Vụ tấn công nhằm vào Binance, sàn giao dịch tiền mã hóa lớn nhất thế giới, được triển khai qua nhiều giai đoạn trong hơn 4 tháng, từ tháng 6 đến cuối tháng 10. Theo báo cáo ban đầu công bố hôm thứ Ba, tin tặc đã khai thác các lỗ hổng từ chính thiết bị và tài khoản của nhân viên để tiếp cận hệ thống quản lý ví.

Đáng chú ý, quá trình xâm nhập bắt đầu bằng những thủ đoạn tưởng chừng không liên quan đến hoạt động tấn công mạng thông thường: tải phần mềm từ quảng cáo trực tuyến và tham gia phỏng vấn tuyển dụng giả mạo. 

Bốn tháng chuẩn bị trước vụ đánh cắp

Theo Binance, sự việc bắt đầu từ tháng 6, khi một nhân viên thuộc nhóm phát triển ví tải xuống công cụ từ Internet. Phần mềm này đã bị tin tặc can thiệp trước đó.

Sau khi phát hiện dấu hiệu bất thường, Binance thay thế thiết bị và thay đổi thông tin xác thực của nhân viên. Tuy nhiên, thông tin về vị trí công việc của người này cùng một số thành viên khác trong nhóm phát triển ví đã bị lộ.

Một người am hiểu vụ việc cho biết phiên bản chứa mã độc được đặt trong một quảng cáo trực tuyến. Nhờ đó, nó xuất hiện ở vị trí cao hơn phiên bản chính thức khi người dùng tìm kiếm trên công cụ tìm kiếm.

Đến tháng 9, một kỹ sư phần mềm khác của Binance, đang tìm kiếm cơ hội việc làm mới, tiếp tục trở thành mục tiêu. Người này tải một kho mã nguồn chứa mã độc về máy tính sau khi tham gia cuộc phỏng vấn cho một vị trí tưởng như hợp pháp.

Quá trình tuyển dụng giả mạo thậm chí bao gồm cả buổi gặp trực tuyến với CEO của một công ty không có thật.

Ngày 20/10, kẻ tấn công sử dụng máy tính đã bị xâm nhập kết hợp với một công cụ AI nội bộ để giành quyền kiểm soát hệ thống của hai nhà phát triển ví.

Chín ngày sau, tin tặc tiếp tục khai thác máy tính của nhà phát triển ví thứ hai, sử dụng thông tin xác thực đánh cắp từ người thứ nhất và kích hoạt một tập lệnh độc hại để bắt đầu vụ tấn công.

Theo người am hiểu sự việc, chỉ một số lượng hạn chế kỹ sư tại Binance có quyền truy cập trực tiếp vào các ví lưu trữ hoặc giao dịch tiền mã hóa.

Rút 233 triệu XRP chỉ trong 4 phút

Ngày 29/10, hoạt động đánh cắp tài sản diễn ra với tốc độ rất nhanh.

Theo báo cáo của Binance, tin tặc chuyển 233,46 triệu XRP từ 5 ví nóng, tức các ví kết nối Internet, sang một địa chỉ do chúng kiểm soát chỉ trong vòng 4 phút. Sau đó, chúng tiếp tục rút nhiều loại tiền mã hóa khác, bao gồm Bitcoin.

Binance cho biết đã nhận được cảnh báo nội bộ về các giao dịch chuyển tiền có giá trị lớn và lập tức tiến hành điều tra.

Sàn giao dịch triển khai hàng loạt biện pháp ứng phó, gồm tạm ngừng rút tiền, đóng băng các token bị ảnh hưởng và thu hồi những quyền truy cập trái phép. Tổng giá trị tài sản được đóng băng vào khoảng 2,85 tỷ USD.

Tuy nhiên, việc đình chỉ hoạt động rút tiền không đủ để ngăn chặn toàn bộ các giao dịch chuyển tài sản trái phép.

Tin tặc đã sử dụng 50 giao dịch ký xác thực để thao túng tài khoản. Trong khi đó, Binance phải xây dựng các quy trình mới nhằm thu hồi quyền cấp phép, khiến quá trình xử lý sự cố chậm hơn.

Theo sàn giao dịch, giao dịch trái phép cuối cùng được ghi nhận lúc 23h56 GMT, gần 4 giờ sau khi vụ tấn công bắt đầu. Điều này cho thấy tin tặc vẫn có thể tiếp tục chuyển tài sản ngay cả khi Binance đã triển khai các biện pháp khẩn cấp để bảo vệ hệ thống.

Nghi vấn nhóm tin tặc Triều Tiên đứng sau

FBI cáo buộc một nhóm tin tặc có liên hệ với Triều Tiên đứng sau vụ việc. Tuy nhiên, Bình Nhưỡng đã bác bỏ cáo buộc này.

Michael Barnhart, nhà nghiên cứu tại công ty an ninh mạng DTEX, cho biết các chuyên gia an ninh mạng và quan chức chính phủ đã nhiều lần cảnh báo về thủ đoạn sử dụng phỏng vấn tuyển dụng giả để nhắm vào nhân viên tại các doanh nghiệp mục tiêu.

Đây vốn là phương thức tấn công đã được biết đến rộng rãi, không chỉ được các nhóm tin tặc Triều Tiên mà còn nhiều đối tượng khác sử dụng.

Binance cho biết trong năm 2026, sàn đã phát hiện và ngăn chặn 57 mối đe dọa an ninh mạng bị nghi có liên hệ với Triều Tiên. Theo Barnhart, con số này phản ánh tình trạng Binance liên tục phải đối mặt với các đợt tấn công.

Sự cố một lần nữa đặt ra câu hỏi về năng lực bảo vệ hệ thống của Binance, trong bối cảnh các cuộc tấn công mạng có liên hệ với Triều Tiên ngày càng gia tăng cả về tần suất lẫn mức độ tham vọng. Đồng thời, vụ việc cũng làm dấy lên lo ngại về tính an toàn của tài sản số trước các hoạt động tội phạm mạng.

Trong báo cáo, Binance thừa nhận sự cố không đáng lẽ xảy ra và gửi lời xin lỗi tới người dùng, đối tác cũng như toàn ngành vì những lo ngại, gián đoạn và bất ổn mà vụ việc gây ra.

Sàn giao dịch khẳng định sẽ hoàn trả toàn bộ số tiền bị đánh cắp cho khách hàng. Bên cạnh đó, Binance dự kiến tăng đầu tư vào các công nghệ phát hiện mối đe dọa ứng dụng AI, đồng thời nghiên cứu thành lập quỹ nghiên cứu bảo mật và triển khai các sáng kiến hợp tác có mục tiêu với những công ty AI hàng đầu.