Mỗi lần một sàn lớn gặp sự cố, câu hỏi đầu tiên của nhà đầu tư thường là "tiền của tôi có mất không". Câu hỏi đó cần thiết, nhưng chưa đủ. Câu hỏi quan trọng hơn là: vì sao một lượng tài sản lớn đến vậy có thể rời đi chỉ bằng vài chữ ký?

Rạng sáng 30/10/2026 theo giờ Việt Nam, hơn 3 tỷ USD tài sản số rời các ví nóng của Binance, sàn giao dịch lớn nhất thế giới theo khối lượng, và sàn tạm dừng rút tiền trên nhiều mạng.[^rut] Đến thời điểm viết bài, Binance chưa công bố nguyên nhân, con số thiệt hại chính thức hay thời điểm mở lại. Theo tôi, vụ việc không chỉ là một vụ tấn công nữa vào ngành tài sản số. Nó là phép thử cho mô hình lưu ký tập trung ở quy mô lớn nhất từng có.

Bài viết sử dụng số liệu truy vết on-chain của ChainTracer, chương trình truy vết và phòng chống lừa đảo tài sản số của Hiệp hội Blockchain và Tài sản số Việt Nam.[^ct] Các phân tích, nhận định trong bài là quan điểm cá nhân của tôi.

## Chuyện gì đã xảy ra

Vụ tấn công được chuẩn bị gần 37 giờ. Từ chiều 28/10, một ví mà ChainTracer gọi là ví khởi phát nhận ba khoản nhỏ từ Tornado Cash, dịch vụ trộn tiền thường dùng để xóa dấu vết. Tối 29/10, ví này triển khai một hợp đồng thông minh có hàm "quét" toàn bộ token theo danh sách và chỉ nhận lệnh từ chính nó.[^ct]

Lúc 03:20:59 ngày 30/10 giờ Việt Nam, ví khởi phát gửi lên Ethereum một giao dịch mang 50 chữ ký ủy quyền của ví nóng Binance 14, tất cả trỏ tới hợp đồng quét.[^tx7702] Ba phút sau, hợp đồng quét sạch Binance 14: khoảng 167.464 ETH cùng 63 loại token, trong đó có khoảng 1,6 tỷ USDT, về một ví nhận vừa tạo. Hai mươi bốn giây sau, ví Binance 16 tự ký chuyển thêm khoảng 28.006 ETH và 55,7 triệu USDT tới cùng ví nhận.[^b16] Trong khoảng 20 phút tiếp theo, qua quyền điều khiển Binance 14, kẻ tấn công ra lệnh cho Hot Wallet 34 chuyển 823 triệu USDC.[^ct]

Phần lớn số tiền rời ví trong khoảng 40 phút. Tổng cộng, ví nhận trên Ethereum gom được khoảng 197.540 ETH, 1,88 tỷ USDT, 823 triệu USDC, 88,5 triệu RLUSD và hơn 60 loại token khác từ ba ví nóng của Binance.[^ct]

{{< diagram "su-co-vi-nong-binance/dong-thoi-gian" "Gần 37 giờ chuẩn bị, chưa đầy một giờ để rút phần lớn tài sản. Vạch vàng là khoảng thời gian tài sản bị rút khỏi các ví nóng, kéo dài tới lần quét thứ ba lúc 04:44. Giờ Việt Nam, theo truy vết on-chain của ChainTracer và các bản tin dẫn trong chú thích." >}}

Đồng sáng lập Changpeng Zhao (CZ) là người đầu tiên gọi đây là một vụ tấn công. Tuyên bố chính thức của Binance thận trọng hơn: sàn xác nhận đang điều tra "vấn đề an ninh tiềm ẩn", khẳng định tiền của người dùng an toàn, và cho biết rút tiền sẽ mở lại khi sự cố được xử lý xong.[^tuyenbo] Toàn bộ diễn biến chính, từ chữ ký ủy quyền tới lúc Binance xác nhận số tiền đã bị phong tỏa, gói gọn trong khoảng ba giờ.[^moc] Đáng chú ý, chỉ hai ngày trước, Binance cho biết đã chặn nhiều cuộc tấn công mạng có liên hệ với Triều Tiên trong tuần trước đó.[^trieutien] Chưa có cơ sở để nối hai sự kiện này với nhau.

## Không phá mã, chỉ cần quyền ký

Để hiểu vụ việc, cần phân biệt ví nóng và ví lạnh. Ví lạnh giữ phần lớn dự trữ, tách khỏi Internet. Ví nóng là ví trực tuyến sàn dùng để chi trả lệnh rút hằng ngày, nên luôn phải ở trạng thái sẵn sàng ký. Về nguyên tắc, ví nóng chỉ giữ một phần nhỏ tài sản. Việc một ví nóng đơn lẻ giữ khoảng 1,6 tỷ USDT là điều bản thân nó đã đáng đặt câu hỏi về hạn mức.

Công cụ kẻ tấn công dùng với Binance 14 là EIP-7702, tính năng có trong bản nâng cấp Pectra của Ethereum từ tháng 5/2025. EIP-7702 cho phép một ví thông thường tạm thời chạy mã của một hợp đồng thông minh. Chữ ký ủy quyền phải đến từ khóa riêng của chính ví đó, nhưng giao dịch mang chữ ký ấy lên chuỗi thì ai gửi và trả phí cũng được. Vì vậy lệnh rút xuất phát từ ví của kẻ tấn công, không phải từ chính Binance 14.[^eip] Nói cách khác, EIP-7702 không phải lỗ hổng; nó là bộ khuếch đại. Kể từ năm 2025, các hãng bảo mật như SlowMist đã nhiều lần cảnh báo kiểu tấn công này trên ví cá nhân, với điều kiện tiên quyết là khóa riêng bị lộ hoặc bị lừa ký.[^slowmist]

Chi tiết quan trọng nhất trong truy vết của ChainTracer nằm ở Binance 16. Ví này không bị ủy quyền; các giao dịch chuyển tiền do chính khóa của nó ký. Cộng với việc Hot Wallet 34 bị điều khiển gián tiếp qua Binance 14, kẻ tấn công đã có chữ ký hợp lệ của ít nhất hai ví nóng. Theo ChainTracer, mô thức này phù hợp với giả thuyết hạ tầng ký của sàn bị xâm nhập, không phải lỗi hợp đồng thông minh.[^ct] Kẻ tấn công lấy được chữ ký bằng cách nào, do lộ khóa, hệ thống ký bị thao túng như vụ Bybit năm 2025 hay nội gián, thì dữ liệu công khai chưa trả lời được.[^bybit]

{{< diagram "su-co-vi-nong-binance/co-che-uy-quyen" "Ba ví nóng, hai cách bị chiếm quyền. Binance 14 bị ủy quyền EIP-7702 cho hợp đồng quét, Hot Wallet 34 nhận lệnh qua Binance 14, còn Binance 16 do chính khóa của nó ký. Theo truy vết on-chain của ChainTracer." >}}

Một chi tiết vận hành khác đáng lo hơn. Binance 14 vẫn bị ủy quyền ít nhất tới 04:44, nên khoản 200,4 triệu USDT vừa được nạp bổ sung vào ví này bị quét tiếp chỉ sau 6 khối.[^ct] Nói cách khác, hệ thống của sàn tiếp tục nạp tiền vào một ví đã bị chiếm quyền hơn một giờ.

## Né phong tỏa trong 30 phút đầu

Kẻ tấn công hiểu rõ stablecoin có thể bị phong tỏa, nên ưu tiên đổi USDT sang ETH ngay từ phút đầu. Trong khoảng 03:30–04:09, chúng đổi 325 triệu USDT sang hơn 122 nghìn ETH qua UniswapX, gửi 60 triệu USDT làm tài sản thế chấp trên Aave để vay khoảng 19.762 ETH, và chuyển USDT liên tiếp qua 4–5 ví mới. Theo ChainTracer, khoảng 495 triệu USDT đã thoát dưới dạng ETH trước khi Tether bắt đầu phong tỏa, khoảng 04:05.[^ct]

Các token còn lại được chuyển sang từng ví riêng, mỗi ví được cấp sẵn phí gas, rồi bán dần qua Uniswap để đổi ra ETH. Đến 07:35 ngày 30/10, 13 ví do kẻ tấn công kiểm soát giữ tổng cộng 474.866 ETH, khoảng 1,09 tỷ USD, chưa bị phong tỏa. Bốn ví lớn nhất giữ 423.010 ETH và chưa chuyển đi.[^ct]

{{< diagram "su-co-vi-nong-binance/dong-tien" "Stablecoin bị chặn tại 3 ví; 474.866 ETH chưa bị phong tỏa nằm ở 13 ví, kể cả 2.071 ETH còn ở ví nhận chính. Dòng tiền trên Ethereum từ 03:24 tới 07:35 ngày 30/10/2026 giờ Việt Nam, theo truy vết on-chain của ChainTracer." >}}

## Đọc đúng các con số

Con số thiệt hại đang dao động rất rộng, và người đọc cần biết mỗi con số đo cái gì.

| Ước tính | Phạm vi | Nguồn, thời điểm |
|---|---|---|
| Khoảng 197.540 ETH, 1,88 tỷ USDT, 823 triệu USDC, 88,5 triệu RLUSD và hơn 60 token | Tài sản ví nhận chính trên Ethereum gom từ ba ví nóng Binance, đã xác minh trên chuỗi | ChainTracer, 07:35 30/10[^ct] |
| 5,57–5,64 tỷ USD | Tổng dòng tiền ra trên Ethereum (~3,5 tỷ), Bitcoin (18.270 BTC, ~1,45 tỷ) và Tron (~0,63 tỷ); phần Bitcoin, Tron chưa có địa chỉ công khai để xác minh | Tổng hợp on-chain của báo chí, 21:22 UTC 29/10[^dachuoi] |
| 2,54 tỷ USD | Tài sản đã bị phong tỏa trên mọi chuỗi, Binance xác nhận | Binance trên X, 29/10[^phongtoa] |
| 1,38 tỷ USDT và 823 triệu USDC | Phần phong tỏa đã kiểm tra được trên Ethereum | ChainTracer, 07:35 30/10[^ct] |
| 474.866 ETH, khoảng 1,09 tỷ USD | Tài sản còn trong ví kẻ tấn công trên Ethereum, chưa bị phong tỏa | ChainTracer, 07:35 30/10[^ct] |
| Khoảng 1 tỷ USD, "có thể cao hơn" | Thiệt hại ròng sau phong tỏa | CZ trên X, 30/10[^cz] |

Hai điểm cần lưu ý. Thứ nhất, số ETH chưa bị phong tỏa trên Ethereum mà ChainTracer đếm được, khoảng 1,09 tỷ USD, khớp với ước tính "khoảng 1 tỷ, có thể cao hơn" của CZ. Thứ hai, con số 5,6 tỷ USD được báo chí dùng nhiều gộp cả khoảng 2,1 tỷ USD rời ví trên Bitcoin và Tron. Phần này chưa có địa chỉ công khai, và có thể một phần là thao tác điều chuyển hợp lệ của chính Binance.[^noibo] Nếu toàn bộ phần đó cũng là tài sản bị chiếm đoạt, thiệt hại ròng sẽ vào khoảng 3 tỷ USD, gấp ba ước tính hiện nay.

{{< diagram "su-co-vi-nong-binance/con-so" "Dòng tiền ra gấp hơn năm lần quỹ SAFU, nhưng phần còn trong tay kẻ tấn công trên Ethereum chỉ xấp xỉ quỹ này. Phần Bitcoin và Tron chưa được xác minh trên chuỗi. Đơn vị tỷ USD, số liệu ngày 29–30/10/2026." >}}

Phía chi trả, Binance có Quỹ tài sản an toàn cho người dùng (SAFU), quy mô khoảng 1 tỷ USD bằng Bitcoin. CZ cam kết thiệt hại sẽ được bù, nhưng sàn chưa nói sẽ dùng SAFU hay bảng cân đối của chính mình.[^safu] Thị trường phản ứng ở mức vừa phải: đến 18:55 giờ miền Đông Mỹ ngày 29/10, Bitcoin giảm khoảng 2,8% về quanh 79.000 USD, ETH giảm 3,6%, còn BNB giảm 6,9% về khoảng 704 USD.[^thitruong]

## Đặt cạnh các vụ trước

| Sự cố | Thời điểm | Quy mô | Điểm bị tấn công | Cách xử lý |
|---|---|---|---|---|
| Binance | 5/2019 | Khoảng 7.000 BTC (khoảng 41 triệu USD lúc đó) | Ví nóng Bitcoin, qua phishing và mã độc | Dừng nạp, rút khoảng một tuần; SAFU bù toàn bộ[^2019] |
| BSC Token Hub | 10/2022 | Khoảng 2 triệu BNB đúc trái phép (khoảng 570 triệu USD) | Cầu nối giữa hai chuỗi của hệ sinh thái BNB | Validator dừng mạng; Binance cho biết khoảng 100 triệu USD không thu hồi được[^bsc] |
| Bybit | 2/2025 | Khoảng 1,5 tỷ USD bằng ETH | Ví lạnh đa chữ ký, qua mã độc cài vào giao diện ký của Safe{Wallet} | Vẫn duy trì rút tiền; vay bắc cầu và mua lại ETH để bù dự trữ[^bybit] |
| Bitget | 9/2026 | Khoảng 388 triệu USD | Ví nóng và ví ấm, qua lệnh rút giả mạo ghi thẳng vào hệ thống ví | Dừng rút khoảng 4–8 ngày tùy tài sản; bù từ quỹ bảo vệ[^bitget] |
| Binance | 10/2026 | Hơn 3 tỷ USD trên Ethereum; tới 5,6 tỷ USD nếu tính Bitcoin, Tron (chưa xác minh) | Quyền ký của ít nhất hai ví nóng; Binance 14 qua ủy quyền EIP-7702 | Dừng rút trên nhiều mạng; cam kết bù, chưa có kế hoạch cụ thể |

Bảng này cho thấy một xu hướng đáng lo: quy mô các vụ lớn dần theo thời gian, trong khi điểm tấn công dịch chuyển từ hạ tầng mạng sang khâu phê duyệt và ký. Năm 2019, kẻ tấn công dùng phishing và mã độc để chiếm một ví nóng. Năm 2022, chúng khai thác lỗi xác minh của một cầu nối. Năm 2025, chúng cài mã độc vào giao diện ký, khiến người ký của Bybit phê duyệt một giao dịch đã bị ngụy trang. Tháng 9/2026, chúng vượt qua hệ thống phê duyệt nội bộ của Bitget mà không cần lấy khóa riêng. Đến tháng 10/2026, chúng nắm quyền ký của nhiều ví nóng cùng lúc và dùng một tính năng giao thức hợp lệ để biến chữ ký thành quyền điều khiển trọn vẹn.

## Phong tỏa: tấm lưới có lỗ hổng thời gian

Phần thiệt hại được chặn lại chủ yếu nhờ các tổ chức phát hành tập trung. Tether phong tỏa hơn 1,5 tỷ USDT; Circle phong tỏa 823 triệu USDC và cho biết phối hợp với cơ quan thực thi pháp luật; Ripple và World Liberty Financial cũng phong tỏa tài sản liên quan.[^phongtoa][^fxs] Trên Arbitrum, khoảng 8.426 ETH và 74,6 triệu ARB của kẻ tấn công đã bị chuyển về một địa chỉ đặc biệt, phù hợp với tin Hội đồng An ninh Arbitrum phong tỏa. Ba tổ chức phát hành BEAM, SNX và SAND cũng tự thu hồi token của họ khỏi ví nhận.[^ct]

Nhưng tấm lưới có một lỗ hổng: thời gian. Tether bắt đầu phong tỏa khoảng 40 phút sau giao dịch quét đầu tiên, và khoảng 495 triệu USDT đã kịp đổi sang ETH trong khoảng đó. ChainTracer cũng ghi nhận con số USDT bị phong tỏa trên Ethereum, 1,38 tỷ, thấp hơn mức hơn 1,567 tỷ mà Tether công bố; phần chênh lệch có thể nằm ở các ví hoặc mạng chưa được truy vết.[^ct]

Đây là điểm tôi cho rằng sẽ được tranh luận lâu sau vụ việc. Stablecoin có khả năng phong tỏa là lưới an toàn hiệu quả khi tài sản bị đánh cắp. Cũng chính khả năng đó cho thấy các tài sản này phụ thuộc vào quyết định của một chủ thể phát hành. ETH thì không bị phong tỏa được, và 474.866 ETH trong tay kẻ tấn công vẫn là rủi ro bán tháo treo trên thị trường. Với người làm chính sách, hai thuộc tính này không loại trừ nhau: thị trường cần tài sản có chủ thể chịu trách nhiệm, đồng thời cần quy tắc minh bạch về việc ai được phong tỏa, khi nào và theo thẩm quyền nào.

## Những điều còn bỏ ngỏ

Ít nhất năm câu hỏi chưa có lời giải tại thời điểm viết bài.

Thứ nhất, nguyên nhân gốc: kẻ tấn công có được quyền ký của nhiều ví nóng bằng cách nào. Thứ hai, quy mô cuối cùng, nhất là khoảng 2,1 tỷ USD rời ví trên Bitcoin và Tron: tài sản bị chiếm đoạt hay sàn tự điều chuyển. Thứ ba, nguồn chi trả: SAFU khoảng 1 tỷ USD không đủ nếu thiệt hại ròng vượt xa con số CZ đưa ra. Thứ tư, thời điểm mở lại rút tiền; các báo cáo hiện còn khác nhau về mạng nào đang dừng, mạng nào vẫn chạy.[^rut] Thứ năm, số phận của 474.866 ETH: ChainTracer đã ghi nhận hai giao dịch thử qua một hợp đồng cầu nối và hai ví mới được cấp phí gas nhưng chưa hoạt động, dấu hiệu chuẩn bị chuyển tài sản sang chuỗi khác.[^ct]

Tiền lệ năm 2019 cho thấy Binance mất khoảng một tuần để mở lại rút tiền sau khi rà soát toàn bộ hệ thống.[^2019] Lần này quy mô lớn hơn nhiều, và các chỉ số nên theo dõi là: báo cáo nguyên nhân chính thức, con số thiệt hại sau phong tỏa, nguồn bù đắp, số dư dự trữ được công bố sau sự cố, và chuyển động của các ví đang giữ ETH.

## Điều đáng rút ra

Bài học lớn nhất, theo tôi, là an ninh của một sàn không còn được quyết định chủ yếu ở tầng mạng hay tầng máy chủ. Nó được quyết định ở tầng chính sách ký: ai được ký, ký cái gì, giới hạn bao nhiêu, và hệ thống có nhận ra một thông điệp ủy quyền bất thường trước khi nó được phát lên chuỗi hay không. Một ví nóng giữ hàng tỷ USD, bị chiếm quyền mà vẫn được nạp thêm tiền hơn một giờ sau, là vấn đề quản trị, không chỉ là vấn đề công nghệ.

Vụ việc cũng cho thấy giá trị của năng lực truy vết độc lập. Trong vài giờ, dữ liệu công khai trên chuỗi đủ để dựng lại toàn bộ đường đi của tài sản, đối chiếu con số của sàn và chỉ ra những điểm chưa khớp. Đó là thứ một thị trường cần có trước khi sự cố xảy ra, không phải sau.

Với Việt Nam, vụ việc đến đúng lúc. Nghị quyết số 05/2025/NQ-CP ngày 09/9/2025 về việc triển khai thí điểm thị trường tài sản mã hóa yêu cầu hệ thống công nghệ thông tin của tổ chức cung cấp dịch vụ phải đạt tiêu chuẩn an toàn cấp độ 4 trước khi vận hành, kèm quy trình lưu ký và quản lý tài sản khách hàng.[^nq05] Đây là mức yêu cầu cao, cao hơn cả các công ty chứng khoán. Tuy vậy, vụ Binance cho thấy cấp độ an toàn hệ thống thông tin là điều kiện cần, chưa phải điều kiện đủ. Các sàn thí điểm và cơ quan quản lý nên xem xét thêm những chuẩn mực ở tầng vận hành: hạn mức ví nóng theo tỷ lệ tài sản khách hàng, kiến trúc ký nhiều bên, giám sát on-chain theo thời gian thực đối với các thao tác ủy quyền như EIP-7702, cơ chế tự động ngừng nạp tiền vào ví có dấu hiệu bị chiếm quyền, và quỹ bảo vệ người dùng có quy mô tương xứng.

Cũng vì thế, khi thiết kế Mạng dịch vụ đa chuỗi blockchain Việt Nam (VBSN), chúng tôi không đặt cược vào một chuỗi duy nhất. VBSN hướng tới nhiều loại mạng, từ công khai, bán công khai tới mạng đóng, vì mỗi loại có mức tin cậy, cách quản trị và cách quản lý quyền ký khác nhau, phù hợp với từng nhóm ứng dụng, từ dịch vụ công tới tài chính. Thiết kế này được xây dựng với sự tư vấn của Boston Consulting Group (BCG), và theo hiểu biết của tôi, VBSN hiện là mạng duy nhất tại Việt Nam được thiết kế theo hướng này ở tầm quốc gia. Lập luận đầy đủ tôi đã trình bày trong bài [VBSN trong bối cảnh chuyển dịch từ đơn chuỗi sang đa chuỗi]({{< relref "vbsn-tu-don-chuoi-den-da-chuoi.md" >}}). Vụ Binance cho thấy rõ hơn điều đó: rủi ro không nằm ở việc chọn chuỗi nào, mà ở cách từng lớp hạ tầng quản trị quyền ký và giữ dữ liệu đủ minh bạch để truy vết khi có sự cố.

Tôi không xem đây là lý do để bi quan về tài sản số. Vụ Bybit và vụ Binance cho thấy ngành đã có những cơ chế giảm thiệt hại mà mười năm trước chưa có: dữ liệu on-chain công khai giúp phát hiện và truy vết trong vài phút, stablecoin phong tỏa được, và các sàn lớn đủ vốn để bù. Nhưng mỗi cơ chế đó đều đến sau khi tiền đã rời ví.

Một sàn có thể xây hạ tầng xử lý hàng trăm nghìn giao dịch mỗi giây. Niềm tin của thị trường thì phụ thuộc vào việc một giao dịch sai không bao giờ được ký.

[^ct]: [Vụ tấn công ví nóng Binance 29/10/2026: truy vết dòng tiền on-chain](https://blockchain.vn/blog/news-4/vu-tan-cong-vi-nong-binance-29-10-2026-truy-vet-dong-tien-on-chain-70), báo cáo của [ChainTracer](https://www.chaintracer.org/vi), chương trình truy vết và phòng chống lừa đảo tài sản số của [Hiệp hội Blockchain và Tài sản số Việt Nam](https://blockchain.vn), ngày 30/10/2026; số liệu chốt tại khối 26.302.017 (00:35 UTC).
[^tx7702]: Giao dịch [0xad99264d…](https://etherscan.io/tx/0xad99264d5532ae0dd04b2004eebda05f25657e70dacb764f7ac8d4ccd051298b) (loại 4, gửi từ ví khởi phát lúc 20:20:59 UTC) và giao dịch quét đầu tiên [0x53bd38b8…](https://etherscan.io/tx/0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3) lúc 20:24:23 UTC, theo truy vết của ChainTracer.
[^b16]: Giao dịch [0x51f263fa…](https://etherscan.io/tx/0x51f263fa50966df6bbd7f8c6e6e99e3791c94444f7c4343b2fef1ee2d62fd39f) do chính ví Binance 16 ký, lúc 20:24:47 UTC, theo truy vết của ChainTracer.
[^rut]: Người phát ngôn Binance xác nhận với TechCrunch việc tạm dừng rút tiền trên nhiều mạng, theo [InvestingLive](https://investinglive.com/cryptocurrency/binance-pauses-withdrawals-after-suspected-3b-hack-as-tether-circle-freeze-2-4b/), 30/10/2026; trạng thái theo từng mạng theo [CryptoTicker](https://cryptoticker.io/en/binance-withdrawals-solana-xrp-paused-after-hack/), 30/10/2026.
[^tuyenbo]: Các phiên bản tuyên bố của Binance trên X và quá trình chỉnh sửa, theo [FinanceFeeds](https://financefeeds.com/binance-hack-statement-edited-user-funds-safe/) và [Cyber Daily](https://www.cyberdaily.au/security/14375-binance-investigating-potential-security-incident-as-wallets-drained-of-billions), 30/10/2026.
[^moc]: Mốc 21:15 UTC phát biểu của CZ theo [FinanceFeeds](https://financefeeds.com/binance-hack-3-3b-hot-wallets-drained-tether-circle-freeze/); thông báo dừng rút lúc 01:33 giờ Kenya (22:33 UTC) theo [Tech-ish](https://tech-ish.com/2026/10/30/binance-pauses-withdrawals-suspected-hack/); con số 2,54 tỷ USD lúc khoảng 19:20 giờ miền Đông Mỹ (23:20 UTC) theo [Gizmodo](https://gizmodo.com/binance-investigating-possibly-massive-hack-2000832787).
[^trieutien]: Theo [FinanceFeeds](https://financefeeds.com/binance-hack-3-3b-hot-wallets-drained-tether-circle-freeze/), 30/10/2026, dẫn thông báo của Binance ngày 27/10/2026.
[^eip]: Theo [đặc tả EIP-7702](https://eips.ethereum.org/EIPS/eip-7702), chữ ký ủy quyền phải đến từ khóa của ví, còn giao dịch chứa nó có thể do tài khoản khác gửi và trả phí.
[^slowmist]: Cảnh báo của SlowMist về tấn công qua ủy quyền EIP-7702 khi khóa riêng bị lộ, theo [BitDegree](https://www.bitdegree.org/crypto/news/hackers-drain-wlfi-tokens-using-ethereums-eip-7702-feature), 9/2025.
[^cz]: Theo [Tech-ish](https://tech-ish.com/2026/10/30/binance-pauses-withdrawals-suspected-hack/), 30/10/2026; CZ không còn điều hành Binance, phát biểu với tư cách cổ đông.
[^dachuoi]: Bảng tổng hợp on-chain theo [Cryptonews](https://cryptonews.net/news/security/33673790/) (số liệu 21:22 UTC) và [Decrypt](https://decrypt.co/382191/binance-suspected-hack-5-billion-tether-circle-freeze-crypto), 29/10/2026; đây là dòng tiền ra, chưa phải số thiệt hại được Binance xác nhận.
[^fxs]: Theo [FXStreet](https://fxstreet.com/cryptocurrencies/news/breaking-binance-potentially-hacked-for-277-billion-202610292138), 29/10/2026; số liệu on-chain, chưa được Binance xác nhận.
[^noibo]: Theo bản tin an ninh của [CyPro](https://cypro.co.uk/insights/cyber-bulletins/binance-hack-fears-follow-2-billion-outflow/), 29/10/2026; chỉ cuộc điều tra của Binance mới phân định được.
[^phongtoa]: Tuyên bố của Binance trên X, theo [Gizmodo](https://gizmodo.com/binance-investigating-possibly-massive-hack-2000832787), 29/10/2026; Binance lưu ý con số có thể tiếp tục thay đổi.
[^safu]: Theo [CoinDesk](https://www.coindesk.com/business/2026/10/29/potential-multi-billion-binance-hack-hitting-crypto-markets), 29/10/2026.
[^thitruong]: Theo [Gizmodo](https://gizmodo.com/binance-investigating-possibly-massive-hack-2000832787), số liệu lúc 18:55 giờ miền Đông Mỹ ngày 29/10/2026.
[^2019]: Binance phát hiện sự cố ngày 7/5/2019; ví nóng bị chiếm chỉ giữ khoảng 2% lượng BTC của sàn và SAFU bù toàn bộ. Theo [TechCrunch](https://techcrunch.com/?p=1823936) và [The Hacker News](https://thehackernews.com/2019/05/binance-cryptocurrency-hacked.html), 8/5/2019.
[^bsc]: Lỗ hổng nằm ở cầu nối BSC Token Hub giữa BNB Beacon Chain và BNB Smart Chain, không phải ví của sàn Binance; mạng chạy lại ngày 7/10/2022. Theo [Reuters](https://www.reuters.com/technology/hackers-steal-around-100-million-cryptocurrency-binance-linked-blockchain-2022-10-07/), 7/10/2022.
[^bybit]: Ngày 26/2/2025, FBI quy trách nhiệm cho nhóm TraderTraitor của Triều Tiên; mã độc đi vào từ máy bị xâm nhập của một lập trình viên Safe{Wallet}, theo [The Hacker News](https://thehackernews.com/2025/02/bybit-hack-traced-to-safewallet-supply.html) và [The Register](https://www.theregister.com/2025/02/27/fbi_bybit_korea/). Việc duy trì rút tiền và vay bắc cầu theo [Cointelegraph](https://cointelegraph.com/news/crypto-exchange-bybit-withdrawals-processed-after-hack-ben-zhou) và [The Block](https://www.theblock.co/post/342739/bybit-secures-80-lost-eth-bridge-loan-partners-liquidity-crunch-following-hack), 2/2025.
[^bitget]: Theo [công bố của Bitget](https://www.bitget.com/campaigns/bitget-security-incident-2026) (cập nhật 13/10/2026), kẻ tấn công khai thác lỗ hổng zero-day ở sản phẩm bảo mật của bên thứ ba, khóa riêng không bị lộ; rút tiền mở lại từ 28/9 đến 2/10/2026. CEO Gracy Chen cho biết sàn nghi tin tặc Triều Tiên, theo [Fortune](https://fortune.com/2026/09/25/north-korea-bitget-387-million-crypto-attack/), 25/9/2026.
[^nq05]: [Nghị quyết số 05/2025/NQ-CP](https://vanban.chinhphu.vn/?pageid=27160&docid=215249) của Chính phủ về việc triển khai thí điểm thị trường tài sản mã hóa tại Việt Nam, ban hành và có hiệu lực ngày 09/9/2025. Yêu cầu an toàn cấp độ 4 là một điều kiện cấp phép tổ chức thị trường giao dịch, theo tổng hợp của [Mekong ASEAN](https://mekongasean.vn/thi-diem-thi-truong-tai-san-ma-hoa-tai-viet-nam-tu-ngay-99-45985.html).