Vụ hack Binance 6,3 tỷ USD: cuộc chạy đua truy vết trên blockchain

Ngày 29/10, Binance, sàn tiền số mà rất nhiều người dùng Việt Nam quen thuộc, bị tấn công và mất ước tính 6,3 tỷ USD. Theo VnExpress, đây được đánh giá là vụ hack sàn tiền số lớn nhất từ trước tới nay. Các công ty phân tích blockchain như TRM Labs và Chainalysis đang chạy đua với tin tặc để truy vết và thu hồi tài sản trước khi số tiền này bị chuyển thành tiền pháp định.

Câu chuyện không chỉ dành cho nhà đầu tư. Với người làm kỹ thuật, nó cho thấy điểm yếu của một hệ thống tài chính số khổng lồ có thể nằm ở chỗ rất đời thường, và việc truy vết trên blockchain thực tế diễn ra thế nào.

Chuyện gì đã xảy ra

Theo bài tổng hợp của VnExpress, dựa trên thông tin từ CNBC và Wall Street Journal, những điểm chính như sau:

• Thời điểm: vụ tấn công xảy ra ngày 29/10.
• Quy mô: ước tính 6,3 tỷ USD tài sản mã hóa bị đánh cắp.
• Điểm xâm nhập: ban đầu Binance cho rằng mọi thứ có thể bắt nguồn từ laptop của một kỹ sư DevOps bị xâm nhập. Đến ngày 30/10, sàn đăng trên X rằng quá trình điều tra tiếp theo đã phát hiện thêm các điểm xâm nhập khác. Chi tiết kỹ thuật cụ thể về các điểm này thì nguồn chưa nêu.
• Nghi phạm: cả TRM Labs và Chainalysis đều cho rằng thủ phạm là TraderTraitor, một nhóm tin tặc được cho là của Triều Tiên.

Ari Redbord, Giám đốc chính sách toàn cầu của TRM Labs, nói với CNBC rằng tin tặc đang tìm cách đổi tiền mã hóa sang tiền pháp định. Theo ông, đây là một cuộc chạy đua với thời gian.

Stablecoin bị đóng băng: khoảng 3 tỷ USD

Ngay sau vụ hack, một số nhà phát hành stablecoin đã ra tay, trong đó có Circle (đồng USDC) và Tether (đồng USDT). Họ đóng băng phần tài sản liên quan. Binance ước tính khoảng 3 tỷ USD trong tổng số 6,3 tỷ USD đã bị đóng băng.

Điều này làm được vì cách stablecoin vận hành. Stablecoin được neo 1:1 với một đồng tiền pháp định như USD và được bảo đảm bằng tài sản như trái phiếu chính phủ hoặc tiền mặt. Khác với Bitcoin hay Ether, stablecoin có một đơn vị phát hành tập trung nắm quyền kiểm soát hợp đồng token. Nhà phát hành có thể:

1. Đóng băng các địa chỉ ví bị nghi ngờ.
2. Hủy (burn) số token bị đóng băng để tin tặc không dùng được.
3. Phát hành lại lượng token tương ứng, để một cơ quan nhà nước có thẩm quyền giữ, rồi hoàn trả cho bên bị hại, ở đây là Binance.

Đây là ví dụ rõ về hai mặt của stablecoin. Khả năng can thiệp tập trung giúp thu hồi tài sản bị trộm, nhưng cũng nhắc người dùng rằng loại tài sản này không "phi tập trung" như nhiều người vẫn nghĩ.

Tin tặc đi trước một bước

Theo TRM Labs, nhóm tấn công đã đoán trước kịch bản đóng băng. Chúng nhanh chóng bán USDT cho các nhà tạo lập thị trường (market maker), đồng thời dùng stablecoin làm tài sản thế chấp để vay Ether. Ether không có đơn vị phát hành nào đóng băng được, nên khó thu hồi hơn nhiều. Còn số stablecoin bị đánh cắp thì nằm lại ở bên cho vay.

Blockchain là sổ cái công khai, nên về lý thuyết mọi lần chuyển tiền giữa các ví đều có thể theo dõi. Thực tế phức tạp hơn. Chainalysis cho biết họ gặp những mô hình rửa tiền chưa từng thấy: tin tặc dùng công cụ tự động để chuyển tiền qua lại liên tục giữa nhiều địa chỉ. Chúng không đi theo một chuỗi thẳng mà thường xuyên quay lại các địa chỉ đã xuất hiện trước đó trong chuỗi giao dịch. Mục đích là làm rối đồ thị giao dịch, gây khó cho việc truy vết khoảng 3 tỷ USD chưa bị đóng băng.

Jonathan Levin, CEO Chainalysis, nói với CNBC rằng công ty có các nhóm theo dõi liên tục cả ngày lẫn đêm, kết hợp với hệ thống truy vết tự động chứ không chỉ làm thủ công. Phía TRM Labs, Redbord cho rằng họ ngày càng nhận diện tốt các thủ đoạn kiểu này và gọi đây là một cuộc rượt đuổi không ngừng nghỉ giữa kẻ che giấu và người truy vết.

Mắt xích cuối: mạng lưới rửa tiền chuyên nghiệp

Theo cả hai công ty phân tích, tin tặc ngày càng hay dựa vào các tổ chức rửa tiền ở Trung Quốc để đổi tiền mã hóa thành tiền pháp định. Vì vậy, các nhà điều tra phải theo dõi cả những mạng lưới trung gian chuyên nghiệp, chứ không chỉ các ví của nhóm hacker.

Levin mô tả cách các tổ chức này làm việc. Họ mua thẳng tiền mã hóa bị đánh cắp với mức phí cao, tự rửa rồi trả lại cho tin tặc, có thể dưới dạng stablecoin. Sau đó số tiền này tiếp tục được đổi ra tiền pháp định. Theo Levin, tiền càng đi xa qua các bước này thì khả năng thu hồi càng thấp.

Binance bù đắp ra sao

Binance cam kết bù đắp toàn bộ tổn thất bằng quỹ SAFU (Secure Asset Fund for Users) và các quỹ của công ty, đồng thời khẳng định tiền của người dùng vẫn an toàn. SAFU được lập từ năm 2018 để bảo vệ người dùng khi có sự cố. Theo bài gốc, quỹ hiện giữ lượng Bitcoin trị giá khoảng 1 tỷ USD.

Wall Street Journal dẫn lời phát ngôn viên Binance cho biết:

• Sàn dành riêng hơn 6,3 tỷ USD từ quỹ công ty, gồm cả SAFU, để bù cho tài sản bị ảnh hưởng của người dùng.
• Trong đó, 5 tỷ USD được giữ dưới dạng đúng những loại tiền mã hóa đã bị đánh cắp.
• Binance đang tự ứng trước khoản này và sẽ tự hoàn lại bằng 3 tỷ USD bị đóng băng khi số tiền được giải phóng.
• Phần 1,3 tỷ USD tiền mã hóa còn thiếu đang được sàn mua lại qua các kênh giao dịch trên thị trường.

Về quy mô, theo công ty phân tích blockchain Nansen, các ví của Binance đang giữ khoảng 167 tỷ USD tài sản mã hóa, gồm tiền của người dùng, tài sản riêng của sàn và dự trữ SAFU. Binance cũng có những tài sản không hiện trên blockchain. Sàn cho biết sau khi nạp tiền từ dự trữ vào các ví nóng (hot wallet), số dư của người dùng sẽ không thay đổi.

Vì sao người làm công nghệ ở Việt Nam nên quan tâm

Việt Nam lâu nay thường được các báo cáo quốc tế xếp vào nhóm có tỷ lệ người dùng tiền mã hóa cao, và Binance là một trong những sàn phổ biến nhất ở đây. Một sự cố quy mô này vì thế ảnh hưởng trực tiếp tới rất nhiều người dùng trong nước, dù Binance đã cam kết bù đắp.

Thời gian gần đây Việt Nam cũng đang từng bước xây dựng khung pháp lý cho tài sản số và thí điểm thị trường tài sản mã hóa. Các doanh nghiệp, đội kỹ thuật trong nước muốn tham gia vận hành sàn, ví hay hạ tầng liên quan có thể xem vụ Binance như một bài học thực tế, cả về bảo mật lẫn về quy trình ứng cứu.

Điểm đáng chú ý nhất với dân kỹ thuật là giả thuyết ban đầu của chính Binance: một chiếc laptop của kỹ sư DevOps bị xâm nhập. Dù sau đó sàn cho biết còn nhiều điểm xâm nhập khác, chi tiết này cho thấy máy trạm của người có quyền truy cập hạ tầng là mục tiêu rất giá trị. Các nhóm tin tặc được cho là của Triều Tiên vốn hay nhắm vào kỹ sư, lập trình viên bằng mồi nhử tuyển dụng, file độc hại hay package giả mạo. Phần nhận định này là bối cảnh chung, bài gốc không nêu cách TraderTraitor tiếp cận laptop nói trên.

Đội kỹ thuật và người dùng nên làm gì

Bài gốc không đưa ra khuyến nghị. Dưới đây là một số gợi ý thực tế, rút ra từ những gì đã được công bố.

Với đội DevOps, SRE và kỹ sư hạ tầng (đặc biệt trong fintech, crypto):

• Coi laptop của người có quyền production là tài sản nhạy cảm nhất: dùng EDR, mã hóa ổ đĩa, hạn chế cài phần mềm ngoài danh sách cho phép.
• Không để secret, private key hay credential dài hạn trên máy cá nhân. Ưu tiên credential ngắn hạn, cấp quyền theo phiên (just-in-time access) và khóa phần cứng cho MFA.
• Tách quyền thao tác với ví nóng theo cơ chế multi-sig hoặc MPC, để một thiết bị bị chiếm quyền không đủ rút tiền.
• Cảnh giác với "bài test tuyển dụng", repo lạ hay package npm/PyPI không rõ nguồn gốc gửi qua LinkedIn, Telegram.
• Chuẩn bị sẵn quy trình ứng cứu: ai liên hệ nhà phát hành stablecoin, ai liên hệ công ty phân tích blockchain. Những giờ đầu sau sự cố quyết định phần lớn khả năng đóng băng tài sản.

Với người dùng cá nhân:

• Theo dõi thông báo chính thức từ Binance thay vì tin đồn trên mạng xã hội. Các vụ hack lớn thường kéo theo làn sóng lừa đảo giả danh "hỗ trợ hoàn tiền".
• Không để toàn bộ tài sản trên một sàn. Cân nhắc ví tự quản lý cho phần nắm giữ dài hạn nếu hiểu rõ cách bảo quản seed phrase.

Lưu ý và hạn chế

• Con số 6,3 tỷ USD là ước tính và vụ việc vẫn đang được điều tra. Số liệu có thể thay đổi khi có thêm thông tin.
• Kết luận nhóm TraderTraitor đứng sau là đánh giá của TRM Labs và Chainalysis. Theo bài gốc, chưa có kết luận chính thức từ cơ quan chức năng.
• Chi tiết các điểm xâm nhập ngoài chiếc laptop, cũng như thời gian dự kiến giải phóng 3 tỷ USD bị đóng băng, nguồn chưa nêu.
• Bài trên VnExpress là bài tổng hợp từ CNBC và Wall Street Journal, không phải điều tra độc lập. Một số nhận định trong bài đến từ chính các công ty phân tích blockchain, vốn có lợi ích kinh doanh khi nhấn mạnh năng lực truy vết của mình. Độc giả nên cân nhắc điều này.

Kết

Vụ hack Binance cho thấy cả sức mạnh lẫn giới hạn của việc truy vết trên blockchain. Stablecoin tập trung giúp chặn lại gần một nửa số tiền, còn phần còn lại phụ thuộc vào tốc độ của các nhà điều tra so với các mạng lưới rửa tiền. Với giới kỹ thuật, bài học dễ áp dụng nhất lại khá cơ bản: bảo vệ thật kỹ những chiếc máy và tài khoản có quyền chạm tới hạ tầng quan trọng.

Nguồn: VnExpress Số hoá