Chuyện gì đã xảy ra

Tôi đã viết về cách kẻ tấn công vào và về việc quy kết ở các bài trước. Bài này nói về phần sau đó. Binance tạm dừng rút tiền, rồi mở lại từ ngày 1/11. Trong 46 giờ sau khi mở lại, theo số liệu CEO Richard Teng công bố, khách hàng rút 10,97 tỷ USD nhưng cũng nạp vào 5,69 tỷ USD. Phần tiền thực sự rời sàn, tức rút ròng, là 5,28 tỷ USD.¹ Con số này bằng khoảng 3,1% trong số 171 tỷ USD tài sản Binance từng công bố.² Giờ căng thẳng nhất, 1,24 tỷ USD bị rút ra chỉ trong 60 phút.¹

Cần lưu ý rằng 46 giờ được tính từ lúc mở lại rút tiền, không phải từ lúc bị tấn công. Đến ngày 3/11, tiền đã bắt đầu quay lại: mỗi giờ tiền nạp vào nhiều hơn tiền rút ra khoảng 10 triệu USD.¹ Trang thống kê DefiLlama ghi nhận khoảng 3,25 tỷ USD chảy vào trong 24 giờ, dù tính cả 7 ngày thì sàn vẫn mất ròng khoảng 12,16 tỷ USD.³ Người sáng lập Changpeng Zhao (CZ) cho biết ông từng tính trước khả năng khách rút 10–30% tài sản.⁴ Thực tế thấp hơn nhiều, và phần lớn tiền rút về ví cá nhân, chỉ 6–10% sang sàn khác.⁵

Sàn lớn sống nhờ đâu

Để hiểu vì sao Binance trụ được, nên so với một trường hợp quen thuộc hơn: ngân hàng bị rút tiền ồ ạt. Ngày 9/3/2023, khách hàng và nhà đầu tư của Silicon Valley Bank (SVB, Mỹ) đặt lệnh rút 42 tỷ USD chỉ trong một ngày. Cuối ngày, ngân hàng âm khoảng 958 triệu USD tiền mặt và bị cơ quan quản lý tiếp quản ngay sáng hôm sau.⁶ Số tiền đó bằng khoảng 24% tổng tiền gửi.⁷ Năm 2025, sàn Bybit bị rút khoảng một phần ba tài sản sau vụ hack 1,46 tỷ USD, vậy mà vẫn đứng vững.⁸ Binance bị rút khoảng 6% tài sản, tính phần thực sự rời sàn chỉ khoảng 3%.

Một vụ hack đi qua ba bước giống nhau ở mọi sàn: tài sản bị lấy, tin lan ra, khách đổ xô rút tiền. Điểm khác nằm ở bước thứ tư, tức sàn có bao nhiêu lớp đỡ để chịu đựng cuộc rút tiền đó. Sơ đồ dưới tóm tắt bốn lớp đỡ đã giúp sàn lớn sống sót.

Lớp thứ nhất: giữ đủ tiền của khách

Ngân hàng chỉ giữ lại một phần tiền gửi, phần còn lại đem cho vay hoặc đầu tư dài hạn. Khi nhiều người rút cùng lúc, ngân hàng không kịp thu tiền về, nên một phần tư khách hàng rút là đủ làm SVB sụp. Sàn giao dịch thì về nguyên tắc phải giữ đủ 1:1 tài sản của khách. Nếu giữ đúng, sàn không bị rút cạn theo kiểu ngân hàng, và cuộc rút tiền trở thành bài kiểm tra xem tài sản có thật hay không. Sàn FTX năm 2022 đã trượt chính bài kiểm tra này.

Lớp thứ hai: đủ vốn để tự bù

Binance mất 6,4 tỷ USD, tương đương khoảng 3,7% tài sản đang giữ cho khách, và tự bù bằng nguồn lực riêng.⁹ Với một sàn lớn, đây là vết thương đau nhưng không chí mạng. Có điều phải bù đúng loại tài sản: mất ETH thì phải mua lại ETH, mất token nào thì phải mua lại token đó. Giới quan sát ghi nhận Binance đã mua lại nhiều loại tiền số qua kênh giao dịch thỏa thuận ngoài sàn để bù kho.¹⁰

Lớp thứ ba: có đồng minh cho vay lúc khẩn cấp

Ngân hàng gặp khó có thể vay ngân hàng trung ương. Sàn tiền số không có “người cho vay cuối cùng” như vậy, nên ngành tự đóng vai đó. Năm 2025, Bybit vay khoảng 280 triệu USD tiền ether từ các công ty trong ngành để kịp trả 350.000 lệnh rút trong 10 giờ.¹¹ Sàn càng lớn và càng nhiều quan hệ thì càng dễ vay được tiền giữa đêm.

Lớp thứ tư: stablecoin đứng về phía người bị hại

Đây là điểm mới nhất và đáng chú ý nhất của vụ Binance. Nhiều năm nay, stablecoin chủ yếu là dòng máu của sàn: dùng để định giá, để giao dịch, để chuyển tiền giữa các sàn. Lần này nó còn trở thành lá chắn. Vì công ty phát hành có quyền khóa stablecoin trên một địa chỉ ví, phần tiền bị lấy cắp dưới dạng stablecoin có thể bị chặn lại trước khi kẻ gian kịp tẩu tán.

Nếu tính riêng USDT, khoảng 98% lượng bị chuyển đi đã bị khóa (tác giả tự tính, 1,567 trên khoảng 1,6 tỷ). Trong khi đó, phần lớn ETH vẫn đang trôi nổi. Ripple, World Liberty Financial và nhiều nền tảng khác cũng cùng chặn phần tài sản của mình.¹³ Khả năng phong tỏa nhanh như vậy được chuẩn bị từ trước: từ năm 2024, Tether cùng TRON và TRM Labs đã lập đơn vị chống tội phạm tài chính T3 FCU. Đến tháng 5/2026, đơn vị này đã khóa hơn 450 triệu USD tài sản phi pháp, phối hợp với cơ quan thực thi ở 23 khu vực tài phán.¹⁴ Vụ Binance là lần kênh phối hợp này hoạt động ở quy mô hàng tỷ USD.

So với Bybit năm 2025 sẽ thấy rõ khác biệt. Ở Bybit, tài sản bị lấy chủ yếu là ether, khoảng 400.000 ETH.¹⁵ Không ai có quyền khóa ETH, nên tiền bẩn chảy đi rất nhanh. Ở Binance, phần stablecoin gần như được giữ lại toàn bộ.

Cũng cần nói đủ hai mặt. Khoảng 700 triệu USDT đã kịp rời đi trước khi lệnh khóa có hiệu lực, nên tốc độ vẫn là giới hạn.¹² Quyền khóa tài sản để bảo vệ nạn nhân hôm nay cũng chính là quyền có thể khóa tài sản của bất kỳ ai, và giới quan sát đã đặt câu hỏi về điều này ngay sau vụ việc.¹⁰ Quyền đó chỉ đáng tin khi đi kèm quy trình rõ ràng, có yêu cầu từ cơ quan có thẩm quyền, và có đường khiếu nại cho người bị khóa nhầm.

Mười năm trước sàn chết, năm năm qua sàn lớn sống

Mười năm trước, bị hack gần như đồng nghĩa với dấu chấm hết, và người chịu thiệt là khách hàng. Năm 2014, Mt. Gox, khi đó là sàn bitcoin lớn nhất thế giới, mất khoảng 850.000 BTC và phá sản, để lại khoảng 127.000 chủ nợ.¹⁶ Phải mười năm sau, từ tháng 7/2024, họ mới bắt đầu nhận lại tiền.¹⁷ Năm 2016, Bitfinex mất 119.756 BTC và chọn cách cắt 36% số dư của mọi khách hàng, kể cả người không bị hack, đổi lại bằng token ghi nợ.¹⁸ Sàn sống sót và trả hết nợ trong tám tháng, nhưng phải đến năm 2026 tòa án Mỹ mới ra lệnh trả lại hơn 94.000 BTC đã thu giữ.¹⁹ Năm 2017, sàn Youbit của Hàn Quốc bị hack hai lần trong tám tháng; lần thứ hai mất 17% tài sản và nộp đơn phá sản.²⁰ Năm 2018, Coincheck của Nhật mất khoảng 530 triệu USD; công ty tự bồi hoàn cho khách nhưng sau đó bán mình cho tập đoàn Monex với giá chỉ khoảng 34 triệu USD.²¹

Năm năm gần đây, bức tranh đã khác, nhưng không đồng đều. Bybit mất khoảng 1,46 tỷ USD năm 2025, vẫn giữ cửa rút mở và bù đủ dự trữ trong 72 giờ.⁸ Bitget mất 351,6 triệu USD tháng 9/2026, dừng rút vài ngày rồi mở lại và cam kết tự bù toàn bộ, dù CEO không kỳ vọng lấy lại được phần lớn số tiền.²²²³ Binance mất 6,4 tỷ USD và năm ngày sau tiền đã bắt đầu quay lại. Ngược lại, DMM Bitcoin của Nhật mất 305 triệu USD năm 2024, phải vay thêm vốn để bù, chỉ hoạt động hạn chế rồi chuyển toàn bộ khách hàng sang SBI VC Trade và đóng cửa vào khoảng tháng 3/2025.²⁴ Cùng năm đó, WazirX của Ấn Độ mất khoảng 234 triệu USD; 6,6 triệu người dùng bị khóa tiền hơn một năm, trước khi tòa án Singapore duyệt phương án trả lại khoảng 85%.²⁵

Đặt các vụ việc này lên cùng một hình, có thể thấy số tiền bị mất không quyết định sàn sống hay chết.

Mười năm trước gần như không sàn nào có đủ lớp đỡ: không vốn dự phòng, không ai cho vay khẩn cấp, không ai khóa được tài sản bị lấy. Khách hàng cũng chỉ biết tin qua thông báo của sàn, trong khi ngày nay ai cũng có thể tự xem dòng tiền trên blockchain. Và khi một sàn không trụ nổi, kết cục giờ đây là chuyển giao có trật tự như DMM sang SBI, thay vì phá sản hỗn loạn như Mt. Gox.

Niềm tin có bị phá bỏ?

Với sàn lớn, theo tôi là chưa. Binance mất khoảng 3% tài sản ở đỉnh căng thẳng, thấp hơn nhiều so với mức CZ đã tính trước, và tiền đã quay lại. Thứ bị tổn hại là lời hứa “tiền của bạn luôn an toàn”. Quỹ dự phòng bảo vệ người dùng của Binance hiện đã thấp hơn mức mà chính sàn từng coi là phù hợp.¹⁰ Cái giá còn lại là phải giữ nhiều tiền dự phòng hơn, chịu giám sát chặt hơn, và trả lời câu hỏi “lần sau thì sao” trong nhiều năm.

Với sàn vừa và nhỏ thì có. DMM Bitcoin là một sàn được cấp phép ở thị trường quản lý chặt nhất châu Á, hoạt động sáu năm, và kết thúc chỉ sau một vụ hack. Hack chưa hết khả năng làm sập một sàn; rủi ro đó chỉ dồn về những sàn thiếu sức chịu đựng.

Sàn mới học được gì

Các sàn đang thí điểm tại Việt Nam sẽ khởi đầu với quy mô giống DMM hơn là giống Binance. Một vụ cỡ Bitget, khoảng 350 triệu USD, có thể lớn hơn toàn bộ vốn của một sàn mới. Chính CZ cũng thừa nhận không có an ninh tuyệt đối.²⁶ Vì vậy mục tiêu thực tế là chuẩn bị để vượt qua 72 giờ đầu tiên sau sự cố, và mỗi bài học dưới đây ứng với một lớp đỡ đã giúp sàn lớn sống sót.

Giữ ví nóng nhỏ hơn số vốn tự bù được

Hạn mức ví nóng nên tính theo vốn của sàn, không chỉ theo tỷ lệ tài sản khách hàng. Như vậy, kể cả khi bị lấy hết ví nóng, sàn vẫn tự trả được cho khách, đúng như cách Binance và Bybit đã làm.

Ưu tiên tài sản có thể khóa

Trong ví nóng nên ưu tiên những tài sản có thể bị khóa khi bị lấy cắp, kèm đường dây liên lạc khẩn cấp dựng sẵn với tổ chức phát hành stablecoin và cơ quan điều tra. Vụ Binance cho thấy mỗi giờ chậm trễ có thể là hàng trăm triệu USD lọt ra ngoài.

Ký trước thỏa thuận vay khẩn cấp

Thỏa thuận này nên ký sẵn với tổ chức lưu ký hoặc ngân hàng đối tác. Bybit vay được ETH trong đêm vì đã có quan hệ; một sàn mới không thể trông chờ điều đó nếu chưa chuẩn bị.

Công khai khả năng trả tiền ngay

Sàn nên công khai không chỉ việc có đủ tài sản, mà cả việc trong 24 giờ sàn trả được bao nhiêu cho từng loại tài sản lớn. Khi dòng tiền ra hiện lên công khai, con số chứng minh khả năng chi trả là cách nhanh nhất để giữ bình tĩnh cho khách hàng.

Diễn tập kịch bản rút 30% trong 48 giờ

Đây đúng là mức trên mà CZ đã tính trước, và gần mức Bybit từng trải qua.

Chuẩn bị sẵn phương án chuyển giao

Phương án này cần được cơ quan quản lý chấp thuận từ trước. Nếu không trụ nổi, khách hàng vẫn được chuyển sang nơi an toàn như trường hợp DMM, thay vì chờ mười năm như chủ nợ Mt. Gox.

Dự báo của tôi

Đây là ý kiến cá nhân tại ngày 04/11/2026. Tôi ước khoảng 60% khả năng ít nhất một cơ quan quản lý lớn ra quy định mới về ví nóng hoặc quỹ bồi thường trong 12 tháng tới, có nhắc đến vụ Binance (độ tin cậy trung bình). Khoảng 55% khả năng ít nhất một sàn cỡ vừa, tài sản dưới khoảng 5 tỷ USD, phải đóng cửa, chuyển giao hoặc tái cấu trúc vì hack trong 3 năm tới (trung bình). Khoảng 45% khả năng các sàn lớn công khai tăng tỷ trọng stablecoin trong ví nóng vì lý do an ninh trong 12 tháng tới (thấp). Khả năng Binance mất ròng quá 10% tài sản trong 30 ngày tới khoảng 15% (trung bình), và khả năng một sàn top 10 thế giới phá sản hoặc phải bán mình vì hack trong 3 năm tới khoảng 10% (thấp).

Binance sống sót nhờ quy mô, nhờ đồng minh, và lần này nhờ cả stablecoin. Sàn mới chưa có quy mô, nhưng hoàn toàn có thể chuẩn bị đồng minh và chọn tài sản đúng ngay từ ngày đầu. Đó là phần bài học có thể học được mà không cần lớn như Binance.

Đọc bài trên blog

Như vậy đã có bốn tổ chức cùng nêu một cái tên. Nhưng mỗi bên dựa vào một loại bằng chứng khác nhau, và phần người ngoài có thể tự kiểm lại ít hơn nhiều so với độ chắc chắn của các tuyên bố. Bài này tách ba loại bằng chứng đó, kèm hai sơ đồ: kẻ tấn công đã vào bằng cách nào, và dòng tiền đang được rửa ra sao. Thông tin chốt lúc 10:30 ngày 01/11/2026, giờ Việt Nam.

Ai đã quy kết, dựa vào đâu

Không bên nào công bố đầy đủ lập luận. Phần ai cũng kiểm lại được là dữ liệu trên chuỗi. Phần còn lại phụ thuộc vào uy tín và nguồn tin của từng bên.

Elliptic và ChainTracer thận trọng hơn

Elliptic chỉ dùng chữ “có khả năng”, và tự nêu hai điểm yếu trong lập luận của mình. Thứ nhất, lượng tiền hòa chung với vụ Bitget còn nhỏ. Thứ hai, kẻ tấn công đổi stablecoin khá chậm, đủ để đơn vị phát hành kịp phong tỏa, trong khi các nhóm gắn với Triều Tiên thường hành động nhanh hơn.⁴ Bản cập nhật cuối của Elliptic có trước tuyên bố của FBI.

ChainTracer, dự án truy vết của Hiệp hội Blockchain và Tài sản số Việt Nam, công bố báo cáo sáng 30/10 và ghi rằng danh tính, vị trí của những người đứng sau vẫn chưa được xác định.⁵ Báo cáo không giải thích vì sao không quy kết. Theo tôi, lý do rõ nhất nằm ở thời điểm: số liệu được chốt lúc 00:35 UTC, khoảng bốn giờ trước khi bằng chứng mạnh nhất xuất hiện. Nhóm cũng cho biết chưa đủ dữ liệu để tự kiểm chứng dòng tiền trên Bitcoin và Tron. Đây là suy luận của tôi, không phải giải thích của ChainTracer.

Bằng chứng thứ nhất: hai dòng tiền gặp nhau

Khoảng 04:06 UTC ngày 30/10, nhà điều tra độc lập ZachXBT ghi nhận tiền từ vụ Binance và tiền từ vụ Bitget (khoảng 387,5 triệu USD, ngày 24/9/2026) cùng đổ về địa chỉ 0x1510…feb7 trên Ethereum, sau khi đi qua THORChain.⁶ Vụ Bitget trước đó đã được Chainalysis và Elliptic quy cho Triều Tiên. Chainalysis theo dõi trực tiếp và coi đây là bằng chứng mạnh nhất.³ Elliptic dựng lại đường đi: từ một địa chỉ trên Tron, qua khoảng 28 bước trung chuyển, qua THORChain và cầu Hyperlane sang Ethereum.⁷

Có thể hình dung hai món đồ bị lấy ở hai nơi, cách nhau một tháng, rồi được mang tới cùng một tiệm cầm đồ. Đó là dấu hiệu đáng chú ý, và ai cũng tự kiểm lại được vì giao dịch nằm công khai trên chuỗi. Phép so sánh cũng cho thấy giới hạn. Một tiệm cầm đồ có thể nhận hàng của nhiều người, và các mạng lưới rửa tiền làm thuê là có thật: sau vụ Bitget, ZachXBT từng ghi nhận các nhóm rửa tiền rao nhận đơn công khai trên Discord và Telegram.⁶ Lượng tiền gặp nhau cũng nhỏ, khoảng 39 nghìn USD từ Binance so với khoảng 510 nghìn USD từ Bitget.⁷ Và vì quy kết vụ Bitget cũng là đánh giá của các hãng tư nhân, bằng chứng này chỉ mạnh bằng quy kết đứng trước nó.

Bằng chứng thứ hai: cách làm giống những vụ trước

Theo TRM, việc chuẩn bị bắt đầu từ sáng 28/10, ít nhất 36 giờ trước vụ trộm.² Ví điều hành của kẻ tấn công được nạp bằng ba khoản rút nhỏ từ Tornado Cash, dịch vụ che giấu nguồn gốc tiền. Ngày 29/10, ví này thử mã tấn công trên hai ví, diễn tập bản cuối trên ví thứ ba, rồi bốn giờ sau gắn đúng đoạn mã đó vào ví nóng Binance 14. Các chữ ký được chuẩn bị sẵn thành lô và dùng trong một đợt. TRM cho biết ba đặc điểm này đã xuất hiện ở vụ Bybit (2/2025) và KelpDAO (4/2026). Elliptic bổ sung rằng kẻ tấn công dùng chung một số dịch vụ với ba vụ trước đã được quy cho TraderTraitor là BigONE, WOO X và AFX.⁴

Điều tra viên đôi khi nhận ra kẻ trộm qua cách cạy khóa. Nhưng cách cạy khóa có thể học lại. Tornado Cash ai cũng dùng được, và chuẩn bị chữ ký trước rồi thực thi một lần là cách làm hợp lý với bất kỳ kẻ tấn công có kỷ luật nào. Loại bằng chứng này có giá trị khi cộng dồn, ít giá trị khi đứng một mình.

Bằng chứng thứ ba: phần không công khai

TRM nói đánh giá của mình dựa trên cả nguồn tin ngoài chuỗi nhưng không mô tả. FBI không công bố lập luận nào.²¹ Phần này thường gồm mã độc thu được, máy chủ điều khiển, tài khoản dùng để tiếp cận nạn nhân và tin tình báo. Như phần chìm của tảng băng, nó thường lớn hơn phần nổi, nhưng không thể công bố, vì công bố cũng là cho đối phương biết mình đang theo dõi bằng cách nào.

Phần này vẫn có trọng lượng vì FBI theo dõi TraderTraitor ít nhất từ tháng 4/2022, khi cùng CISA và Bộ Tài chính Mỹ ra cảnh báo về nhóm này,⁸ và đã quy cho nhóm này vụ DMM Bitcoin năm 2024 và vụ Bybit năm 2025.⁹¹⁰ Tôi chưa thấy quy kết nào trong số đó bị bác bỏ bằng bằng chứng ngược lại. Dù vậy, đây là kết luận của cơ quan điều tra, không phải phán quyết của tòa án. Người ngoài chỉ có thể cân nhắc uy tín của bên nói và xem nó có khớp với hai loại bằng chứng còn lại hay không.

Sơ đồ 1: kẻ tấn công vào bằng cách nào

Chi tiết đáng chú ý nhất là thứ tự. Lượt rút đầu tiên diễn ra trên XRP Ledger lúc 20:05 UTC, khoảng 15 phút trước giao dịch EIP-7702 trên Ethereum. Trên chín mạng ngoài Ethereum, ví Binance gửi tiền bằng giao dịch ký thông thường, với các loại khóa và cơ chế ký khác nhau.² Vì vậy TRM cho rằng hệ thống ký ví nóng của Binance đã bị điều khiển. Nói theo hình ảnh quen thuộc, kẻ gian có lẽ không lấy được chìa khóa, mà điều khiển được người giữ chìa. Tôi đã phân tích phần này ở bài trước.

Sơ đồ 2: dòng tiền được rửa ra sao

Stablecoin giống tiền gửi ngân hàng: đơn vị phát hành có thể phong tỏa. ETH và BTC giống tiền mặt: không ai phong tỏa được. Vì vậy việc đầu tiên kẻ tấn công làm là đổi. Chainalysis ghi nhận 325 triệu USD stablecoin được đổi sang khoảng 285 triệu USD ETH trong gần 20 phút.³ TRM tính ra giá ngầm định khoảng 2.650 USD mỗi ETH khi thị trường ở 2.300–2.350 USD, tức kẻ tấn công chấp nhận lỗ hơn 10% để đi trước lệnh phong tỏa.² Kết quả: khoảng 2,7–2,85 tỷ USD bị phong tỏa, gần như toàn bộ là stablecoin, nhưng kẻ tấn công vẫn giữ hơn 420.000 ETH và 18.270 BTC, khoảng 2,4 tỷ USD.²¹¹

Giai đoạn phân tán cho thấy dấu hiệu tự động hóa. Theo Chainalysis và Elliptic, ví phân phối chính trên Tron chuyển tiền mỗi giờ suốt 31 giờ, không nghỉ đêm, cho khoảng 150 ví chuyển tiếp; nhiều địa chỉ nhận đúng 1 TRX trước khi nhận tiền; các lệnh đổi vào THORChain lặp lại cùng một số tiền.³¹¹ Elliptic so sánh: sau vụ Bybit, nhịp rửa tiền còn theo giờ làm việc của con người. Lần này, nó giống một dây chuyền chạy liên tục.

FBI dự báo bước tiếp theo là các dịch vụ DeFi và hoán đổi tức thì. Khác với thông báo về vụ Bybit, lần này FBI nêu đích danh các nhà vận hành node THORChain trong danh sách được đề nghị chặn giao dịch.¹¹⁰

Vì sao FBI lên tiếng nhanh

Với vụ Bybit, FBI quy kết sau năm ngày. Lần này là khoảng hai ngày. Theo tôi, lý do thực tế nằm ở danh sách đi kèm: hơn 600 địa chỉ Ethereum, gần 20 địa chỉ Bitcoin và một địa chỉ Solana.¹² Danh sách ấy có tác dụng như lệnh truy nã gửi tới mọi cửa khẩu. Khi tài sản đã được gắn với một chủ thể bị Mỹ trừng phạt, sàn giao dịch, dịch vụ hoán đổi và bàn OTC có căn cứ rõ ràng để từ chối, và rủi ro pháp lý của việc tiếp nhận cũng tăng lên. Quy kết không giúp lấy lại tiền, nhưng làm việc đổi tiền ra tiền pháp định chậm và tốn kém hơn.

Đánh giá của tôi

Những điều còn bỏ ngỏ

Thứ nhất, Binance chưa công bố báo cáo nguyên nhân và chưa tự quy kết. Thứ hai, các con số còn lệch nhau: 6,36 tỷ USD trên 10 mạng theo TRM, 6,4 tỷ USD theo Chainalysis, 6,43 tỷ USD trên 11 mạng theo Elliptic, do mỗi bên định giá và đếm mạng khác nhau. Thứ ba, chưa rõ FBI dựa vào những nguồn nào. Thứ tư, chưa rõ các nhà vận hành node THORChain có chặn giao dịch theo đề nghị của FBI hay không.

Điều đáng rút ra

Khi đọc tin một vụ tấn công được quy cho Triều Tiên, tôi nghĩ nên hỏi bằng chứng thuộc loại nào. Dấu vết trên chuỗi thì ai cũng kiểm lại được. Dấu hiệu về cách làm cần nhiều vụ cộng lại mới có sức nặng. Thông tin tình báo thì chỉ có thể tin nhiều hay ít, tùy uy tín của bên đưa ra. Vụ Binance có cả ba loại cùng chỉ một hướng, nên kết luận khá chắc. Sự chắc chắn ấy đến từ việc các mảnh ghép khớp nhau, không đến từ một mảnh riêng lẻ nào.

Điều thứ hai: quy kết và thu hồi là hai việc khác nhau. Phần stablecoin được giữ lại nhờ đơn vị phát hành hành động trong chưa đầy một giờ; Tether phong tỏa ví nhận chính 37 phút sau lượt rút lớn nhất.² Phần ETH và BTC thì phụ thuộc vào việc các cửa ra, từ sàn giao dịch, dịch vụ hoán đổi tới bàn OTC, có thực sự chặn hay không.

Tên thủ phạm đã được nêu. Cửa ra của dòng tiền vẫn còn mở.

Đọc bài trên blog

Đây là một khung để đọc thông tin, không phải kết luận về nguyên nhân. Báo cáo kỹ thuật của Binance chưa được công bố, và một số nhận định dưới đây có thể phải điều chỉnh khi có thêm dữ kiện. Thông tin chốt lúc 10:45 ngày 31/10/2026, giờ Việt Nam.

Tóm lại: mất bao nhiêu, phong tỏa bao nhiêu, ai chịu

Con số 6,3 tỷ USD của Binance khớp với ước tính độc lập của TRM Labs, một công ty phân tích blockchain ở Mỹ làm việc với nhiều cơ quan thực thi pháp luật,³ theo đó khoảng 6,36 tỷ USD đã rời ví Binance trên mười mạng.⁴ Điều đó cũng có nghĩa phần tiền rời ví trên Bitcoin và Tron, mà bài đầu tiên còn để ngỏ khả năng là điều chuyển nội bộ, nhiều khả năng đã thuộc về vụ tấn công.

Vậy người dùng Binance có mất tiền không? Theo Binance, câu trả lời là không. Ông Richard Teng nói vụ tấn công nhắm vào ví nóng của chính sàn, và Binance cam kết chịu toàn bộ thiệt hại bằng quỹ SAFU và vốn công ty, không để người dùng gánh.⁵² Nói cách khác, số dư của người dùng không bị trừ; Binance chịu 100%.

Ba điểm nên giữ trong đầu khi đọc các con số này. Thứ nhất, đây là cam kết, sẽ được kiểm chứng qua báo cáo bằng chứng dự trữ (Proof of Reserves) Binance hẹn công bố trước thứ Hai 02/11 và qua việc rút tiền mở lại theo từng giai đoạn, dự kiến trong khoảng 34 giờ kể từ thông báo số 2. Đến lúc chốt bài, cả hai vẫn là kế hoạch. Thứ hai, 3 tỷ USD bị phong tỏa chưa phải 3 tỷ USD đã về tay Binance, nên tôi chưa lấy 6,3 trừ 3 để gọi đó là thiệt hại ròng. Thứ ba, bù đủ tiền và khắc phục được nguyên nhân là hai việc khác nhau. Phần còn lại của bài nói về việc thứ hai.

Binance đã giải thích gì về nguyên nhân

Thông báo đầu tiên, đăng sáng 30/10 giờ Việt Nam, cho biết sự cố có thể liên quan tới laptop bị xâm nhập của một kỹ sư DevOps, từ đó kẻ tấn công vào được một container dịch vụ và gửi các giao dịch rút tiền trái phép. Binance nói chưa tìm thấy bằng chứng khóa riêng của ví bị lộ.¹ Tối cùng ngày, ông Teng bổ sung: điều tra đã phát hiện thêm các điểm xâm nhập, kẻ tấn công dùng một “cơ chế tự hủy” để xóa công cụ và dấu vết, và ủy quyền EIP-7702 đối với ví nóng không đi qua các kiểm soát phê duyệt thông thường của sàn.⁵ Thông báo số 2 nhắc lại rằng chưa có bằng chứng lộ khóa và hẹn công bố thêm phát hiện kỹ thuật khi việc đó không ảnh hưởng tới điều tra.²

Binance chưa nói laptop bị xâm nhập bằng cách nào, nên các giả thuyết về thư lừa đảo, phần mềm giả hay nội gián, theo tôi, nên được xem là phỏng đoán. Sự dè dặt này có thể có lý do chính đáng: công bố quá sớm có thể giúp kẻ tấn công. Theo tường thuật, ông Teng gọi EIP-7702 là giao thức đa chữ ký; có thể đó là cách nói rút gọn. Về kỹ thuật, EIP-7702 là cơ chế cho phép một tài khoản thường ủy quyền thực thi mã của một hợp đồng thông minh, không phải cơ chế nhiều chữ ký.⁶

Giữ khóa và kiểm soát quyền ký có thể là hai việc khác nhau

Nhìn chung, một chữ ký trái ý chí chủ tài sản có thể ra đời theo ít nhất ba cách. Kẻ tấn công lấy được khóa và tự ký, như khi một ví cá nhân bị lộ cụm từ khôi phục. Kẻ tấn công điều khiển hoặc lợi dụng hệ thống ký mà không cần lấy khóa ra, như Bitget công bố về vụ tháng 9/2026. Hoặc người phê duyệt bị đánh lừa về nội dung thực sự được ký, như vụ Bybit năm 2025.⁷ Đây là khung chung, không phải danh sách nguyên nhân đã xác nhận ở Binance, và một vụ việc có thể kết hợp nhiều cách.

Ở các tổ chức lưu ký lớn, khóa ví nóng thường được giữ trong thiết bị bảo mật phần cứng (HSM) hoặc chia mảnh qua tính toán đa bên (MPC), với thiết kế để khóa không rời khỏi đó. Nhưng thiết bị ấy vẫn phải ký rất nhiều lần mỗi ngày cho những yêu cầu được coi là hợp lệ. Nếu một yêu cầu đến từ đúng chỗ, hoặc lọt qua chính sách, thiết bị có thể vẫn ký, trong khi khóa chưa từng rời két. Tôi không biết Binance dùng kiến trúc nào; đoạn này chỉ mô tả cách các hệ thống như vậy thường vận hành.

Hình ảnh gần gũi là con dấu cơ quan: con dấu vẫn nằm trong két, nhưng nếu quy trình trình ký bị người khác điều khiển, văn bản trái phép vẫn có thể mang dấu thật. Phép so sánh có giới hạn: chữ ký trên chuỗi có hiệu lực ngay và khó hoàn tác, còn một phiếu ủy quyền EIP-7702 không tự hết hiệu lực mà giữ nguyên cho tới khi bị thay hoặc được đặt lại về địa chỉ rỗng.⁸

Vì vậy, theo tôi, câu “chưa tìm thấy bằng chứng lộ khóa” làm giảm khả năng của cách thứ nhất, nhưng chưa cho biết nhiều về hai cách còn lại. Nó cũng khác với khẳng định khóa chắc chắn an toàn, nhất là khi dấu vết đã bị xóa.

Từ chiếc laptop tới chữ ký

DevOps là nhóm kỹ sư vận hành hệ thống; container là một môi trường đóng gói để chạy một dịch vụ, tách khỏi các dịch vụ khác. Laptop của một kỹ sư DevOps vì thế có thể là điểm truy cập có giá trị. Điều tôi quan tâm hơn là quãng đường từ chiếc laptop tới chữ ký.

Đặt các phát biểu của Binance lên mô hình này, kẻ tấn công có vẻ đã vào ở chặng container, còn ủy quyền EIP-7702 không đi qua chặng phê duyệt. Điều chưa được giải thích là yêu cầu đã tới chặng ký bằng cách nào: lớp phê duyệt bị vượt qua, bị vô hiệu, hay ngay từ đầu không được thiết kế để nhận diện một phiếu ủy quyền EIP-7702. Khả năng cuối khiến tôi suy nghĩ nhiều hơn cả, vì phiếu ủy quyền là một loại thông điệp riêng, được băm với tiền tố 0x05, khác hẳn giao dịch rút tiền.⁶ Đây chỉ là suy luận của tôi; Binance chưa nói điều này.

Dữ liệu trên chuỗi cho thấy gì, và chưa cho thấy gì

Hai bài trước đã ghi nhận Binance 14 bị ủy quyền cho hợp đồng quét, Binance 16 tự ký chuyển tiền, Hot Wallet 34 bị rút qua Binance 14, và Binance 14 vẫn được nạp thêm tiền khi đang bị chiếm quyền. Khi viết bài này, tôi kiểm lại giao dịch ủy quyền: 50 phiếu với nonce liên tiếp từ 18.914.775 đến 18.914.824; khôi phục người ký của ba phiếu ở đầu dải, cuối dải và phiếu đã có hiệu lực đều ra Binance 14. Giao dịch của Binance 16 là giao dịch thông thường do chính ví này gửi.⁹

Nguồn mới là TRM Labs: cùng đêm đó, các ví Binance trên XRP Ledger, Bitcoin, Tron, Solana và năm mạng khác cũng gửi tiền cho kẻ tấn công bằng giao dịch ký thông thường, với các loại khóa và cơ chế ký khác nhau. Lượt rút đầu tiên, trên XRP Ledger, diễn ra khoảng mười lăm phút trước giao dịch ủy quyền trên Ethereum.⁴ Nếu số liệu này được xác nhận, EIP-7702 có lẽ chỉ là một trong nhiều con đường. Bức tranh ấy có vẻ gần với cách thứ hai hơn cách thứ nhất, vì việc trích xuất cùng lúc khóa của nhiều hệ ký khác nhau là khó hình dung, dù không thể loại trừ. TRM cũng đánh giá khả năng cao nhất là hệ thống ký ví nóng của Binance đã bị điều khiển; đó là đánh giá của một hãng phân tích, chưa phải kết luận điều tra.

Một số điều dữ liệu trên chuỗi khó trả lời. Nonce là số thứ tự giao dịch, không phải dấu thời gian, nên dải 50 nonce cho thấy người chuẩn bị đã ước tính đúng nonce quanh thời điểm thực thi, nhưng chưa chứng minh chữ ký được tạo sát giờ gửi. Cũng chưa thể nói hệ thống ký ký được mọi loại thông điệp, mới chỉ thấy nó đã ký phiếu ủy quyền và giao dịch chuyển tiền. Ai đã yêu cầu ký, và vì sao việc nạp tiền vào Binance 14 chưa được dừng sớm hơn, nhiều khả năng cần đến nhật ký nội bộ.

Những câu hỏi còn mở

Khi Binance công bố báo cáo kỹ thuật, tôi sẽ tìm câu trả lời cho mấy câu hỏi: yêu cầu ký đi từ container tới hệ thống ký qua kênh nào; lớp phê duyệt xử lý phiếu ủy quyền EIP-7702 ra sao; các điểm xâm nhập mới nằm ở đâu; và sau khi dấu vết bị xóa, nhật ký nào còn đủ để dựng lại chuỗi sự kiện. Tôi cũng không chắc báo cáo công khai sẽ trả lời hết, vì có những chi tiết công bố ra có thể giúp kẻ tấn công lần sau.

Về thủ phạm, TRM quy cho nhóm TraderTraitor của Triều Tiên với độ tin cậy cao, và Chainalysis, một hãng phân tích blockchain khác,¹⁰ cũng nghiêng về hướng này.¹¹ Hai hãng này được nhiều cơ quan thực thi pháp luật sử dụng, và công cụ truy vết của Chainalysis từng được một tòa án liên bang Mỹ chấp nhận làm căn cứ chứng cứ.¹² Dù vậy, quy kết của họ vẫn là đánh giá chuyên môn, dựa một phần vào thông tin không công khai. Đến lúc chốt bài, tôi chưa thấy cơ quan điều tra nào công bố quy kết, và Binance cũng chưa. Với vụ Bybit năm 2025, quy kết chỉ mang tính chính thức khi FBI lên tiếng.¹³

Tới đây chúng ta rút ra được gì

Về tiền, câu trả lời đã khá rõ. Theo cam kết của Binance, người dùng không phải gánh phần nào trong khoảng 6,3 tỷ USD bị ảnh hưởng. Từ nay tới thứ Hai 02/11, chúng ta có hai mốc để tự kiểm chứng điều đó: rút tiền có mở lại như hẹn không, và báo cáo dự trữ cho thấy những gì.

Về nguyên nhân, câu chuyện mới chỉ bắt đầu. “Chưa thấy lộ khóa” không có nghĩa là không có gì hỏng. Có lẽ chúng ta nên quen nhìn an toàn của khóa và an toàn của quyền ký như hai câu hỏi riêng. HSM hay MPC giúp trả lời câu hỏi khóa có bị lấy mất không, còn câu hỏi ai được yêu cầu khóa ký cái gì cần đến những lớp kiểm soát khác.

Và còn vài câu hỏi tôi nghĩ chúng ta nên cùng bàn tiếp. Ranh giới giữa tiện ích và rủi ro của EIP-7702 nên được vạch ở tầng giao thức, tầng ví hay chính sách của từng tổ chức? Một sàn nên công khai bao nhiêu về kiến trúc ký của mình? Và khi một sàn đủ lớn để tự bù 6 tỷ USD, điều đó khiến thị trường an tâm hơn, hay khiến chúng ta dễ bỏ qua câu hỏi về nguyên nhân? Tôi rất muốn nghe thêm góc nhìn của bạn đọc.

Đọc bài trên blog

Điều đáng nói là kịch bản này không hề mới. Ngày 1/6/2025, chưa đầy một tháng sau khi EIP-7702 được kích hoạt trên mạng chính Ethereum cùng bản nâng cấp Pectra, hãng tạo lập thị trường Wintermute đã cảnh báo công khai: phần lớn các ủy quyền EIP-7702 khi đó trỏ về những bản sao của cùng một hợp đồng, được viết để tự động vét sạch ví bị lộ khóa ngay khi có tiền vào. Họ đặt tên cho nó là CrimeEnjoyor.² Bản thân đặc tả EIP-7702 cũng viết thẳng rằng mã được ủy quyền “có quyền truy cập không giới hạn vào tài khoản”, và “không có cách nào an toàn” để một ví cho phép ký ủy quyền tùy ý.³

Hợp đồng quét ví Binance 14 là phiên bản quy mô lớn của đúng kịch bản đã được cảnh báo: ủy quyền cho một hợp đồng quét, rồi vét toàn bộ ETH và token trong một giao dịch. Cần nói cho công bằng, các cảnh báo ấy nhắm vào một lớp rủi ro chung chứ không dự báo riêng về Binance, và EIP-7702 không tự làm lộ khóa. Như chuyên gia bảo mật Taylor Monahan nhận xét lúc đó, nó chỉ làm việc vét ví rẻ và nhanh hơn cho kẻ đã nắm được khóa.² Với một ví nóng giữ hàng tỷ USD, “nhanh hơn” nghĩa là một khóa bị lộ có thể bị khai thác gần như trọn vẹn chỉ trong một giao dịch.

Lý do đáng mổ xẻ nó rất đơn giản. Mọi lời giải thích về vụ việc, dù là lộ khóa, hệ thống ký bị thao túng hay nội gián, cuối cùng đều phải khớp với những gì hợp đồng này làm trên chuỗi. Và trên chuỗi thì không có gì bị xóa.

Địa chỉ các ví và giao dịch chính lấy từ truy vết của ChainTracer.⁴ Phần phân tích bytecode, khôi phục chữ ký và đối chiếu nonce dưới đây là do tôi tự kiểm lại từ dữ liệu công khai trên Ethereum. Nhận định trong bài là quan điểm cá nhân.

Một tệp mã 1.674 byte

Hợp đồng quét chỉ có 1.674 byte mã chạy (runtime bytecode), tương đương khoảng một trăm dòng Solidity. Nó không có biến lưu trữ, không có chủ sở hữu thay đổi được, không có cơ chế nâng cấp. Toàn bộ quyền điều khiển nằm trong một hằng số khắc cứng vào mã: địa chỉ ví khởi phát 0x7c86…5ca0. Mọi hàm quan trọng đều kiểm tra người gọi có phải ví này không, nếu không thì dừng với lỗi NotAuthorized.

Trên Etherscan, hợp đồng này đang hiển thị mã nguồn “đã xác minh”. Cần đọc kỹ: phần chú thích đầu tệp ghi rõ đây là mã do một mô hình AI dựng lại từ bytecode, không phải mã gốc của kẻ tấn công.⁵ Tôi không dùng nguyên văn bản dựng lại mà biên dịch lại nó bằng solc 0.8.28 với đúng cấu hình ghi kèm. Kết quả trùng từng byte với mã đang chạy trên chuỗi, chỉ khác đoạn metadata cuối tệp. Vì vậy logic mô tả dưới đây là chắc chắn; tên biến bên trong là phỏng đoán, còn tên hàm khớp với mã hàm 4 byte trên chuỗi.

Không phải một két sắt, mà là một bộ não thay thế

Điểm khác thường nhất của hợp đồng này là nó không giữ tiền và không được gọi trực tiếp. Nó được thiết kế để chạy như mã của chính ví nạn nhân, thông qua EIP-7702.⁶

Với EIP-7702, chủ một ví thông thường có thể ký một “phiếu ủy quyền” nói rằng: từ nay, khi ai đó gọi vào địa chỉ của tôi, hãy chạy mã của hợp đồng X. Sau khi phiếu được đưa lên chuỗi, địa chỉ Binance 14 vẫn là địa chỉ cũ, số dư vẫn nằm đó, nhưng mã chạy tại địa chỉ ấy là mã của hợp đồng quét. Khi ví khởi phát gọi sweep vào địa chỉ Binance 14, câu lệnh balanceOf(address(this)) hỏi số dư của chính Binance 14, và lệnh transfer được các hợp đồng token hiểu là Binance 14 tự chuyển tiền đi.

Đây là lý do tôi gọi hợp đồng này là bộ não thay thế. Kẻ tấn công không cần lấy trộm từng khoản tiền. Họ cần đúng một chữ ký hợp lệ để thay bộ não của ví, sau đó ví tự làm theo lệnh của họ với bất kỳ tài sản nào đang có hoặc sẽ được nạp vào.

Nếu đặt vào một ngân hàng

Với người quen nghiệp vụ ngân hàng hơn là Solidity, mỗi thành phần của bộ não này đều có một hình ảnh tương đương khá sát. Điểm khác nằm ở cột thứ ba, và chính các điểm khác đó làm nên vụ việc.

Ghép lại, vụ việc tương đương một tình huống như sau ở ngân hàng. Ai đó có được chữ ký hợp lệ của giám đốc tài chính một doanh nghiệp. Họ nộp giấy ủy quyền toàn quyền cho một người lạ, kèm yêu cầu cài lệnh quét toàn bộ số dư, mọi loại tiền, về một tài khoản ở nơi khác. Ngân hàng chấp nhận vì chữ ký đúng mẫu. Từ đó, mỗi lần người lạ gọi một cuộc điện thoại, toàn bộ số dư bị chuyển đi, kể cả khoản tiền khách hàng vừa nộp vào lúc trước. Và vì doanh nghiệp này còn dùng tài khoản ấy để điều hành một tài khoản con, người lạ ra lệnh chi luôn từ tài khoản con.

Ở ngân hàng, một giấy ủy quyền như vậy thường phải qua giao dịch viên, đối chiếu và phê duyệt trước khi có hiệu lực, và giao dịch bất thường có thể bị giữ lại hoặc đảo ngược. Trên Ethereum, phiếu ủy quyền có hiệu lực trong một khối 12 giây, và không có ai đứng giữa để từ chối hay hoàn tác.

Hàm quét được viết để không dừng giữa chừng

Phần lõi của hàm sweep rút gọn như sau:

for (uint256 i = 0; i < tokens.length; i++) {
    address token = tokens[i];
    if (token == address(0)) {                 // ETH
        uint256 bal = address(this).balance;
        if (bal > 1 ether) to.call{value: bal - 1 ether}("");
    } else {                                    // token ERC-20
        uint256 bal = IERC20(token).balanceOf(address(this));
        if (bal > 0 && !token.call(transfer(to, bal))) emit SweepItemFailed(token, 2);
    }
}

Có ba lựa chọn thiết kế đáng chú ý.

Thứ nhất, danh sách token do người gọi truyền vào, không khắc cứng trong mã. Lần quét đầu tiên lúc 03:24:23 truyền 65 mục: ETH và 64 token ERC-20, trong đó có USDT, RLUSD, UNI, PEPE, LINK, WBTC, SHIB.⁷ Một hợp đồng, nhiều lần dùng, mỗi lần một danh sách khác.

Thứ hai, token nào lỗi thì ghi sự kiện SweepItemFailed rồi đi tiếp, không làm hỏng cả giao dịch. Trong lần quét đầu, token Kite chuyển thất bại nhưng 63 token còn lại vẫn đi. Với kẻ tấn công, đây là bảo hiểm: một token có cơ chế chặn chuyển không thể làm hỏng cả mẻ quét trị giá hàng tỷ USD.

Thứ ba, ETH luôn được chừa lại đúng 1 ETH. Mã không nói lý do. Tôi cho rằng có hai khả năng: giữ cho ví đủ phí gas để các giao dịch thường ngày của sàn không bị lỗi và gây báo động sớm, hoặc đơn giản là chừa phí cho các thao tác tiếp theo. Đây là suy luận, không phải dữ kiện. Dữ kiện là trong buổi diễn tập, kẻ tấn công đã dùng withdrawETH để rút đúng 1 ETH chừa lại này.

Hàm thứ năm được thêm vào sau cùng

Hợp đồng quét không phải phiên bản đầu tiên. Lúc 09:28 sáng 29/10 giờ Việt Nam, gần 18 tiếng trước vụ tấn công, ví khởi phát đã triển khai một hợp đồng khác tại 0x19be…f2bf.⁸ Tôi biên dịch thử bản dựng lại sau khi bỏ hàm callExecute và nhận được bytecode trùng khớp với hợp đồng này. Nghĩa là phiên bản đầu có đủ các hàm quét, rút ETH, rút token, chỉ thiếu đúng một hàm.

Hàm được thêm vào trong phiên bản thứ hai, triển khai lúc 22:59 cùng ngày, là callExecute. Nó cho phép ví đang bị chiếm gọi hàm execute của một hợp đồng khác. Đối chiếu với lịch sử giao dịch, mục đích rất rõ: Hot Wallet 34 là một ví hợp đồng mà Binance 14 vẫn điều khiển hằng ngày bằng chính hàm execute, chẳng hạn để chuyển USDC tới các địa chỉ bên ngoài. Chiếm được Binance 14 nghĩa là chiếm luôn quyền ra lệnh cho Hot Wallet 34. Hai lệnh callExecute lúc 03:41:23 và 03:59:47 đã rút 780 triệu và 43 triệu USDC theo đúng đường này.⁹

Việc thêm hàm này sau khi đã có bản đầu cho thấy kẻ tấn công đã khảo sát cấu trúc ví của Binance khá kỹ, và điều chỉnh công cụ trong ngày chuẩn bị.

Một buổi diễn tập trên ví riêng

Lịch sử giao dịch của ví khởi phát cho thấy một quy trình kiểm thử bài bản trước giờ tấn công.

Với phiên bản đầu, họ ủy quyền hai ví thử do chính họ giữ khóa, rồi gọi sweep để kiểm tra luồng quét. Với phiên bản thứ hai, họ ủy quyền thêm một ví thử 0x43ae…04bd, quét thử bốn mục ETH, USDT, USDC, DAI, rồi gọi withdrawETH rút đúng 1 ETH sang một ví trung gian.¹⁰ Lúc 01:20 sáng 30/10, ví trung gian này chuyển lại 1,08 ETH cho ví khởi phát. Số ETH đó trở thành phí gas cho giao dịch ủy quyền hai giờ sau.

Một chi tiết nhỏ nhưng nhất quán: mỗi lần ủy quyền thử nghiệm đều kèm hai hoặc ba phiếu ký sẵn cho các nonce liên tiếp, bắt đầu từ 0. Tới lúc nhắm vào Binance 14, con số này là 50.

Năm mươi chữ ký và một cửa sổ vài phút

Phiếu ủy quyền EIP-7702 chỉ có hiệu lực khi số nonce ghi trong phiếu đúng bằng nonce hiện tại của ví ký. Với một ví cá nhân ít giao dịch, việc này dễ. Với Binance 14, một ví nóng gửi trung bình hơn hai giao dịch mỗi khối, nonce nhảy liên tục và kẻ tấn công không thể biết chắc giao dịch của mình sẽ được xếp vào lúc nào.

Lời giải là ký trước cả một dải nonce. Hình dung một xấp séc ký sẵn, mỗi tờ in một số thứ tự, và ngân hàng chỉ nhận tờ mang đúng số kế tiếp của tài khoản: không biết số kế tiếp là bao nhiêu, người ta ký cả xấp. Giao dịch lúc 03:20:59 mang 50 phiếu ủy quyền, cùng trỏ về hợp đồng quét. Tôi khôi phục khóa công khai từ từng chữ ký theo công thức của EIP-7702: cả 50 phiếu đều do khóa của Binance 14 ký, với 50 nonce liên tiếp từ 18.914.775 đến 18.914.824.¹¹

Đối chiếu với giao dịch của chính Binance 14 cho thấy phiếu nào đã có hiệu lực. Trong cùng khối 26.300.753, giao dịch thường ngày của sàn với nonce 18.914.808 đứng ngay trước giao dịch ủy quyền. Giao dịch kế tiếp của sàn ở khối sau mang nonce 18.914.810. Vậy phiếu được áp dụng là phiếu nonce 18.914.809, và nonce bị tiêu thụ đúng một bước.¹²

Chi tiết này mang ý nghĩa lớn hơn vẻ ngoài. Ở nhịp khoảng 20 giao dịch trong 9 khối 12 giây quanh thời điểm đó, dải 50 nonce chỉ tương ứng chừng 4–5 phút hoạt động của Binance 14, từ khoảng 03:18 tới 03:22. Điều đó cho thấy người chuẩn bị đã ước tính đúng nonce của ví quanh thời điểm thực thi. Nó gợi ý, nhưng chưa chứng minh, rằng chữ ký được tạo sát giờ gửi: các phiếu cũng có thể được ký trước cho một dải nonce dự đoán rồi chờ tới lúc thích hợp mới gửi. Thêm nữa, phiếu ủy quyền là một loại thông điệp riêng, được băm với tiền tố 0x05, khác hẳn một giao dịch rút tiền. Một hệ thống ký chỉ chấp nhận giao dịch rút tiền theo khuôn mẫu sẽ không ký nó.

Từ đó, theo tôi, có thể thu hẹp các giả thuyết như sau:

Tôi không gán xác suất cho từng giả thuyết. Dữ liệu trên chuỗi chỉ cho thấy người tạo các chữ ký đã có được 50 phiếu ủy quyền hợp lệ bằng khóa của Binance 14, với dải nonce khớp thời điểm thực thi quanh 03:20 sáng 30/10. Muốn đi xa hơn cần nhật ký nội bộ của sàn.

Khi kịch bản tự động gặp lệnh phong tỏa

Hợp đồng quét chạy đúng thiết kế, nhưng kịch bản điều khiển nó có một lỗ hổng: địa chỉ nhận được truyền vào mỗi lần gọi, và kẻ tấn công không đổi nó kịp thời.

Lúc 04:01:35, Tether đưa ví nhận chính 0x5227…2f8c vào danh sách phong tỏa.¹³ Hợp đồng USDT chỉ chặn ví bị phong tỏa gửi tiền đi, không chặn nhận vào, giống một tài khoản ngân hàng bị phong tỏa theo kiểu chỉ cấm rút: tiền vẫn chảy vào được, nhưng không ra được nữa. Ba phút sau, lần quét thứ hai vẫn chuyển 3,92 triệu USDT tới đúng ví ấy. Lần quét thứ ba lúc 04:44:11 chuyển tiếp 200,4 triệu USDT vừa được nạp vào Binance 14, cũng tới ví ấy.¹⁴ Khoảng 204 triệu USDT vì vậy rơi thẳng vào một ví đã bị khóa.

Lúc 05:06:23, Tether phong tỏa luôn chính Binance 14.¹³ Lần quét thứ tư lúc 05:39:35 đã đổi sang một ví nhận mới 0xa97b…8d10 và chuyển 122 loại token, nhưng mục USDT thất bại, được hợp đồng ghi lại bằng sự kiện SweepItemFailed.¹⁵ Từ 06:36 tới 06:56, ví khởi phát còn gọi sweep sáu lần nữa, chỉ với mục ETH, và không lần nào phát sinh lệnh chuyển tài sản.

Hai bài học nằm trong đoạn này. Phong tỏa của tổ chức phát hành có tác dụng thật, kể cả với một công cụ tự động. Nhưng nó có tác dụng nhờ kẻ tấn công chậm điều chỉnh, và chỉ với tài sản có chủ thể phát hành. ETH thì không.

Điều các đơn vị lưu ký nên rút ra

Hợp đồng quét không khai thác lỗ hổng nào của Ethereum hay của EIP-7702. Nó chỉ tận dụng đúng chức năng được thiết kế. Vì vậy, phòng thủ phải đặt ở phía người giữ khóa.

Thứ nhất, coi phiếu ủy quyền EIP-7702 là loại chữ ký nguy hiểm nhất. Hệ thống ký của ví nóng nên từ chối mặc định mọi thông điệp có tiền tố 0x05, trừ khi hợp đồng đích nằm trong danh sách được phê duyệt trước. Một ví nóng của sàn hầu như không có lý do gì để ủy quyền mã cho bên ngoài.

Thứ hai, giám sát giao dịch loại 4 theo thời gian thực. Bất kỳ giao dịch nào chứa phiếu ủy quyền ký bởi ví của mình đều phải kích hoạt cảnh báo mức cao nhất, ngừng nạp tiền vào ví đó và chuẩn bị sẵn quy trình ký phiếu ủy quyền về địa chỉ rỗng để thu hồi. Trong vụ này, từ lúc phiếu ủy quyền lên chuỗi tới lần quét thứ ba là 83 phút, và hệ thống của sàn vẫn nạp thêm hơn 200 triệu USDT vào ví đã bị thay bộ não.

Thứ ba, tách ví điều khiển khỏi ví giữ tiền. Hot Wallet 34 mất 823 triệu USDC không phải vì bị tấn công trực tiếp, mà vì nó tin tuyệt đối vào một ví nóng khác. Một ví hợp đồng giữ hàng trăm triệu USD nên có hạn mức theo thời gian hoặc yêu cầu nhiều chữ ký cho các lệnh lớn, thay vì chỉ cần một chủ.

Với thị trường Việt Nam, các yêu cầu này nên được đưa vào chuẩn mực vận hành của tổ chức cung cấp dịch vụ tài sản mã hóa, bên cạnh cấp độ an toàn hệ thống thông tin mà Nghị quyết số 05/2025/NQ-CP đã đặt ra và tôi đã phân tích trong bài trước.

Một tệp mã 1.674 byte không làm nên vụ tấn công. Nó chỉ là bằng chứng rõ nhất rằng, trong một thế giới mà chữ ký là quyền lực, câu hỏi quan trọng nhất của mọi hệ thống lưu ký là: ai có thể ký, và ký những gì.

Đọc bài trên blog

Rạng sáng 30/10/2026 theo giờ Việt Nam, hơn 3 tỷ USD tài sản số rời các ví nóng của Binance, sàn giao dịch lớn nhất thế giới theo khối lượng, và sàn tạm dừng rút tiền trên nhiều mạng.¹ Đến thời điểm viết bài, Binance chưa công bố nguyên nhân, con số thiệt hại chính thức hay thời điểm mở lại. Theo tôi, vụ việc không chỉ là một vụ tấn công nữa vào ngành tài sản số. Nó là phép thử cho mô hình lưu ký tập trung ở quy mô lớn nhất từng có.

Bài viết sử dụng số liệu truy vết on-chain của ChainTracer, chương trình truy vết và phòng chống lừa đảo tài sản số của Hiệp hội Blockchain và Tài sản số Việt Nam.² Các phân tích, nhận định trong bài là quan điểm cá nhân của tôi.

Chuyện gì đã xảy ra

Vụ tấn công được chuẩn bị gần 37 giờ. Từ chiều 28/10, một ví mà ChainTracer gọi là ví khởi phát nhận ba khoản nhỏ từ Tornado Cash, dịch vụ trộn tiền thường dùng để xóa dấu vết. Tối 29/10, ví này triển khai một hợp đồng thông minh có hàm “quét” toàn bộ token theo danh sách và chỉ nhận lệnh từ chính nó.²

Lúc 03:20:59 ngày 30/10 giờ Việt Nam, ví khởi phát gửi lên Ethereum một giao dịch mang 50 chữ ký ủy quyền của ví nóng Binance 14, tất cả trỏ tới hợp đồng quét.³ Ba phút sau, hợp đồng quét sạch Binance 14: khoảng 167.464 ETH cùng 63 loại token, trong đó có khoảng 1,6 tỷ USDT, về một ví nhận vừa tạo. Hai mươi bốn giây sau, ví Binance 16 tự ký chuyển thêm khoảng 28.006 ETH và 55,7 triệu USDT tới cùng ví nhận.⁴ Trong khoảng 20 phút tiếp theo, qua quyền điều khiển Binance 14, kẻ tấn công ra lệnh cho Hot Wallet 34 chuyển 823 triệu USDC.²

Phần lớn số tiền rời ví trong khoảng 40 phút. Tổng cộng, ví nhận trên Ethereum gom được khoảng 197.540 ETH, 1,88 tỷ USDT, 823 triệu USDC, 88,5 triệu RLUSD và hơn 60 loại token khác từ ba ví nóng của Binance.²

Đồng sáng lập Changpeng Zhao (CZ) là người đầu tiên gọi đây là một vụ tấn công. Tuyên bố chính thức của Binance thận trọng hơn: sàn xác nhận đang điều tra “vấn đề an ninh tiềm ẩn”, khẳng định tiền của người dùng an toàn, và cho biết rút tiền sẽ mở lại khi sự cố được xử lý xong.⁵ Toàn bộ diễn biến chính, từ chữ ký ủy quyền tới lúc Binance xác nhận số tiền đã bị phong tỏa, gói gọn trong khoảng ba giờ.⁶ Đáng chú ý, chỉ hai ngày trước, Binance cho biết đã chặn nhiều cuộc tấn công mạng có liên hệ với Triều Tiên trong tuần trước đó.⁷ Chưa có cơ sở để nối hai sự kiện này với nhau.

Không phá mã, chỉ cần quyền ký

Để hiểu vụ việc, cần phân biệt ví nóng và ví lạnh. Ví lạnh giữ phần lớn dự trữ, tách khỏi Internet. Ví nóng là ví trực tuyến sàn dùng để chi trả lệnh rút hằng ngày, nên luôn phải ở trạng thái sẵn sàng ký. Về nguyên tắc, ví nóng chỉ giữ một phần nhỏ tài sản. Việc một ví nóng đơn lẻ giữ khoảng 1,6 tỷ USDT là điều bản thân nó đã đáng đặt câu hỏi về hạn mức.

Công cụ kẻ tấn công dùng với Binance 14 là EIP-7702, tính năng có trong bản nâng cấp Pectra của Ethereum từ tháng 5/2025. EIP-7702 cho phép một ví thông thường được gắn mã của một hợp đồng thông minh; việc gắn này giữ nguyên cho tới khi ví ký ủy quyền khác hoặc đặt lại về địa chỉ rỗng. Chữ ký ủy quyền phải đến từ khóa riêng của chính ví đó, nhưng giao dịch mang chữ ký ấy lên chuỗi thì ai gửi và trả phí cũng được. Vì vậy lệnh rút xuất phát từ ví của kẻ tấn công, không phải từ chính Binance 14.⁸ Nói cách khác, EIP-7702 không phải lỗ hổng; nó là bộ khuếch đại. Kể từ năm 2025, các hãng bảo mật như SlowMist đã nhiều lần cảnh báo kiểu tấn công này trên ví cá nhân, với điều kiện tiên quyết là khóa riêng bị lộ hoặc bị lừa ký.⁹

Chi tiết quan trọng nhất trong truy vết của ChainTracer nằm ở Binance 16. Ví này không bị ủy quyền; các giao dịch chuyển tiền do chính khóa của nó ký. Cộng với việc Hot Wallet 34 bị điều khiển gián tiếp qua Binance 14, kẻ tấn công đã có chữ ký hợp lệ của ít nhất hai ví nóng. Theo ChainTracer, mô thức này phù hợp với giả thuyết hạ tầng ký của sàn bị xâm nhập, không phải lỗi hợp đồng thông minh.² Kẻ tấn công lấy được chữ ký bằng cách nào, do lộ khóa, hệ thống ký bị thao túng như vụ Bybit năm 2025 hay nội gián, thì dữ liệu công khai chưa trả lời được.¹⁰

Một chi tiết vận hành khác đáng lo hơn. Binance 14 vẫn bị ủy quyền ít nhất tới 04:44, nên khoản 200,4 triệu USDT vừa được nạp bổ sung vào ví này bị quét tiếp chỉ sau 6 khối.² Nói cách khác, hệ thống của sàn tiếp tục nạp tiền vào một ví đã bị chiếm quyền hơn một giờ.

Né phong tỏa trong 30 phút đầu

Kẻ tấn công hiểu rõ stablecoin có thể bị phong tỏa, nên ưu tiên đổi USDT sang ETH ngay từ phút đầu. Trong khoảng 03:30–04:09, chúng đổi 325 triệu USDT sang hơn 122 nghìn ETH qua UniswapX, gửi 60 triệu USDT làm tài sản thế chấp trên Aave để vay khoảng 19.762 ETH, và chuyển USDT liên tiếp qua 4–5 ví mới. Theo ChainTracer, khoảng 495 triệu USDT đã thoát dưới dạng ETH trước khi Tether bắt đầu phong tỏa, khoảng 04:05.²

Các token còn lại được chuyển sang từng ví riêng, mỗi ví được cấp sẵn phí gas, rồi bán dần qua Uniswap để đổi ra ETH. Đến 07:35 ngày 30/10, 13 ví do kẻ tấn công kiểm soát giữ tổng cộng 474.866 ETH, khoảng 1,09 tỷ USD, chưa bị phong tỏa. Bốn ví lớn nhất giữ 423.010 ETH và chưa chuyển đi.²

Đọc đúng các con số

Con số thiệt hại đang dao động rất rộng, và người đọc cần biết mỗi con số đo cái gì.

Hai điểm cần lưu ý. Thứ nhất, số ETH chưa bị phong tỏa trên Ethereum mà ChainTracer đếm được, khoảng 1,09 tỷ USD, khớp với ước tính “khoảng 1 tỷ, có thể cao hơn” của CZ. Thứ hai, con số 5,6 tỷ USD được báo chí dùng nhiều gộp cả khoảng 2,1 tỷ USD rời ví trên Bitcoin và Tron. Phần này chưa có địa chỉ công khai, và có thể một phần là thao tác điều chuyển hợp lệ của chính Binance.¹⁴

Phía chi trả, Binance có Quỹ tài sản an toàn cho người dùng (SAFU), quy mô khoảng 1 tỷ USD bằng Bitcoin. CZ cam kết thiệt hại sẽ được bù, nhưng sàn chưa nói sẽ dùng SAFU hay bảng cân đối của chính mình.¹⁵ Thị trường phản ứng ở mức vừa phải: đến 18:55 giờ miền Đông Mỹ ngày 29/10, Bitcoin giảm khoảng 2,8% về quanh 79.000 USD, ETH giảm 3,6%, còn BNB giảm 6,9% về khoảng 704 USD.¹⁶

Đặt cạnh các vụ trước

Bảng này cho thấy một xu hướng đáng lo: quy mô các vụ lớn dần theo thời gian, trong khi điểm tấn công dịch chuyển từ hạ tầng mạng sang khâu phê duyệt và ký. Năm 2019, kẻ tấn công dùng phishing và mã độc để chiếm một ví nóng. Năm 2022, chúng khai thác lỗi xác minh của một cầu nối. Năm 2025, chúng cài mã độc vào giao diện ký, khiến người ký của Bybit phê duyệt một giao dịch đã bị ngụy trang. Tháng 9/2026, chúng vượt qua hệ thống phê duyệt nội bộ của Bitget mà không cần lấy khóa riêng. Đến tháng 10/2026, chúng nắm quyền ký của nhiều ví nóng cùng lúc và dùng một tính năng giao thức hợp lệ để biến chữ ký thành quyền điều khiển trọn vẹn.

Phong tỏa: tấm lưới có lỗ hổng thời gian

Phần thiệt hại được chặn lại chủ yếu nhờ các tổ chức phát hành tập trung. Tether phong tỏa hơn 1,5 tỷ USDT; Circle phong tỏa 823 triệu USDC và cho biết phối hợp với cơ quan thực thi pháp luật; Ripple và World Liberty Financial cũng phong tỏa tài sản liên quan.¹²²⁰ Trên Arbitrum, khoảng 8.426 ETH và 74,6 triệu ARB của kẻ tấn công đã bị chuyển về một địa chỉ đặc biệt, phù hợp với tin Hội đồng An ninh Arbitrum phong tỏa. Ba tổ chức phát hành BEAM, SNX và SAND cũng tự thu hồi token của họ khỏi ví nhận.²

Nhưng tấm lưới có một lỗ hổng: thời gian. Tether bắt đầu phong tỏa khoảng 40 phút sau giao dịch quét đầu tiên, và khoảng 495 triệu USDT đã kịp đổi sang ETH trong khoảng đó. ChainTracer cũng ghi nhận con số USDT bị phong tỏa trên Ethereum, 1,38 tỷ, thấp hơn mức hơn 1,567 tỷ mà Tether công bố; phần chênh lệch có thể nằm ở các ví hoặc mạng chưa được truy vết.²

Đây là điểm tôi cho rằng sẽ được tranh luận lâu sau vụ việc. Stablecoin có khả năng phong tỏa là lưới an toàn hiệu quả khi tài sản bị đánh cắp. Cũng chính khả năng đó cho thấy các tài sản này phụ thuộc vào quyết định của một chủ thể phát hành. ETH thì không bị phong tỏa được, và 474.866 ETH trong tay kẻ tấn công vẫn là rủi ro bán tháo treo trên thị trường. Với người làm chính sách, hai thuộc tính này không loại trừ nhau: thị trường cần tài sản có chủ thể chịu trách nhiệm, đồng thời cần quy tắc minh bạch về việc ai được phong tỏa, khi nào và theo thẩm quyền nào.

Những điều còn bỏ ngỏ

Ít nhất năm câu hỏi chưa có lời giải tại thời điểm viết bài.

Thứ nhất, nguyên nhân gốc: kẻ tấn công có được quyền ký của nhiều ví nóng bằng cách nào. Thứ hai, quy mô cuối cùng, nhất là khoảng 2,1 tỷ USD rời ví trên Bitcoin và Tron: tài sản bị chiếm đoạt hay sàn tự điều chuyển. Thứ ba, nguồn chi trả: SAFU khoảng 1 tỷ USD không đủ nếu thiệt hại ròng vượt xa con số CZ đưa ra. Thứ tư, thời điểm mở lại rút tiền; các báo cáo hiện còn khác nhau về mạng nào đang dừng, mạng nào vẫn chạy.¹ Thứ năm, số phận của 474.866 ETH: ChainTracer đã ghi nhận hai giao dịch thử qua một hợp đồng cầu nối và hai ví mới được cấp phí gas nhưng chưa hoạt động, dấu hiệu chuẩn bị chuyển tài sản sang chuỗi khác.²

Tiền lệ năm 2019 cho thấy Binance mất khoảng một tuần để mở lại rút tiền sau khi rà soát toàn bộ hệ thống.¹⁷ Lần này quy mô lớn hơn nhiều, và các chỉ số nên theo dõi là: báo cáo nguyên nhân chính thức, con số thiệt hại sau phong tỏa, nguồn bù đắp, số dư dự trữ được công bố sau sự cố, và chuyển động của các ví đang giữ ETH.

Điều đáng rút ra

Bài học lớn nhất, theo tôi, là an ninh của một sàn không còn được quyết định chủ yếu ở tầng mạng hay tầng máy chủ. Nó được quyết định ở tầng chính sách ký: ai được ký, ký cái gì, giới hạn bao nhiêu, và hệ thống có nhận ra một thông điệp ủy quyền bất thường trước khi nó được phát lên chuỗi hay không. Một ví nóng giữ hàng tỷ USD, bị chiếm quyền mà vẫn được nạp thêm tiền hơn một giờ sau, là vấn đề quản trị, không chỉ là vấn đề công nghệ.

Vụ việc cũng cho thấy giá trị của năng lực truy vết độc lập. Trong vài giờ, dữ liệu công khai trên chuỗi đủ để dựng lại toàn bộ đường đi của tài sản, đối chiếu con số của sàn và chỉ ra những điểm chưa khớp. Đó là thứ một thị trường cần có trước khi sự cố xảy ra, không phải sau.

Với Việt Nam, vụ việc đến đúng lúc. Nghị quyết số 05/2025/NQ-CP ngày 09/9/2025 về việc triển khai thí điểm thị trường tài sản mã hóa yêu cầu hệ thống công nghệ thông tin của tổ chức cung cấp dịch vụ phải đạt tiêu chuẩn an toàn cấp độ 4 trước khi vận hành, kèm quy trình lưu ký và quản lý tài sản khách hàng.²¹ Đây là mức yêu cầu cao, cao hơn cả các công ty chứng khoán. Tuy vậy, vụ Binance cho thấy cấp độ an toàn hệ thống thông tin là điều kiện cần, chưa phải điều kiện đủ. Các sàn thí điểm và cơ quan quản lý nên xem xét thêm những chuẩn mực ở tầng vận hành: hạn mức ví nóng theo tỷ lệ tài sản khách hàng, kiến trúc ký nhiều bên, giám sát on-chain theo thời gian thực đối với các thao tác ủy quyền như EIP-7702, cơ chế tự động ngừng nạp tiền vào ví có dấu hiệu bị chiếm quyền, và quỹ bảo vệ người dùng có quy mô tương xứng.

Cũng vì thế, khi thiết kế Mạng dịch vụ đa chuỗi blockchain Việt Nam (VBSN), chúng tôi không đặt cược vào một chuỗi duy nhất. VBSN hướng tới nhiều loại mạng, từ công khai, bán công khai tới mạng đóng, vì mỗi loại có mức tin cậy, cách quản trị và cách quản lý quyền ký khác nhau, phù hợp với từng nhóm ứng dụng, từ dịch vụ công tới tài chính. Thiết kế này được xây dựng với sự tư vấn của Boston Consulting Group (BCG), và theo hiểu biết của tôi, VBSN hiện là mạng duy nhất tại Việt Nam được thiết kế theo hướng này ở tầm quốc gia. Lập luận đầy đủ tôi đã trình bày trong bài VBSN trong bối cảnh chuyển dịch từ đơn chuỗi sang đa chuỗi. Vụ Binance cho thấy rõ hơn điều đó: rủi ro không nằm ở việc chọn chuỗi nào, mà ở cách từng lớp hạ tầng quản trị quyền ký và giữ dữ liệu đủ minh bạch để truy vết khi có sự cố.

Tôi không xem đây là lý do để bi quan về tài sản số. Vụ Bybit và vụ Binance cho thấy ngành đã có những cơ chế giảm thiệt hại mà mười năm trước chưa có: dữ liệu on-chain công khai giúp phát hiện và truy vết trong vài phút, stablecoin phong tỏa được, và các sàn lớn đủ vốn để bù. Nhưng mỗi cơ chế đó đều đến sau khi tiền đã rời ví.

Một sàn có thể xây hạ tầng xử lý hàng trăm nghìn giao dịch mỗi giây. Niềm tin của thị trường thì phụ thuộc vào việc một giao dịch sai không bao giờ được ký.

Đọc bài trên blog