Ngày 29/10/2026, khoảng 6,34 tỷ USD tài sản số đã rời khỏi ví nóng của Binance trong vài giờ — vụ trộm tiền mã hóa lớn nhất từng ghi nhận. Binance công bố báo cáo sơ bộ ngày 03/11, FBI quy cho Triều Tiên ngày 31/10. Đây là diễn biến đã kiểm chứng được tới nay.

Vụ trộm diễn ra thế nào

  • ~20:05 UTC ngày 29/10: chuyển khoản bắt đầu — 233,46 triệu XRP rời 5 ví nóng trong 4 phút, sau đó là SOL, OP và các chuỗi khác. Phần lớn tiền ra khỏi ví trong khoảng 20 phút.
  • ~20:20 UTC: một giao dịch chứa 50 ủy quyền EIP-7702 cho một ví Ethereum của Binance, trỏ tới contract do kẻ tấn công kiểm soát. EIP-7702 (từ bản nâng cấp Pectra 2025 của Ethereum) cho phép một ví thường ủy quyền thực thi cho smart contract — kẻ tấn công dùng nó để ví nóng tiếp tục rút tiền ngay cả sau khi Binance đã tạm dừng rút tiền, vì ủy quyền nằm trên blockchain, ngoài hệ thống rút tiền của sàn. Chuyển khoản trái phép cuối cùng hoàn tất lúc 23:56 UTC; Binance gỡ ủy quyền độc hại trên ví Binance14 lúc 00:10 ngày 30/10.
  • Tổng thiệt hại: Binance ghi ~6,34 tỷ USD; TRM Labs ước tính 6,36 tỷ USD trên 10 chuỗi, Elliptic ước tính 6,43 tỷ USD trên 11 chuỗi. Khoảng 2,85 tỷ USD đã bị đóng băng/chặn lại tính đến 03/11.

Chuỗi xâm nhập kéo dài 4 tháng

Theo báo cáo sơ bộ của Binance:

  • Tháng 6/2026: bản tải Homebrew bị chèn mã độc — điểm vào đầu tiên.
  • Tháng 9/2026: nhà tuyển dụng giả và bài tập lập trình giả trong một buổi phỏng vấn việc làm giả — máy của kỹ sư bị chiếm.
  • Tới 20/10: kẻ tấn công kiểm soát máy của 3 kỹ sư (4 laptop), lấy được credential triển khai, chạy container của mình bên trong hạ tầng Binance và tiếp cận dịch vụ ký ví nội bộ.
  • Binance cho biết chưa tìm thấy bằng chứng private key của ví bị lộ — kẻ tấn công dùng dịch vụ ký để ký giao dịch hợp lệ, chứ không cần lấy key.

Ai làm và hậu quả

  • FBI ngày 31/10 quy vụ này cho TraderTraitor — nhóm của Triều Tiên, cũng bị quy cho vụ trộm 1,5 tỷ USD ở Bybit tháng 2/2025. Phía Triều Tiên đã phủ nhận.
  • Binance cam kết gánh toàn bộ thiệt hại bằng tiền của công ty và quỹ bảo vệ khẩn cấp: đã bù lại khoảng 98% tài sản bị ảnh hưởng tính đến 31/10–04/11, và cam kết hoàn trả đầy đủ cho người dùng. Rút tiền đã mở lại theo từng đợt từ 06:00 UTC ngày 01/11 — riêng 9,5 giờ đầu đã có 3,64 tỷ USD rút ròng.
  • Cần nói đúng: blockchain không bị phá — đây là vụ xâm nhập hạ tầng của một sàn, không phải lỗi của Ethereum hay XRP. Kết luận điều tra vẫn là sơ bộ, đang chờ kiểm chứng độc lập.

Bài học: EIP-7702 là tính năng hợp pháp, nhưng một ủy quyền còn hiệu lực trên chuỗi thì vẫn chạy dù hệ thống rút tiền đã tắt — các sàn cần giám sát ủy quyền trên chuỗi như một bề mặt tấn công riêng.

Nguồn:

  • Binance, "October 29 Security Incident: Preliminary Findings" (03/11/2026)
  • FBI (31/10/2026), TRM Labs, Elliptic, Chainalysis