Một kẻ tấn công đã đánh cắp khoảng $6.15 tỷ từ Binance trong 31 phút vào ngày 29 tháng 10; theo dõi của BitOK cho thấy $2.79 tỷ đã bị đóng băng, đốt hoặc tịch thu.
Trong một khoảng thời gian 31 phút vào ngày 29 tháng 10 năm 2026, khoảng $6.15 tỷ đã bị lấy từ Binance — một trong những vụ trộm lớn nhất trong lịch sử tiền mã hóa, nếu không nói là lịch sử internet.
Binance ban đầu đưa con số thiệt hại là $6.3 tỷ. BitOK, một công ty phân tích blockchain, đã theo dõi từng giao dịch của số tiền và đưa ra mức $6.15 tỷ trên chín blockchain.
Khóa riêng tư của sàn giao dịch không bao giờ bị đánh cắp. Thay vào đó, chính hệ thống của Binance đã bị dàn dựng để phê duyệt các khoản rút tiền. Bản tường thuật dưới đây diễn tả vụ trộm theo trình tự thời gian và định nghĩa các thuật ngữ kỹ thuật khi chúng xuất hiện. Tất cả mốc thời gian đều theo giờ UTC.
Một sàn giao dịch duy trì kết nối các ví trực tuyến của mình, được gọi là ví nóng, để các khoản rút tiền có thể được xử lý ngay lập tức.
Ký. Mỗi giao dịch chuyển tiền cần sự phê duyệt từ khóa riêng tư của ví, một con số bí mật. Các sàn giao dịch dựa vào hệ thống tự động để ký hàng nghìn lệnh thanh toán mỗi ngày.
Nonce là bộ đếm giao dịch của một ví Ethereum. Trên một ví hoạt động, nonce tăng liên tục.
Tiền xu có thể bị đóng băng. Các tổ chức phát hành stablecoin, chẳng hạn như Tether (USDT) và Circle (USDC), có thể đóng băng địa chỉ. Các đồng coin gốc như BTC, ETH hoặc TRX không ai có thể đóng băng được.
Mỗi giao dịch blockchain đều bao gồm một khoản phí nhỏ. Để nạp tiền vào ví mà không để lại dấu vết, kẻ tấn công đã sử dụng Tornado Cash, một dịch vụ trộn tiền (mixer) gom góp coin của nhiều người dùng và khiến cho việc rút tiền không thể liên kết ngược với số tiền gửi. Sáu lần rút tiền từ Tornado Cash đã tài trợ cho ví điều hành và hai ví phụ trợ.
Trước khi đến gần Binance, kẻ tấn công đã thực hành trên chính ví của mình, giống như một tên trộm có thể thử dụng cụ mở khóa trên cửa trước nhà mình.
Công cụ này là một hợp đồng thông minh (smart contract), một chương trình trên Ethereum có các hành động được xác định chính xác bởi mã của nó. Hợp đồng này được xây dựng để rút sạch bất kỳ ví nào đã cấp cho nó quyền hoạt động thay mặt ví đó. (Tính năng EIP-7702 của Ethereum cho phép sự ủy quyền như vậy; chi tiết sẽ được đề cập bên dưới.)
Phiên bản cuối cùng có một khả năng bổ sung: nó có thể chỉ thị một ví làm bất cứ điều gì, không chỉ chuyển token. Đêm đó, khả năng này được dùng để ra lệnh cho một ví của Binance giải phóng 823 triệu USDC. Một công cụ được tinh chỉnh chính xác đến vậy cho thấy kẻ tấn công đã hiểu rõ cách các ví của Binance được kết nối với nhau.
“Sự khác biệt giữa hai phiên bản là rất quan trọng. Hợp đồng chính bao gồm một hàm có thể thực thi các lời gọi tùy ý thay mặt cho một ví đã ủy quyền kiểm soát cho nó. Kẻ tấn công sau đó đã dùng hàm đó để rút 823 triệu USDC từ một ví thông minh của Binance,” BitOK giải thích.
Trong khoảng thời gian từ 20:04:52 đến 20:35:53, các ví nóng thuộc sở hữu của Binance trên XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum và Avalanche đã bị rút sạch. Số tiền bị đánh cắp bao gồm:
Mỗi giao dịch đều mang chữ ký của chính các ví Binance. BitOK nhận ra chúng qua thói quen của các ví này: phí giao dịch cao gấp 2 đến 2.7 lần mức thông thường, các định dạng giao dịch mà phần mềm thanh toán của Binance không sử dụng, và trên Ethereum, các giao dịch giả mạo được chèn vào giữa các khoản thanh toán thật cho khách hàng.
Kẻ tấn công xâm nhập qua máy tính xách tay của một kỹ sư DevOps, sau đó gửi các lệnh rút tiền gian lận bằng cách sử dụng một container dịch vụ — một chương trình được đóng gói chạy bên trong hệ thống của Binance.
Mưu mẹo tinh vi nhất của buổi tối diễn ra lúc 20:20. Mục tiêu của nó là một ví nóng Ethereum hoạt động liên tục được gọi là Binance 14.
Kế hoạch. Thông qua EIP-7702, một ví có thể ký một văn bản ủy quyền — một tờ giấy phép cho phép một hợp đồng thông minh hoạt động thay mặt nó. Nếu Binance 14 đã ký một văn bản nêu tên hợp đồng của kẻ tấn công, ví này đã nằm dưới sự kiểm soát của kẻ tấn công.
Vấn đề. Tờ giấy ủy quyền chỉ có hiệu lực nếu nó mang số giao dịch hiện tại của ví, tức nonce. Binance 14 phục vụ khách hàng không ngừng nghỉ, vì vậy con số đó luôn thay đổi. Một tờ giấy với số cũ sẽ bị bỏ qua.
Thủ thuật. Vào lúc 20:20:59, kẻ tấn công đã khiến hệ thống ký của Binance tạo ra 50 tờ ủy quyền cùng lúc, mỗi tờ có một số khác nhau. Giống như thử 50 chìa khóa vào một ổ khóa cùng một lúc: chỉ cần một chiếc khớp là đủ. Một chiếc đã khớp. Binance 14 sau đó nhận lệnh từ hợp đồng của kẻ tấn công trong khi vẫn hoạt động bình thường, nên tiền vẫn tiếp tục chảy vào.
Kết quả. Vài phút sau, một giao dịch đã rút sạch 65 loại token khác nhau trị giá hơn $2.2 tỷ, bao gồm 1.615 tỷ USDT và 167,464 ETH. Lúc 20:41 và 20:59, hợp đồng này cũng điều khiển một ví Binance thứ hai chuyển ra 823 triệu USDC.
Binance 16. Một ví nóng khác đã bị cướp theo cách đơn giản hơn. Chín giao dịch chuyển tiền giả được đưa vào hệ thống của Binance, được ký, và được gửi ra cùng với các khoản thanh toán thật cho khách hàng. Chúng đã chuyển đi 28,005.6 ETH và 55.7 triệu USDT.
Trên Ethereum, địa chỉ nhận chính đã mất 500 triệu USDT chỉ trong vòng sáu phút. Từ 20:34 đến 21:09, kẻ tấn công đã đổi 435 triệu USDT lấy ETH trên Uniswap, một sàn giao dịch phi tập trung được vận hành bởi mã nguồn. Thêm 60 triệu USDT được đưa vào Aave, một giao thức cho vay, để vay 19,762 ETH — để lại tài sản thế chấp có thể bị đóng băng phía sau.
Trên Tron, 612.7 triệu USDT đã rời khỏi ví Binance-Hot 7. Sau 16 giao dịch trên SunSwap, sàn giao dịch phi tập trung chính của Tron, 234 triệu USDT đã được chuyển thành 638.2 triệu TRX.
Một lệnh đóng băng USDT của Tether cần ba sự chấp thuận từ ví đa chữ ký của nó, nghĩa là cần nhiều chữ ký. Mỗi lệnh đóng băng có thể mất tới 2 phút 36 giây, và các yêu cầu đang chờ xử lý đều hiển thị trên chuỗi. Kẻ tấn công có thể thấy một lệnh đóng băng sắp xảy ra và hành động trước: một ví đã chuyển 130 triệu USDT chỉ 48 giây trước khi bị đóng băng. Tuy nhiên, tại một địa chỉ, sự do dự đã khiến gần 175 triệu USDT bị mất.
Một giao dịch duy nhất đã đóng băng toàn bộ 823 triệu USDC khi chúng vẫn còn nằm tại một địa chỉ.
Các số liệu đóng băng được ghi nhận cho Tether và Circle:
Các tổ chức phát hành khác đã đặt lệnh đóng băng đối với USD1, XAUt, PAXG, wBETH và FDUSD, và tổ chức phát hành BEAM đã đốt 984 triệu token bị đánh cắp. Hội đồng Bảo an của Arbitrum, một ủy ban khẩn cấp gồm 12 thành viên, đã tịch thu 8,426 ETH và 74.56 triệu ARB.
Tổng cộng, khoảng $2.79 tỷ đã bị đóng băng, đốt hoặc tịch thu. Tuy vậy, 669 triệu USDT đã được chuyển thành ETH và TRX trước đó.
Kẻ tấn công tiếp tục nắm quyền kiểm soát đối với Binance 14.
Ví này nằm trong tay kẻ tấn công gần bốn giờ.
Việc chuyển 18,270.2 BTC ra khỏi một ví nóng của Binance được thực hiện qua 11 giao dịch vào lúc 20:20:06, với mức phí gấp đôi mức thông thường. Số coin này được chia ra 19 địa chỉ, 17 trong số đó mỗi địa chỉ nắm giữ 1,000 BTC. Tính đến ngày 30 tháng 10, chúng vẫn chưa được di chuyển. Sổ cái công khai của Bitcoin khiến số coin này có thể bị truy vết, nhưng không ai có thể đóng băng chúng.
Phát hiện quan trọng nhất của BitOK là số tiền bị đánh cắp của Binance đã đến cùng một địa chỉ Ethereum trước đó đã thu gom các khoản tiền từ vụ hack Bitget vào tháng 9 năm 2026.
TRX và USDT đã được kẻ tấn công chuyển qua THORChain, một giao thức hoán đổi xuyên blockchain, với ETH đến tại 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
Địa chỉ đó trước đó đã nhận ETH liên quan đến vụ hack Bitget. Số ETH này đến từ các địa chỉ Bitcoin trong danh sách ví của kẻ tấn công do Bitget công bố, được sử dụng từ ngày 23 tháng 10, và ban đầu bắt nguồn từ ZEC, một đồng coin chưa từng bị đánh cắp từ Binance.
Đến 06:20, địa chỉ này đã nhận tám khoản thanh toán liên quan đến Bitget (349.46 ETH) và năm khoản thanh toán liên quan đến Binance (13.63 ETH), sau đó chuyển số tiền gộp lại sang các ví mới. Một địa chỉ dùng chung tự nó không chỉ ra ai đứng sau cả hai vụ hack.
Cả hai vụ xâm nhập đều vào được hệ thống nội bộ mà không lấy khóa riêng tư, và Bitget đã quy trách nhiệm cho Triều Tiên trong vụ hack của mình. BitOK cũng trích dẫn các đặc điểm mà họ liên kết với các nhóm Triều Tiên: tập dượt, cấp vốn qua Tornado Cash, nhanh chóng chuyển đổi khỏi các token có thể bị đóng băng và thực hiện công việc trong giờ làm việc UTC+9.
“Địa chỉ rửa tiền dùng chung mới được xác định là bằng chứng mạnh hơn về sự chồng lấn vận hành so với chỉ riêng những điểm tương đồng về chiến thuật. BitOK đánh giá rằng hai vụ trộm này có thể có liên quan đến cùng một nhóm Triều Tiên và một kẻ điều hành đã kiểm soát các luồng rửa tiền được quan sát. Đó vẫn là một sự quy kết mang tính phân tích, không phải bằng chứng về danh tính ngoài đời thực của từng người tham gia,” BitOK nói.
Vào khoảng 20:36, Binance đã tạm dừng rút tiền từ các ví nóng Bitcoin và Tron, trong khi các khoản nạp vẫn tiếp tục được gửi vào. Công ty cam kết bồi thường toàn bộ tổn thất của khách hàng từ quỹ khẩn cấp SAFU và nguồn lực của chính mình.
Tôi muốn nói trực tiếp với các bạn về những gì đã xảy ra.
Điểm mấu chốt – tiền của bạn an toàn, và chúng tôi sẽ bồi thường mọi tổn thất.
Điều tra ban đầu của chúng tôi cho thấy sự cố bảo mật này có thể bắt đầu từ một chiếc máy tính xách tay của kỹ sư DevOps bị xâm phạm. Điều đó đã cho kẻ tấn công quyền truy cập vào…— Richard Teng (@_RichardTeng), ngày 30 tháng 10 năm 2026
Trên thị trường rộng lớn hơn, Coinglass ghi nhận $1.58 tỷ thanh lý các vị thế đòn bẩy trong khoảng thời gian 24 giờ.
Tính đến 06:20 ngày 30 tháng 10, BitOK đã kết nối kẻ tấn công với:
Riêng ETH, BTC, XRP và SOL đã có giá trị khoảng $2.95 tỷ.
Thứ mà các kẻ tấn công thực chất đã chiếm được là hệ thống ký các khoản rút tiền của Binance. BitOK đã rút ra bài học cho toàn ngành tiền mã hóa từ vụ hack Binance.
“Vụ việc Binance cho thấy vì sao chỉ bảo mật khóa riêng tư là không đủ. Các sàn giao dịch cũng cần kiểm soát quyền ký, các biện pháp bảo vệ chống lại các lệnh rút tiền đáng ngờ, thu hồi kịp thời các quyền bị xâm phạm và giám sát liên tục biến động tài sản trên các mạng lưới.”
Chia sẻ tới
Tuyên bố miễn trừ trách nhiệm: Nội dung bài viết đến từ bên thứ ba, chỉ mang tính tham khảo và không phải lời khuyên đầu tư. Tiền mã hóa và các sản phẩm tài chính khác có rủi ro biến động giá lớn, vui lòng cân nhắc kỹ trước khi quyết định.
Chainalysis và TRM Labs đã liên kết vụ vi phạm 6.3 tỷ đô la của Binance với TraderTraitor liên quan đến Triều Tiên. Thị trường trượt giá và các tổ chức phát hành stablecoin đã đóng băng hàng tỷ đô la.
Bitcoin đã phá vỡ dưới mức sàn $79,146, giảm xuống còn $76,320 khi phe bán nắm quyền kiểm soát. Hỗ trợ hiện đang nằm trong khoảng từ $76,052 đến $76,146.
Tyler Evans cho biết dòng tiền ETF Bitcoin đã chuyển từ cực kỳ tiêu cực sang tích lũy mạnh mẽ, với Fed, trái phiếu và cuộc bầu cử giữa nhiệm kỳ là yếu tố then chốt cho đến năm 2027.
Alex Thorn của Galaxy cho biết đáy của Bitcoin đã chạm, trích dẫn đường trung bình động 50 tuần và sự kiên cường gần mức 80.000 đô la.