Vào ngày 29 tháng 10 năm 2026, khoảng 4:20 chiều giờ miền Đông, tiền bắt đầu rời khỏi các ví nóng của Binance mà không ai tại Binance phê duyệt. Đến sáng hôm sau khi mọi việc lắng xuống, Chainalysis ước tính số tiền bị đánh cắp khoảng 6,4 tỷ USD và Binance là 6,3 tỷ USD. Điều đó khiến nó trở thành vụ trộm crypto lớn nhất từng được ghi nhận, gấp khoảng bốn lần vụ hack Bybit từng giữ kỷ lục từ tháng 2 năm 2025. Con số trên tiêu đề thật tàn khốc. Con số thú vị hơn là con số còn lại: gần 3 tỷ USD trong đó đã bị đóng băng trên chuỗi trong vòng vài giờ, và gần như toàn bộ số đó đến từ một nguồn duy nhất. Các nhà phát hành stablecoin đã nhấn một nút.
Nút đó chính là phần mà hầu hết dân crypto bản địa thích phàn nàn. Tuần này, nó là thứ duy nhất hoạt động hiệu quả.
Chuyện gì đã xảy ra trong vụ hack Binance?
Cuộc điều tra ban đầu của Binance chỉ ra một laptop của kỹ sư DevOps bị xâm phạm. Từ đó, kẻ tấn công đã truy cập vào một container dịch vụ và gửi các giao dịch rút tiền mà hệ thống coi là hợp lệ. Binance sau đó cho biết đã tìm thấy thêm các điểm xâm nhập khác ngoài laptop, và rằng họ không thấy bằng chứng nào về việc rò rỉ khóa riêng tư của ví. Một báo cáo điều tra đầy đủ được hứa hẹn sẽ công bố sau khi các sự thật được xác minh. Đồng CEO Richard Teng mô tả sự việc mang tính "phẫu thuật" hơn là một vụ cướp thô bạo. Ông nói cuộc tấn công không phải là hành động "một cú nhấp", rằng kẻ tấn công đã sử dụng cơ chế tự hủy để xóa dấu vết. Và rằng một ủy quyền EIP 7702 đã trao cho kẻ tấn công quyền thực thi đối với một ví nóng, bỏ qua các kiểm soát phê duyệt thông thường. Ido Ben Natan của Blockaid nói thẳng: bản nâng cấp đã trao cho kẻ tấn công "cách để làm việc này trong một lần quét". Nếu không có nó, cùng một vụ rút cạn sẽ cần nhiều giao dịch riêng lẻ, mỗi giao dịch là một cơ hội để hệ thống giám sát phát hiện.Chainalysis và TRM Labs đều quy trách nhiệm vụ trộm cho TraderTraitor, đơn vị Triều Tiên mà FBI đã chỉ mặt trong vụ hack Bybit. TRM nói họ giữ quan điểm này với độ tin cậy cao. Nhà điều tra on-chain ZachXBT và Chainalysis đều phát hiện số tiền từ Binance bị trộn lẫn với tiền từ vụ khai thác Bitget tháng trước, đến cùng một địa chỉ qua THORChain. Cùng một chủ thể, sàn thứ hai trong khoảng bốn tuần.
EIP 7702 đã khiến việc rút cạn nhanh hơn như thế nào?
EIP 7702 được phát hành cùng bản nâng cấp Pectra của Ethereum. Nó cho phép một tài khoản sở hữu bên ngoài thông thường ủy quyền việc thực thi của mình cho mã hợp đồng thông minh, để một ví bình thường có thể gộp giao dịch, tài trợ gas hoặc tuân theo các quy tắc chi tiêu tùy chỉnh. Theo đặc tả EIP-7702, ủy quyền đó được thiết lập bằng một chữ ký ủy quyền và vẫn có hiệu lực cho đến khi bị thay thế hoặc xóa bỏ.
Đối với người dùng, đó là một tính năng tiện lợi. Đối với kẻ tấn công có được chữ ký ủy quyền hợp lệ từ bên trong hạ tầng của một sàn giao dịch, nó là một chìa khóa vạn năng với bộ xử lý hàng loạt tích hợp. Thay vì đẩy từng lệnh rút qua hàng đợi phê duyệt, mã được ủy quyền có thể quét sạch một ví trong một luồng duy nhất. Ivo Georgiev của Ambire đã cảnh báo về rủi ro tiếp theo: các kỹ sư lấy lại quyền kiểm soát một tài khoản bị xâm phạm có thể không nhận ra rằng một ủy quyền độc hại vẫn còn gắn với nó.
Không điều nào trong số này có nghĩa là EIP 7702 bị lỗi. Nó có nghĩa là hạ tầng ký giao dịch của sàn giao dịch giờ đây có một loại quyền mới cần giám sát. Và ít nhất một trong những nhà vận hành lớn nhất ngành đã không theo dõi nó đủ sát.
Ai đã đóng băng cái gì, và nhanh đến mức nào?
Chainalysis ghi nhận các lần đóng băng đầu tiên lúc 5:14 chiều giờ miền Đông, khoảng 54 phút sau các dòng tiền chảy ra đầu tiên. Paolo Ardoino của Tether và Jeremy Allaire của Circle đã đăng tổng số tiền đóng băng trước cả khi Binance tạm dừng rút tiền. Đây là những gì các nhà phát hành và giao thức đã báo cáo.
| Bên đóng băng | Tài sản | Số tiền đóng băng | Cơ chế đóng băng |
|---|---|---|---|
| Tether | USDT | Hơn 1,567 tỷ USD | Danh sách đen của nhà phát hành trong hợp đồng token |
| Circle | USDC | Hơn 800 triệu USD | Danh sách đen của nhà phát hành trong hợp đồng token |
| Hội đồng Bảo an Arbitrum | 74...6M ARB và 8.425 ETH | Khoảng 30,5 triệu USD | Hành động quản trị khẩn cấp trên Arbitrum |
| World Liberty Financial | USD1 và WLFI | 27 triệu USD USD1, 2 triệu USD WLFI | Danh sách đen của nhà phát hành |
| Ripple | RLUSD | Không tiết lộ | Danh sách đen của nhà phát hành |
| First Digital | FDUSD | Không tiết lộ | Danh sách đen của nhà phát hành |
| Không ai | ETH trên mainnet, BTC | 0 USD | Không tồn tại |
Tổng số tiền đóng băng mà chính Binance công bố đạt khoảng 3 tỷ USD. Chainalysis đưa ra con số gần 2,8 tỷ USD hơn, và Elliptic ước tính khoảng 44 phần trăm tài sản bị đánh cắp đã bị đóng băng, với stablecoin chiếm gần như toàn bộ số đó. Chỉ riêng Tether và Circle chiếm khoảng 2,37 tỷ USD. Loại bỏ các nhà phát hành stablecoin ra, nỗ lực đóng băng tập thể của ngành chỉ còn vài chục triệu USD, phần lớn từ một hành động khẩn cấp duy nhất của Hội đồng Bảo an Arbitrum.
Tại sao hacker có thể giữ 3 tỷ USD còn lại?
Bởi vì 3 tỷ USD còn lại là, hoặc nhanh chóng trở thành, những tài sản mà không ai kiểm soát. ETH và BTC gốc không có khóa quản trị và không có chức năng danh sách đen. Một khi giá trị bị đánh cắp nằm ở đó, công cụ duy nhất còn lại là truy vết, hợp tác giữa các sàn và may mắn. Đúng vậy, những kẻ tấn công biết điều này và đã hành động tương ứng. Chainalysis truy vết khoảng 500 triệu USD stablecoin vào một ví được tạo ra cho một mục đích duy nhất, chuyển đổi tài sản có thể đóng băng thành tài sản không thể đóng băng. Trong khoảng 20 phút, 325 triệu USD stablecoin trở thành 285 triệu USD ETH. Khoảng mười phút sau, 175 triệu USD còn lại được đẩy sang các ví trung chuyển. TRM Labs cho biết những kẻ tấn công cũng bán USDT cho các nhà tạo lập thị trường và vay ETH dựa trên tài sản thế chấp stablecoin.Điều thú vị là chiến thuật cuối cùng đó đánh trực tiếp vào Aave. Khoảng 40 phút trước khi các lệnh đóng băng được áp dụng, kẻ khai thác đã gửi 60 triệu USDT và vay khoảng 19.762 WETH, trị giá khoảng 44,6 triệu USD. LlamaRisk xác nhận vị thế này được thế chấp quá mức và không gây rủi ro cho người cung cấp. Aave vẫn đóng băng 175 dự trữ V3 trên 16 mạng và 117 dự trữ V4 trên bốn mạng như một biện pháp phòng ngừa, sau đó mở lại cho vay và đi vay vào ngày 30 tháng 10. Logic giao dịch thật là khôn ngoan một cách tàn nhẫn: gửi USDT có thể bị đóng băng, bước đi với ETH không thể bị đóng băng, và để giao thức cho vay giữ túi tài sản thế chấp bị đưa vào danh sách đen.
Phân tích của chúng tôi về dữ liệu dòng tiền của Chainalysis cho thấy tốc độ đáng giá bao nhiêu đối với kẻ tấn công. Đổi 325 triệu USD stablecoin thành 285 triệu USD ETH tốn khoảng 40 triệu USD, mức cắt lỗ 12,3 phần trăm do trượt giá và thực thi vội vã. Trả hơn một đô la trong tám đô la để thoát khỏi danh sách đóng băng cho thấy các nhà vận hành Triều Tiên coi trọng thời gian phản hồi của Tether và Circle đến mức nào. Chainalysis cũng ghi nhận hàng nghìn giao dịch tự động, với nhiều địa chỉ mới lần đầu nhận đúng 1 TRX, và Levin cho biết số tiền lớn đã được chuyển đến các địa chỉ Tron.
Vụ hack Binance so với vụ hack Bybit - điều gì đã thay đổi?
| Chỉ số | Bybit (tháng 2 năm 2025) | Binance (tháng 10 năm 2026) |
|---|---|---|
| Số tiền bị đánh cắp | Khoảng 1,5 tỷ USD | 6,3 đến 6,4 tỷ USD |
| Quy cho | TraderTraitor (FBI) | TraderTraitor (Chainalysis, TRM Labs) |
| Điểm xâm nhập | Máy của nhà phát triển bị xâm phạm tại một nhà cung cấp ví | Laptop của kỹ sư DevOps bị xâm phạm, cộng thêm các điểm xâm nhập khác |
| Cơ cấu tài sản bị đánh cắp | Chủ yếu là ETH và ETH staking | Tỷ trọng lớn stablecoin cộng với ETH, BTC và các token khác |
| Tỷ lệ bị đóng băng | Một phần nhỏ | Khoảng 44 đến 48 phần trăm |
| Lần đóng băng đầu tiên của nhà phát hành | Hạn chế, ít tài sản có thể đóng băng | Khoảng 54 phút sau các dòng tiền chảy ra đầu tiên |
Sự tương phản chính là câu chuyện. Bybit mất gần như toàn bộ ETH không thể đóng băng, và nỗ lực thu hồi chủ yếu là một bài tập theo dõi việc rửa tiền. Binance mất một đống lớn hơn nhiều, nhưng một phần lớn hơn nhiều trong đó nằm trong các token có nhà phát hành đứng sau. Ví nóng của một sàn càng chứa nhiều stablecoin do tổ chức phát hành tập trung, thì càng nhiều phần của vụ trộm có thể được thu hồi. Đó là một bài học khó chịu cho bất kỳ ai đã bán stablecoin như "crypto không có biến động" và bỏ qua phần "có công tắc tiêu diệt".
Khách hàng của Binance có được bồi thường không?
Binance nói có. Đồng sáng lập Yi He cho biết sàn sẽ bù đắp toàn bộ tổn thất, và Changpeng Zhao đăng rằng ông kỳ vọng tiền của người dùng sẽ được bồi thường đầy đủ. Binance cho biết đã dành riêng hơn 6,34 tỷ USD quỹ công ty, khoảng 5 tỷ USD trong đó đã được giữ sẵn trong chính các token bị đánh cắp. Họ đang mua phần còn lại qua quầy và trên các sàn giao dịch, cảnh báo rằng thanh khoản mỏng có thể làm chậm một số giao dịch mua.
Đáng ngạc nhiên là các khoản nạp tiền vẫn hoạt động. Rút tiền bị tạm dừng lúc 6:55 chiều giờ miền Đông ngày 29 tháng 10, và hướng dẫn mới nhất nhắm đến việc khởi động lại theo từng giai đoạn trong khoảng 40 giờ kể từ bản cập nhật ngày 30 tháng 10 của Binance, rơi vào cuối tuần này. Bằng chứng dự trữ cập nhật dự kiến có trước thứ Hai. Binance được cho là đang làm việc với FBI.
Để bạn biết, các đối tác đã nhanh chóng công bố mức độ phơi nhiễm của họ. Wintermute cho biết mức phơi nhiễm của họ dưới 20 phần trăm vốn chủ sở hữu ròng, và GSR nói dưới 5 phần trăm. Bybit xác nhận không bị ảnh hưởng.
Thị trường crypto đã phản ứng thế nào?
Tệ, mặc dù vụ hack rơi vào một ngày vốn đã chao đảo sau khi Fed giữ nguyên lãi suất và thu nhập ngành công nghệ yếu. Đến ngày 30 tháng 10, dữ liệu CoinGecko cho thấy Bitcoin giảm 4,9 phần trăm trong 24 giờ xuống khoảng 76.937 USD. Ether giảm 5,7 phần trăm xuống khoảng 2.211 USD. BNB giảm 8 phần trăm xuống khoảng 693 USD, AAVE mất 11,3 phần trăm và UNI 10,7 phần trăm. Chỉ số Sợ hãi và Tham lam của Bitcoin giảm xuống 30, mức thấp nhất kể từ tháng 8.
Điều này có nghĩa gì với bất kỳ ai giữ crypto trên sàn giao dịch
Một vài bài học thực tế, không có gì mới, tất cả đều được nhấn mạnh mới mẻ. Quan trọng hơn, Số dư trên sàn giao dịch là một giấy nợ. Binance có vẻ có khả năng hấp thụ khoản lỗ 6 tỷ USD. Rất ít nhà vận hành trên trái đất có thể làm được. Việc tạm dừng rút tiền xảy ra ngay cả khi sàn giao dịch vẫn có khả năng thanh toán, và chúng xảy ra đúng lúc bạn muốn có coin của mình nhất.Đóng băng stablecoin cắt cả hai chiều. Cùng một danh sách đen đã cứu khoảng 2,4 tỷ USD ở đây cũng chính là thứ có thể khóa một ví vô tội tình cờ nhận được tiền bị nhiễm bẩn. Nếu bạn nhận USDT hoặc USDC từ một nguồn không rõ sau một vụ hack lớn, hãy kiểm tra địa chỉ gửi với các trình theo dõi công khai trước khi chuyển tiếp.
Kiểm tra ủy quyền EIP 7702 của chính bạn. Nếu bạn đã sử dụng tính năng ví thông minh trên Ethereum, hãy xem lại các ủy quyền mà tài khoản của bạn mang theo và xóa những cái bạn không nhận ra. Một ủy quyền độc hại có thể tồn tại lâu hơn thời điểm bạn lấy lại quyền kiểm soát.
Giữ tiền nhàn rỗi trong tự lưu ký. Điều này áp dụng cho cả tài khoản giao dịch và số dư cờ bạc. Các nền tảng như CryptoCasino.Vegas trả tiền thắng cược thẳng về ví của người chơi giúp nguyên tắc này dễ tuân theo: thời gian coin của bạn nằm trong ví nóng của người khác càng ít, thì một laptop bị xâm phạm ở nửa vòng trái đất càng ít có thể gây thiệt hại cho bạn.
Con số thu hồi cuối cùng sẽ thay đổi khi việc truy vết tiếp tục, và lịch sử cho thấy nó đi xuống, không đi lên. Bản tóm tắt của chính Levin về giai đoạn rửa tiền là điều đúng đắn cần ghi nhớ: tiền càng đi xa, cơ hội thu giữ càng ít. Nút đóng băng đã mua lại gần một nửa trong vòng một giờ. Mọi thứ sau đó là một cuộc truy đuổi.
