Các hacker Triều Tiên được cho là đã đánh cắp số tiền mã hóa trị giá lên tới 6,36 tỷ USD (khoảng 165.360 tỷ đồng) từ sàn giao dịch Binance, theo công ty phân tích dữ liệu blockchain TRM Labs.
Vụ tấn công được cho là xảy ra vào ngày 29/10, khi các hacker rút sạch tài sản trên 10 mạng blockchain khác nhau chỉ trong khoảng 20 phút. TRM Labs quy trách nhiệm cho TraderTraitor, một nhóm hacker được cho là hoạt động dưới sự hậu thuẫn của chính phủ Triều Tiên.
Hacker đã đánh cắp 6,3 tỷ USD từ Binance bằng cách nào?
Trên mạng Ethereum, các hacker khai thác một cơ chế liên quan đến tiêu chuẩn EIP-7702 để chiếm quyền kiểm soát một ví nóng (hot wallet) của Binance, biến ví này thành một hợp đồng thông minh nằm hoàn toàn dưới sự điều khiển của chúng.
Nhóm tấn công sử dụng một trong 50 lệnh ủy quyền đã chuẩn bị sẵn, trong đó có một lệnh tình cờ khớp với số lượng giao dịch của ví. Trên chín blockchain còn lại, chúng chỉ cần chuyển tài sản bằng những giao dịch thông thường có chữ ký hợp lệ.
TRM Labs nhận định hệ thống ký giao dịch của Binance nhiều khả năng đã bị xâm nhập, mặc dù Binance chưa xác nhận chính xác phương thức tấn công. Theo báo cáo, nhóm hacker đã bắt đầu chuẩn bị ít nhất 36 giờ trước khi thực hiện vụ đánh cắp. Chúng tiến hành các giao dịch thử nghiệm và nạp tiền vào một ví phục vụ chiến dịch thông qua những khoản rút nhỏ từ Tornado Cash, dịch vụ thường được sử dụng để che giấu dấu vết giao dịch tiền mã hóa.
TRM Labs cho biết TraderTraitor cũng có liên quan đến vụ tấn công sàn Bybit trị giá 1,5 tỷ USD (khoảng 39.000 tỷ đồng) vào năm 2025, khiến quy mô vụ việc lần này lớn gấp khoảng bốn lần. Các tài sản bị đánh cắp bao gồm Bitcoin, Ethereum, XRP, Solana và nhiều loại stablecoin.
Binance đã xác nhận xảy ra sự cố bảo mật và tạm thời đình chỉ hoạt động rút tiền trên một số mạng blockchain. Sàn giao dịch khẳng định tài sản của người dùng vẫn an toàn, trong khi quá trình điều tra đang tiếp diễn.
Bao nhiêu tiền mã hóa bị đánh cắp đã được thu hồi?
Tin tích cực là các công ty như Tether, Circle, Ripple và World Liberty Financial đã nhanh chóng phối hợp phong tỏa khoảng 2,7 tỷ USD (khoảng 70.200 tỷ đồng) trong số tài sản bị đánh cắp. Tuy nhiên, nhóm hacker được cho là vẫn đang nắm giữ khoảng 2,4 tỷ USD (khoảng 62.400 tỷ đồng), bao gồm hơn 420.000 ETH và hơn 18.000 Bitcoin, nằm ngoài khả năng kiểm soát của các bên liên quan.
Nhóm tấn công cũng đã bắt đầu quá trình rửa tiền. Chúng bán những token có nguy cơ bị đóng băng cho các nhà tạo lập thị trường với giá chiết khấu, đồng thời luân chuyển tài sản qua nhiều ví khác nhau nhằm che giấu nguồn gốc và dấu vết giao dịch.
TRM Labs dự đoán giai đoạn tiếp theo có thể liên quan đến việc sử dụng các cầu nối blockchain (cross-chain bridges) và dịch vụ hoán đổi tiền mã hóa (swap services), cho thấy vụ việc vẫn còn nhiều diễn biến phức tạp phía trước.
Sự cố lần này cho thấy mức độ nguy hiểm của việc hệ thống ký xác nhận giao dịch tại các sàn tiền mã hóa bị xâm nhập. Ngay cả khi hàng tỷ USD tài sản đã được phong tỏa, việc thu hồi số tiền còn lại vẫn có thể là một thách thức rất lớn.