Hacker 'thử nghiệm trước 36 tiếng, rút 6,3 tỷ USD từ ví Binance trong 20 phút'

Nhóm tin tặc được cho là thực hiện giao dịch thử nghiệm trước ít nhất 36 tiếng, sau đó mới "tổng tấn công" Binance, nhanh chóng rút cạn tiền từ nhiều ví chỉ trong 20 phút.

Reuters dẫn lời công ty phân tích dữ liệu TRM Labs (Mỹ) cho biết, tin tặc xâm nhập "hạ tầng ký kết" của Binance - hệ thống có chức năng phê duyệt giao dịch, giúp chúng phát lệnh rút tiền từ những ví bị ảnh hưởng. Binance xác nhận vụ tấn công ảnh hưởng đến khoảng 6,3 tỷ USD.

Dữ liệu blockchain chỉ ra, phần lớn số tiền bị rút trong khoảng 20 phút, bắt đầu từ 20h05 ngày 29/10 (3h ngày 30/10 giờ Hà Nội), bao gồm Ethereum, Bitcoin, Tron, Solana, và chuyển đến nhiều địa chỉ do cùng một nhóm tấn công kiểm soát.

"Quá trình chuẩn bị bắt đầu ít nhất 36 tiếng trước khi vụ hack xảy ra", TRM Labs nói. Cụ thể, ví của bên tấn công đã nhận 3 khoản tiền rút nhỏ trong giai đoạn thử nghiệm sáng 28/10. Đến đầu ngày 29/10, bên tấn công triển khai đoạn mã đầu tiên cho vụ hack và tiếp tục thử nghiệm nó trên hai ví. Chúng chạy thử phiên bản cuối cùng trên ví thứ ba, rồi chuyển số tiền thử nghiệm trở lại ví của mình.

Bốn giờ sau, đoạn mã được cài đặt trên một ví nóng của Binance.

Đợt rút tiền chính thức đầu tiên xảy ra trên mạng blockchain XRP Ledger. Từ 20h05 đến 20h09 ngày 29/10 theo múi giờ UTC, 5 ví Binance chuyển tổng cộng 233,46 triệu tiền số XRP đến một địa chỉ do nhóm tấn công kiểm soát, khiến số dư trong mỗi ví chỉ còn mức tối thiểu. Các ví Binance trên mạng blockchain Solana và Optimism cũng bị tác động ngay sau đó.

Đến 20h20, một ví nóng Bitcoin của Binance tiếp tục chuyển 18.270 Bitcoin đến địa chỉ của nhóm tấn công. Số tiền bị chia nhỏ thành các phần khoảng 1.000 và 100 BTC, khiến việc truy vết trở nên khó khăn. Trong vòng hai phút tiếp theo, một ví nóng Binance trên mạng Tron cũng chuyển 612,7 triệu USDT và 46,4 triệu TRX cho nhóm tấn công. Chúng sau đó nhanh chóng tìm cách đưa số tiền ra khỏi tầm kiểm soát của các đối tác giao dịch với Binance và nhà phát hành stablecoin.

Theo Reuters, một số công ty phân tích blockchain nhận xét vụ hack Binance có những điểm tương đồng với những hoạt động trước đây được cho là do tin tặc Triều Tiên thực hiện. Richard Teng, đồng CEO Binance, cho biết công ty đang điều tra nhưng chưa xác định được thủ phạm, trong khi Triều Tiên thường xuyên phủ nhận liên quan đến các cuộc tấn công mạng và đánh cắp tiền mã hóa.

Ngày 30/10, Binance chia sẻ trên X rằng ban đầu họ đánh giá vụ hack có thể bắt nguồn từ laptop của một kỹ sư DevOps bị xâm nhập. "Tuy nhiên, cuộc điều tra sau đó của chúng tôi đã phát hiện thêm các điểm xâm nhập khác", sàn tiền số lớn nhất thế giới nói, nhưng không cung cấp thêm chi tiết.

Binance thông báo "sẽ bù đắp toàn bộ tổn thất thông qua quỹ Secure Asset Fund for Users (SAFU) và quỹ của công ty", khẳng định tiền của người dùng vẫn an toàn. SAFU được Binance thành lập từ năm 2018, nhằm bảo vệ người dùng trong các tình huống khẩn cấp. Quỹ hiện nắm giữ lượng Bitcoin trị giá một tỷ USD.

Dù không còn trực tiếp điều hành công ty, tỷ phú Changpeng Zhao (CZ), cựu CEO kiêm nhà sáng lập Binance, cho biết với tư cách cổ đông, ông kỳ vọng toàn bộ tài sản người dùng sẽ được bảo đảm. Màn khẩu chiến trên mạng xã hội giữa ông với tỷ phú Elon Musk, CEO Tesla và SpaceX, sau vụ hack cũng đang thu hút nhiều sự chú ý.

Từ vụ LuBian bị trộm 127.000 Bitcoin năm 2020 đến cuộc tấn công Binance, lịch sử tiền mã hóa hiện ghi nhận ba vụ hack có giá trị vượt một tỷ USD. Giới chuyên gia nhận định, sự cố của Binance có thể đạt quy mô lớn nhất trong lịch sử các sàn tiền số, gấp nhiều lần thiệt hại mà Bybit gặp năm ngoái, khi tin tặc lấy đi khoảng 1,5 tỷ USD.

Thu Thảo tổng hợp