Tối 29/10/2026, sàn Binance bị rút khoảng 6,3 tỷ USD tài sản mã hóa khỏi các ví nóng chỉ trong một khoảng thời gian rất ngắn, và đây được xem là vụ trộm tiền mã hóa lớn nhất từng ghi nhận. Sàn tạm dừng nạp rút, cam kết bù đắp toàn bộ thiệt hại, còn công ty phân tích TRM Labs nghi nhóm TraderTraitor của Triều Tiên đứng sau. Với người dùng Việt Nam, điều cần làm ngay là kiểm tra tài khoản qua ứng dụng chính thức và cảnh giác với làn sóng tin nhắn "hoàn tiền" giả.
Những gì đã xảy ra trong đêm 29/10
Theo bản tổng hợp của Cointelegraph về diễn biến vụ hack, TRM Labs ghi nhận các giao dịch trái phép đầu tiên vào khoảng 20 giờ 05 phút giờ UTC, tức gần 3 giờ sáng 30/10 theo giờ Việt Nam. Kẻ tấn công nhắm vào ví nóng, loại ví luôn kết nối internet để xử lý lệnh rút của khách hàng. Tiền bị rút trên nhiều blockchain cùng lúc, khiến việc ngăn chặn thủ công gần như không kịp.
Sang ngày thứ Sáu 30/10, các đối tác trong ngành đã phong tỏa được khoảng 3 tỷ USD trong số tài sản bị ảnh hưởng. Giao thức cho vay Aave tạm ngừng nhận tiền gửi và cho vay mới để phòng xa, rồi mở lại ngay chiều hôm đó. Binance thông báo sẽ mở lại lệnh rút theo từng đợt vào Chủ nhật 1/11, sau khi kiểm tra an ninh, trong khi nạp tiền và các dịch vụ không bị ảnh hưởng vẫn hoạt động.
Ngày thứ Bảy, sàn cho biết đã bổ sung lại 90% lượng tài sản bị đánh cắp. Bài báo tại thời điểm đó chưa xác nhận lệnh rút đã thực sự mở lại đúng hẹn hay chưa, nên người dùng nên theo dõi thông báo trực tiếp trong ứng dụng.
Con số 6,3 tỷ USD lớn tới mức nào
Bài viết của Al Jazeera ngày 30/10/2026 đặt vụ việc cạnh kỷ lục cũ: năm 2025, nhóm Lazarus lấy khoảng 1,5 tỷ USD từ sàn Bybit. Như vậy, chỉ riêng vụ Binance đã lớn gấp hơn bốn lần. Cũng theo Al Jazeera, báo cáo tội phạm tiền mã hóa 2026 của TRM cho biết tin tặc lấy tổng cộng 2,87 tỷ USD trong gần 150 vụ suốt năm 2025. Một đêm ở Binance vượt cả năm trước cộng lại.
| Mốc | Số liệu | Nguồn |
|---|---|---|
| Bị rút khỏi ví nóng | Khoảng 6,3 tỷ USD | Al Jazeera, Cointelegraph |
| Đã phong tỏa (30/10) | Khoảng 3 tỷ USD | Cointelegraph |
| Quỹ Binance dành để bù | Hơn 6,34 tỷ USD | Cointelegraph |
| Kỷ lục cũ (Bybit, 2025) | Khoảng 1,5 tỷ USD | Al Jazeera |
| Tổng bị hack năm 2025 | 2,87 tỷ USD, gần 150 vụ | Al Jazeera dẫn TRM |
Thị trường phản ứng ngay: Bitcoin giảm khoảng 5% và xuống dưới mốc 77.000 USD sau tin vụ trộm, theo Al Jazeera. "Bị phong tỏa" cũng không có nghĩa là "đã thu hồi": phần tiền này mới bị khóa lại ở các sàn, ví hoặc giao thức hợp tác, còn quá trình trả về có thể kéo dài.
Kẻ tấn công vào bằng cách nào
Giả thuyết ban đầu là chiếc laptop của một kỹ sư bị chiếm quyền, từ đó hacker thực hiện giao dịch trái phép. Sau đó Binance nói cuộc điều tra phát hiện thêm những điểm xâm nhập khác ngoài chiếc laptop và chưa thấy bằng chứng khóa riêng bị lộ. Đồng CEO Richard Teng cho biết kẻ tấn công không đơn giản dùng quyền của một kỹ sư, và cuộc điều tra chưa quy trách nhiệm cho cá nhân nào.
Chi tiết kỹ thuật đáng chú ý nhất là EIP-7702, một tính năng của Ethereum cho phép ví thông thường ủy quyền thực thi cho một hợp đồng. Theo lời ông Teng được Cointelegraph dẫn, kẻ tấn công dùng một lệnh ủy quyền EIP-7702 để giành quyền thực thi trên một ví nóng mà không đi qua quy trình phê duyệt thông thường của sàn. Một cơ chế "tự hủy" sau đó xóa công cụ và dấu vết. CEO Blockaid Ido Ben-Natan nhận định hệ thống ký giao dịch bị xâm nhập nhiều khả năng là chìa khóa, còn EIP-7702 giúp rút sạch trong một lần nhưng không phải điều kiện bắt buộc.
Bài học cho các tổ chức giữ tài sản số là quy trình ký nhiều lớp chỉ an toàn khi mọi đường tắt kỹ thuật cũng bị kiểm soát. Một tính năng mới của blockchain có thể mở ra con đường vòng qua các bước duyệt mà đội vận hành chưa lường trước.
Dấu vân tay của TraderTraitor
TRM Labs đánh giá "độ tin cậy cao" rằng TraderTraitor, một đơn vị tin tặc của Triều Tiên có liên hệ với Lazarus, thực hiện vụ này. FBI từng quy vụ Bybit tháng 2/2025 cho chính nhóm này. Chainalysis quan sát thấy hàng nghìn giao dịch nối tiếp rất nhanh, có thể là rửa tiền tự động, với dòng tiền đôi khi quay về những ví đã dùng trước đó.
Đây là kiểu tẩu tán quen thuộc: chia nhỏ, đổi qua nhiều chuỗi, rồi đi qua dịch vụ trộn hoặc sàn phi tập trung. Nếu muốn hiểu vì sao những đường dây này khó bị chặn, bạn có thể đọc thêm hồ sơ về nhóm Lazarus và các vụ trộm tiền mã hóa, cũng như cơ chế của dịch vụ trộn tiền mã hóa. Dù vậy, Binance vẫn chưa xác nhận công khai danh tính thủ phạm, nên mọi quy kết lúc này là đánh giá của bên phân tích độc lập.
Binance hứa bù đắp ra sao
Sàn cho biết đã dành ra hơn 6,34 tỷ USD tiền của công ty để bù thiệt hại, trong đó 5 tỷ USD đã nằm sẵn ở đúng các loại token bị mất. Khoản này chưa tính phần tài sản đang bị phong tỏa; phần thiếu được mua thêm qua sàn và giao dịch thỏa thuận. Binance dự kiến công bố ảnh chụp bằng chứng dự trữ (proof-of-reserves) và một bản phân tích kỹ thuật chi tiết khi điều tra xong.
Cũng cần đọc kỹ giới hạn: người phát ngôn từ chối công bố địa chỉ ví chứa 5 tỷ USD, và CertiK nói cần thêm thông tin mới xác minh được. Al Jazeera dẫn lời chuyên gia Sean Foley (Đại học Macquarie) cảnh báo cú sốc niềm tin có thể kéo giá tiền mã hóa đi xuống và làm lộ rõ rủi ro của sàn tập trung.
Người dùng Việt Nam nên làm gì lúc này
- Chỉ kiểm tra qua kênh chính thức. Mở ứng dụng hoặc gõ tay địa chỉ sàn, không đăng nhập từ đường link trong tin nhắn, email hay nhóm chat.
- Coi mọi lời mời "nhận bồi thường" là lừa đảo cho tới khi chính sàn thông báo trong ứng dụng. Kẻ gian thường tận dụng tin nóng để dựng trang giả.
- Rà lại bảo mật tài khoản: bật xác thực bằng khóa bảo mật hoặc ứng dụng tạo mã, đặt danh sách địa chỉ rút tiền được phép, kiểm tra thiết bị đang đăng nhập.
- Nếu chuyển sang tự giữ ví, ghi cụm từ khôi phục ra giấy, cất nơi an toàn, không chụp ảnh, không lưu trên đám mây.
- Đừng ra quyết định mua bán vì hoảng loạn. Biến động giá sau vụ hack là rủi ro thật; bài viết này không phải lời khuyên đầu tư.
Điều vụ việc nói về sàn tập trung
Ví nóng là điểm yếu cố hữu: muốn rút tiền nhanh thì phải có ví trực tuyến, và ví trực tuyến luôn là mục tiêu. Vụ Binance cho thấy ngay cả sàn lớn nhất, có quỹ dự phòng dồi dào, vẫn có thể bị rút sạch một phần lớn ví nóng khi kẻ tấn công vào được hệ thống ký. Khả năng bù đắp nhanh giúp khách hàng tránh mất tiền, nhưng không thay được câu hỏi về quy trình kiểm soát nội bộ.
Ari Redbord của TRM gọi đây là một "bước ngoặt". Với người đọc phổ thông, bài học thực tế đơn giản hơn: tiền để trên sàn là tiền bạn giao cho bên khác giữ, và an toàn của nó phụ thuộc vào kỷ luật bảo mật của họ lẫn của chính bạn.
Câu hỏi thường gặp
Tài khoản Binance của tôi có bị mất tiền trong vụ này không?
Theo các thông báo được báo chí dẫn lại, tài sản bị rút nằm trong ví nóng của sàn, không phải từ từng tài khoản khách hàng riêng lẻ, và Binance cam kết bù toàn bộ thiệt hại. Bạn vẫn nên đăng nhập qua ứng dụng chính thức để kiểm tra số dư và lịch sử giao dịch, không bấm vào đường link 'xác minh' gửi qua tin nhắn.
Có nên rút hết tiền mã hóa khỏi sàn sau vụ hack?
Không có câu trả lời chung. Tự giữ ví giúp bạn không phụ thuộc vào sàn, nhưng chuyển trách nhiệm bảo vệ cụm từ khôi phục sang chính bạn. Đây không phải khuyến nghị đầu tư; hãy cân nhắc số tiền, kỹ năng và rủi ro mất khóa trước khi quyết định.
Vì sao TraderTraitor bị nghi là thủ phạm?
TRM Labs cho biết họ đánh giá với độ tin cậy cao dựa trên dấu vết on-chain và cách tẩu tán tiền giống các vụ trước, như vụ Bybit năm 2025. Binance chưa công bố kết luận chính thức về danh tính kẻ tấn công.
Tin nhắn báo 'nhận bồi thường vụ Binance' có đáng tin không?
Gần như chắc chắn là lừa đảo. Mọi chương trình bồi thường thật sẽ được công bố trên kênh chính thức của sàn và không bao giờ yêu cầu bạn nhập cụm từ khôi phục, mã OTP hay chuyển trước một khoản phí.
Lưu ý: Bài viết mang tính giáo dục, giúp bạn hiểu rủi ro và tự bảo vệ. Thế Giới Ngầm không hướng dẫn truy cập trái phép, mua bán hàng cấm hay bất kỳ hành vi vi phạm pháp luật nào.
