Ngày 3/11/2026, sàn giao dịch tiền mã hóa lớn nhất thế giới Binance chính thức công bố báo cáo điều tra kỹ thuật chi tiết về vụ tấn công đánh cắp 6,34 tỷ USD (tương đương 4,7 tỷ bảng Anh) xảy ra hồi cuối tháng 10/2026. Hồ sơ hậu kiểm cho thấy vụ trộm tiền số lớn nhất lịch sử không bắt đầu bằng những kỹ thuật bẻ khóa mật mã siêu việt, mà khởi nguồn từ chuỗi bẫy tâm lý nhắm thẳng vào đội ngũ kỹ sư vận hành hạ tầng ví của sàn.
Chiến dịch xâm nhập bắt đầu từ tháng 6/2026 khi một lập trình viên của Binance vô tình tải xuống bộ cài đặt phần mềm đã bị chỉnh sửa thông qua một quảng cáo độc hại trên công cụ tìm kiếm Google. Dù hệ thống an ninh của Binance phát hiện mã độc lần đầu và thay thế máy tính mới cho nhân viên này, phần mềm gián điệp trước đó đã kịp thu thập sơ đồ vai trò và phương thức làm việc của toàn bộ nhóm kỹ sư phụ trách hạ tầng ví tiền mã hóa.
Nắm được danh sách nhân sự mục tiêu, đến tháng 9/2026, một kẻ giả danh giám đốc dự án đã chủ động tiếp cận một kỹ sư thứ hai trong nhóm thông qua nền tảng tuyển dụng hợp pháp. Nhóm tấn công kiên nhẫn dàn dựng nhiều vòng phỏng vấn như thật, bao gồm vòng phỏng vấn qua video với một đại diện nhân sự giả mạo và vòng phỏng vấn thứ hai qua ứng dụng nhắn tin với người tự xưng là tổng giám đốc điều hành (CEO) của một công ty ma. Khi đã tạo dựng được lòng tin hoàn toàn, kẻ mạo danh gửi cho nam kỹ sư một bài tập kiểm tra kỹ thuật thực chất là mã độc lỗ hổng chưa từng được biết đến (0-day).
Mã độc này qua mặt toàn bộ phần mềm bảo vệ thiết bị đầu cuối tại thời điểm đó bằng cách xóa tệp thực thi công cụ quản lý lập trình pyenv hợp pháp và thay thế bằng một phiên bản giả mạo, mở đường kết nối ngầm tới máy chủ điều khiển từ xa và tự động xóa dấu vết xâm nhập.
Bước ngoặt nguy hiểm nhất diễn ra vào ngày 20/10/2026. Từ chiếc máy tính đã bị nhiễm độc của kỹ sư thứ hai, nhóm tin tặc - được Cục Điều tra Liên bang Mỹ (FBI) định danh là đơn vị tấn công mạng TraderTraitor có liên hệ với Triều Tiên - đã tận dụng chính một công cụ AI nội bộ của Binance để mở rộng quyền kiểm soát sang hệ thống quản lý ví của kỹ sư đầu tiên cùng một nhà phát triển ví thứ ba trong cùng bộ phận. Đến ngày 29/10/2026, kẻ tấn công đăng nhập vào máy tính của nhà phát triển thứ ba bằng thông tin xác thực đánh cắp được và kích hoạt kịch bản độc hại để rút tiền hàng loạt khỏi các ví nóng (hot wallets).
Lý giải về việc mất gần hai giờ đồng hồ mới có thể ngăn chặn hoàn toàn các giao dịch chuyển tiền trái phép, Binance cho biết do hệ thống ví nóng sử dụng công nghệ tính toán đa bên (Multi-Party Computation - MPC), sàn không có một khóa bảo mật cá nhân đơn lẻ nào để có thể thu hồi tức thì các lệnh ủy quyền độc hại theo chuẩn EIP-7702.
Đồng giám đốc điều hành Binance Richard Teng xác nhận sàn đã chặn đứng hoặc đóng băng được khoảng 2,85 tỷ USD trong tổng số 6,34 tỷ USD bị rút khỏi ví. Tính đến ngày 03/11/2026, Binance đã tự bù đắp 98% số lượng token bị ảnh hưởng từ nguồn quỹ dự trữ để người dùng không phải chịu thiệt hại và khôi phục hoạt động rút tiền bình thường. Trong khi FBI quy trách nhiệm vụ tấn công cho phía Bình Nhưỡng vào ngày 31/10/2026, hãng thông tấn trung ương Triều Tiên (KCNA) ngày 03/11/2026 dẫn lời bà Kim Yo-jong bác bỏ cáo buộc và gọi đây là những luận điệu vô căn cứ.
Vân Anh
Nguồn: The Verge, The Guardian
