Binance bị tấn công: Hơn 3 tỷ USD bị rút khỏi ví nóng trong 40 phút

Rạng sáng ngày 30/10/2026 theo giờ Việt Nam, hơn 3 tỷ USD tài sản số rời các ví nóng của Binance, sàn giao dịch lớn nhất thế giới theo khối lượng và sàn tạm dừng rút tiền trên nhiều mạng. Đến thời điểm viết bài, Binance chưa công bố nguyên nhân, con số thiệt hại chính thức hay thời điểm mở lại. Theo tôi, vụ việc không chỉ là một vụ tấn công nữa vào ngành tài sản số. Nó là phép thử cho mô hình lưu ký tập trung ở quy mô lớn nhất từng có.

Bài viết sử dụng số liệu truy vết on-chain của ChainTracer - chương trình truy vết và phòng chống lừa đảo tài sản số của Hiệp hội Blockchain và Tài sản số Việt Nam.

Chuyện gì đã xảy ra?

Vụ tấn công được chuẩn bị gần 37 giờ. Từ chiều ngày 28/10, một ví mà ChainTracer gọi là ví khởi phát nhận 3 khoản nhỏ từ Tornado Cash, dịch vụ trộn tiền thường dùng để xóa dấu vết. Tối ngày 29/10, ví này triển khai một hợp đồng thông minh có hàm “quét” toàn bộ token theo danh sách và chỉ nhận lệnh từ chính nó.

Lúc 03:20:59 ngày 30/10 giờ Việt Nam, ví khởi phát gửi lên Ethereum một giao dịch mang 50 chữ ký ủy quyền của ví nóng Binance 14, tất cả trỏ tới hợp đồng quét. 3 phút sau, hợp đồng quét sạch Binance 14: khoảng 167.464 ETH cùng 63 loại token, trong đó có khoảng 1,6 tỷ USDT, về một ví nhận vừa tạo. 24 giây sau, ví Binance 16 tự ký chuyển thêm khoảng 28.006 ETH và 55,7 triệu USDT tới cùng ví nhận. Trong khoảng 20 phút tiếp theo, qua quyền điều khiển Binance 14, kẻ tấn công ra lệnh cho Hot Wallet 34 chuyển 823 triệu USDC.

Phần lớn số tiền rời ví trong khoảng 40 phút. Tổng cộng, ví nhận trên Ethereum gom được khoảng 197.540 ETH, 1,88 tỷ USDT, 823 triệu USDC, 88,5 triệu RLUSD và hơn 60 loại token khác từ ba ví nóng của Binance. [Với giá trị của ETH tạm tính ở mức quanh 2.000 USD sáng nay, số ETH rời ví trị giá khoảng 400 triệu USD, tổng thiệt hại ước tính là hơn 3 tỷ USD - PV].

Đồng sáng lập Changpeng Zhao (CZ) của Binance là người đầu tiên gọi đây là một vụ tấn công. Tuyên bố chính thức của Binance thận trọng hơn: sàn xác nhận đang điều tra “vấn đề an ninh tiềm ẩn”, khẳng định tiền của người dùng an toàn, và cho biết rút tiền sẽ mở lại khi sự cố được xử lý xong. Toàn bộ diễn biến chính, từ chữ ký ủy quyền tới lúc Binance xác nhận số tiền đã bị phong tỏa, gói gọn trong khoảng 3 giờ.

Đáng chú ý, chỉ hai ngày trước, Binance cho biết đã chặn nhiều cuộc tấn công mạng có liên hệ với Triều Tiên trong tuần trước đó. Chưa có cơ sở để nối hai sự kiện này với nhau.

Không phá mã, chỉ cần quyền ký

Để hiểu vụ việc, cần phân biệt ví nóng và ví lạnh. Ví lạnh giữ phần lớn dự trữ, tách khỏi Internet. Ví nóng là ví trực tuyến sàn dùng để chi trả lệnh rút hằng ngày, nên luôn phải ở trạng thái sẵn sàng ký. Về nguyên tắc, ví nóng chỉ giữ một phần nhỏ tài sản. Việc một ví nóng đơn lẻ giữ khoảng 1,6 tỷ USDT là điều bản thân nó đã đáng đặt câu hỏi về hạn mức.

Công cụ kẻ tấn công dùng với Binance 14 là EIP-7702, tính năng có trong bản nâng cấp Pectra của Ethereum từ tháng 5/2025. EIP-7702 cho phép một ví thông thường tạm thời chạy mã của một hợp đồng thông minh. Chữ ký ủy quyền phải đến từ khóa riêng của chính ví đó, nhưng giao dịch mang chữ ký ấy lên chuỗi thì ai gửi và trả phí cũng được. Vì vậy lệnh rút xuất phát từ ví của kẻ tấn công, không phải từ chính Binance 14. Nói cách khác, EIP-7702 không phải lỗ hổng; nó là bộ khuếch đại. Kể từ năm 2025, các hãng bảo mật như SlowMist đã nhiều lần cảnh báo kiểu tấn công này trên ví cá nhân, với điều kiện tiên quyết là khóa riêng bị lộ hoặc bị lừa ký.

Chi tiết quan trọng nhất trong truy vết của ChainTracer nằm ở Binance 16. Ví này không bị ủy quyền; các giao dịch chuyển tiền do chính khóa của nó ký. Cộng với việc Hot Wallet 34 bị điều khiển gián tiếp qua Binance 14, kẻ tấn công đã có chữ ký hợp lệ của ít nhất hai ví nóng. Theo ChainTracer, mô thức này phù hợp với giả thuyết hạ tầng ký của sàn bị xâm nhập, không phải lỗi hợp đồng thông minh. Kẻ tấn công lấy được chữ ký bằng cách nào, do lộ khóa, hệ thống ký bị thao túng như vụ Bybit năm 2025 hay nội gián, thì dữ liệu công khai chưa trả lời được.

Một chi tiết vận hành khác đáng lo hơn. Binance 14 vẫn bị ủy quyền ít nhất tới 04:44, nên khoản 200,4 triệu USDT vừa được nạp bổ sung vào ví này bị quét tiếp chỉ sau 6 khối. Nói cách khác, hệ thống của sàn tiếp tục nạp tiền vào một ví đã bị chiếm quyền hơn một giờ.

Né phong tỏa trong 30 phút đầu

Kẻ tấn công hiểu rõ stablecoin có thể bị phong tỏa, nên ưu tiên đổi USDT sang ETH ngay từ phút đầu. Trong khoảng 03:30-04:09, chúng đổi 325 triệu USDT sang hơn 122.000 ETH qua UniswapX, gửi 60 triệu USDT làm tài sản thế chấp trên Aave để vay khoảng 19.762 ETH, và chuyển USDT liên tiếp qua 4-5 ví mới. Theo ChainTracer, khoảng 495 triệu USDT đã thoát dưới dạng ETH trước khi Tether bắt đầu phong tỏa, khoảng 04:05.

Các token còn lại được chuyển sang từng ví riêng, mỗi ví được cấp sẵn phí gas, rồi bán dần qua Uniswap để đổi ra ETH. Đến 07:35 ngày 30/10, 13 ví do kẻ tấn công kiểm soát giữ tổng cộng 474.866 ETH, khoảng 1,09 tỷ USD, chưa bị phong tỏa. Bốn ví lớn nhất giữ 423.010 ETH và chưa chuyển đi.

Quy mô thiệt hại có xu hướng gia tăng

Trong vụ việc của Binance, xuất hiện nhiều con số đáng chú ý với phạm vi dao động rất rộng và cần lưu ý.

Thứ nhất, số ETH chưa bị phong tỏa trên Ethereum mà ChainTracer kiểm chứng được, đạt khoảng 1,09 tỷ USD, khớp với ước tính “khoảng 1 tỷ USD, có thể cao hơn” mà CZ đã công bố trên X.

Thứ hai, con số 5,6 tỷ USD được các phương tiện truyền thông sử dụng đã gộp cả khoản 2,1 tỷ USD rời ví trên Bitcoin và Tron. Phần này chưa có địa chỉ công khai, và có thể một phần là thao tác điều chuyển hợp lệ của chính Binance. Nếu toàn bộ phần đó cũng là tài sản bị chiếm đoạt, thiệt hại ròng sẽ vào khoảng 3 tỷ USD, gấp 3 ước tính hiện nay.

Tuy nhiên, vụ việc của Binance cũng dấy lên một làn sóng lo ngại khi các vụ việc tấn công trong lĩnh vực tài sản mã hoá đang có dấu hiệu leo thang về quy mô đồng thời chuyển dịch cách thức tấn công từ hạ tầng mạng sang khâu phê duyệt và ký.

Năm 2019, kẻ tấn công dùng phishing và mã độc để chiếm một ví nóng trên Binance và chiếm 7.000 BTC (khoảng 41 triệu USD tại thời điểm đó). Năm 2022, chúng khai thác lỗi xác minh của một cầu nối trên hệ sinh thái BNB và thực hiện khai thác khoảng 2 triệu BNB đúc trái phép (tương đương 570 triệu USD). Năm 2025, chúng cài mã độc vào giao diện ký, khiến người ký của Bybit phê duyệt một giao dịch đã bị ngụy trang, lấy đi khoảng 1,5 tỷ USD bằng ETH. Tháng 9/2026, chúng vượt qua hệ thống phê duyệt nội bộ của Bitget mà không cần lấy khóa riêng, gây thiệt hại 388 triệu USD.

Và đến tháng 10/2026, chúng nắm quyền ký của nhiều ví nóng cùng lúc và dùng một tính năng giao thức hợp lệ để biến chữ ký thành quyền điều khiển trọn vẹn đồng thời gây ra một vụ tấn công quy mô lớn nhất từ trước đến giờ.

Phong tỏa: Tấm lưới có lỗ hổng thời gian

Điều thú vị là phần lớn các thiệt hại của các vụ tấn công đều được chặn lại nhờ các tổ chức phát hành tập trung. Tether phong tỏa hơn 1,5 tỷ USDT; Circle phong tỏa 823 triệu USDC và cho biết phối hợp với cơ quan thực thi pháp luật; Ripple và World Liberty Financial cũng phong tỏa tài sản liên quan.1220 Trên Arbitrum, khoảng 8.426 ETH và 74,6 triệu ARB của kẻ tấn công đã bị chuyển về một địa chỉ đặc biệt, phù hợp với tin Hội đồng An ninh Arbitrum phong tỏa. Ba tổ chức phát hành BEAM, SNX và SAND cũng tự thu hồi token của họ khỏi ví nhận.

Nhưng tấm lưới có một lỗ hổng: thời gian. Tether bắt đầu phong tỏa khoảng 40 phút sau giao dịch quét đầu tiên, và khoảng 495 triệu USDT đã kịp đổi sang ETH trong khoảng đó. ChainTracer cũng ghi nhận con số USDT bị phong tỏa trên Ethereum, 1,38 tỷ USD, thấp hơn mức hơn 1,567 tỷ mà Tether công bố; phần chênh lệch có thể nằm ở các ví hoặc mạng chưa được truy vết.

Đây là điểm tôi cho rằng sẽ được tranh luận lâu sau vụ việc. Stablecoin có khả năng phong tỏa là lưới an toàn hiệu quả khi tài sản bị đánh cắp. Cũng chính khả năng đó cho thấy các tài sản này phụ thuộc vào quyết định của một chủ thể phát hành. ETH thì không bị phong tỏa được, và 474.866 ETH trong tay kẻ tấn công vẫn là rủi ro bán tháo treo trên thị trường. Với người làm chính sách, hai thuộc tính này không loại trừ nhau: thị trường cần tài sản có chủ thể chịu trách nhiệm, đồng thời cần quy tắc minh bạch về việc ai được phong tỏa, khi nào và theo thẩm quyền nào.

Tiền lệ năm 2019 cho thấy, Binance mất khoảng một tuần để mở lại rút tiền sau khi rà soát toàn bộ hệ thống. Tuy nhiên vụ việc lần này có quy mô lớn hơn nhiều, và các chỉ số nên theo dõi là: báo cáo nguyên nhân chính thức, con số thiệt hại sau phong tỏa, nguồn bù đắp, số dư dự trữ được công bố sau sự cố, và chuyển động của các ví đang giữ ETH.

Bài học lớn về an ninh sàn giao dịch

Bài học lớn nhất, theo tôi, là an ninh của một sàn không còn được quyết định chủ yếu ở tầng mạng hay tầng máy chủ mà được quyết định ở tầng chính sách ký: ai được ký, ký cái gì, giới hạn bao nhiêu, và hệ thống có nhận ra một thông điệp ủy quyền bất thường trước khi nó được phát lên chuỗi hay không. Một ví nóng giữ hàng tỷ USD, bị chiếm quyền mà vẫn được nạp thêm tiền hơn một giờ sau, là vấn đề quản trị, không chỉ là vấn đề công nghệ.

Vụ việc cũng cho thấy giá trị của năng lực truy vết độc lập. Trong vài giờ, dữ liệu công khai trên chuỗi đủ để dựng lại toàn bộ đường đi của tài sản, đối chiếu con số của sàn và chỉ ra những điểm chưa khớp. Đó là thứ một thị trường cần có trước khi sự cố xảy ra, không phải sau.

Với Việt Nam, vụ việc đến đúng lúc. Nghị quyết số 05/2025/NQ-CP ngày 09/9/2025 về việc triển khai thí điểm thị trường tài sản mã hóa yêu cầu hệ thống công nghệ thông tin của tổ chức cung cấp dịch vụ phải đạt tiêu chuẩn an toàn cấp độ 4 trước khi vận hành, kèm quy trình lưu ký và quản lý tài sản khách hàng. Đây là mức yêu cầu cao, cao hơn cả các công ty chứng khoán.

Tuy vậy, vụ Binance cho thấy cấp độ an toàn hệ thống thông tin là điều kiện cần, chưa phải điều kiện đủ. Các sàn thí điểm và cơ quan quản lý nên xem xét thêm những chuẩn mực ở tầng vận hành: hạn mức ví nóng theo tỷ lệ tài sản khách hàng, kiến trúc ký nhiều bên, giám sát on-chain theo thời gian thực đối với các thao tác ủy quyền như EIP-7702, cơ chế tự động ngừng nạp tiền vào ví có dấu hiệu bị chiếm quyền, và quỹ bảo vệ người dùng có quy mô tương xứng.

Đây cũng là lý do mà khi thiết kế Mạng dịch vụ Đa chuỗi blockchain Việt Nam (VBSN), chúng tôi không đặt cược vào một chuỗi duy nhất mà phát triển đồng thời 7 mạng, bao gồm mạng công khai, bán công khai và mạng riêng tư, vì mỗi loại có mức tin cậy, cách quản trị và cách quản lý quyền ký khác nhau.

(*) Chủ tịch Hiệp hội Blockchain và Tài sản số Việt Nam