Binance công bố chi tiết về các cuộc phỏng vấn tuyển dụng giả mạo và việc công cụ AI bị xâm nhập trong vụ tấn công

Trong các kết quả điều tra ban đầu được công bố ngày 3 tháng 11 năm 2026, Binance cho biết các cuộc phỏng vấn tuyển dụng giả mạo, phần mềm độc hại dành cho nhà phát triển và một công cụ AI nội bộ bị xâm nhập đã xuất hiện trước vụ đánh cắp tài sản số trị giá khoảng 6,34 tỷ USD vào ngày 29 tháng 10 năm 2026.

Sàn giao dịch sẽ tự gánh chịu thiệt hại tài chính thay vì chuyển khoản thiệt hại này sang người dùng. Binance cho biết đã dành riêng hơn 100% số tiền cần thiết để bù đắp tổn thất, khôi phục 98% tài sản token bị ảnh hưởng tính đến ngày 31 tháng 10 năm 2026, đồng thời phong tỏa hoặc thu hồi khoảng 2,85 tỷ USD, tùy thuộc vào việc đối soát và biến động giá thị trường. Binance đang mua số tài sản còn thiếu có tính thanh khoản thấp hơn.

Trang Bằng chứng về dự trữ được trích dẫn để xác nhận việc khôi phục tài sản nêu rõ rằng tài sản của người dùng được lưu ký có mức bảo chứng 1:1. Trang này sử dụng các bản ghi cây Merkle và bằng chứng zk-SNARK để người dùng có thể xác minh số dư của mình được tính vào báo cáo nợ phải trả.

Các kết quả điều tra hiện vẫn chỉ là sơ bộ. Cuộc điều tra đang tiếp diễn, việc đánh giá độc lập chưa được tiến hành và Binance đang giữ lại một số chi tiết kỹ thuật để tránh giúp các đối tượng xấu lên kế hoạch tấn công.

Nhiều tháng bị xâm nhập trước vụ tấn công ví

Vào tháng 6 năm 2026, một kỹ sư DevOps phụ trách ví đã tải xuống bản cài đặt Homebrew bị chỉnh sửa khi tìm cách cài đặt một công cụ AI lập trình phổ biến mà người này tìm thấy qua công cụ tìm kiếm. Binance phát hiện dấu hiệu bất thường, thay thiết bị và thay đổi các thông tin xác thực liên quan, nhưng vai trò của kỹ sư này cùng các đồng nghiệp trong nhóm hạ tầng ví đã bị kẻ tấn công nhắm đến.

Vào tháng 9 năm 2026, một kỹ sư phần mềm khác được một người giả danh giám đốc dự án liên hệ qua một nền tảng tìm việc hợp pháp. Sau buổi phỏng vấn trực tuyến có hình ảnh với một người tự xưng là đại diện nhân sự, kỹ sư này tiếp tục tham gia buổi phỏng vấn thứ hai trên một ứng dụng trò chuyện xã hội phổ biến với người tự nhận là CEO của một công ty hư cấu. Gần cuối buổi phỏng vấn, kỹ sư được yêu cầu tải một bài tập có chứa kho mã độc hại xuống máy tính làm việc. Mã trong đó được thực thi trong quá trình thiết lập.

Phần mềm độc hại thay thế một thành phần pyenv hợp pháp bằng phiên bản độc hại và liên lạc với máy chủ do kẻ tấn công kiểm soát. Binance cho biết giải pháp bảo vệ thiết bị đầu cuối khi đó không phát hiện phần mềm độc hại zero-day, trong khi kẻ tấn công tìm cách che giấu hoạt động và xóa dấu vết xâm nhập.

Ngày 20 tháng 10 năm 2026, kẻ tấn công sử dụng máy tính bị xâm nhập của kỹ sư thứ hai cùng một công cụ AI nội bộ để mở rộng quyền kiểm soát sang kỹ sư DevOps ban đầu và một kỹ sư phần mềm ví khác. Sau đó, một token cấp quyền triển khai vùng chứa được tìm thấy trên máy tính của kỹ sư DevOps. Trong khoảng thời gian từ 17:15 đến 19:56 UTC ngày 29 tháng 10, kẻ tấn công đăng nhập vào máy tính của kỹ sư thứ ba, sử dụng thông tin xác thực đánh cắp từ kỹ sư DevOps, triển khai một vùng chứa và kích hoạt tập lệnh độc hại khởi phát vụ tấn công ví.

Các quyền ủy quyền trên chuỗi khiến việc cô lập sự cố phức tạp hơn

Kẻ tấn công sử dụng quyền truy cập trái phép vào dịch vụ ký giao dịch ví nội bộ để khởi tạo giao dịch bên ngoài quy trình rút tiền thông thường của Binance. Trong khoảng thời gian từ 20:05 đến 20:09 UTC, năm ví nóng của Binance đã chuyển 233,46 triệu XRP đến một địa chỉ do kẻ tấn công kiểm soát. Các khoản tiền tiếp tục được chuyển ra từ ví nóng Solana và Optimism, đồng thời một ví nóng của Binance đã gửi 18.270 Bitcoin đến một địa chỉ do kẻ tấn công kiểm soát.

Kẻ tấn công cũng khai thác cơ chế ủy quyền EIP-7702 của Ethereum, cho phép một tài khoản ủy quyền một số quyền thực thi nhất định cho hợp đồng thông minh mà không để lộ khóa riêng. Năm mươi giao dịch ký đã thao túng nonce của tài khoản và thiết lập các quyền ủy quyền độc hại, qua đó trao cho một hợp đồng do kẻ tấn công kiểm soát một phần quyền thực thi đối với ví nóng của Binance. Những quyền ủy nhiệm này cho phép tài sản tiếp tục được chuyển đi độc lập với hạ tầng rút tiền của sàn giao dịch.

Do đó, việc đình chỉ rút tiền và đóng các dịch vụ ví nóng không làm mất hiệu lực những quyền đã được cấp trên chuỗi. Vì ví sử dụng công nghệ tính toán đa bên nên không có khóa riêng duy nhất nào để thu hồi quyền ngay lập tức; việc này đòi hỏi một quy trình chuyên biệt và mất thêm thời gian. Giao dịch chuyển tiền trái phép cuối cùng, trị giá 2.961,9 Ether, được xác nhận trên chuỗi lúc 23:56 UTC sau khi trước đó vẫn ở trạng thái chờ; sau thời điểm đó, không ghi nhận thêm giao dịch chuyển tiền trái phép nào. Lúc 00:10 UTC ngày 30 tháng 10 năm 2026, Binance thực hiện một lệnh ủy quyền mới từ ví nóng Binance14 đến địa chỉ không, qua đó xóa mã ủy quyền độc hại.

Hệ thống được xây dựng lại và kết luận quy trách nhiệm riêng của FBI

Tính đến ngày 3 tháng 11, Binance đã xây dựng lại hệ thống ví bị ảnh hưởng trong một môi trường mới, đồng thời xây dựng lại công cụ AI nội bộ bị ảnh hưởng và các biện pháp kiểm soát quyền truy cập của công cụ này. Binance cũng thay thế các thiết bị bị ảnh hưởng, vô hiệu hóa các thông tin xác thực và token liên quan, hoàn tất đợt quét tăng cường trên thiết bị của nhân viên, mở rộng khả năng phát hiện bất thường trong hành vi dựa trên AI và siết chặt các biện pháp kiểm soát rủi ro đối với dịch vụ ví.

Các chuyên gia an ninh mạng độc lập bên thứ ba đang được mời tham gia để xác thực các phát hiện và đề xuất các biện pháp bổ sung. Binance đang tăng đầu tư vào hoạt động phát hiện được hỗ trợ bởi AI, bảo vệ thiết bị đầu cuối, bảo mật môi trường phát triển và giám sát hành vi. Binance cũng đang nỗ lực thành lập một quỹ nghiên cứu bảo mật và triển khai các sáng kiến có mục tiêu cùng các công ty AI, các bên trong ngành và các công ty bảo mật, tập trung vào an ninh AI trong môi trường blockchain.

Trong một thông báo đề ngày 31 tháng 10 năm 2026, FBI cho biết các đối tượng TraderTraitor của Triều Tiên phải chịu trách nhiệm; cơ quan này cùng các đối tác USSS và IRS-CI đã ghi nhận những đối tượng đó chủ yếu chuyển tài sản bị đánh cắp thành Ether, và dự kiến sẽ còn có thêm hoạt động rửa tiền thông qua DeFi và các dịch vụ hoán đổi tức thời. Các cơ quan kêu gọi đơn vị vận hành nút mạng, sàn giao dịch, dịch vụ DeFi, công ty phân tích blockchain và các nhà cung cấp tài sản ảo khác chặn những giao dịch liên quan đến hoặc có nguồn gốc từ các địa chỉ được liệt kê.

Bản tường thuật này cho thấy một vấn đề ngăn chặn vượt ra ngoài phạm vi phát hiện phần mềm độc hại: thay thế thiết bị đầu tiên bị xâm nhập không chấm dứt khả năng kẻ tấn công tiếp cận đội ngũ ví, còn việc đình chỉ rút tiền cũng không loại bỏ quyền kiểm soát trên chuỗi. Cuộc đánh giá độc lập giờ đây sẽ kiểm chứng cả việc Binance tái dựng chuỗi sự kiện đó lẫn việc các biện pháp kiểm soát được xây dựng lại có giải quyết được vấn đề hay không.