Vụ trộm tại Binance bắt đầu từ một buổi phỏng vấn xin việc: Quyền truy cập quyết định cái giá phải trả

Tháng 9, một kỹ sư phần mềm của Binance trải qua hai buổi phỏng vấn xin việc với một công ty không hề tồn tại. Buổi đầu tiên là cuộc gọi video trực tiếp với một nhân viên nhân sự, người đã chia sẻ tài khoản mạng xã hội cá nhân cùng ảnh và video để chứng minh mình là người thật. Buổi thứ hai diễn ra trên một ứng dụng trò chuyện, với một người tự xưng là giám đốc điều hành. Gần cuối buổi, kỹ sư được yêu cầu tải một bài tập lập trình xuống máy tính làm việc của mình.

Ngày 29 tháng 10, những kẻ tấn công đã chuyển khoảng 6,34 tỷ USD ra khỏi các ví của Binance, phần lớn số tiền được chuyển đi trong khoảng 20 phút. FBI quy vụ trộm cho TraderTraitor, nhóm tin tặc Triều Tiên cũng bị quy trách nhiệm về vụ trộm 1,5 tỷ USD từ Bybit vào tháng 2 năm 2025. Đây là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận.

Binance đã nhận trách nhiệm và cho biết sẽ gánh chịu các khoản lỗ. Tính đến ngày 3 tháng 11, công ty cho biết 98% tài sản bằng token bị ảnh hưởng đã được bổ sung, đồng thời khoảng 2,85 tỷ USD đã bị phong tỏa hoặc chặn lại.

Câu hỏi đáng đặt ra là: Một chiếc máy tính xách tay bị xâm nhập có thể tiếp cận những gì, và liệu hôm nay mỗi nhóm có thể kiểm tra điều đó trong môi trường của chính mình hay không?

Hai điểm xâm nhập và chiến dịch kéo dài từ tháng 6 đến tháng 10

Không có thông tin nào trong bản cập nhật ngày 3 tháng 11 của Binance cho thấy có deepfake hay các kỹ thuật khác được AI hỗ trợ. Cả hai con đường xâm nhập đều thông qua con người: một kỹ sư tin vào kết quả tìm kiếm, người còn lại tin vào một nhà tuyển dụng.

Chiến dịch kéo dài ít nhất 5 tháng. Tháng 6, một kỹ sư DevOps phụ trách ví đang tìm công cụ lập trình AI đã tải xuống một trình cài đặt Homebrew bị chỉnh sửa. Đội ngũ bảo mật của Binance phát hiện dấu hiệu bất thường, thay thiết bị và luân phiên thông tin xác thực. Đến lúc đó, những kẻ tấn công đã biết ai thuộc đội ngũ phụ trách hạ tầng ví.

Ba tháng sau, chúng quay lại bằng một con đường khác. Kỹ sư được tiếp cận vào tháng 9 có hồ sơ trên một nền tảng tìm việc hợp pháp, trong đó đề cập đến kinh nghiệm làm việc tại Binance. Bài tập lập trình của anh chứa mã độc chạy trong quá trình thiết lập, thay một thành phần pyenv hợp pháp bằng thành phần độc hại, kết nối đến máy chủ do kẻ tấn công kiểm soát rồi xóa dấu vết. Binance cho biết hệ thống bảo vệ thiết bị đầu cuối của họ không phát hiện được mã độc này.

Ngày 20 tháng 10, những kẻ tấn công sử dụng chiếc máy tính xách tay đó cùng một công cụ AI nội bộ để chiếm quyền kiểm soát máy tính của thêm hai kỹ sư, trong đó có máy của kỹ sư DevOps bị xâm nhập hồi tháng 6. Trên máy đó, chúng tìm thấy một mã thông báo có quyền triển khai container. Ngày 29 tháng 10, chúng đăng nhập vào máy tính của kỹ sư còn lại, dùng thông tin xác thực bị đánh cắp để triển khai một container, rồi chạy tập lệnh khởi động vụ trộm.

Vì sao chiêu dụ của nhà tuyển dụng vẫn hiệu quả

Nhà tuyển dụng giả mạo và các bài kiểm tra lập trình bị cài mã độc là thủ đoạn đã được sử dụng từ lâu. Trong nhiều năm, các nhóm tin tặc Triều Tiên đã dùng thủ đoạn này nhắm vào giới lập trình viên, nổi bật nhất là chiến dịch có tên Contagious Interview. Binance cho biết chỉ riêng năm 2026, họ đã ngăn chặn 57 vụ tiếp cận bị nghi có liên hệ với Triều Tiên.

Chiêu dụ này hiệu quả vì yêu cầu các kỹ sư làm việc mà họ vẫn thực hiện hằng ngày. Chạy một kho mã lạ là việc bình thường trong một buổi phỏng vấn kỹ thuật. Không có địa chỉ người gửi đáng ngờ hay liên kết nào để rê chuột qua kiểm tra; chỉ có một nhà tuyển dụng trông có vẻ đáng tin, một người xuất hiện qua video và một nhiệm vụ giống như công việc thường ngày.

Tin nhắn từ nhà tuyển dụng cũng là một trong số ít những cách tiếp cận không được yêu cầu mà mọi người thường hoan nghênh. Không chương trình nâng cao nhận thức nào có thể bảo đảm rằng mọi kỹ sư đều nhận ra mọi tin nhắn giả mạo thuyết phục, vì vậy các biện pháp kiểm soát phải được thiết kế với giả định rằng sẽ có một tin nhắn lọt qua.

Một chiếc máy tính xách tay đã tiếp cận các ví như thế nào

Câu hỏi đầu tiên của tôi liên quan đến các biện pháp kiểm soát bảo mật trong môi trường làm việc của kỹ sư đó. Việc dùng máy tính công ty để làm bài đánh giá lập trình bên ngoài cần được xem xét kỹ lưỡng. Mối lo ngại lớn hơn là vì sao một vụ xâm nhập đơn lẻ lại mở đường vào các hệ thống khác và cuối cùng là hạ tầng tài chính nhạy cảm.

Mỗi bước sau lần lây nhiễm ban đầu đều dựa vào sự tin cậy vốn đã có bên trong Binance. Một công cụ AI nội bộ nhận chỉ thị từ một máy bị xâm nhập rồi biến chúng thành hành động trên thiết bị của đồng nghiệp. Một mã thông báo triển khai nằm trên máy tính xách tay của một kỹ sư. Một lần triển khai container bằng thông tin xác thực hợp lệ đã chuyển đi hàng tỷ đô la. Không bước nào trong số đó cần đến một chiêu dụ khác.

Các công cụ AI nội bộ cần được đặc biệt chú ý. Chúng thường có quyền hạn rộng trên các kho mã, thiết bị đầu cuối và dịch vụ, vì vậy bất kỳ ai kiểm soát được một máy có thể ra chỉ thị cho công cụ như vậy đều có thể tận dụng phạm vi tiếp cận của nó.

Bảo vệ lập trình viên mà không làm đình trệ công việc kỹ thuật

Lập trình viên cần tải các gói phần mềm, chạy mã lạ và kiểm thử phần mềm. Khóa chặt máy tính xách tay của họ như máy trạm tài chính sẽ khiến công việc kỹ thuật chậm lại đến mức gần như đình trệ và đẩy các kỹ sư tìm cách lách quy định. Một chính sách yêu cầu không tìm việc trên thiết bị của công ty là hợp lý, nhưng không ai luôn tuân thủ chính sách trong mọi tình huống. Mục tiêu thực tế là hạn chế những gì một máy tính của lập trình viên bị xâm nhập có thể làm tiếp theo.

Một số biện pháp kiểm soát có thể tạo ra khác biệt lớn nhất. Mã không đáng tin cậy nên được chạy trong các máy ảo dùng một lần, không có quyền truy cập thông tin xác thực của công ty. Thông tin xác thực dùng để triển khai nên có thời hạn ngắn, phạm vi quyền hạn hẹp và, nếu có thể, chỉ được cấp cho các quy trình triển khai được kiểm soát. Khóa ký ví hoặc các phần khóa phải được bảo vệ riêng, tách biệt với máy trạm của nhà phát triển; chính sách ký cần giới hạn những giao dịch và quyền ủy nhiệm có thể được phê duyệt. Các thao tác liên quan đến ví, thanh toán hoặc hệ thống sản xuất cần có sự phê duyệt của người thứ hai trên một thiết bị riêng. Các công cụ AI nội bộ nên hoạt động với quyền hạn tối thiểu và ghi nhật ký những gì chúng thực hiện.

Việc phát hiện cũng phải hiệu quả ngay cả khi thông tin xác thực là hợp lệ. Giám sát hành vi để cảnh báo khi có hoạt động triển khai từ một máy không thường dùng hoặc vào giờ bất thường sẽ giúp nhóm có cơ hội can thiệp, ngay cả khi mọi thông tin xác thực đều hợp lệ. Binance cho biết họ đã mở rộng hình thức phát hiện này kể từ sau vụ việc.

Vai trò của tình báo mối đe dọa

Cảnh báo đã được công khai sáu tuần trước vụ trộm. Cảnh báo chung về Contagious Interview mô tả cách các đối tượng giả danh nhà tuyển dụng của những công ty AI, tiền mã hóa và NFT để nhắm vào chuyên gia CNTT và đánh cắp tiền mã hóa. Vụ việc của Binance diễn ra theo đúng thủ đoạn đó.

Tình báo mối đe dọa có vai trò thiết thực trong những chiến dịch như thế này. Các đối tượng có thể thay đổi, nhưng thủ đoạn của chúng đã được biết đến. Những nhóm theo dõi chúng có thể chặn cơ sở hạ tầng đã biết và cảnh báo kỹ sư về những cái cớ đang được sử dụng.

Tình báo cũng giúp nhóm xác định ai cần được bảo vệ thêm. Khi một sự cố cho thấy ai đang nắm quyền truy cập nhạy cảm, như vụ xâm nhập Binance hồi tháng 6, những người đó cần được xem là mục tiêu tiềm năng trong nhiều tháng, đồng thời được giám sát thiết bị chặt chẽ hơn và theo dõi kỹ hơn những cách tiếp cận mà họ nhận được.

Ý nghĩa đối với các lĩnh vực ngoài tiền mã hóa

Các sàn giao dịch tiền mã hóa là mục tiêu dễ thấy vì tiền bị đánh cắp có thể được chuyển đi nhanh chóng và rất khó thu hồi. Mô hình này xuất hiện ở bất cứ nơi nào máy trạm của nhà phát triển chỉ cách các hệ thống trọng yếu vài bước, dù đó là quy trình xử lý thanh toán của ngân hàng hay quy trình xây dựng và phát hành phần mềm của một nhà cung cấp. Những cái cớ liên quan đến tuyển dụng có thể tiếp cận kỹ sư ở tất cả các tổ chức ấy.

Đối với các lãnh đạo an ninh đang rà soát môi trường của tổ chức mình trong tuần này, có hai việc cần ưu tiên kiểm tra. Thứ nhất, lập bản đồ những gì một máy tính xách tay duy nhất của nhà phát triển bị xâm nhập có thể truy cập hiện nay, bao gồm mã thông báo được lưu trữ, khóa SSH, thông tin xác thực đám mây và các công cụ AI nội bộ. Thứ hai, xác nhận rằng việc triển khai lên hệ thống sản xuất và các giao dịch có giá trị cao cần được phê duyệt độc lập, điều mà chỉ một danh tính bị xâm nhập không thể thực hiện.

Binance đã xây dựng lại các hệ thống bị ảnh hưởng và mời các đơn vị đánh giá độc lập tham gia, với những quyết định này được đưa ra sau khi tổn thất xảy ra. Các tổ chức tiến hành rà soát tương tự ngay bây giờ có thể tự đưa ra những quyết định ấy theo lịch trình của mình.