Sự Toàn Cảnh Vụ Bảo Mật Binance: 6,3 Tỷ USD Đi Đâu, Sự Thật Đã Xác Nhận và Trạng Thái Rút Tiền

Tổng quan

Binance đã gặp phải sự cố bảo mật khi ví nóng bị chuyển tiền ra ngoài vào ngày 29 tháng 10 năm 2026, ước tính chính thức cho biết quy mô bị ảnh hưởng khoảng 6,3 tỷ USD, là vụ trộm tài sản crypto lớn nhất trong các ghi nhận công khai. Tính đến 07:00 UTC ngày 30 tháng 10, dịch vụ rút tiền vẫn đang tạm dừng, Binance cho biết dự kiến sẽ bắt đầu khôi phục trong vòng 48 giờ, dịch vụ nạp tiền theo cập nhật dịch vụ mới nhất đã trở lại hoạt động bình thường. Khoảng 3 tỷ USD tài sản liên quan đã bị đóng băng trên chuỗi, chưa có ghi nhận công khai nào về việc tài sản được thu hồi và trả lại sàn giao dịch. Binance đã tuyên bố sẽ chịu toàn bộ tổn thất bằng quỹ SAFU và vốn công ty.

Con đường kỹ thuật khác với hầu hết các vụ sàn giao dịch bị đánh cắp. Việc chuyển tiền ra trên Ethereum được hoàn thành thông qua một ủy quyền EIP-7702, kẻ tấn công không lấy được khóa riêng của ví, mà khiến ví nóng thực hiện quét tài sản theo hợp đồng mà chúng triển khai. Binance trong điều tra sơ bộ cho biết không phát hiện bằng chứng rò rỉ khóa riêng ví, và chỉ ra lối vào là một máy tính xách tay của kỹ sư DevOps bị xâm nhập.

Điểm chính

Dòng thời gian sự kiện

Ghi chép trên chuỗi, đánh giá của tổ chức nghiên cứu và quan điểm chính thức của ba bên có tốc độ tiến triển khác nhau trong sự kiện này, bảng dưới đây sắp xếp theo múi giờ thống nhất, và ghi chú tính chất của từng mục. Tất cả thời gian là UTC, tương ứng với giờ Singapore cộng tám giờ.

Hai manh mối đáng được chú ý riêng. Thứ nhất, hành động đóng băng của tổ chức phát hành sớm hơn việc tạm dừng dịch vụ của sàn giao dịch, Tether và Circle đã hoàn thành vòng đóng băng đầu tiên trong khoảng bốn mươi phút sau lần quét quy mô lớn đầu tiên, trong khi việc tạm dừng rút tiền xảy ra lúc 22:15 UTC. Thứ hai, cách diễn đạt của lãnh đạo Binance thay đổi dần dần, đồng CEO He Yi lần đầu tiên sử dụng từ "tấn công" trong bài đăng lúc 00:24 UTC ngày 30 tháng 10, trong khi tài khoản chính của công ty trong các thông báo trước đó sử dụng "vấn đề bảo mật tiềm ẩn".

Cách tính số tiền: sự khác biệt giữa chuyển ra, đóng băng, chưa đóng băng và thu hồi

Số tiền được lưu truyền công khai dao động từ 3,3 tỷ USD đến 6,36 tỷ USD, sự khác biệt đến từ ba điểm: các chuỗi được thống kê khác nhau, thời điểm định giá khác nhau, và đối tượng thống kê là số tiền chuyển ra hay số dư nắm giữ của ví kẻ tấn công.

Phân bố tài sản bị đóng băng

Thống kê của TRM Labs tính đến 00:30 UTC ngày 30 tháng 10 chia số tiền đóng băng thành khoảng 1,77 tỷ USDT của Tether, khoảng 825 triệu USDC của Circle, 40,5 triệu RLUSD của Ripple, 27,8 triệu USD1 của World Liberty Financial, cùng với 8.426 ETH và 74,6 triệu ARB do Ủy ban An ninh Arbitrum xử lý, tổng cộng khoảng 2,7 tỷ USD. Số tiền đóng băng được xác minh mà Binance thông báo hai mươi hai phút sau đó là khoảng 3 tỷ USD, sự chênh lệch giữa hai bên đến từ thời điểm thống kê, chứ không phải xung đột cách tính. First Digital đã đóng băng FDUSD liên quan lúc 02:21 UTC, không tiết lộ số tiền cụ thể, phần này không được tính vào phân tách trên.

Đóng băng không đồng nghĩa với thu hồi

Tài sản bị đóng băng ở trạng thái nằm trong danh sách đen hợp đồng của tổ chức phát hành, không nằm trong tay kẻ tấn công, cũng chưa trở về sổ sách của sàn giao dịch. Để tài sản trở về Binance, cần tổ chức phát hành đúc lại hoặc chuyển giao theo thủ tục tư pháp, bước này trong sự kiện Bybit tháng 2 năm 2025 mất vài tháng, và khi đó vụ trộm quy mô 1,5 tỷ USD chỉ có 48,4 triệu USD được thu hồi. Theo cách tính của Binance, số tiền đóng băng hiện tại chiếm khoảng 48% quy mô bị ảnh hưởng, trong khi phần còn lại tập trung vào hai loại tài sản là Bitcoin và Ethereum không có tổ chức phát hành tập trung, không tồn tại con đường đóng băng tương tự.

Hành động chốt lời của kẻ tấn công trước khi đóng băng có hiệu lực

TRM Labs ghi nhận kẻ tấn công trước khi đóng băng của tổ chức phát hành có hiệu lực đã bán khoảng 325 triệu USDT cho các nhà tạo lập thị trường với mức chiết khấu hơn 10%, đổi lấy khoảng 122.300 ETH, và vay ETH trên Aave bằng cách thế chấp USDT, đồng thời chuyển tài sản thông qua các giao thức cho vay trên chuỗi Tron và Uniswap. Chuỗi hành động này đã chuyển các stablecoin tập trung có thể bị đóng băng thành tài sản gốc không thể bị đóng băng, là nguyên nhân trực tiếp khiến 2,4 tỷ USD còn lại tập trung vào BTC và ETH.

Con đường tấn công

Ủy quyền EIP-7702 trên Ethereum

EIP-7702 ra mắt cùng với nâng cấp Pectra của Ethereum vào tháng 5 năm 2025, cho phép một tài khoản thông thường ủy quyền cho một hợp đồng thông minh thực hiện thao tác thay mặt mình. Theo phân tích của TRM Labs và Blockaid, giao dịch ủy quyền mà kẻ tấn công gửi đi chứa 50 ủy quyền ký trước, tương ứng với 50 số thứ tự giao dịch liên tiếp, để đảm bảo một trong số đó ở trạng thái hợp lệ khi thực thi. Sau khi ủy quyền có hiệu lực, ví nóng của Binance hoàn thành việc quét theo logic hợp đồng mà kẻ tấn công triển khai, toàn bộ quá trình kết thúc trong khoảng ba phút rưỡi sau khi ủy quyền có hiệu lực. Hợp đồng liên quan được triển khai vào đầu ngày hôm đó, vốn ban đầu của địa chỉ liên quan đến từ các khoản rút nhỏ từ dịch vụ trộn tiền.

Cơ chế này giải thích tại sao "không phát hiện rò rỉ khóa riêng" và "ví bị rút sạch" có thể cùng tồn tại. Bản thân ủy quyền cần một chữ ký hợp lệ từ ví, nhưng kẻ tấn công chỉ cần khiến yêu cầu chữ ký được phê duyệt, không cần tiếp xúc với bản thân khóa riêng. Blockaid dựa vào đó đánh giá tính chất sự kiện là lạm dụng khóa của cơ sở hạ tầng chữ ký.

Việc chuyển ra của chín chuỗi khác không thể được giải thích bởi cùng cơ chế

Việc chuyển ra mà TRM Labs thống kê bao gồm mười chuỗi, trong đó Ethereum khoảng 3,79 tỷ USD, bao gồm 200.630 ETH và khoảng 1,875 tỷ USDT; Bitcoin 18.270 BTC, khoảng 1,47 tỷ USD; Tron khoảng 628 triệu USD; XRP Ledger 2.334.600 XRP, khoảng 296 triệu USD; Solana 970.500 SOL, khoảng 96 triệu USD; Arbitrum, Optimism và Base tổng cộng khoảng 39 triệu USD; Avalanche khoảng 28 triệu USD; Polygon khoảng 10 triệu USD. Ngoài Ethereum, việc chuyển ra của các chuỗi còn lại đều là giao dịch chuyển tiền chữ ký thông thường, EIP-7702 không áp dụng trên các chuỗi này. TRM Labs dựa vào đó phán đoán, tình huống có khả năng hơn là toàn bộ cơ sở hạ tầng chữ ký của ví nóng bị kiểm soát.

Kết luận sơ bộ chính thức

Binance trong tuyên bố lúc 02:25 UTC ngày 30 tháng 10 cho biết, điều tra sơ bộ cho thấy sự kiện có thể liên quan đến một máy tính xách tay của kỹ sư DevOps bị xâm nhập, kẻ tấn công từ đó xâm nhập vào một container dịch vụ và gửi giao dịch rút tiền trái phép, đồng thời cho biết không phát hiện bằng chứng rò rỉ khóa riêng ví nào. Binance cho biết đã thu hồi ủy quyền của địa chỉ liên quan, và sẽ cập nhật dữ liệu bằng chứng dự trữ sau khi hoàn thành sửa chữa, công bố riêng báo cáo đánh giá kỹ thuật đầy đủ. Tính đến 07:00 UTC ngày 30 tháng 10, báo cáo đánh giá này vẫn chưa được công bố.

Quy kết

TRM Labs với độ tin cậy cao quy kết cuộc tấn công cho tổ chức hacker Triều Tiên TraderTraitor, dựa trên thông tin tình báo trên chuỗi và ngoài chuỗi, cùng với sự tương đồng với sự kiện Bybit tháng 2 năm 2025 và sự kiện KelpDAO tháng 4 năm 2026 về thủ pháp nạp tiền nhỏ qua dịch vụ trộn tiền và ký trước. Nhà điều tra trên chuỗi ZachXBT và Blockaid cũng chỉ về hướng Triều Tiên. Hiện chưa có xác nhận chính thức của cơ quan thực thi pháp luật.

Tác động thực tế đối với người dùng

Trạng thái dịch vụ

Binance tạm dừng rút tiền lúc 22:15 UTC ngày 29 tháng 10, tạm dừng nạp tiền lúc 00:07 UTC ngày 30 tháng 10. Đồng CEO He Yi trong cập nhật dịch vụ lúc 04:17 UTC ngày 30 tháng 10 cho biết, việc rút tiền sẽ duy trì tạm dừng cho đến khi nhóm hoàn thành cải tạo bảo mật dịch vụ rút tiền và các địa chỉ liên quan, dự kiến bắt đầu khôi phục trong vòng 48 giờ, khung thời gian này tương ứng với khoảng 04:17 UTC ngày 1 tháng 11; cùng một cập nhật cho biết nạp tiền không bị ảnh hưởng, hoạt động bình thường. Binance trong các thông báo lúc 00:07 UTC và 02:25 UTC đều liệt kê nạp tiền là tạm dừng, khác với cách diễn đạt lúc 04:17 UTC, công ty không đưa ra giải thích về sự khác biệt giữa hai bên. Tính đến 07:00 UTC ngày 30 tháng 10, gián đoạn rút tiền đã kéo dài khoảng chín giờ; nếu hoàn thành khôi phục theo khung 48 giờ, tổng thời gian gián đoạn tính từ lúc tạm dừng sẽ khoảng 54 giờ. Giao dịch giao ngay và hợp đồng trong thời gian này không thấy thông báo tạm dừng.

Chịu tổn thất

Binance trong thông báo cho biết sẽ chịu toàn bộ tổn thất bằng quỹ SAFU và vốn công ty, và cho biết tài sản người dùng an toàn. Nhà sáng lập Zhao Changpeng trên nền tảng xã hội cho biết, với tư cách cổ đông ông kỳ vọng vốn người dùng sẽ được bù đắp hoàn toàn, và cho biết quy mô tổn thất có thể cao hơn một chút so với thông báo ban đầu. Theo dữ liệu của DefiLlama, tài sản nền tảng Binance trước sự kiện khoảng 144 tỷ USD, quy mô bị ảnh hưởng chiếm khoảng 4,4%. CEO nhà tạo lập thị trường Wintermute Evgeny Gaevoy cho biết, tính theo ba đến bốn lần quy mô hiện tại, Binance vẫn có thể chịu đựng được. Wintermute và GSR đều tiết lộ có rủi ro tại Binance, GSR cho biết th