Tóm tắt nhanh
Vụ tấn công quy mô 6,3 tỷ USD nhắm vào Binance không bắt đầu bằng một lỗ hổng trong mã nguồn, mà bằng một buổi phỏng vấn xin việc giả. Theo thông tin được công bố, nhóm tin tặc có liên hệ với Triều Tiên đã dành nhiều tháng để tiếp cận nhân viên Binance và xâm nhập các hệ thống nội bộ, trước khi khai thác hạ tầng ký giao dịch của ví nóng thông qua cơ chế EIP-7702 của Ethereum. Điểm đáng chú ý nhất là chiến dịch này được dàn dựng trong thời gian dài, chứ không phải một đòn tấn công chớp nhoáng. Dưới đây là diễn biến, các mốc chính và những thuật ngữ cần biết.
Ví nóng là loại ví tiền mã hoá luôn kết nối với internet để xử lý giao dịch nhanh, khác với ví lạnh được lưu ngoại tuyến; chính vì luôn trực tuyến nên ví nóng là mục tiêu hấp dẫn của tin tặc.
EIP-7702 là một đề xuất nâng cấp của Ethereum cho phép tài khoản ví thông thường tạm thời uỷ quyền cho mã hợp đồng thông minh, qua đó thay đổi cách ví ký và thực thi giao dịch — một tính năng linh hoạt nhưng cũng mở ra bề mặt tấn công mới nếu khoá và luồng ký bị kiểm soát.
Diễn biến chi tiết
Khởi đầu: một buổi phỏng vấn xin việc giả
Theo nội dung bài viết gốc, vụ hack 6,3 tỷ USD của Binance bắt đầu từ một buổi phỏng vấn xin việc giả. Đây là thủ đoạn quen thuộc trong các chiến dịch tấn công có chủ đích: kẻ tấn công dựng lên một quy trình tuyển dụng trông có vẻ hợp lệ để tạo niềm tin, đưa mục tiêu vào một kênh liên lạc do chúng kiểm soát, rồi từ đó dẫn dụ nhân viên thực hiện các thao tác có hại cho hệ thống.
Chiến dịch được dàn dựng trong nhiều tháng
Điểm mấu chốt là đây không phải hành động đơn lẻ. Nhóm tấn công có liên hệ với Triều Tiên đã dành nhiều tháng để xâm nhập, chiếm quyền truy cập vào nhân viên Binance cũng như các hệ thống nội bộ của sàn. Cách tiếp cận kéo dài này giúp kẻ tấn công vừa thu thập thông tin, vừa thử nghiệm các bước đi mà không gây tiếng động, trước khi tung ra đòn quyết định.
Bước ngoặt: hạ tầng ký giao dịch của ví nóng bị khai thác
Sau khi đã có chỗ đứng bên trong, kẻ tấn công khai thác hạ tầng ký giao dịch của ví nóng — phần hệ thống quyết định một giao dịch có được chấp thuận và đưa lên chuỗi hay không — thông qua cơ chế EIP-7702 của Ethereum. Nói cách khác, thay vì phải phá vỡ lớp bảo vệ cuối cùng bằng vũ lực kỹ thuật, nhóm tấn công tận dụng chính sự linh hoạt của cơ chế uỷ quyền để làm sai lệch luồng ký giao dịch.
Tấn công có chủ đích (APT) là hình thức tấn công mạng do một nhóm có tổ chức, nguồn lực lớn và kiên trì thực hiện nhằm vào một mục tiêu cụ thể trong thời gian dài, thường khác với các cuộc tấn công đại trà nhằm vào nhiều nạn nhân cùng lúc.
Các mốc và con số chính
- Quy mô vụ việc được nhắc tới: 6,3 tỷ USD, gắn với Binance.
- Thời gian dàn dựng chiến dịch: nhiều tháng, theo mô tả trong bài gốc.
- Điểm khởi đầu: một buổi phỏng vấn xin việc giả.
- Đối tượng bị nhắm tới: nhân viên Binance và các hệ thống nội bộ.
- Mục tiêu cuối cùng: hạ tầng ký giao dịch của ví nóng.
- Cơ chế bị lợi dụng: EIP-7702 trên mạng Ethereum.
- Chủ thể bị cáo buộc: nhóm tấn công có liên hệ với Triều Tiên.
Vì sao vụ việc đáng lưu tâm?
Câu chuyện cho thấy rủi ro lớn nhất trong các sàn giao dịch tiền mã hoá thường không nằm ở thuật toán mã hoá, mà ở con người và quy trình. Một buổi phỏng vấn giả có thể là bước đầu tiên của chuỗi sự kiện dẫn tới thiệt hại hàng tỷ USD, và các cơ chế mới như EIP-7702 càng làm phức tạp thêm bề mặt tấn công mà đội ngũ vận hành phải phòng thủ.
Câu hỏi thường gặp
Vụ hack của Binance bắt đầu từ đâu?
Theo bài viết gốc, vụ việc bắt đầu bằng một buổi phỏng vấn xin việc giả, được kẻ tấn công dùng làm bước tiếp cận ban đầu để đánh lừa nhân viên Binance.
Kẻ tấn công là ai?
Nhóm tấn công được mô tả là có liên hệ với Triều Tiên, đã dành nhiều tháng để xâm nhập nhân viên và hệ thống nội bộ của Binance.
EIP-7702 có vai trò gì trong vụ việc?
EIP-7702 là cơ chế nâng cấp của Ethereum cho phép tài khoản ví thông thường uỷ quyền cho mã hợp đồng thông minh. Kẻ tấn công đã lợi dụng cơ chế này để khai thác hạ tầng ký giao dịch của ví nóng Binance.
Thiệt hại được nhắc tới là bao nhiêu?
Con số được nêu trong tiêu đề bài viết gốc là 6,3 tỷ USD.
Vì sao chiến dịch này kéo dài nhiều tháng?
Bài viết gốc cho biết chiến dịch được xây dựng qua nhiều tháng nhằm chiếm quyền truy cập nhân viên và hệ thống nội bộ trước khi thực hiện đòn tấn công cuối cùng vào hạ tầng ký giao dịch.
Dịch và biên tập lại theo nguồn: CoinDesk Finance
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
