Hack Binance 6,3 tỷ USD: nhóm Việt truy vết 474.866 ETH

1. Vụ hack Binance: 6,3 tỷ USD bị ảnh hưởng

Binance thông báo sáng 30/10 rằng sàn đang điều tra một sự cố an ninh. Sàn tạm dừng nạp và rút tiền, phong tỏa tài sản liên quan và phối hợp với cơ quan thực thi pháp luật. Theo thông báo của sàn, tổng giá trị tài sản bị ảnh hưởng ước tính khoảng 6,3 tỷ USD.

Điều tra ban đầu chỉ ra máy tính của một kỹ sư vận hành hệ thống đã bị xâm nhập. Điều này tạo điều kiện cho kẻ tấn công truy cập môi trường chạy dịch vụ và gửi lệnh rút tiền trái phép.

2. Nhóm chuyên gia Việt truy vết 474.866 ETH

Sau vụ việc, nhóm phân tích blockchain ChainTracer của Hiệp hội Blockchain và Tài sản số Việt Nam đã truy vết dòng tiền. Việc truy vết dựa trên dữ liệu giao dịch công khai. Báo cáo được công bố ngày 30/10.

Kết quả quan trọng nhất: ChainTracer xác định 474.866 ETH, tương đương khoảng 1,09 tỷ USD. Lượng này đang nằm trong 13 ví được nhóm nhận định do kẻ tấn công kiểm soát. Tại thời điểm chốt dữ liệu, lượng tài sản này chưa bị phong tỏa.

Nhóm công bố cả địa chỉ ví, mã giao dịch và phương pháp phân tích. Người đọc có thể đối chiếu với dữ liệu blockchain công khai. Theo ChainTracer, đội ngũ chỉ mất chưa tới 36 giờ để mô hình hóa dòng tiền.

3. EIP-7702 không phải lỗ hổng của Ethereum

EIP-7702 cho phép chủ ví giao quyền điều khiển ví cho một đoạn phần mềm. Giống như chủ két sắt ký giấy ủy quyền cho một người quản lý. Đây là tính năng hợp lệ, không phải lỗi của Ethereum.

Vấn đề nằm ở quyền ký giao dịch. Hãy tưởng tượng con dấu của một công ty. Kẻ gian không lấy con dấu. Họ khiến chính bộ phận giữ dấu đóng vào giấy tờ giả. Báo cáo của Blockaid dùng đúng hình ảnh này để mô tả cơ chế tấn công.

Chuỗi hành động được ghi nhận: hacker gộp các giấy ủy quyền EIP-7702 vào một giao dịch. Giao dịch nhắm vào một ví mang tên “Binance 14”. Rồi quyền đó được chuyển cho một hợp đồng thông minh chưa được xác minh. Hợp đồng này cho phép một người vận hành được chỉ định rút token và ETH. Bất cứ tài sản nào chuyển vào ví này lập tức bị chuyển tiếp tới địa chỉ do kẻ tấn công kiểm soát.

4. Đã phong tỏa bao nhiêu, còn nằm trong ví hacker

Ba con số thường bị gộp làm một. Tính đến sáng 30/10, chúng tách bạch như sau.

• 2,2 tỷ USD — hơn 2,2 tỷ USD stablecoin đã bị phong tỏa trên mạng Ethereum. Con số này theo ChainTracer, tính tới 7h35 ngày 30/10.
• 3 tỷ USD — tổng tài sản đã được xác minh phong tỏa, theo thông báo của Binance lúc 8h ngày 30/10. Đây là con số toàn cầu của sàn.
• 474.866 ETH — lượng đã xác định nằm trong 13 ví nghi hacker kiểm soát, chưa bị phong tỏa.

5. Bài học cho đội IT: quyền ký mới là mặt trận

Vụ việc này xảy ra ở một sàn tiền mã hóa. Nhưng cơ chế tấn công rất quen thuộc với bất kỳ hệ thống nào có “người giữ quyền ký”.

Bốn việc nên làm ngay.

1. Tách quyền ký khỏi môi trường thật. Mọi khóa có quyền rút tài sản hoặc deploy production phải nằm sau bước phê duyệt của con người.
2. Rà lại mọi cơ chế ủy quyền đang bật. Kẻ tấn công không cần khóa của bạn. Họ chỉ cần đường để hệ thống ký giao dịch của bạn làm việc thay bạn.
3. Theo dõi dòng tiền ra ngoài theo thời gian thực, không chỉ kiểm tra số dư cuối ngày.
4. Chuẩn bị kịch bản đảo ngược. Khi sàn giao dịch tài sản số tạm dừng rút, bạn cần chứng minh được mình đã kiểm soát khóa từ đầu.

Ranh giới cần nói rõ: đây là tấn công vào quyền ký giao dịch, không phải lỗ hổng trong thư viện phần mềm. Hai loại đó cần hai cách xử lý khác nhau. Bài về lỗ hổng HTTP2Shell trong thư viện nén Brotli là ví dụ cho loại thứ hai. Còn nguyên tắc “cho quyền vừa đủ” mà bài về 5 lớp phòng thủ cho AI agent nêu áp dụng cho loại thứ nhất.

Nếu bạn theo dõi an ninh mạng trong nước, tổng hợp tin an ninh mạng tuần 27–28/10/2026 có bối cảnh rộng hơn.

6. Thị trường tài sản số Việt Nam: chưa có sàn nào được cấp phép

Bộ Tài chính trả lời câu hỏi của độc giả ngày 28/10. Tính đến ngày 18/10/2026, chưa có tổ chức cung cấp dịch vụ tài sản mã hóa nào được Bộ Tài chính cấp phép. Quy định áp dụng là Nghị quyết số 05/2025/NQ-CP ngày 09/9/2025 của Chính phủ. Nghị quyết này triển khai thí điểm thị trường tài sản mã hóa tại Việt Nam.

Vì thị trường chưa vận hành, thời hạn 6 tháng tính từ khi tổ chức đầu tiên được cấp phép chưa bắt đầu. Do đó chưa thể nói người Việt giao dịch trên Binance đã bị xử phạt.

Ranh giới ở đây thật thà: chưa có căn cứ kết luận ai bị thiệt hại và ai bị xử lý.

Kết

Vụ hack này có hai tầng bài học. Tầng đầu là quy mô và tốc độ. Một nhóm tại Việt Nam mô hình hóa được dòng tiền của một sự cố toàn cầu trong chưa tới 36 giờ. Tất cả chỉ dựa trên dữ liệu công khai.

Tầng thứ hai áp dụng được ngay. Điều quyết định có mất tiền hay không, thường không phải thuật toán nào khéo hơn. Mà là quyền ký giao dịch có bị tách khỏi con người hay không.

Bạn đang quản lý hệ thống có ví nóng, khóa ký, hay dịch vụ định tuyến thanh toán? Ranh giới nào bạn sẽ rà lại tuần này?

Tham khảo các khóa học tại TonyTechLab.

Nguồn tham khảo

1. CafeF (VCCorp), “Nhóm chuyên gia Việt truy vết hơn 1 tỷ USD tiền mã hóa trong vụ tấn công Binance” (30/10/2026) — https://cafef.vn/nhom-chuyen-gia-viet-truy-vet-hon-1-ty-usd-tien-ma-hoa-trong-vu-tan-cong-binance-lon-nhat-lich-su-188261030110521557.chn.
2. CafeF (VCCorp), “Giải mã vụ hack Binance: Hacker khai thác một tính năng của Ethereum” (30/10/2026) — https://cafef.vn/giai-ma-vu-hack-binance-hacker-khai-thac-mot-tinh-nang-cua-ethereum-bien-vi-tien-thanh-may-hut-tien-va-cuom-di-hang-ty-usd-188261030111344295.chn.
3. VnExpress, “Binance bị hack, chuyển đi khoản tiền số trị giá khoảng 6 tỷ USD” (30/10/2026) — https://vnexpress.net/binance-bi-hack-chuyen-di-khoan-tien-so-tri-gia-khoang-6-ty-usd-5138609.html.
4. Bộ Tài chính, Hỏi đáp CSTC (trả lời 28/10/2026) — https://portal.mof.gov.vn/hoidapcstc/home/cthoidap/166886.
5. Công báo Chính phủ, Nghị quyết số 05/2025/NQ-CP (9/9/2025) — https://congbao.chinhphu.vn/van-ban/nghi-quyet-so-05-2025-nq-cp-46208.htm.