Vụ tấn công 6,3 tỷ USD nhằm vào Binance từ chiếc máy tính cá nhân của một kỹ sư DevOps?

Một vụ việc an ninh mạng tại Binance, sàn giao dịch tiền mã hóa lớn nhất thế giới, khiến lượng tài sản bị ảnh hưởng ước tính lên tới 6,3 tỷ USD. Nếu được xác nhận, đây sẽ là vụ trộm tiền mã hóa có quy mô lớn nhất từ trước đến nay.

Từ máy tính kỹ sư đến hệ thống giao dịch

Ngày 30/10, Binance công bố kết quả điều tra sơ bộ về sự cố an ninh mạng, cho biết máy tính xách tay của một kỹ sư DevOps có thể đã bị xâm nhập. Theo thông tin từ sàn, kẻ tấn công từ thiết bị này tiếp cận được một service container (môi trường đóng gói và vận hành dịch vụ phần mềm), sau đó gửi các giao dịch rút tài sản trái phép.

Đáng chú ý, Binance cho biết chưa tìm thấy bằng chứng khóa riêng tư (private key) của các ví bị rò rỉ. Đây là thông tin mật mã được sử dụng để xác nhận quyền kiểm soát tài sản và tạo chữ ký số cho các giao dịch trên blockchain. Việc chưa phát hiện khóa riêng tư bị lộ khiến cơ chế mà kẻ tấn công sử dụng để thực hiện các lệnh rút tài sản trở thành một trong những vấn đề cần tiếp tục làm rõ.

Sau sự cố, Binance đã thu hồi quyền ủy quyền của địa chỉ ví liên quan, tạm dừng hoạt động nạp, rút tiền để kiểm tra an ninh và phối hợp với các đối tác trong hệ sinh thái blockchain cùng cơ quan thực thi pháp luật truy vết dòng tiền. Theo thông tin từ sàn, khoảng 3 tỷ USD tài sản liên quan đã được phong tỏa trên blockchain.

Binance ước tính tổng giá trị tài sản bị ảnh hưởng trong vụ việc khoảng 6,3 tỷ USD. Sàn cam kết sử dụng Quỹ bảo vệ tài sản người dùng (SAFU) và nguồn lực của công ty để bù đắp thiệt hại. Báo cáo phân tích kỹ thuật chi tiết sẽ được công bố sau khi quá trình điều tra và xác minh hoàn tất.

Hiện các thông tin ban đầu chưa làm rõ phương thức kẻ tấn công xâm nhập máy tính của kỹ sư DevOps, cách chúng tiếp cận service container cũng như cơ chế xác thực, phân quyền và kiểm soát các lệnh rút tiền trong sự cố. Vì vậy, chưa đủ cơ sở để xác định một mắt xích cụ thể trong hệ thống bảo mật của Binance đã bị lỗi hoặc bị vượt qua.

Tuy nhiên, diễn biến này cho thấy phạm vi bảo vệ an ninh của một sàn giao dịch tiền mã hóa không chỉ giới hạn ở ví lưu trữ và khóa riêng tư. Các thiết bị đầu cuối, tài khoản nhân viên và dịch vụ có quyền tương tác với hệ thống giao dịch cũng là những thành phần cần được kiểm soát chặt chẽ.

Kiểm soát quyền truy cập trong hạ tầng giao dịch

Kỹ sư DevOps đảm nhiệm việc kết nối quá trình phát triển phần mềm với vận hành hệ thống, từ triển khai ứng dụng, quản lý máy chủ đến tự động hóa quy trình. Do đặc thù công việc, nhóm nhân sự này thường cần quyền truy cập vào nhiều thành phần quan trọng của hạ tầng công nghệ. Vì vậy, thiết bị và tài khoản của họ cũng trở thành những điểm cần được bảo vệ trong hệ thống an ninh mạng.

Khi một thiết bị bị xâm nhập, kẻ tấn công có thể tìm cách chiếm đoạt thông tin xác thực, khai thác phiên đăng nhập hoặc lợi dụng quyền truy cập sẵn có để tiếp cận các tài nguyên khác. Mức độ ảnh hưởng phụ thuộc vào phạm vi quyền được cấp và khả năng kiểm soát các hoạt động tiếp theo trong hệ thống.

Để hạn chế rủi ro này, mô hình Zero Trust (không tin cậy mặc định) được nhiều tổ chức sử dụng trong kiến trúc bảo mật. Theo Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST), mô hình này không mặc nhiên tin cậy người dùng hoặc thiết bị khi chúng kết nối vào mạng nội bộ. Mỗi yêu cầu truy cập cần được xác thực và đánh giá dựa trên danh tính, thiết bị và tài nguyên được yêu cầu.

Một nguyên tắc liên quan là Least Privilege (đặc quyền tối thiểu), theo đó mỗi tài khoản chỉ được cấp quyền cần thiết để thực hiện nhiệm vụ. Chẳng hạn, quyền quản lý môi trường phát triển phần mềm không đồng nghĩa với quyền truy cập hệ thống lưu trữ tài sản hoặc thực hiện giao dịch. Việc giới hạn quyền theo vai trò giúp giảm phạm vi ảnh hưởng nếu tài khoản hoặc thiết bị bị chiếm quyền.

Bên cạnh đó, xác thực đa yếu tố, giám sát đăng nhập và phát hiện hành vi bất thường là những lớp bảo vệ giúp nhận diện, ngăn chặn truy cập trái phép. Với các thao tác có khả năng tác động trực tiếp đến tài sản, hệ thống có thể áp dụng thêm quy trình xác thực hoặc phê duyệt độc lập nhằm hạn chế nguy cơ một tài khoản bị chiếm quyền tự thực hiện giao dịch.

Đối với Binance, sự cố đặt ra yêu cầu làm rõ cách thức quản lý quyền truy cập giữa thiết bị nhân viên, môi trường dịch vụ và hệ thống giao dịch. Đặc biệt, cần xác định những cơ chế kiểm soát nào được áp dụng khi một thiết bị có dấu hiệu bị xâm nhập và liệu các lệnh rút tài sản bất thường có phải trải qua bước xác thực bổ sung hay không.

Vụ việc cho thấy bảo mật của các sàn giao dịch tiền mã hóa không chỉ nằm ở công nghệ lưu trữ tài sản hay bảo vệ khóa riêng tư, mà còn phụ thuộc vào khả năng kiểm soát xuyên suốt các thành phần tham gia vận hành hệ thống. Báo cáo kỹ thuật cuối cùng của Binance sẽ giúp làm rõ phương thức xâm nhập, phạm vi quyền truy cập bị ảnh hưởng và hiệu quả của các lớp bảo vệ trong sự cố.