虚假招聘钓鱼？币安披露朝鲜关联攻击全链条

Nguồn gốc từ Binance chính thức

Ngày 29 tháng 10 năm 2026, Binance đã xảy ra một sự cố bảo mật nghiêm trọng và có độ phức tạp cao. Điều này lẽ ra không nên xảy ra. Chúng tôi vô cùng xin lỗi vì những lo ngại, ảnh hưởng và bất định mà sự cố này đã gây ra cho người dùng, đối tác và toàn ngành.

Bảo vệ người dùng là trách nhiệm hàng đầu của chúng tôi. Tác động tài chính do số tiền bị đánh cắp sẽ do Binance gánh chịu, chứ không chuyển sang người dùng. Chúng tôi đã dự trữ hơn 100% số tiền tổn thất để bù đắp. Tính đến ngày 31 tháng 10 năm 2026, 98% trong số các tài sản token bị ảnh hưởng đã được bổ sung đầy đủ và có thể kiểm chứng trên trang Proof of Reserves của chúng tôi. Chúng tôi đang mua các tài sản chưa được bổ sung đầy đủ và có tính thanh khoản thấp hơn.

Sự cố này đã ảnh hưởng đến khoảng 6,34 tỷ USD tài sản số. Tính đến bản cập nhật này, khoảng 2,85 tỷ USD tài sản số đã bị đóng băng hoặc chặn lại, số tiền cụ thể vẫn cần được xác minh và có thể bị ảnh hưởng bởi biến động giá thị trường.

Chúng tôi đã ngay lập tức hành động để ngăn chặn sự cố và tăng cường các hệ thống liên quan. Các lối vào được xác nhận đã bị lợi dụng trong cuộc tấn công này đã được đóng lại. Các hệ thống liên quan trên lộ trình tấn công đã được xây dựng lại hoặc thay thế. Chúng tôi cũng đã triển khai kiểm soát thiết bị chặt chẽ hơn, tăng cường kiểm soát rủi ro cho dịch vụ ví và mở rộng phát hiện bất thường hành vi dựa trên AI.

Đây là báo cáo sơ bộ của chúng tôi, giới thiệu thông tin chúng tôi hiện có và những cải tiến đã hoàn thành. Cuộc điều tra vẫn đang tiếp diễn và kết quả điều tra của chúng tôi sẽ còn phải trải qua đánh giá độc lập thêm. Để ngăn chặn các tác nhân độc hại lợi dụng thông tin liên quan để lên kế hoạch tấn công, một số chi tiết kỹ thuật sẽ tiếp tục được giữ bí mật. Chúng tôi đang mời các công ty bảo mật độc lập tiến hành đánh giá thêm.

Thông tin mới nhất do FBI công bố cho thấy Cộng hòa Dân chủ Nhân dân Triều Tiên phải chịu trách nhiệm về sự cố này.

Chúng tôi công bố báo cáo sơ bộ này vì việc cả ngành cùng học hỏi sẽ giúp nâng cao trình độ bảo mật.

Những gì đã xảy ra vào ngày 29 tháng 10

Cuộc tấn công nhanh chóng lan rộng sang nhiều mạng lưới.

Kẻ tấn công đã lợi dụng quyền truy cập trái phép vào dịch vụ ký ví nội bộ để khởi tạo giao dịch nằm ngoài quy trình rút tiền thông thường.

Trong khoảng thời gian từ 20:05 đến 20:09 theo giờ UTC, năm ví nóng của Binance đã chuyển 233,46 triệu XRP đến các địa chỉ do kẻ tấn công kiểm soát.

Các ví nóng của Binance trên Solana và Optimism đã chuyển khoảng 970.500 SOL và 44,2 triệu OP đến các địa chỉ do kẻ tấn công kiểm soát.

Sau đó, Binance nhận được cảnh báo nội bộ về một giao dịch chuyển khoản lớn và ngay lập tức tiến hành điều tra.

Ví nóng của Binance đã chuyển 18.270 BTC đến địa chỉ do kẻ tấn công kiểm soát.

Sau đó, kẻ tấn công đã lợi dụng dịch vụ ký để lạm dụng cơ chế ủy quyền EIP-7702 của Ethereum. EIP-7702 cho phép tài khoản ủy quyền một số quyền thực thi nhất định cho hợp đồng thông minh mà không cần tiết lộ khóa riêng. Trong trường hợp này, kẻ tấn công đã lợi dụng cơ chế này để cấp cho hợp đồng thông minh do chúng kiểm soát một phần quyền thực thi đối với ví nóng của Binance.

Binance đã ngay lập tức khởi động nhiều biện pháp ngăn chặn, bao gồm tạm dừng rút tiền để hạn chế dòng tài sản chảy ra thêm, phối hợp với đối tác để đóng băng các token bị ảnh hưởng, và thực hiện các biện pháp thu hồi quyền hạn trái phép. Những nỗ lực này đã đóng băng tổng cộng 2,85 tỷ USD tài sản.

Tuy nhiên, chỉ tạm dừng rút tiền không thể ngăn chặn tất cả các giao dịch chuyển tài sản trái phép. Ủy quyền EIP-7702 độc hại đã tồn tại trên chuỗi và hoạt động độc lập với cơ sở hạ tầng rút tiền thông thường của Binance. Kẻ tấn công đã gửi 50 giao dịch ký để thao túng nonce tài khoản và thiết lập ủy quyền độc hại. Sau khi ủy quyền được thiết lập, kẻ tấn công có thể tiếp tục chuyển tài sản độc lập với cơ sở hạ tầng rút tiền thông thường của Binance. Binance cần thực hiện các giao dịch bổ sung để thu hồi các ủy quyền trên chuỗi này.

Quá trình ngăn chặn cũng liên quan đến các phức tạp kỹ thuật khác. Do ví nóng này sử dụng tính toán đa bên (MPC), không có khóa riêng đơn lẻ nào có thể dùng để thu hồi ngay lập tức ủy quyền EIP-7702 độc hại. Do đó, nhóm đã xây dựng và thực thi một quy trình thu hồi chuyên biệt, đòi hỏi thêm thời gian. Ngoài ra, việc tạm dừng rút tiền và đóng dịch vụ ví nóng không tự động vô hiệu hóa các ủy quyền trên chuỗi hiện có.

Những thách thức này đã kéo dài thời gian cần thiết để ngăn chặn hoàn toàn các giao dịch chuyển tài sản trái phép. Chúng tôi đang xem xét quy trình ứng phó sự cố, phạm vi bao phủ chính sách ký và các biện pháp kiểm soát ví nóng, đồng thời tìm kiếm cơ hội để nâng cao hơn nữa khả năng ứng phó nhanh với các mối đe dọa trong tương lai.

Giao dịch chuyển khoản trái phép cuối cùng liên quan đến 2.961,9 ETH, được hoàn tất trên chuỗi lúc 23:56 theo giờ UTC. Giao dịch này trước đó đã được phát sóng và ở trạng thái chờ xử lý, sau đó mới được xác nhận cuối cùng. Sau đó không quan sát thấy giao dịch chuyển khoản trái phép nào khác.

Vào lúc 00:10 ngày 30 tháng 10 năm 2026 theo giờ UTC, Binance đã thực hiện một ủy quyền mới từ ví nóng Binance14 đến địa chỉ zero, xóa bỏ mã ủy quyền EIP-7702.

Chuẩn bị tấn công

Điều tra hiện tại của chúng tôi cho thấy đây là một chiến dịch phức tạp nhiều giai đoạn, không phải là một lỗ hổng bảo mật đơn lẻ hay một sự kiện lừa đảo trực tuyến đơn giản. Kẻ tấn công đã kết hợp nhiều kỹ thuật, bao gồm tấn công kỹ thuật xã hội thông qua phỏng vấn tuyển dụng giả, tải xuống phần mềm độc hại, xâm nhập công cụ AI nội bộ, xâm nhập thiết bị đầu cuối và áp dụng phương thức ủy quyền giao dịch tiên tiến.

• Tháng 6 năm 2026 — Tấn công chuỗi cung ứng. Kỹ sư A của Wallet DevOps đã tìm kiếm một công cụ lập trình AI phổ biến trên công cụ tìm kiếm và tải xuống trình cài đặt Homebrew đã bị can thiệp để cài đặt công cụ này. Sau khi nhóm bảo mật của chúng tôi phát hiện bất thường, chúng tôi đã thay thế thiết bị và luân chuyển tất cả thông tin xác thực liên quan như một biện pháp bảo mật chủ động. Tuy nhiên, danh tính của Kỹ sư A và thông tin của các đồng nghiệp liên quan trong nhóm cơ sở hạ tầng ví đã bị lộ cho hacker.
• Trong suốt năm 2026, nhóm bảo mật của Binance đã phát hiện và ngăn chặn 57 sự kiện mối đe dọa mạng nghi ngờ có liên quan đến Triều Tiên. Những cuộc tấn công này phản ánh mối đe dọa liên tục mà các tác nhân được nhà nước hậu thuẫn gây ra cho ngành tiền mã hóa. Các phương thức chúng sử dụng bao gồm phỏng vấn tuyển dụng giả, phần mềm độc hại được ngụy trang thành công cụ phát triển phổ biến, gói phần mềm và tiện ích mở rộng trình duyệt bị xâm nhập, ứng dụng hội nghị video giả, và các chiến dịch kỹ thuật xã hội nhằm đánh cắp thông tin xác thực hoặc triển khai phần mềm độc hại truy cập từ xa.
• Tháng 9 năm 2026 — Tấn công kỹ thuật xã hội. Kỹ sư phần mềm B đã được liên hệ qua một nền tảng tuyển dụng hợp pháp bởi một người tự xưng là giám đốc dự án. Hồ sơ của Kỹ sư phần mềm B trên nền tảng này có đề cập đến kinh nghiệm làm việc tại Binance. Người tự xưng là giám đốc dự án đã sắp xếp vòng phỏng vấn đầu tiên do một đại diện nhân sự chủ trì; sau đó sắp xếp vòng phỏng vấn thứ hai với người tự xưng là giám đốc điều hành của một công ty hư cấu.
• Trong vòng phỏng vấn đầu tiên, người tự xưng là đại diện nhân sự đã phỏng vấn trực tiếp qua video với Kỹ sư phần mềm B. Để tạo dựng lòng tin, người phỏng vấn đã chia sẻ tài khoản mạng xã hội của mình, bao gồm ảnh và video cá nhân được đăng trên nền tảng đó. Thủ đoạn này tinh vi và có tính lừa đảo cao hơn so với các cuộc tấn công kỹ thuật xã hội từng thấy trước đây.
• Vòng phỏng vấn thứ hai diễn ra trên một ứng dụng trò chuyện xã hội phổ biến. Gần cuối buổi phỏng vấn, Kỹ sư B được yêu cầu tải xuống máy tính làm việc một "bài tập" chứa kho mã độc hại. Mã độc hại trong kho mã này được thực thi trong quá trình thiết lập và bắt đầu một loạt hoạt động trái phép.
• Phần mềm độc hại này sử dụng các kỹ thuật làm rối và né tránh tinh vi, bao gồm thay thế các thành phần công cụ phát triển chính thức bằng phiên bản độc hại để thực thi lệnh và thiết lập liên lạc với máy chủ bên ngoài do kẻ tấn công kiểm soát. Vào thời điểm đó, công cụ bảo vệ an ninh thiết bị đầu cuối không phát hiện được phần mềm độc hại zero-day này. Kẻ tấn công cũng thực hiện các biện pháp che giấu hoạt động độc hại và xóa dấu vết xâm nhập, khiến việc phát hiện và điều tra sau đó trở nên khó khăn hơn.
• Script đã áp dụng kỹ thuật làm rối để né tránh phát hiện bảo mật và thực hiện các bước sau.

Tạo /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

Sửa đổi pyenv_ → 3.414 B

Xóa .../libexec/pyenv (3.344 B) ← Loại bỏ pyenv hợp lệ

Đổi tên pyenv_ → pyenv (3.414 B) ← Thay thế bằng phiên bản độc hại

Xóa /opt/homebrew/bin/pyenv (3.414 B)

ln (tạo liên kết tượng trưng mới) + khởi động zsh

• Ngày 20 tháng 10 năm 2026 — Lợi dụng công cụ AI nội