Penguin X: Binance bị hack như thế nào? Câu trả lời nằm ngay trong hệ thống của chính họ

Được dịch từ tiếng Thổ Nhĩ Kỳ

Binance bị hack như thế nào? Câu trả lời nằm ngay trong hệ thống của chính họ.

Đêm qua, 6.3 tỷ đô la đã bị đánh cắp từ Binance.

Đây là vụ trộm lớn nhất trong lịch sử tiền mã hóa.

Theo Binance, không có mật khẩu nào bị đánh cắp.

Tiền được hệ thống của chính Binance ký và gửi đi.

Tôi sẽ cho bạn thấy toàn bộ quá trình diễn ra như thế nào từ đầu đến cuối.

Để hiểu điều này, trước tiên bạn cần biết cặp ví là gì.

Trong Ethereum, ví gồm một địa chỉ và một khóa riêng liên kết với nó. Địa chỉ giống như số tài khoản, khóa riêng giống như mật khẩu của tài khoản đó.

Ví không có trí tuệ riêng, không có mã bên trong và không thể tự quyết định. Nếu chủ sở hữu ký một lệnh bằng khóa riêng, nó sẽ thực hiện; nếu không có chữ ký, nó chẳng làm gì cả. Hãy nghĩ về nó như một két sắt không có não.

Còn có hợp đồng thông minh nữa.

Bên trong nó có mã, và nó hoạt động tự động theo các chỉ dẫn được viết sẵn trước như "nếu điều này xảy ra thì làm điều kia".

Đến tháng 5 năm 2025, hai thứ này hoàn toàn tách biệt. Vào tháng đó, EIP-7702 được đưa vào Ethereum cho phép ví tuyên bố bằng một chữ ký: "Từ nay về sau, tôi sẽ hành động theo mã của hợp đồng này". Điều này gọi là ủy quyền.

Nói cách khác, một bộ não bên ngoài được gắn vào két sắt không não, và ngay khi chữ ký được ký, két sắt bắt đầu làm theo những gì bộ não đó bảo.

Toàn bộ kế hoạch của hacker được xây dựng dựa trên tính năng này, nhắm vào ví bận rộn nhất của Binance là Binance 14 bằng cách gắn bộ não do chính hắn viết.

1. Thiết lập một ví ẩn danh.

Hacker bắt đầu chuẩn bị một ngày trước cuộc tấn công. Hắn rút tiền từ dịch vụ trộn Tornado Cash, để nguồn gốc và chủ sở hữu của số tiền không thể truy vết. Giờ hắn có một ví để trả phí giao dịch mà không thể bị theo dõi.

2. Viết hợp đồng quét sạch, rồi khóa nó lại.

Sau đó, hắn viết bộ não để gắn vào Binance 14, tức là hợp đồng quét sạch. Hợp đồng này lấy toàn bộ ETH và tất cả token trong ví mà nó kết nối rồi gửi đến địa chỉ do hắn chỉ định.

Hắn còn khóa hợp đồng lại, chỉ địa chỉ của hắn mới có thể ra lệnh quét, nhờ vậy các bot theo dõi mạng không thể lấy tiền trước hắn.

Hắn thử nghiệm với số tiền nhỏ trong ví của mình, hệ thống hoạt động tốt.

3. Buộc hệ thống của Binance ký cho 10 mạng lưới.

Câu hỏi lớn là chữ ký được lấy như thế nào. Để kết nối Binance 14 với hợp đồng, cần một chữ ký từ khóa riêng của ví đó, và khóa đó nằm trong hệ thống của Binance.

Theo thông báo đầu tiên của Binance, máy tính của kỹ sư DevOps bị chiếm quyền, hacker xâm nhập vào dịch vụ nội bộ của Binance qua máy đó và gửi các lệnh rút tiền trái phép từ đó.

Binance sau đó tiết lộ họ tìm thấy các điểm xâm nhập khác ngoài máy tính, nhưng không đưa chi tiết.

Nói cách khác, hacker không lấy được khóa, mà buộc hệ thống giữ khóa ký bất cứ thứ gì hắn muốn.

Hắn ký hai loại thứ.

Loại một là quyền ủy quyền cho Ethereum, loại hai là các chuyển khoản thông thường cho Bitcoin, Tron, XRP, Solana và các mạng khác. Vì những mạng đó không có ủy quyền, các chuyển khoản được ký trực tiếp.

Các mạng này có loại khóa và phương thức ký khác nhau, vậy mà tất cả ví của Binance trên 10 mạng đều tạo chữ ký hợp lệ cho hacker.

Có vấn đề với quyền ủy quyền, vì quyền chỉ hợp lệ cho số thứ tự giao dịch hiện tại của ví.

Nhưng Binance 14 hoạt động liên tục, và mỗi khi một lệnh rút của người dùng được xử lý, số thứ tự tăng lên 1. Hacker không thể biết chính xác số thứ tự sẽ là bao nhiêu khi hắn sử dụng quyền.

Vì vậy, hắn lấy chữ ký cho 50 số thứ tự liên tiếp, cái nào khớp thì cái đó sẽ hợp lệ.

4. Làm trống ví Bitcoin, XRP, Solana và Tron.

Cuộc tấn công bắt đầu từ XRP,

Binance mất 233 triệu XRP từ 5 ví XRP. Sau đó là 970 nghìn SOL từ ví Solana. Vài phút sau, 18.270 BTC từ ví Bitcoin và 612 triệu đô la USDT từ Tron biến mất cùng lúc. Bitcoin được chia thành các phần 1.000 BTC trong cùng một khối.

5. Kết nối Binance 14 với hợp đồng của hắn.

Cùng lúc với Bitcoin, hắn gửi giao dịch đến Ethereum chứa 50 quyền ủy quyền. 49 cái bị vô hiệu vì số thứ tự không khớp, chỉ 1 cái khớp.

Từ khoảnh khắc đó, Binance 14 chạy mã của hacker.

6. 3 phút sau, rút 2.5 tỷ đô la.

Hắn ra lệnh quét, và trong một giao dịch, Binance 14 bị làm trống, 2.53 tỷ đô la được gửi đến một địa chỉ chưa từng sử dụng trước đó. Chỉ còn 1 ETH trong ví.

Vài giây sau, Binance 16 cũng bị làm trống, 174 triệu đô la. Hắn không gắn não vào ví này, hệ thống của Binance trực tiếp ký và gửi tiền. Sau đó, các ví trên Arbitrum và Avalanche cũng bị làm trống tương tự.

Rồi hacker tiếp cận một ví khác do Binance 14 quản lý và rút 823 triệu USDC từ đó.

7. Cố gắng bán stablecoin trước khi bị đóng băng.5

Hacker gặp vấn đề thời gian, vì hơn nửa số tiền hắn lấy được là USDT và USDC. Tether và Circle có thể đóng băng các token này tại bất kỳ địa chỉ nào họ muốn.

Vì vậy, ngay khi lần quét đầu tiên kết thúc, hắn bắt đầu bán stablecoin. Hắn nhanh chóng đổi chúng thành ETH và TRX trên các sàn như Uniswap.

Vì bán lượng lớn như vậy nhanh đến thế, hắn phải chấp nhận giá thấp hơn thị trường rất nhiều. Mục tiêu rõ ràng: chuyển tiền có thể đóng băng thành tiền không thể đóng băng.

Dù vậy, hắn không kịp. Khoảng nửa giờ sau lần quét chính, Tether hành động trước, rồi đến Circle, sau đó là các nhà phát hành khác.

Tổng cộng 2.7 tỷ đô la stablecoin bị đóng băng.

Số tiền này bị đóng băng trước khi bán được, hiện đang bị khóa trong ví của hacker và không thể sử dụng.

Trong lúc đó, quyền ủy quyền vẫn còn đó, mọi khoản tiền mới đến Binance 14 đều thuộc về hacker.

Hắn cũng quét sạch 200 triệu đô la tiền mới đến.

Binance chỉ cắt được kết nối sau 3 giờ 50 phút. Trong khoảng thời gian đó, ví chạy mã của hacker.

Tổng cộng 6.3 tỷ đô la từ 10 mạng bị rút.

Sau cuộc tấn công.

Hiện hacker còn lại 3.2 tỷ đô la không thể đóng băng. Phần lớn là 18.270 BTC và khoảng 510 nghìn ETH, phần còn lại là XRP, TRX và SOL. Một phần ETH này bị đánh cắp, phần khác từ stablecoin hắn bán và khoản vay Aave.

Hầu như không khoản tiền nào trong số này di chuyển kể từ đêm đó, chưa đến được cầu nối, máy trộn hay sàn giao dịch. Các công ty phân tích đã gắn nhãn các địa chỉ này, các sàn có thể quét tiền đến dựa trên đó.

Binance không nêu tên, nhưng TRM Labs, Elliptic và nhà nghiên cứu ZachXBT đều chỉ cùng một cái tên.

Nhóm TraderTraitor của Bắc Triều Tiên, tức là đội đã cướp Bybit năm 2025.

Lý do của họ là: Phương pháp giống nhau, ví được tài trợ từ Tornado Cash bằng các rút nhỏ, và chữ ký được thu thập trước rồi sử dụng một lần.

Có một điều không khớp.

Các nhóm Bắc Triều Tiên thường chuyển stablecoin đánh cắp thành ETH trong vài phút, nhưng lần này 2.6 tỷ đô la nằm trong ví hơn nửa giờ.

Elliptic ghi nhận sự khác biệt này, và chưa chính phủ nào đưa ra tuyên bố chính thức.

Câu hỏi lớn chưa có lời đáp vẫn là chữ ký được lấy như thế nào.

Làm sao máy tính của một kỹ sư lại biến thành quyền ký cho 10 mạng, và tại sao hệ thống ký của Binance lại ký quyền ủy quyền mà không kiểm tra?

Binance đã dừng các lệnh rút, hứa bù đắp tổn thất và công bố báo cáo kỹ thuật, các câu hỏi này đang chờ báo cáo đó.

Hacker không phá két, hắn gắn một bộ não vào két và buộc hệ thống của chính Binance ký quyền đó.

Tôi đang theo dõi các diễn biến. Sẽ cập nhật cho bạn.