Sàn giao dịch tiền điện tử Bitget nghi tin tặc liên quan vụ hack 351,6 triệu USD

Gracy Chen, Giám đốc điều hành của Bitget, phát biểu tại hội nghị Bitcoin châu Á ở Hồng Kông, Trung Quốc, vào thứ Năm, ngày 27/8.

Dấu vết ban đầu hướng tới nhóm tin tặc Triều Tiên

Sàn giao dịch tiền điện tử Bitget đang điều tra khả năng một nhóm tin tặc Triều Tiên liên quan vụ tấn công mạng khiến khoảng 351,6 triệu USD tài sản kỹ thuật số bị ảnh hưởng. Tuy nhiên, đây mới là nhận định sơ bộ và chưa phải kết luận chính thức về danh tính thủ phạm.

CEO Bitget Gracy Chen cho biết trong một buổi phát trực tiếp trên nền tảng X rằng nhóm điều tra phát hiện một số địa chỉ IP liên quan đến các dịch vụ mạng riêng ảo, VPN, từng được một nhóm tin tặc Triều Tiên sử dụng. Mô hình của vụ tấn công cũng có những điểm tương đồng với các chiến dịch trước đây được cho là có liên quan đến nhóm này. Các nguồn độc lập hiện chưa xác nhận danh tính của bên thực hiện vụ tấn công.

Bitget đồng thời cho biết chưa xác định chính xác bằng cách nào kẻ tấn công có thể xâm nhập hệ thống. Công ty không cho rằng đây là một vụ việc do người nội bộ thực hiện và đang tiếp tục điều tra nguyên nhân gốc rễ.

Vụ việc được Bitget phát hiện lúc 18h31 UTC ngày 24/9. Hệ thống bảo mật ghi nhận các giao dịch chuyển tiền trái phép từ một phần cơ sở hạ tầng ví của sàn. Bitget lập tức kích hoạt quy trình ứng phó khẩn cấp.

Theo bà Chen, vụ việc liên quan đến 19 giao dịch từ các ví nóng và ví ấm. Đây là những loại ví được kết nối hoặc có khả năng kết nối với hệ thống trực tuyến để phục vụ giao dịch, vì vậy thuận tiện hơn nhưng cũng đối mặt với nguy cơ tấn công mạng cao hơn ví lạnh.

Ví lạnh lưu trữ tài sản theo cách tách biệt hơn khỏi môi trường trực tuyến. Bitget khẳng định lớp ví lạnh của công ty không bị ảnh hưởng trong sự cố lần này.

Kẻ tấn công xâm nhập hệ thống phía máy chủ

Thông tin kỹ thuật ban đầu cho thấy đây không đơn thuần là vụ đánh cắp khóa riêng tư của ví tiền điện tử.

Theo bà Chen, nhóm bảo mật phát hiện kẻ tấn công đã xâm nhập một hệ thống quan trọng ở phía máy chủ trong hạ tầng ví, sau đó giả mạo dữ liệu giao dịch và kích hoạt quy trình xác thực để chuyển tài sản ra ngoài. Bitget cho biết khả năng khóa riêng tư bị xâm phạm đã được loại trừ.

Điểm này có ý nghĩa đối với việc xác định nguyên nhân vụ việc. Khóa riêng tư có thể hiểu như chìa khóa cho phép chủ sở hữu kiểm soát tài sản tiền điện tử. Nếu khóa này bị đánh cắp, kẻ tấn công có thể trực tiếp ký giao dịch.

Trong trường hợp Bitget, thông tin hiện có cho thấy tin tặc có thể đã tìm cách thao túng một bộ phận của hệ thống xử lý giao dịch trước khi quá trình xác thực được thực hiện.

Điều này cho thấy các sàn tiền điện tử không thể chỉ tập trung bảo vệ khóa riêng tư. Hệ thống phía máy chủ, quy trình tạo lệnh, cơ chế phê duyệt giao dịch và phân quyền truy cập cũng có thể trở thành mắt xích để tin tặc khai thác.

Bitget cho biết vụ xâm nhập đã được khống chế và không ghi nhận thêm giao dịch trái phép. Công ty đang tiếp tục sửa chữa, kiểm tra và tăng cường các thành phần của hệ thống bị ảnh hưởng.

Vì sao con số ban đầu chỉ khoảng 183 triệu USD?

Các phân tích dữ liệu blockchain ban đầu phát hiện khoảng 170 đến 183 triệu USD tài sản di chuyển bất thường khỏi những địa chỉ được gắn nhãn liên quan đến Bitget.

Sau đó, Bitget xác nhận tổng giá trị tài sản bị ảnh hưởng khoảng 351,6 triệu USD, gần gấp đôi ước tính ban đầu. Nguyên nhân là các thống kê ban đầu chưa bao quát toàn bộ blockchain và tài sản liên quan.

Các tài sản xuất hiện trong những giao dịch bất thường gồm Ether, USDT, USDC, AVAX, BNB và một số tài sản khác trên nhiều mạng blockchain.

Việc tài sản bị phân tán trên nhiều mạng khiến quá trình theo dõi phức tạp hơn. Tuy nhiên, đặc tính công khai của blockchain cũng cho phép các công ty phân tích theo dõi địa chỉ nhận tiền, quá trình chuyển đổi tài sản và những lần dịch chuyển tiếp theo.

Bitget cho biết đã xác định, đánh dấu và báo cáo các địa chỉ liên quan đến những giao dịch bất thường, đồng thời liên hệ cơ quan thực thi pháp luật và các công ty an ninh blockchain để phục vụ quá trình điều tra.

Sau sự cố, Bitget tạm dừng hoạt động rút tiền để kiểm tra an ninh. Gửi tiền và giao dịch vẫn hoạt động bình thường.

Bitget chưa công bố thời điểm chính xác khôi phục chức năng rút tiền. Theo thông tin bà Chen đưa ra sau vụ tấn công, quá trình này có thể mất từ vài giờ đến vài ngày tùy kết quả rà soát kỹ thuật.

Sàn khẳng định số dư hiển thị trong tài khoản khách hàng vẫn chính xác và tài sản người dùng được bảo vệ.

Bitget cho biết toàn bộ khoản thiệt hại ước tính nằm trong phạm vi có thể bù đắp của Quỹ Bảo vệ Người dùng. Quỹ này hiện nắm giữ hơn 464 triệu USD, cao hơn khoảng 112 triệu USD so với giá trị tài sản được xác định bị ảnh hưởng trong sự cố.

Tuy nhiên, việc một quỹ có đủ giá trị để bù đắp thiệt hại không đồng nghĩa mọi rủi ro đã được giải quyết. Việc khôi phục chức năng rút tiền còn phụ thuộc vào quá trình xác định lỗ hổng, kiểm tra hệ thống và bảo đảm kẻ tấn công không còn khả năng tiếp tục khai thác.

Bitget cho biết sẽ công bố báo cáo đầy đủ về nguyên nhân và biện pháp khắc phục sau quá trình điều tra.

Bài học bảo mật cho thị trường tiền điện tử

Vụ Bitget một lần nữa đặt vấn đề bảo mật của các nền tảng lưu ký tài sản số vào tâm điểm.

Với người dùng tại Việt Nam, sự cố cho thấy cần phân biệt giữa tài sản được lưu trên sàn và tài sản do người dùng tự quản lý khóa riêng tư. Khi tiền điện tử nằm trên sàn tập trung, khả năng truy cập tài sản phụ thuộc vào hạ tầng kỹ thuật, chính sách rút tiền và năng lực ứng phó sự cố của đơn vị vận hành.

[Suy luận] Với doanh nghiệp cung cấp dịch vụ tài sản số, vụ việc cũng cho thấy bảo vệ khóa riêng tư chỉ là một lớp của hệ thống an ninh. Kiểm soát truy cập máy chủ, phân quyền nhân sự, xác thực nhiều tầng, giới hạn giao dịch bất thường và cơ chế phát hiện dòng tiền theo thời gian thực đều cần được thiết kế như những lớp phòng thủ độc lập.

Vụ việc còn diễn ra trong bối cảnh ngành tiền điện tử từng chứng kiến các cuộc tấn công có quy mô lớn. Tháng 2/2025, Bybit bị đánh cắp khoảng 1,5 tỷ USD tiền điện tử trong một vụ tấn công được các cơ quan Mỹ quy cho nhóm Lazarus của Triều Tiên.

CEO Bybit Ben Zhou cho biết đội ngũ của ông sẵn sàng hỗ trợ Bitget, sau khi Bitget từng hỗ trợ Bybit xử lý sự cố năm 2025. Nền tảng LazarusBounty cũng được cập nhật để hỗ trợ theo dõi dòng tài sản liên quan vụ Bitget.

Với vụ việc mới nhất, bằng chứng mà Bitget công bố đến nay mới dừng ở những tương đồng về địa chỉ IP, dịch vụ VPN và phương thức tấn công. Vì vậy, khả năng tin tặc Triều Tiên đứng sau vụ xâm nhập chưa thể xem là kết luận cuối cùng cho tới khi có thêm bằng chứng kỹ thuật hoặc xác nhận từ cơ quan điều tra.

Ba lớp ví của sàn tiền điện tử

Ví nóng: Kết nối trực tuyến thường xuyên, phục vụ nhu cầu nạp, rút và giao dịch nhanh nhưng có bề mặt tấn công mạng lớn hơn.

Ví ấm: Nằm giữa ví nóng và ví lạnh, duy trì mức kết nối hạn chế để cân bằng giữa tốc độ xử lý và an toàn.

Ví lạnh: Tách biệt phần lớn hoặc hoàn toàn khỏi môi trường trực tuyến, thường được dùng để lưu giữ phần tài sản không cần luân chuyển thường xuyên.