Tối 29/10/2026 theo giờ UTC (rạng sáng 30/10 giờ Việt Nam), Binance mất khoảng 6,3 tỷ USD từ các ví nóng trên nhiều blockchain trong vòng chưa đầy nửa giờ. Theo ước tính của chính Binance, đây là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận, gấp khoảng bốn lần kỷ lục cũ 1,5 tỷ USD của vụ Bybit hồi tháng 02/2025.
Vụ trộm lớn nhất lịch sử tiền mã hóa
Các con số ban đầu dao động mạnh, từ 2,5 tỷ đến 6,36 tỷ USD, vì mỗi bên tính trên phạm vi chuỗi khác nhau. Chainalysis ước tính khoảng 5,9 tỷ USD, TRM Labs tính được 6,36 tỷ USD trên mười blockchain. Khoảng 3 tỷ USD, chủ yếu là stablecoin, đã bị phong tỏa ngay trong đêm; phần còn lại là BTC, ETH và các tài sản gốc mà không ai có thể đóng băng.
Điều khiến vụ việc đáng chú ý về mặt kỹ thuật không chỉ là quy mô. Kẻ tấn công không phá vỡ hợp đồng thông minh hay giao thức Ethereum. Chúng chiếm được "đường ký" giao dịch của Binance, rồi dùng tính năng EIP-7702 (ra mắt cùng nâng cấp Pectra năm 2025) để biến ví nóng lớn nhất của sàn thành một chương trình do chúng điều khiển.
Điều khiến vụ việc đáng chú ý về mặt kỹ thuật không chỉ là quy mô. Kẻ tấn công không phá vỡ hợp đồng thông minh hay giao thức Ethereum. Chúng chiếm được "đường ký" giao dịch của Binance, rồi dùng tính năng EIP-7702 (ra mắt cùng nâng cấp Pectra năm 2025) để biến ví nóng lớn nhất của sàn thành một chương trình do chúng điều khiển.
Chuẩn bị một ngày, ra tay trong 25 phút
Dữ liệu on-chain cho thấy đây là một chiến dịch được chuẩn bị bài bản. Từ ngày 28/10, ví điều phối của hacker nhận ba khoản ETH nhỏ từ dịch vụ trộn tiền Tornado Cash để trả phí giao dịch, xóa dấu vết nguồn tiền. Trong ngày 29/10, chúng triển khai một hợp đồng "sweeper" riêng, chỉ cho phép đúng ví của mình gọi, và diễn tập hai lần trên các ví thử với đúng kịch bản sẽ dùng với Binance.
Cuộc tấn công thật bắt đầu lúc 20:16 UTC (03:16 sáng ngày hôm sau tại Việt Nam), khi ví của Binance trên Base và Optimism lần lượt chuyển tài sản đi. Bốn phút sau, 18.270 BTC rời sàn trong một block duy nhất. Lúc 20:20:59, một giao dịch đặc biệt trên Ethereum gắn ví Binance 14 vào hợp đồng của hacker. Đến 20:24:23, chỉ một lệnh đã quét khoảng 2,5 tỷ USD khỏi ví này. Song song, ví trên Tron, Arbitrum, Avalanche và ví Binance 16 trên Ethereum cũng chuyển tiền về các địa chỉ của hacker. Lúc 20:41, hacker tiếp tục rút 780 triệu USDC từ một ví hợp đồng khác của Binance thông qua chính Binance 14.
Cuộc tấn công thật bắt đầu lúc 20:16 UTC (03:16 sáng ngày hôm sau tại Việt Nam), khi ví của Binance trên Base và Optimism lần lượt chuyển tài sản đi. Bốn phút sau, 18.270 BTC rời sàn trong một block duy nhất. Lúc 20:20:59, một giao dịch đặc biệt trên Ethereum gắn ví Binance 14 vào hợp đồng của hacker. Đến 20:24:23, chỉ một lệnh đã quét khoảng 2,5 tỷ USD khỏi ví này. Song song, ví trên Tron, Arbitrum, Avalanche và ví Binance 16 trên Ethereum cũng chuyển tiền về các địa chỉ của hacker. Lúc 20:41, hacker tiếp tục rút 780 triệu USDC từ một ví hợp đồng khác của Binance thông qua chính Binance 14.
Trong lúc đó, phía Binance phản ứng chậm hơn nhiều. Thông báo đầu tiên chỉ xuất hiện lúc 21:24 UTC, hơn một giờ sau dòng tiền bất thường đầu tiên. Ví Binance 14 vẫn bị hacker kiểm soát tới tận 21:44, khi chúng quét thêm 200 triệu USDT mà hệ thống tự động của sàn vừa chuyển vào. Theo Blockaid, ủy quyền độc hại nằm công khai trên chuỗi 3 phút 24 giây trước lần quét đầu tiên, một khoảng thời gian đủ để hệ thống giám sát tốt phát hiện và can thiệp.
Từ một chiếc laptop đến hệ thống ký của sàn
Theo kết quả điều tra sơ bộ Binance công bố sáng 30/10, điểm xâm nhập ban đầu có thể là laptop của một kỹ sư DevOps. Từ thiết bị này, kẻ tấn công vào được một service container (môi trường chạy dịch vụ nội bộ) và gửi các lệnh rút tiền trái phép. Binance khẳng định chưa thấy bằng chứng private key của ví bị lộ.
Nhận định này khớp với phân tích độc lập từ dữ liệu on-chain. CEO Blockaid Ido Ben-Natan gọi đây là kiểu "lạm dụng khóa": hacker không cần trích xuất khóa mà chiếm hoặc đánh lừa hệ thống ký để nó tự phê duyệt giao dịch độc hại. Bằng chứng rõ nhất là cách hacker chiếm ví Binance 14. Một ủy quyền EIP-7702 chỉ hợp lệ khi khớp đúng nonce (bộ đếm giao dịch) của ví tại thời điểm vào block. Binance 14 xử lý hàng nghìn lệnh rút mỗi giờ nên nonce thay đổi liên tục. Hacker vì thế cho hệ thống ký tạo sẵn 50 ủy quyền ứng với 50 nonce liên tiếp, gói chung vào một giao dịch và để cái khớp tự có hiệu lực. Nếu nắm khóa thô trong tay, chúng đã có thể ký chuyển tiền trực tiếp mà không cần phải "đoán" như vậy.
Khi ủy quyền có hiệu lực, Binance 14 mang mã của hacker. Chỉ một lệnh gọi hàm sweep đã chuyển 167.464 ETH cùng 63 loại token sang ví tập kết, với phí giao dịch chưa tới 1 USD. Vì mã chạy với danh tính của Binance 14, hacker còn mượn quyền "operator" của ví này để rút 823 triệu USDC từ một ví hợp đồng khác của sàn mà chúng không hề có khóa.
Các ví còn lại trên Bitcoin, Tron, Arbitrum, Avalanche, Optimism, Base và ví Binance 16 không bị ủy quyền mà "tự ký" lệnh chuyển tiền cho hacker, lẫn vào luồng rút tiền thông thường. Đáng chú ý, Binance 16 gửi 28.005 ETH cho hacker rồi tiếp tục phục vụ khách hàng như chưa có gì xảy ra. Theo drk, chi tiết này cho thấy kẻ tấn công kiểm soát dịch vụ ký hoặc luồng xử lý rút tiền dùng chung cho nhiều ví, chứ không chỉ nắm một khóa đơn lẻ.
Sau khi lấy được tiền, hacker rửa tiền rất nhanh. Các khoản USDT (vốn có thể bị đóng băng) được tách sang ví mới và bán lấy ETH chỉ trong vài phút. Một ví còn gửi 60 triệu USDT vào giao thức cho vay Aave làm tài sản thế chấp để vay ra gần 19.800 WETH, đẩy rủi ro bị phong tỏa sang giao thức.
Nhận định này khớp với phân tích độc lập từ dữ liệu on-chain. CEO Blockaid Ido Ben-Natan gọi đây là kiểu "lạm dụng khóa": hacker không cần trích xuất khóa mà chiếm hoặc đánh lừa hệ thống ký để nó tự phê duyệt giao dịch độc hại. Bằng chứng rõ nhất là cách hacker chiếm ví Binance 14. Một ủy quyền EIP-7702 chỉ hợp lệ khi khớp đúng nonce (bộ đếm giao dịch) của ví tại thời điểm vào block. Binance 14 xử lý hàng nghìn lệnh rút mỗi giờ nên nonce thay đổi liên tục. Hacker vì thế cho hệ thống ký tạo sẵn 50 ủy quyền ứng với 50 nonce liên tiếp, gói chung vào một giao dịch và để cái khớp tự có hiệu lực. Nếu nắm khóa thô trong tay, chúng đã có thể ký chuyển tiền trực tiếp mà không cần phải "đoán" như vậy.
Khi ủy quyền có hiệu lực, Binance 14 mang mã của hacker. Chỉ một lệnh gọi hàm sweep đã chuyển 167.464 ETH cùng 63 loại token sang ví tập kết, với phí giao dịch chưa tới 1 USD. Vì mã chạy với danh tính của Binance 14, hacker còn mượn quyền "operator" của ví này để rút 823 triệu USDC từ một ví hợp đồng khác của sàn mà chúng không hề có khóa.
Các ví còn lại trên Bitcoin, Tron, Arbitrum, Avalanche, Optimism, Base và ví Binance 16 không bị ủy quyền mà "tự ký" lệnh chuyển tiền cho hacker, lẫn vào luồng rút tiền thông thường. Đáng chú ý, Binance 16 gửi 28.005 ETH cho hacker rồi tiếp tục phục vụ khách hàng như chưa có gì xảy ra. Theo drk, chi tiết này cho thấy kẻ tấn công kiểm soát dịch vụ ký hoặc luồng xử lý rút tiền dùng chung cho nhiều ví, chứ không chỉ nắm một khóa đơn lẻ.
Sau khi lấy được tiền, hacker rửa tiền rất nhanh. Các khoản USDT (vốn có thể bị đóng băng) được tách sang ví mới và bán lấy ETH chỉ trong vài phút. Một ví còn gửi 60 triệu USDT vào giao thức cho vay Aave làm tài sản thế chấp để vay ra gần 19.800 WETH, đẩy rủi ro bị phong tỏa sang giao thức.
Cuộc chạy đua phong tỏa và câu hỏi về thủ phạm
Stablecoin trở thành "lưới an toàn" bất ngờ của Binance. Ngay trong đêm, Tether đưa các địa chỉ của hacker vào danh sách đen với tổng cộng hơn 1,5 tỷ USDT, Circle đóng băng 823 triệu USDC, Ripple phong tỏa khoảng 200 triệu USD RLUSD, còn Hội đồng Bảo an Arbitrum đóng băng khoảng 30,5 triệu USD. Ngược lại, gần 200.000 ETH được hacker "đỗ" ở một ví và 18.270 BTC đã bị chia nhỏ thành nhiều lô — những tài sản không đơn vị nào có quyền đóng băng.
Về phía Binance, thông điệp thay đổi nhanh trong vài giờ: từ "chưa xác nhận ảnh hưởng tới tiền người dùng" sang "tiền người dùng hoàn toàn an toàn", rồi xác nhận bị hack và cam kết bù toàn bộ thiệt hại bằng quỹ SAFU cùng vốn công ty. Sàn tạm dừng nạp, rút, thu hồi ủy quyền của địa chỉ bị ảnh hưởng và hứa công bố báo cáo kỹ thuật cùng bằng chứng dự trữ (Proof of Reserves) mới. Tuy vậy, CoinDesk chỉ ra rằng chính các ví bị rút nằm trong danh sách bảo chứng tài sản khách hàng, nên tỷ lệ bảo chứng ETH có thể đang thiếu khoảng 6% cho tới khi Binance bù lại. Quỹ SAFU, khoảng 1 tỷ USD bằng bitcoin, nhỏ hơn nhiều so với phần thiệt hại không thu hồi được. Thị trường phản ứng ngay: BTC có lúc giảm về quanh 76.300 USD.
Về thủ phạm, TRM Labs đánh giá "với độ tin cậy cao" rằng đây là TraderTraitor, đơn vị tin tặc tinh nhuệ của Triều Tiên thuộc nhóm Lazarus; nhà điều tra ZachXBT cũng cho rằng Lazarus là nghi phạm hàng đầu. Nhiều dấu hiệu khớp với các vụ Bybit và WazirX trước đây: tấn công vào hạ tầng ký thay vì lỗi hợp đồng, tiền gas lấy từ Tornado Cash, diễn tập kỹ lưỡng, và quy trình rửa tiền đổi nhanh mọi thứ sang ETH. Hai ngày trước vụ hack, Binance còn công bố đã chặn chiến dịch "phỏng vấn việc làm giả" của Triều Tiên nhằm vào nhân viên. Dù vậy, một số chuyên gia vẫn thận trọng, vì hacker lần này rửa tiền chậm hơn thói quen của Lazarus và EIP-7702 trước nay chủ yếu là công cụ của các băng lừa đảo nhỏ). Binance chưa nêu tên ai.
Về phía Binance, thông điệp thay đổi nhanh trong vài giờ: từ "chưa xác nhận ảnh hưởng tới tiền người dùng" sang "tiền người dùng hoàn toàn an toàn", rồi xác nhận bị hack và cam kết bù toàn bộ thiệt hại bằng quỹ SAFU cùng vốn công ty. Sàn tạm dừng nạp, rút, thu hồi ủy quyền của địa chỉ bị ảnh hưởng và hứa công bố báo cáo kỹ thuật cùng bằng chứng dự trữ (Proof of Reserves) mới. Tuy vậy, CoinDesk chỉ ra rằng chính các ví bị rút nằm trong danh sách bảo chứng tài sản khách hàng, nên tỷ lệ bảo chứng ETH có thể đang thiếu khoảng 6% cho tới khi Binance bù lại. Quỹ SAFU, khoảng 1 tỷ USD bằng bitcoin, nhỏ hơn nhiều so với phần thiệt hại không thu hồi được. Thị trường phản ứng ngay: BTC có lúc giảm về quanh 76.300 USD.
Về thủ phạm, TRM Labs đánh giá "với độ tin cậy cao" rằng đây là TraderTraitor, đơn vị tin tặc tinh nhuệ của Triều Tiên thuộc nhóm Lazarus; nhà điều tra ZachXBT cũng cho rằng Lazarus là nghi phạm hàng đầu. Nhiều dấu hiệu khớp với các vụ Bybit và WazirX trước đây: tấn công vào hạ tầng ký thay vì lỗi hợp đồng, tiền gas lấy từ Tornado Cash, diễn tập kỹ lưỡng, và quy trình rửa tiền đổi nhanh mọi thứ sang ETH. Hai ngày trước vụ hack, Binance còn công bố đã chặn chiến dịch "phỏng vấn việc làm giả" của Triều Tiên nhằm vào nhân viên. Dù vậy, một số chuyên gia vẫn thận trọng, vì hacker lần này rửa tiền chậm hơn thói quen của Lazarus và EIP-7702 trước nay chủ yếu là công cụ của các băng lừa đảo nhỏ). Binance chưa nêu tên ai.
Sửa lần cuối:
