Vụ hack Binance diễn ra như thế nào? Điều tra chi tiết về vụ trộm 6 tỷ USD

Vào ngày 29/10/2026, một kẻ tấn công đã rút khoảng 6.15 tỷ USD khỏi Binance chỉ trong 31 phút, trở thành một trong những vụ trộm lớn nhất trong lịch sử tiền mã hóa, thậm chí là lịch sử Internet.

Ban đầu Binance ước tính thiệt hại là 6.3 tỷ USD; công ty phân tích blockchain BitOK đã rà soát từng giao dịch và xác nhận số tiền bị đánh cắp là 6.15 tỷ USD trên 9 blockchain khác nhau.

Kẻ tấn công không hề lấy cắp khóa riêng tư của Binance. Thay vào đó, chúng đã khiến hệ thống của chính Binance phê duyệt các giao dịch rút tiền bất hợp pháp. Bài viết này sẽ dẫn dắt bạn theo từng bước trong vụ hack và giải thích các thuật ngữ kỹ thuật một cách dễ hiểu. Tất cả khung giờ đều là giờ UTC.

Cơ bản: Sàn giao dịch chuyển tiền như thế nào

Ví nóng là ví trực tuyến của sàn, luôn được kết nối với Internet để đảm bảo lệnh rút của người dùng được xử lý nhanh chóng.

Ký giao dịch. Mỗi lần chuyển tiền đều cần được xác nhận bằng khóa riêng của ví. Các sàn thường dùng hệ thống tự động để ký hàng nghìn giao dịch mỗi ngày.

Nonce là số thứ tự giao dịch trên ví Ethereum. Ví nào hoạt động thường xuyên thì số nonce sẽ liên tục tăng lên.

Coin có thể bị đóng băng. Một số stablecoin như Tether (USDT) và Circle (USDC) có thể bị nhà phát hành đóng băng ví. Nhưng các coin chính như BTC, ETH, TRX thì không ai có quyền đóng băng cả.

28/10/2026: Chuẩn bị trước vụ hack

Mỗi giao dịch trên blockchain đều tốn một khoản phí nhỏ. Để che dấu dấu vết khi nạp tiền vào ví, kẻ tấn công đã sử dụng Tornado Cash, một công cụ “trộn tiền” giúp nhiều người dùng cùng trộn coin với nhau, khiến việc truy vết nguồn gốc nạp – rút là rất khó.

Kẻ tấn công thực hiện 6 lần rút tiền từ Tornado Cash để nạp vào ví của mình và hai đồng phạm.

29/10/2026, 02:28–16:47 UTC: Hai lần diễn tập

Trước khi thực hiện với Binance, kẻ tấn công đã tự kiểm tra công cụ hack trên ví cá nhân, giống như một tên trộm thử mở khóa tại nhà mình để tập dượt trước.

Vũ khí chính là một smart contract – chương trình tự động chạy trên Ethereum, chỉ thực hiện đúng những gì đã được lập trình. Hợp đồng này được tạo ra để vét sạch bất kỳ ví nào cấp quyền kiểm soát cho nó. (Tính năng EIP-7702 trên Ethereum cho phép loại ủy quyền này, sẽ giải thích chi tiết ở dưới.)

• 02:28 — Kẻ tấn công đăng bản test đầu tiên của chương trình rút tiền.
• 13:51–14:24 — Đợt diễn tập lần 1: Đưa một ít USDT và USDC vào 2 ví cá nhân, cấp quyền cho chương trình test, sau đó kích hoạt chức năng rút toàn bộ – và thành công, ví bị vét sạch. Công cụ hoạt động tốt.
• 15:59 — Đăng bản công cụ chính thức, và đây là bản sau này sẽ dùng để hack Binance.
• 16:20–16:47 — Đợt diễn tập lần 2: Kiểm tra lại với bản chính thức vừa hoàn thiện.

Bản chương trình cuối cùng còn được nâng cấp thêm: nó có thể thao tác bất cứ thứ gì với ví, không chỉ dừng lại ở việc chuyển token. Đêm hôm đó, chính công cụ này đã ra lệnh cho ví của Binance chuyển đi 823 triệu USDC. Sự xuất hiện của công cụ này cho thấy kẻ tấn công đã hiểu rất rõ cách Binance thiết lập các ví của mình.

“Sự khác biệt giữa hai bản rất quan trọng. Hợp đồng chính có một hàm cho phép thực hiện bất cứ thao tác nào thay mặt cho ví đã ủy quyền quyền kiểm soát. Kẻ tấn công đã dùng hàm này để rút 823 triệu USDC từ ví smart wallet của Binance”, BitOK giải thích.

29/10/2026, 20:04 UTC: 31 phút kinh hoàng

Trong khoảng 20:04:52 đến 20:35:53, kẻ tấn công đã vét sạch các ví nóng của Binance trên nhiều blockchain: XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum và Avalanche. Số tiền lấy đi gồm:

• 18,270.2 BTC,
• 197,540 ETH,
• 2.49 tỷ USDT,
• 823 triệu USDC,
• 233.46 triệu XRP,
• 970,522 SOL cùng hàng chục token khác.

Mỗi giao dịch chuyển tiền đều được ký bởi ví của chính Binance. BitOK nhận ra điểm bất thường nhờ một số dấu hiệu: phí bị đẩy lên cao gấp 2 đến 2.7 lần bình thường, kiểu giao dịch không giống mẫu thường thấy trên phần mềm payout của Binance, và trên Ethereum còn xen lẫn các lệnh chuyển giả vào giữa các lần rút tiền thật của khách hàng.

Kẻ tấn công đã chiếm quyền kiểm soát laptop của một kỹ sư DevOps, sau đó sử dụng một chương trình đặc biệt chạy bên trong hệ thống Binance để gửi lệnh rút tiền giả mạo.

20:20 UTC: Chiêu trò “50 khóa”

Đây chính là nước đi cao tay nhất trong đêm hôm đó. Mục tiêu là ví nóng Ethereum có tên Binance 14, vốn hoạt động cực kỳ sôi nổi.

Kế hoạch. Với EIP-7702, ví có thể ký một uỷ quyền và cấp quyền kiểm soát cho smart contract thực thi thay mặt mình. Nếu Binance 14 ký trao quyền cho hợp đồng của kẻ tấn công, chúng sẽ nắm hoàn toàn ví này.

Vấn đề. Ủy quyền chỉ có tác dụng nếu số nonce (số thứ tự giao dịch) trùng khớp với hiện tại của ví. Binance 14 liên tục xử lý lệnh rút cho khách nên số nonce thay đổi liên tục. Nếu nonce sai, giấy phép sẽ bị vô hiệu hóa hoàn toàn.

Mánh khóe. Vào lúc 20:20:59, hacker đã khiến hệ thống ký của Binance ký cùng lúc 50 lệnh với 50 con số khác nhau. Hãy tưởng tượng như thử 50 chiếc chìa khóa vào một ổ khóa trong cùng một lúc: chỉ cần một chiếc vừa khít. Và cuối cùng đã có một chiếc phù hợp. Ví Binance 14 giờ đây đã thực hiện lệnh theo hợp đồng của kẻ tấn công, tuy nhiên vẫn hoạt động bình thường nên tiền vẫn liên tục được chuyển vào.

Phần thưởng. Chỉ vài phút sau, một giao dịch đã rút sạch 65 loại token khác nhau có tổng trị giá hơn 2.2 tỷ USD, bao gồm 1,615 tỷ USDT và 167,464 ETH. Vào lúc 20:41 và 20:59, hacker còn điều khiển một ví Binance khác gửi đi 823 triệu USDC.

Binance 16. Một ví nóng khác cũng bị lấy cắp dễ dàng hơn. Hệ thống của Binance nhận 9 giao dịch chuyển tiền giả, rồi ký và gửi đi cùng với các khoản thanh toán khách hàng thật. Hacker đã lấy 28,005.6 ETH và 55.7 triệu USDT.

20:30–21:14 UTC: Cuộc đua chuyển sang coin không thể đóng băng

Trên Ethereum, chỉ trong 6 phút, 500 triệu USDT đã được chuyển khỏi địa chỉ nhận chính. Từ 20:34 đến 21:09, hacker liên tục hoán đổi 435 triệu USDT sang ETH trên Uniswap – sàn giao dịch phi tập trung hoạt động hoàn toàn bằng mã lập trình. Hacker cũng nạp 60 triệu USDT vào Aave (giao thức cho vay), rồi vay 19,762 ETH thế chấp lại số USDT này, để lại tài sản dễ bị đóng băng làm tài sản đảm bảo.

Trên Tron, hacker cũng chuyển 612.7 triệu USDT khỏi ví Binance-Hot 7. Thông qua 16 lần hoán đổi trên SunSwap – sàn DEX lớn nhất của hệ sinh thái Tron, hacker đã đổi 234 triệu USDT sang 638.2 triệu TRX.

Cuộc đua đóng băng tài sản

Để đóng băng USDT, Tether cần 3 phê duyệt từ ví multisignature (ví đa chữ ký) nên mỗi lệnh đóng băng phải có nhiều người xác nhận, mất tới 2 phút 36 giây cho mỗi lần, và mọi lệnh đóng băng đều hiện công khai trên blockchain. Hacker có thể quan sát động thái này và nhanh chân rút tiền trước: có ví đã chuyển 130 triệu USDT chỉ 48 giây trước khi bị khóa. Nhưng ở một địa chỉ khác, hacker đã do dự và bị “bẫy”, mất gần 175 triệu USDT.

Toàn bộ 823 triệu USDC vẫn nằm yên trong một ví, và đều bị đóng băng chỉ trong một giao dịch duy nhất.

Ngoài ra, các nhà phát hành khác cũng đã đóng băng USD1, XAUt, PAXG, wBETH và FDUSD; nhà phát hành BEAM đã đốt luôn 984 triệu token bị đánh cắp. Hội đồng an ninh Arbitrum (gồm 12 thành viên khẩn cấp) đã tịch thu 8,426 ETH và 74.56 triệu ARB.

Tổng cộng, khoảng 2.79 tỷ USD đã được đóng băng, đốt hoặc tịch thu. Tuy nhiên, 669 triệu USDT đã kịp chuyển sang ETH và TRX.

21:43–00:10 UTC: Chiếc ví liên tục bị “hút máu”

Ví Binance 14 vẫn nằm dưới quyền kiểm soát của hacker.

• 21:43:59 — Binance thực hiện nạp tiền định kỳ, gửi 200 triệu USDT vào ví Binance 14. Chỉ 12 giây sau, hợp đồng tự động của hacker đã quét sạch số USDT này về ví kiểm soát, tuy nhiên tiền lại nằm tại một địa chỉ đã đóng băng, còn gần 370 ETH thì thoát ra được.
• 22:39 — hacker tiếp tục “quét” và lấy đi 128.49 ETH.
• 23:56 — 2,961.91 ETH nữa được chuyển đi, chỉ một phút sau khi vừa nạp vào.
• 00:10:35, 30/10 — cuối cùng, Binance mới thu hồi quyền kiểm soát.

Hacker đã kiểm soát chiếc ví này gần bốn tiếng liên tục.

Số phận 18,270 BTC ra sao?

Vào lúc 20:20:06, có 11 giao dịch đã chuyển 18,270.2 BTC từ một ví nóng của Binance, kèm mức phí trả gấp đôi bình thường. Toàn bộ số BTC này được chia cho 19 địa chỉ, trong đó 17 địa chỉ mỗi ví giữ 1,000 BTC. Tại thời điểm viết bài ngày 30/10, vẫn chưa có giao dịch nào được thực hiện tiếp. Những đồng Bitcoin này đều có thể theo dõi công khai trên blockchain, nhưng không ai có thể đóng băng được chúng.

30/10, 04:02: Đầu mối liên quan đến Bitget

Phát hiện lớn nhất của BitOK: số tiền bị đánh cắp từ Binance đã được chuyển đến cùng một địa chỉ Ethereum từng nhận tiền từ vụ hack Bitget vào tháng 09/2026.

Kẻ tấn công đã chuyển TRX và USDT thông qua THORChain – một giao thức cho phép hoán đổi coin giữa các blockchain và nhận về ETH tại địa chỉ 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.

Địa chỉ này trước đó đã từng nhận ETH có liên quan đến vụ hack Bitget. ETH này được chuyển từ các địa chỉ Bitcoin nằm trong danh sách ví tấn công do Bitget công bố và đã hoạt động từ ngày 23/10, bắt đầu từ coin ZEC. Đáng chú ý là ZEC chưa từng bị đánh cắp từ Binance.

Đến 06:20, ví này đã nhận tám lần chuyển tiền có liên quan tới Bitget (349.46 ETH) và năm lần chuyển từ Binance (13.63 ETH), sau đó tiếp tục chuyển số tiền đã trộn sang các ví khác. Tuy nhiên, chỉ dựa vào địa chỉ chung này thì chưa thể xác định được ai đứng sau mỗi vụ hack.

Có phải do nhóm hacker Triều Tiên?

Cả hai vụ tấn công đều nhằm vào hệ thống nội bộ mà không cần lấy private key, và Bitget đã quy trách nhiệm cho các nhóm hacker Triều Tiên. BitOK cũng chỉ ra nhiều đặc điểm liên quan đến các nhóm này như: tập dượt trước, sử dụng Tornado Cash để rửa tiền, hoán đổi ngay các token dễ bị đóng băng và chuẩn bị hoạt động vào giờ làm việc UTC+9.

“Việc phát hiện ra địa chỉ rửa tiền chung này là bằng chứng rõ ràng hơn về sự trùng lặp trong cách vận hành thay vì chỉ dựa trên điểm giống nhau trong chiến thuật. BitOK đánh giá hai vụ trộm này có thể đều do cùng một nhóm Triều Tiên thực hiện, và chỉ một cá nhân đã kiểm soát các dòng tiền rửa đó. Tuy nhiên, đây mới chỉ là phân tích chứ chưa phải là bằng chứng xác nhận danh tính thực tế của mọi người tham gia,” BitOK nhận định.

Phản ứng của Binance

Binance đã tạm dừng việc rút tiền từ ví nóng Bitcoin và Tron khoảng 20:36, trong khi vẫn cho phép gửi tiền bình thường. Binance cam kết sẽ sử dụng quỹ khẩn cấp SAFU cùng với nguồn lực riêng để bồi thường toàn bộ thiệt hại cho khách hàng.

I want to speak to you directly about what happened.Bottom line – your money is safe, and we're covering every loss.Our initial investigation suggests this security incident may have started with a compromised DevOps engineer's laptop. That gave an attacker access to a…

— Richard Teng (@_RichardTeng) October 30, 2026

Trên thị trường, theo Coinglass, trong 24 giờ đã có vị thế đòn bẩy trị giá 1.58 tỷ USD bị thanh lý.

Kẻ tấn công đang nắm giữ gì?

Tại thời điểm 06:20 ngày 30/10, BitOK truy vết kẻ tấn công đang nắm giữ:

• 197,460 ETH,
• 18,270.2 BTC,
• 233.46 triệu XRP,
• khoảng 970,500 SOL,
• 675.9 triệu TRX,
• và 1.61 triệu AVAX.

Riêng lượng ETH, BTC, XRP và SOL này đã có giá trị khoảng 2.95 tỷ USD.

Kẻ tấn công đã chiếm quyền kiểm soát hệ thống ký lệnh rút tiền của Binance. BitOK cũng chỉ ra các bài học mà ngành tiền điện tử cần rút ra sau sự kiện này.

“Sự cố của Binance cho thấy bảo mật private key thôi là chưa đủ. Sàn giao dịch cũng phải kiểm soát quyền ký lệnh, đặt ra các biện pháp cảnh báo với lệnh rút khả nghi, thu hồi quyền hạn bị đánh cắp kịp thời, đồng thời giám sát liên tục hoạt động dịch chuyển tài sản trên các mạng lưới.”