sản bị tác động lên tới 6,3 tỷ USD, mức thiệt hại thực tế cuối cùng vẫn đang phụ thuộc vào khả năng thu hồi và kết quả điều tra an ninh mạng.