Lúc 3 giờ 24 sáng 30/10 theo giờ Việt Nam, tiền bắt đầu chảy ra khỏi một ví của Binance, sàn giao dịch tiền mã hóa lớn nhất thế giới tính theo khối lượng giao dịch. Chỉ vài phút sau, hơn 60 loại tiền số trong ví đã nằm ở một địa chỉ lạ, khi phần lớn anh em chơi tiền số trong nước còn đang ngủ.

Tới sáng, Binance ước tính số tiền bị lấy vào khoảng 6,3 tỷ USD. Nếu con số này đứng vững, đây là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận tính tới cuối tháng 10/2026. Kỷ lục trước đó thuộc về sàn Bybit, nơi mất khoảng 1,5 tỷ USD hồi tháng 2/2025.

Hình dung Binance như một ngân hàng

Muốn hiểu vụ này, cứ hình dung Binance như một ngân hàng có rất nhiều két. Tiền khách gửi trên sàn nằm trong các ví, và mỗi ví mở được bằng một chìa khóa riêng mà dân trong nghề gọi là khóa riêng (private key).

Phần lớn tiền được cất trong những két sâu dưới hầm, rất ít khi mở. Một phần nhỏ hơn được để sẵn ở quầy để khách rút lúc nào cũng có ngay, và người ta gọi chỗ ấy là ví nóng. Vụ lần này nhắm vào một ví nóng như thế.

Muốn lấy tiền khỏi ví, giao dịch phải có chữ ký từ chìa khóa của ví đó. Ở một sàn lớn, chìa khóa không nằm trong túi ai cả mà được cất trong một hệ thống ký tự động, giống một thủ quỹ chỉ đóng dấu cho những phiếu chi gửi tới từ đúng phòng ban.

Kẻ gian không lấy chìa, chỉ mượn tay người được quyền

Binance cho biết chưa thấy dấu hiệu nào cho thấy chìa khóa của ví bị lộ. Theo nhận định ban đầu của sàn, mọi thứ có thể bắt đầu từ chiếc laptop của một kỹ sư vận hành hệ thống.

Từ chiếc laptop ấy, kẻ tấn công vào được một máy chủ nội bộ có quyền gửi lệnh rút tiền. Nếu kịch bản này đúng, thủ quỹ đã nhận những phiếu chi trông y như phiếu thật, gửi tới từ đúng phòng ban quen thuộc, nên vẫn đóng dấu như mọi lần.

01

Ở bước cuối, công ty bảo mật Blockaid cho rằng kẻ tấn công lợi dụng một tính năng mới của Ethereum có tên EIP-7702. Tính năng này cho phép chủ ví giao quyền điều khiển ví cho một chương trình khác, giống việc ký giấy ủy quyền để người khác ra quầy rút tiền thay mình.

Chỉ cần một chữ ký hợp lệ trên tờ giấy ủy quyền ấy, chương trình của kẻ gian đã quét sạch ví trong khoảng 3 phút. Blockaid còn ghi nhận kẻ tấn công đã chạy thử cách làm này trên những ví thử nghiệm từ vài giờ trước. Phần tiền bị lấy trên mạng Bitcoin và Tron thì tới giờ vẫn chưa ai giải thích được bằng cơ chế này.

Sáu tiếng của một đêm

Binance dừng mọi lệnh nạp và rút lúc 5 giờ 15 sáng, gần 2 tiếng sau khi tiền bắt đầu chảy ra. Tới 9 giờ 25, sàn mới công bố con số 6,3 tỷ USD cùng nghi vấn về chiếc laptop.

02

Vì sao một nửa số tiền bị chặn lại được

Trong số tiền bị lấy có hai loại khác hẳn nhau về cách quản lý.

Loại thứ nhất là USDT và USDC, những đồng tiền số được neo giá ngang với đô la Mỹ. Mỗi đồng có một công ty đứng sau phát hành là Tether và Circle, nên công ty ấy có quyền khóa tiền ở bất kỳ địa chỉ nào, giống ngân hàng phong tỏa một tài khoản.

Tether đã khóa hơn 1,57 tỷ USDT, còn Circle khóa hơn 800 triệu USDC. Cộng với các bên khác, Binance cho biết khoảng 3 tỷ USD đã bị đóng băng.

Loại thứ hai là bitcoin và Ether, hai đồng không có công ty nào đứng sau nên cũng không có ai cầm nút khóa. Phần lớn số tiền còn ngoài tầm với nằm ở hai đồng này, và kẻ gian cũng biết điều đó nên đã vội đem USDT đi thế chấp để vay Ether trước khi bị chặn.

03

Ai trả phần tiền còn lại

Binance cam kết bù toàn bộ thiệt hại. Theo cam kết ấy, người có tiền trên sàn sẽ không phải gánh khoản mất mát nào.

Tiền bù lấy từ quỹ SAFU, quỹ dự phòng sàn lập từ năm 2018 cho đúng những tình huống như thế này, cộng với tiền của chính công ty. Quỹ SAFU hiện giữ khoảng 1 tỷ USD, nên phần lớn khoản thiếu sẽ do công ty tự bỏ ra.

Theo DefiLlama, tài sản trên Binance trước vụ tấn công vào khoảng 144 tỷ USD, nên thiệt hại chiếm chừng 4%. Thị trường vẫn hoảng trước khi những lời cam kết kịp tới tai mọi người, và theo CoinDesk, bitcoin có lúc rơi xuống dưới 77.000 USD.

04

Binance vẫn nợ người dùng một bản giải thích kỹ thuật đầy đủ và một ngày cụ thể để mở lại lệnh rút. Thủ phạm tới giờ mới dừng ở mức nghi vấn, dù nhà điều tra ZachXBT và Blockaid đều nghiêng về phía các nhóm tin tặc Triều Tiên. Vụ Bybit năm ngoái và vụ Binance lần này cho thấy cùng một quy luật: két càng dày thì kẻ gian càng tìm tới chiếc máy tính của người được quyền bấm nút. Chìa khóa ví có thể vẫn nằm yên chỗ cũ, chỉ có chiếc laptop được quyền ra lệnh là đã nghe theo người khác.