Hacker giăng bẫy hơn 4 tháng, cuỗm 6,3 tỷ USD từ Binance như thế nào?

Ngày 3/11, sàn giao dịch tiền mã hóa Binance công bố báo cáo điều tra ban đầu về vụ tấn công ngày 29/10, hé lộ chiến dịch xâm nhập được chuẩn bị từ tháng 6.

Theo Reuters, vụ việc liên quan đến ba kỹ sư phần mềm của Binance.

Cú lừa tuyển dụng hai màn

Theo báo cáo của Binance, dấu vết đầu tiên xuất hiện từ tháng 6/2026. Một kỹ sư thuộc bộ phận vận hành và phát triển hệ thống ví điện tử- tạm gọi kỹ sư A - tải về gói cài đặt Homebrew đã bị can thiệp khi tìm kiếm công cụ hỗ trợ lập trình bằng AI.

Đây không phải phần mềm độc hại được gửi qua email. Phiên bản bị chỉnh sửa được đặt trong một quảng cáo trực tuyến, có thể xuất hiện ở vị trí cao hơn phần mềm chính thức khi người dùng tìm kiếm.

Binance phát hiện hoạt động bất thường, thay máy tính của nhân viên và thay đổi các thông tin xác thực liên quan. Tuy nhiên, sự cố đã để lộ vị trí công việc của kỹ sư này cùng những đồng nghiệp trong nhóm quản lý hạ tầng ví.

Thông tin đó giúp hacker xác định những nhân viên có quyền tiếp cận hệ thống nhạy cảm và từ đó chúng tiếp tục tìm cách tiếp cận những người khác trong cùng bộ phận.

Đầu tháng 9, hacker chuyển sang phương thức tinh vi hơn: Giả danh nhà tuyển dụng để tiếp cận một kỹ sư phần mềm khác của Binance - kỹ sư B.

Khách tham dự ghé thăm gian hàng của Binance tại hội nghị Viva Technology, một hội nghị dành riêng cho đổi mới và khởi nghiệp, được tổ chức tại trung tâm triển lãm Porte de Versailles ở Paris, Pháp, ngày 16/6/2022. Ảnh: Reuters.

Theo báo cáo, hacker liên hệ với kỹ sư B qua một nền tảng tìm việc hợp pháp, tự nhận là giám đốc dự án của một công ty không có thật và sắp xếp vòng phỏng vấn đầu tiên với đại diện nhân sự.

Cuộc phỏng vấn được thực hiện qua video call. Kẻ giả danh nhà tuyển dụng còn chia sẻ tài khoản mạng xã hội có hình ảnh và video cá nhân nhằm tạo lòng tin.

Sau vòng đầu, kỹ sư B được mời phỏng vấn lần hai với người tự nhận là giám đốc điều hành công ty. Gần cuối buổi trao đổi, kỹ sư này được yêu cầu tải một bài tập lập trình về máy tính làm việc.

Tệp này thực chất chứa kho mã nguồn đã bị cài mã độc. Theo Binance, mã độc có thể thay thế một thành phần hợp pháp của công cụ phát triển phần mềm, cho phép hacker thực thi lệnh và liên lạc với máy chủ bên ngoài do chúng kiểm soát.

Nhóm tấn công còn tìm cách xóa dấu vết hoạt động trái phép, khiến việc phát hiện và điều tra khó khăn hơn.

Dùng AI chiếm quyền kiểm soát

Sau khi xâm nhập máy tính của kỹ sư B, hacker tiếp tục mở rộng phạm vi kiểm soát.

Ngày 20/10, hacker đã lợi dụng máy tính bị xâm nhập của kỹ sư B và sử dụng công cụ AI nội bộ để giành quyền kiểm soát máy tính của kỹ sư A và một kỹ sư phần mềm khác là C.

Hacker nhanh chóng phát hiện ra kỹ sư A có mã thông báo quyền triển khai container trên máy tính.

9 ngày sau, vào ngày 29/10, hacker đã đăng nhập vào máy tính của kỹ sư phần mềm C, sử dụng thông tin đăng nhập bị đánh cắp từ kỹ sư A để triển khai container (đưa một gói phần mềm chứa mã độc vào hệ thống) và kích hoạt một kịch bản độc hại để tiến hành cuộc tấn công.

Giao diện sàn giao dịch Binance. Ảnh: Reuters

Gần 4 giờ chạy đua với hacker

Theo báo cáo của sàn, trong vòng 4 phút, từ 20h05 đến 20h09 UTC ngày 29/10 (khoảng 3h05–3h09 sáng 30/10 giờ Hà Nội), 5 ví nóng chuyển tổng cộng 233,46 triệu XRP đến các địa chỉ do hacker kiểm soát.

Tiếp đó, các ví trên mạng Solana và Optimism chuyển khoảng 970.500 SOL và 44,2 triệu OP. Một ví nóng khác chuyển 18.270 BTC.

Binance nhận cảnh báo về các giao dịch có giá trị lớn và lập tức triển khai biện pháp ứng phó, trong đó có đình chỉ hoạt động rút tiền, phối hợp với đối tác để phong tỏa tài sản và thu hồi quyền truy cập trái phép.

Tuy nhiên, hacker đã lợi dụng cơ chế ủy quyền EIP-7702 trên mạng Ethereum, cho phép một tài khoản ủy quyền một số quyền thực thi nhất định cho hợp đồng thông minh. Trong vụ việc, nhóm hacker dùng nó để cấp quyền thực thi cho hợp đồng do chúng kiểm soát.

Vì vậy, việc tạm dừng rút tiền thông thường không thể lập tức chặn các giao dịch đã được ủy quyền trên blockchain.

Giao dịch trái phép cuối cùng hoàn tất lúc 23h56 UTC ngày 29/10 (khoảng 6h56 sáng 30/10 giờ Hà Nội), gần 4 giờ sau khi vụ tấn công bắt đầu. Đến 7h10 sáng cùng ngày, Binance mới thực hiện được lệnh ủy quyền mới để xóa quyền thực thi độc hại.

Logo Binance và những dòng code của hacker được ghi lại vào ngày 30/10. Ảnh: Reuters

12.000 ví để tẩu tán tiền số

Sau khi lấy được tài sản, hacker nhanh chóng tìm cách chuyển đổi và phân tán chúng để tránh bị phong tỏa.

Theo công ty phân tích blockchain Chainalysis, nhóm hacker chuyển khoảng 500 triệu USD stablecoin vào một ví trung gian, sau đó đổi 325 triệu USD trong số này thành khoảng 285 triệu USD Ethereum (ETH) trong gần 20 phút. Việc chuyển đổi giúp đưa tài sản sang dạng khó bị các đơn vị phát hành stablecoin đóng băng hơn.

Khoảng 10 phút sau, 175 triệu USD stablecoin còn lại được chuyển đến các ví trung gian, trong nỗ lực đi trước các lệnh phong tỏa.

Tuy nhiên, nhóm hacker không hoàn toàn thành công. Theo Chainalysis, các đợt phong tỏa bắt đầu từ 17h14 ngày 29/10 theo giờ miền Đông Mỹ. Đến ngày 3/11, khoảng 2,8 tỷ USD tài sản đã bị đóng băng.

Công ty phân tích blockchain Elliptic ghi nhận quy mô phân tán đáng chú ý: Chỉ trong 3,5 ngày đầu, hacker sử dụng khoảng 12.000 ví trên 11 blockchain, thực hiện hơn 40.000 giao dịch. Trung bình cứ 25 giây lại xuất hiện một ví mới.

Theo báo cáo ngày 3/11, Binance xác định khoảng 6,34 tỷ USD tài sản bị ảnh hưởng, trong đó khoảng 2,85 tỷ USD đã được phong tỏa hoặc ngăn chặn. Sàn cho biết đã bổ sung lại khoảng 98% lượng tài sản bị ảnh hưởng bằng nguồn lực của công ty tính đến ngày 31/10 và cam kết người dùng không phải gánh chịu thiệt hại.