FBI xác nhận Triều Tiên đứng sau vụ trộm 6,3 tỷ USD tại Binance

FBI vừa chính thức quy trách nhiệm vụ đánh cắp khoảng 6,3 tỷ USD tiền mã hóa từ sàn Binance cho TraderTraitor, nhóm hacker được nhà nước Triều Tiên hậu thuẫn. Theo BleepingComputer, đây là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận. Với người làm kỹ thuật, chi tiết đáng chú ý nhất không nằm ở con số mà ở điểm khởi phát: laptop của một kỹ sư DevOps bị xâm nhập. Thêm một lần nữa, máy tính của người có quyền truy cập hạ tầng là mắt xích yếu nhất.

FBI công bố gì

Trong cảnh báo bảo mật phát hành hôm thứ Bảy, FBI cho biết Triều Tiên chịu trách nhiệm cho vụ trộm hơn 6 tỷ USD tài sản ảo từ Binance, xảy ra vào khoảng ngày 29/10/2026. Nhóm bị nêu tên là TraderTraitor. Các hãng bảo mật còn theo dõi nhóm này dưới những tên khác như Lazarus Group, Jade Sleet và APT38.

Trước khi FBI lên tiếng, hai công ty phân tích blockchain TRM Labs và Chainalysis đã liên kết vụ việc với TraderTraitor. Tuyên bố của FBI vì thế là bước xác nhận chính thức từ phía cơ quan chức năng Mỹ, khớp với những gì giới phân tích on-chain đã thấy.

Một số chi tiết chính theo bài gốc:

• Quy mô: khoảng 6,36 tỷ USD tiền mã hóa bị rút trên mười blockchain. Phần lớn số tiền được chuyển đi chỉ trong 20 phút.
• Đường tấn công: Binance trước đó cho biết kẻ tấn công xâm nhập laptop của một kỹ sư DevOps. Từ đó chúng truy cập được một service container và gửi các giao dịch rút tiền trái phép.
• Rửa tiền: FBI quan sát thấy nhóm này chủ yếu chuyển tài sản đánh cắp sang Ethereum (ETH). Cơ quan này dự đoán số tiền sẽ tiếp tục được rửa qua các nền tảng DeFi và dịch vụ hoán đổi tiền mã hóa tức thì (instant swap).
• Danh sách địa chỉ: FBI công bố 628 địa chỉ ví liên quan, gồm 608 địa chỉ Ethereum, 19 địa chỉ Bitcoin và 1 địa chỉ Solana.

FBI, Cơ quan Mật vụ Mỹ (U.S. Secret Service) và bộ phận điều tra hình sự của Sở Thuế vụ Mỹ (IRS Criminal Investigation) đang kêu gọi các sàn giao dịch, nhà vận hành blockchain và các nhà cung cấp dịch vụ tài sản ảo (VASP) chặn giao dịch liên quan tới những địa chỉ này.

Binance đang khắc phục ra sao

Trong thông tin gửi BleepingComputer, Binance cho biết đã chuẩn bị mở lại giai đoạn đầu của dịch vụ rút tiền vào ngày 1/11, trong khung 06:00–09:00 UTC (tức 13:00–16:00 giờ Việt Nam). Một số điểm khác Binance nêu:

• Sàn đã bù được khoảng 95% giá trị bị ảnh hưởng, tăng từ mức 90% ở lần cập nhật trước.
• 5% còn lại là các token kém thanh khoản. Binance đang tiếp tục mua lại qua thị trường và kênh OTC.
• Số dư các đồng BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD và ZEC được Binance khẳng định là được bảo chứng đầy đủ.
• Dịch vụ nạp tiền không bị ảnh hưởng.

Binance cũng tuyên bố sàn sẽ tự gánh toàn bộ thiệt hại và không chuyển khoản lỗ sang người dùng.

Chuỗi tấn công quen thuộc của TraderTraitor

Theo bài gốc, TraderTraitor có lịch sử dài nhắm vào các công ty tiền mã hóa và nhân viên của họ. Danh sách các vụ được gắn với hacker Triều Tiên gồm:

Thời điểm	Mục tiêu	Thiệt hại
05/2024	DMM Bitcoin	308 triệu USD
02/2025	Bybit	1,5 tỷ USD
04/2026	Drift	280 triệu USD
09/2026	Bitget	387,5 triệu USD
10/2026	Binance	~6,3 tỷ USD

Điểm chung đáng chú ý là các vụ này hiếm khi bắt đầu bằng lỗ hổng smart contract hay lỗi giao thức. Kẻ tấn công thường đi vào qua con người và máy trạm của họ:

• DMM Bitcoin: hacker giả làm nhà tuyển dụng trên LinkedIn. Chúng dụ một nhân viên của Ginco, công ty cung cấp ví tiền mã hóa, chạy một đoạn mã Python độc hại được ngụy trang thành bài kiểm tra trước tuyển dụng.
• Bybit: máy tính của một developer Safe{Wallet} bị xâm nhập. Từ đó kẻ tấn công vào được nền tảng ví, chỉnh sửa một yêu cầu giao dịch hợp lệ và chuyển hướng 1,5 tỷ USD về ví của chúng.
• Drift: một chiến dịch social engineering kéo dài sáu tháng. Những người tự xưng đại diện cho một công ty giao dịch tiền mã hóa gặp trực tiếp các contributor của Drift tại nhiều hội nghị trong ngành. Sau nhiều tháng xây dựng quan hệ, chúng được cho là đã xâm nhập thiết bị của nhân viên thông qua một code repository độc hại hoặc một ứng dụng TestFlight.
• Binance: laptop của kỹ sư DevOps. Bài gốc chưa nêu laptop này bị xâm nhập bằng cách nào.

Đứng sau nhiều vụ là chiến dịch lâu năm mang tên Operation DreamJob. Trong chiến dịch này, hacker Lazarus giả làm nhà tuyển dụng và tiếp cận lập trình viên, nhân viên ngành crypto bằng lời mời làm việc giả, mục đích là lừa họ cài mã độc.

Vì sao lập trình viên Việt Nam nên để ý

Vụ việc liên quan trực tiếp tới cộng đồng kỹ thuật trong nước, không chỉ vì Binance là sàn quen thuộc với nhiều người dùng Việt Nam:

1. Lập trình viên Việt là mục tiêu thực tế. Việt Nam có đội ngũ lớn làm blockchain, Web3 và làm remote cho các dự án nước ngoài. Đây đúng là nhóm mà kịch bản "nhà tuyển dụng gửi bài test" nhắm tới. Một lời mời phỏng vấn từ dự án crypto lương cao, kèm repo GitHub để "làm thử", là kịch bản rất dễ gặp trên LinkedIn, Telegram hay Discord.
2. DevOps là chìa khóa vào kho. Kỹ sư DevOps, SRE thường giữ credential tới CI/CD, cluster, container và secret manager. Trường hợp Binance cho thấy chỉ một laptop bị chiếm là đủ để chạm tới service có quyền ký hoặc gửi lệnh rút tiền. Điều này đúng với cả fintech, ví điện tử hay ngân hàng, chứ không riêng gì sàn crypto.
3. Tốc độ là yếu tố quyết định. Phần lớn số tiền đi mất trong 20 phút. Nếu hệ thống giám sát và quy trình phản ứng sự cố tính bằng giờ thì gần như không còn cơ hội can thiệp.
4. Trách nhiệm tuân thủ của VASP. Danh sách 628 địa chỉ ví là dữ liệu mà các sàn, ví và dịch vụ swap, kể cả các đội ngũ Việt Nam đang vận hành dịch vụ liên quan tài sản ảo, có thể đưa vào hệ thống sàng lọc giao dịch.

Nên làm gì ngay

Những gợi ý dưới đây là đề xuất của người viết dựa trên các mô thức tấn công được mô tả, không phải khuyến nghị trực tiếp từ FBI hay Binance.

Với lập trình viên cá nhân:

• Không chạy code từ "bài test tuyển dụng" trên máy chính. Nếu buộc phải chạy, dùng VM hoặc container tách biệt, không mount thư mục home, không có SSH key hay credential cloud bên trong.
• Cảnh giác với repo lạ: đọc package.json (các script postinstall), setup.py, Makefile và file cấu hình trước khi npm install hay pip install.
• Không cài ứng dụng TestFlight hay bản build beta từ người mới quen, kể cả khi đã gặp trực tiếp ở sự kiện.
• Tách thiết bị: máy dùng cho công việc có quyền production không nên dùng để thử nghiệm công cụ hay tài liệu từ bên ngoài.

Với đội DevOps và bảo mật:

• Không để laptop cá nhân của kỹ sư giữ credential dài hạn có quyền chạm vào luồng rút tiền hoặc ký giao dịch. Ưu tiên credential ngắn hạn, cấp quyền just-in-time và yêu cầu phê duyệt nhiều người cho thao tác nhạy cảm.
• Đặt giới hạn tốc độ và ngưỡng giá trị cho giao dịch rút. Khi vượt ngưỡng thì tự động tạm dừng và yêu cầu xác minh ngoài luồng (out-of-band).
• Giám sát hành vi bất thường ở service container, ví dụ một container đột nhiên gửi lượng lớn lệnh rút trên nhiều chain.
• Với các nền tảng có xử lý tài sản ảo: nạp danh sách địa chỉ FBI công bố vào hệ thống sàng lọc giao dịch và theo dõi các luồng tiền đổ về ETH, DeFi và dịch vụ swap tức thì.

Với người dùng Binance: theo dõi thông báo chính thức của sàn về lịch mở lại rút tiền theo từng giai đoạn. Đề phòng các trang hoặc tin nhắn mạo danh "hỗ trợ khôi phục tài sản", vì kẻ lừa đảo thường bám theo những sự cố lớn như thế này.

Lưu ý và những điều chưa rõ

• Bài gốc chưa nêu cách laptop của kỹ sư DevOps bị xâm nhập ban đầu: qua lời mời việc giả, repo độc hại hay một kênh khác. Cũng chưa rõ cơ chế phê duyệt nào ở phía Binance đã bị vượt qua để giao dịch rút được thực thi.
• Con số thiệt hại được nêu ở nhiều mức: FBI nói "hơn 6 tỷ USD", tiêu đề dùng 6,3 tỷ USD, còn chi tiết trong bài là khoảng 6,36 tỷ USD. Cần chờ báo cáo hậu kiểm (post-mortem) chính thức để có con số cuối cùng.
• Với vụ Bitget, phần thân bài gốc ghi 387,5 triệu USD, trong khi một bài liên quan trên cùng trang lại dùng con số 351,6 triệu USD. Độc giả nên đối chiếu thêm nếu cần trích dẫn.
• Tỷ lệ bù 95% và việc bảo chứng đầy đủ các đồng chính là thông tin do Binance tự công bố, bài gốc không nêu kiểm chứng độc lập.

Kết

Vụ Binance tiếp tục một mô thức đã lặp lại suốt nhiều năm: TraderTraitor không cần phá vỡ mật mã hay khai thác smart contract, chỉ cần chiếm được máy của đúng một người có quyền. Với người làm kỹ thuật, bài học thiết thực là coi máy trạm của developer và DevOps là tài sản cần bảo vệ ngang hạ tầng production, và coi mọi "bài test tuyển dụng" hay repo lạ là mã không đáng tin cho tới khi chứng minh được điều ngược lại.

Nguồn: BleepingComputer