Vụ tấn công mạng 6,3 tỷ USD: Binance chạy đua bù đắp tài sản và khôi phục niềm tin

Vụ tấn công mạng với giá trị tài sản bị đánh cắp ước tính khoảng 6,3 tỷ USD đặt Binance trước thách thức lớn về an ninh hệ thống và niềm tin khách hàng. Dù đã huy động nguồn lực tài chính để bù đắp phần lớn thiệt hại, sàn giao dịch này vẫn phải đối mặt với áp lực truy vết tài sản, kiểm soát dòng tiền và chứng minh khả năng bảo vệ người dùng.

Thiệt hại hàng tỷ USD, Binance huy động nguồn lực bù đắp

Ngày 29/10, Binance thông báo trở thành mục tiêu của một vụ tấn công mạng nghiêm trọng. Quy mô vụ đánh cắp chưa được xác định ngay lập tức. Tuy nhiên, công ty phân tích dữ liệu blockchain Chainalysis cho biết ước tính hiện tại về số tài sản bị đánh cắp là khoảng 5,912 tỷ USD tại thời điểm xảy ra vụ việc, đưa vụ việc trở thành một trong những cuộc tấn công có quy mô lớn nhất từng được ghi nhận trong lĩnh vực tiền mã hóa.

Ngay sau sự cố, Binance cho biết đã tạm đình chỉ hoạt động nạp và rút tiền để kiểm tra an ninh, phối hợp với các đối tác và cơ quan thực thi pháp luật nhằm truy vết, phong tỏa tài sản. Các tổ chức phát hành stablecoin như Tether và Circle cũng tham gia đóng băng những tài sản liên quan đến các địa chỉ ví đáng ngờ.

Theo dữ liệu cập nhật đến ngày 1/11, khoảng 2,85 tỷ USD tài sản, tương đương 44% tổng giá trị vụ việc theo một thống kê, đã bị phong tỏa. Phần tài sản còn lại chủ yếu là các đồng tiền mã hóa gốc như ETH, BTC, XRP, SOL và TRX, vốn không có tổ chức phát hành để thực hiện lệnh khóa từ xa.

Trong khi đó, Binance tuyên bố sử dụng nguồn lực tài chính của mình để bù đắp thiệt hại cho người dùng. Theo các thông tin được công bố, tổng nguồn lực huy động cho việc này vượt 6,34 tỷ USD, bao gồm Quỹ Bảo vệ Tài sản Người dùng (SAFU), quỹ bảo hiểm hợp đồng tương lai và ngân quỹ của doanh nghiệp.

Đến ngày 2/11, Binance cho biết đã bù đắp khoảng 95% tổng tài sản bị ảnh hưởng và cam kết người dùng không phải gánh chịu tổn thất tài chính từ sự cố. Phần còn lại, chủ yếu là những token có thanh khoản thấp, đang được sàn tiếp tục mua bổ sung thông qua thị trường và các giao dịch trực tiếp.

Sau khi tạm ngừng hoạt động trong khoảng 48 giờ, Binance bắt đầu khôi phục dịch vụ rút tiền theo từng giai đoạn trên các mạng lưới. Sàn cho biết mỗi mạng lưới và cặp tài sản đều phải trải qua các bước kiểm tra về tính ổn định và bảo mật trước khi được mở lại.

Tuy nhiên, việc sàn cam kết bù đắp tài sản không đồng nghĩa những tài sản bị đánh cắp đã được thu hồi. Đây là hai vấn đề khác nhau: một bên là khả năng tài chính của Binance trong việc bảo đảm quyền lợi khách hàng, bên còn lại là quá trình truy tìm và thu hồi tài sản từ các địa chỉ do tin tặc kiểm soát.

Tin tặc sử dụng phương thức luân chuyển tài sản phức tạp

Một trong những điểm đáng chú ý của vụ việc là cách thức tin tặc xử lý dòng tiền sau khi chiếm đoạt. Thay vì chỉ chuyển tài sản qua các cầu nối liên chuỗi như trong nhiều vụ tấn công trước đây, nhóm này được cho là đã kết hợp nhiều giao thức tài chính phi tập trung, nền tảng cho vay và các giao dịch luân chuyển tự động để gây khó khăn cho hoạt động truy vết.

Theo Chainalysis, dòng tiền được phân tán qua ma trận hàng nghìn ví và giao thức, với tốc độ và tần suất giao dịch cao. Cách thức này tạo ra lượng lớn giao dịch trung gian, khiến các đơn vị điều tra phải phân tích nhiều lớp dữ liệu để xác định những giao dịch thực sự đưa tài sản ra khỏi hệ thống.

Ông Trần Huyền Dinh, Chủ nhiệm ChainTracer, chương trình truy vết của Hiệp hội Blockchain và Tài sản số Việt Nam, cho biết nhóm tấn công tập trung sử dụng các giao thức cho vay, sàn giao dịch phi tập trung và cơ chế luân chuyển vòng tròn tự động.

Trên mạng TRON, theo dữ liệu được SomaXBT ghi nhận, 638 triệu TRX đã tạo ra khoảng 2,12 tỷ TRX lượt luân chuyển qua 2.575 ví và 14.166 giao dịch. Tiền được chuyển qua lại giữa nhiều địa chỉ, thậm chí quay về những ví từng sử dụng trước đó. Mục đích là tạo nhiễu dữ liệu, khiến quá trình xác định dòng tài sản thực sự bị dịch chuyển trở nên phức tạp hơn. Chainalysis cho rằng tốc độ và tính lặp lại của các giao dịch cho thấy việc này do phần mềm tự động thực hiện, không phải do con người.

Một phương thức khác là sử dụng giao thức cho vay để hạn chế khả năng phong tỏa stablecoin. Theo dữ liệu được Chainalysis phân tích, tin tặc đã gửi khoảng 60 triệu USDT vào Aave làm tài sản thế chấp và vay ra 19.762 ETH trước khi Tether kịp phong tỏa ví liên quan. Khi tài sản đã được đưa vào quỹ chung của giao thức cho vay, việc phong tỏa riêng phần tài sản đó có thể ảnh hưởng đến những người dùng khác.

Trên TRON, ChainTracer cũng ghi nhận một ví nhận lượng TRX lớn đã gửi và rút khoảng 144,8 triệu TRX qua giao thức cho vay JustLend trước khi chia nhỏ dòng tiền. Việc đưa tài sản vào quỹ chung rồi rút ra khiến mối liên hệ trực tiếp giữa khoản tiền gửi ban đầu và tài sản nhận về trở nên khó xác định hơn.

Ngoài ra, nhóm tấn công còn sử dụng các giao thức đặt lệnh theo ý định và hệ thống hỏi giá để bán stablecoin cho nhà tạo lập thị trường. Khoảng 325 triệu USDT được cho là đã được chuyển đổi qua UniswapX và các hệ thống RFQ trong khoảng 15 phút, với mức chiết khấu hơn 10% so với giá thị trường. Đây cũng là một trong những điểm khác biệt so với các vụ việc trước đây nhằm né động thái phong toả stablecoin bởi các đơn vị phát hành.

Tin tặc cũng kích hoạt hàng loạt ví mới trên TRON, chia nhỏ tài sản thành các khoản có giá trị thấp hơn ngưỡng cảnh báo thường được một số sàn giao dịch và công cụ giám sát sử dụng. Theo đó, nhiều ví mới nhận một khoản 1 TRX trước khi nhận tiền lớn; đây là bước kích hoạt tài khoản trên TRON, được thực hiện hàng loạt. Sau đó tiền được chia thành các khoản khoảng 98.000 USDT, thấp hơn ngưỡng 100.000 USD mà nhiều sàn và công cụ giám sát dùng để cảnh báo.

Trong khi TRON bị rửa liên tục, hơn 3 tỷ USD dưới dạng ETH, BTC, XRP và SOL vẫn nằm yên. Bitcoin được chia sẵn thành các khối 1.000 BTC để thuận tiện xử lý sau. Nhiều khả năng kẻ tấn công chờ sự chú ý của thị trường giảm trước khi xử lý phần này.

Sau khi vụ việc xảy ra Binance cho biết nguyên nhân vụ tấn công bắt đầu từ máy tính xách tay của một kỹ sư vận hành hệ thống (DevOps) bị xâm nhập, từ đó kẻ tấn công truy cập được hệ thống có quyền gửi lệnh rút tiền. Binance chưa phát hiện khóa bí mật bị lộ, nhưng sau đó cho biết còn nhiều điểm bị xâm nhập khác.

Dòng tiền rút khỏi sàn và bài toán khôi phục niềm tin

Sàn giao dịch đã đóng băng hoạt động rút tiền trong khoảng 48 giờ sau vụ tấn công. Sau khi Binance khôi phục hoạt động, dòng tiền rút khỏi nền tảng trở thành một chỉ báo được thị trường đặc biệt quan tâm. Theo thông tin từ Binance, khách hàng đã rút ròng 4,72 tỷ USD kể từ khi lệnh tạm ngừng giao dịch được dỡ bỏ vào sáng ngày 1/11. Sau đợt tăng đột biến ban đầu, khối lượng rút tiền đã giảm và ổn định trở lại.

Binance cho biết lượng rút ròng này chiếm khoảng 2,8% tổng tài sản trên nền tảng, mà theo các nhà phân tích, đây là con số tương đối khiêm tốn, cho thấy niềm tin của khách hàng phần lớn vẫn được duy trì.

Lượng tiền rút khỏi Binance lần này thấp hơn mức khoảng 7 tỷ USD bị rút khỏi stablecoin USDC của Circle trong vòng một tuần sau khi Silicon Valley Bank sụp đổ năm 2023. Bản thân Binance cũng từng ghi nhận dòng tiền rút ròng khoảng 6 tỷ USD trong 72 giờ sau khi sàn FTX sụp đổ vào tháng 12/2022.

Vụ việc cũng diễn ra trong bối cảnh thị trường tiền mã hóa chịu sức ép. Bitcoin và Ether giảm mạnh sau thông tin về cuộc tấn công, trước khi phục hồi một phần vào cuối tuần. Theo các chuyên gia, sự cố có thể làm gia tăng tâm lý thận trọng của nhà đầu tư tổ chức đối với tài sản số, nhất là khi vấn đề bảo mật vẫn là một trong những rào cản đối với quá trình mở rộng mức độ chấp nhận của thị trường.

Về phía Binance, việc bù đắp phần lớn tài sản bị ảnh hưởng và từng bước mở lại hoạt động rút tiền là những động thái nhằm hạn chế tác động của sự cố. Tuy nhiên, khả năng khôi phục niềm tin trong dài hạn sẽ phụ thuộc vào kết quả điều tra, mức độ minh bạch trong công bố thông tin và những thay đổi thực chất trong hệ thống kiểm soát an ninh.

Vụ tấn công cũng đặt ra yêu cầu lớn hơn đối với các nền tảng giao dịch tài sản số. Khi quy mô tài sản lưu ký ngày càng lớn và các giao thức liên kết ngày càng phức tạp, một lỗ hổng trong hệ thống vận hành có thể tạo ra rủi ro vượt ra ngoài phạm vi một doanh nghiệp. Khả năng bảo vệ tài sản, ứng phó sự cố và phối hợp thu hồi tài sản vì thế sẽ ngày càng trở thành yếu tố quyết định năng lực cạnh tranh và uy tín của các sàn giao dịch.

Trung Anh