Ảnh minh hoạHàng tỷ USD tài sản mã hóa bị rút khỏi Binance chỉ trong thời gian ngắn. Ngay sau vụ tấn công, một cuộc chạy đua khác đã diễn ra: Trong khi các tổ chức phát hành stablecoin tìm cách phong tỏa tài sản, những kẻ tấn công liên tục chuyển đổi tiền sang các đồng mã hóa không thể bị khóa từ xa.
Hàng tỷ USD biến mất, cuộc đua phong tỏa bắt đầu
Khoảng 20h05 ngày 29/10/2026 theo giờ UTC, hàng loạt giao dịch bất thường bắt đầu xuất hiện từ các ví thuộc sàn giao dịch tiền mã hóa Binance. Chỉ trong khoảng 20 phút, phần lớn số tài sản trị giá hơn 6 tỷ USD đã được chuyển tới những địa chỉ nằm dưới quyền kiểm soát của kẻ tấn công.
Tuy nhiên, dấu vết trên blockchain cho thấy vụ tấn công đã được chuẩn bị từ trước đó ít nhất 36 giờ. TRM Labs phát hiện các giao dịch chuẩn bị từ ngày 28/10, hoạt động thử nghiệm mã tấn công cùng một loạt chữ ký giao dịch được tạo sẵn.
Riêng trên Ethereum, một giao dịch đã chuyển đi 167.464 ETH cùng 63 loại token, trong đó có 1,615 tỷ USDT.
Theo báo cáo của TRM Labs công bố ngày 29/10 và cập nhật dữ liệu đến 0h30 UTC ngày 30/10, tổng giá trị tài sản bị rút khỏi các ví Binance trên 10 mạng blockchain đạt khoảng 6,36 tỷ USD.
Ethereum chịu thiệt hại lớn nhất với khoảng 3,79 tỷ USD, bao gồm ETH và nhiều loại token khác. Bitcoin ghi nhận 18.270 BTC bị chuyển đi, trị giá khoảng 1,47 tỷ USD. Với TRON, lượng tài sản bị rút có giá trị khoảng 628 triệu USD, trong khi XRP Ledger ghi nhận khoảng 296 triệu USD.
Quy mô hơn 6 tỷ USD khiến vụ tấn công này trở thành vụ đánh cắp tài sản mã hóa lớn nhất từng được ghi nhận theo đánh giá của TRM Labs. Trước đó, vụ tấn công lớn nhất được ghi nhận là vào Bybit, trị giá khoảng 1,5 tỷ USD, vào tháng 2/2025.
Đáng chú ý, ngay khi các giao dịch bất thường được phát hiện, những tổ chức phát hành stablecoin như Tether, Circle và Ripple bắt đầu triển khai các biện pháp phong tỏa tài sản trên blockchain.
Đây cũng là thời điểm một cuộc chạy đua diễn ra giữa hai phía. Một bên tìm cách khóa những đồng tiền đã bị đánh cắp, bên còn lại tìm cách chuyển đổi thành tài sản.
TRM Labs phân biệt khoảng 2,67 tỷ USD stablecoin bị các tổ chức phát hành phong tỏa với tài sản được Arbitrum xử lý bằng biện pháp khẩn cấp. Trong đó, Tether phong tỏa khoảng 1,77 tỷ USDT, Circle phong tỏa khoảng 825 triệu USDC, còn Ripple và World Liberty Financial lần lượt phong tỏa các khoản RLUSD và USD1.
Riêng Arbitrum, Hội đồng An ninh của mạng blockchain này đã thực hiện biện pháp khẩn cấp để chuyển 8.426 ETH cùng 74,6 triệu ARB, tổng giá trị khoảng 30 triệu USD, ra khỏi quyền kiểm soát của kẻ tấn công.
Trong khi đó, 18.270 BTC bị rút khỏi một ví nóng của Binance được chia thành nhiều phần, chủ yếu theo các khối 1.000 BTC và 100 BTC.
Đến thời điểm TRM Labs công bố báo cáo, kẻ tấn công vẫn kiểm soát hơn 420.000 ETH cùng toàn bộ số Bitcoin này, tổng giá trị khoảng 2,4 tỷ USD. Khác với stablecoin, đây là những tài sản không có tổ chức phát hành có thể trực tiếp phong tỏa số dư trong ví.
Chỉ trong khoảng 20 phút, phần lớn số tài sản trị giá hơn 6 tỷ USD đã được chuyển tới những địa chỉ nằm dưới quyền kiểm soát của kẻ tấn côngChấp nhận thiệt hàng chục triệu USD để chạy trước lệnh phong tỏa
Trong cuộc chạy đua với các lệnh phong tỏa, kẻ tấn công chấp nhận mua ETH với giá cao hơn đáng kể so với thị trường, đánh đổi hàng chục triệu USD để nhanh chóng chuyển đổi tài sản.
Khoảng 325 triệu USDT được chuyển đổi thành 122.300 ETH thông qua UniswapX. Tính theo lượng ETH nhận về, mỗi đồng ETH được mua với giá khoảng 2.650 USD, cao hơn đáng kể so với mức 2.300-2.350 USD trên thị trường cùng thời điểm.
Chênh lệch giá cho thấy kẻ tấn công đã chấp nhận đánh đổi hàng chục triệu USD để hoàn tất việc chuyển đổi tài sản.
Tại sao phải trả một cái giá lớn như vậy? Câu trả lời nằm ở đặc điểm của hai loại tài sản này. USDT do Tether phát hành và có thể bị phong tỏa tại những địa chỉ ví cụ thể. Còn ETH là tài sản gốc của mạng Ethereum, không có tổ chức phát hành nào có quyền đơn phương khóa số dư trong ví.
Khi lệnh phong tỏa chưa kịp thực hiện, kẻ tấn công vẫn còn cơ hội chuyển USDT sang ETH. Nhưng khi USDT bị khóa, cơ hội đó sẽ không còn.
Kết quả của cuộc chạy đua: 325 triệu USDT được chuyển đổi thành công, trong khi 175 triệu USDT còn lại bị phong tỏa.
Không chỉ Tether, Ripple cũng tham gia cuộc chạy đua này. Trong tổng số 88,5 triệu RLUSD bị chuyển đi, khoảng 48 triệu RLUSD đã được bán qua các sàn giao dịch phi tập trung. Số còn lại, khoảng 40,5 triệu RLUSD bị Ripple phong tỏa.
Không chỉ chấp nhận thiệt giá để hoán đổi stablecoin, những kẻ tấn công còn sử dụng các giao thức cho vay phi tập trung để dịch chuyển tài sản.
Trên Ethereum, khoảng 60 triệu USDT được đưa vào Aave làm tài sản thế chấp, đổi lại khoản vay gần 19.760 ETH trước khi Aave đóng băng các thị trường bị ảnh hưởng.
Phương thức tương tự xuất hiện trên TRON: Khoảng 300 triệu USDT được chuyển đến một ví có hoạt động đưa tài sản vào JustLend. Thêm vào đó, khoảng 200 triệu USDT đi qua nhiều địa chỉ trung gian để thực hiện giao dịch hoán đổi trên Uniswap, trong đó khoảng 30 triệu USDT bị phong tỏa.
Các giao dịch được TRM Labs ghi nhận cho thấy tài sản bị đánh cắp không chỉ được chuyển đổi trực tiếp mà còn đi qua các giao thức cho vay và nhiều lớp địa chỉ trung gian, khiến quá trình truy vết và phong tỏa trở nên phức tạp hơn.
Không chỉ các tổ chức phân tích blockchain quốc tế, ChainTracer, chương trình truy vết thuộc Hiệp hội Blockchain và Tài sản số Việt Nam, cũng tham gia lần theo dòng tiền bị đánh cắp từ Binance.
Trong báo cáo công bố ngày 30/10, nhóm nghiên cứu Việt Nam xác định 13 ví trên mạng Ethereum liên quan đến kẻ tấn công đang nắm giữ tổng cộng 474.866 ETH, tương đương khoảng 1,09 tỷ USD, chưa bị phong tỏa tại thời điểm 7h35 cùng ngày. Đáng chú ý, chỉ 4 ví lớn nhất đã nắm giữ khoảng 89% lượng ETH này.
Kết quả truy vết cũng xác định khoảng 495 triệu USDT đã được chuyển đổi hoặc đưa vào các giao thức tài chính phi tập trung trước khi bị phong tỏa. Tuy nhiên, ChainTracer lưu ý việc xác định được vị trí tài sản trên blockchain không đồng nghĩa với khả năng thu hồi số tiền này.
Binance đã huy động hơn 6,34 tỷ USD nguồn lực để khắc phục hậu quả vụ tấn côngBinance huy động hơn 6 tỷ USD để khắc phục hậu quả
Ngày 30/10, Binance công bố đã huy động hơn 6,34 tỷ USD nguồn lực để khắc phục hậu quả vụ tấn công, trong đó có 5 tỷ USD tài sản mã hóa tương ứng với những tài sản bị đánh cắp.
Đến ngày 1/11, sàn giao dịch tiền mã hóa lớn nhất thế giới Binance cập nhật tỷ lệ tài sản được bù đắp lên khoảng 95%, đồng thời triển khai kế hoạch khôi phục hoạt động rút tiền trên 15 mạng blockchain. Khoảng 5% còn lại chủ yếu là các tài sản có thanh khoản thấp, cần thêm thời gian để bổ sung.
Binance cũng xác nhận 10 loại tài sản lớn, gồm BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD và ZEC, đã được bảo đảm dự trữ đầy đủ 100%.
Về nguyên nhân vụ việc, Binance cho biết kết quả điều tra ban đầu xác định máy tính xách tay của một kỹ sư vận hành hệ thống (DevOps) đã bị xâm nhập, tạo điều kiện cho kẻ tấn công tiếp cận hệ thống có quyền thực hiện lệnh rút tiền. Sàn chưa phát hiện bằng chứng khóa bí mật ví bị lộ, nhưng tiếp tục ghi nhận thêm các điểm bị xâm nhập trong quá trình điều tra.
Theo kế hoạch, Binance dự kiến hoàn tất việc công bố bằng chứng dự trữ (Proof of Reserves) để người dùng có thể kiểm chứng vào ngày 3/11.
