FBI xác nhận nhóm tin tặc Triều Tiên đứng sau vụ tấn công Binance 6 tỷ USD

• Xác nhận từ FBI: Nhóm tin tặc TraderTraitor (Triều Tiên) được xác định là thủ phạm chính trong vụ tấn công Binance với thiệt hại ước tính hơn 6 tỷ USD.
• Cơ chế tấn công: Dù chưa xác định được lỗ hổng cụ thể, các nhà điều tra nghi ngờ sự xâm nhập bắt đầu từ một máy trạm của kỹ sư DevOps.
• Chiến thuật tẩu tán: Kẻ tấn công ưu tiên chuyển đổi tài sản sang Ethereum và sử dụng các nền tảng DeFi để rửa tiền.
• Khuyến nghị an ninh: Các đơn vị vận hành node và sàn giao dịch cần ngay lập tức chặn các địa chỉ ví liên quan đến chiến dịch này.

Cục Điều tra Liên bang Hoa Kỳ (FBI) vừa đưa ra thông báo chính thức xác nhận rằng các nhóm tin tặc có nguồn gốc từ Triều Tiên chịu trách nhiệm cho vụ tấn công mạng nhắm vào sàn giao dịch tiền điện tử Binance vào khoảng ngày 29 tháng 10 năm 2026. Vụ việc này đã dẫn đến sự thất thoát hơn 6 tỷ USD tài sản số, đánh dấu một trong những cuộc tấn công tài chính lớn nhất trong lịch sử tiền điện tử.

Phân tích chiến dịch tấn công của TraderTraitor

FBI hiện đang theo dõi hoạt động này dưới định danh TraderTraitor. Đây là nhóm tin tặc từng bị cáo buộc thực hiện nhiều cuộc tấn công quy mô lớn nhắm vào các nền tảng tài sản số toàn cầu. Cuộc điều tra hiện có sự phối hợp chặt chẽ giữa Sở Mật vụ Hoa Kỳ (USSS) và bộ phận Điều tra Hình sự của Sở Thuế vụ (IRS-CI), tập trung vào việc truy vết các dòng tiền bất hợp pháp và các hành vi gian lận tài chính tinh vi.

Theo các báo cáo sơ bộ từ phía Binance, thiệt hại tài chính được ước tính vào khoảng 6,3 tỷ USD. Mặc dù giả thuyết ban đầu cho rằng một máy tính xách tay của kỹ sư DevOps bị xâm nhập đã tạo điều kiện cho các lệnh rút tiền trái phép, nhưng các phân tích sau đó cho thấy có nhiều điểm xâm nhập khác nhau. Điều này khẳng định rằng chuỗi tấn công (attack chain) phức tạp hơn nhiều so với việc chỉ chiếm quyền điều khiển một thiết bị đơn lẻ.

Dấu vết kỹ thuật và phương thức tẩu tán

Các nhà nghiên cứu bảo mật từ TRM Labs đã chỉ ra rằng tài sản bị đánh cắp đã được rút từ ví trên mười blockchain khác nhau, với phần lớn số tiền được di chuyển chỉ trong vòng 20 phút. Một kỹ thuật đáng chú ý được ghi nhận là việc sử dụng các malicious sweeper contract (hợp đồng quét mã độc) nhắm trực tiếp vào các ví nóng (hot wallet) trên nền tảng Ethereum.

Mặc dù các dữ liệu trên mô tả cách thức tiền bị rút ra, nhưng cơ chế xâm nhập ban đầu vào hệ thống của Binance vẫn chưa được công bố chi tiết. FBI hiện chưa xác định được lỗ hổng phần mềm cụ thể (vulnerability) hay dòng mã độc (malware family) nào đã được sử dụng. Do đó, mọi tuyên bố về việc một lỗi phần mềm cụ thể gây ra vụ việc này hiện vẫn chỉ là suy đoán.

Chiến lược phòng thủ và ứng phó

FBI cảnh báo rằng các tài sản bị đánh cắp dự kiến sẽ được luân chuyển qua các nền tảng tài chính phi tập trung (DeFi) và các dịch vụ hoán đổi tức thời (instant swap services) để xóa dấu vết. Các dịch vụ này cho phép trao đổi tài sản số một cách ẩn danh, tạo ra nhiều lớp giao dịch phức tạp mà các nhà điều tra phải bám theo.

⚠️ Cảnh báo quan trọng: Các tổ chức tài chính, nhà vận hành THORNode và các đơn vị cung cấp dịch vụ RPC (Remote Procedure Call) được yêu cầu khẩn cấp chặn mọi giao dịch liên quan đến các địa chỉ ví của kẻ tấn công. Yêu cầu này cũng áp dụng cho các giao dịch phái sinh từ các địa chỉ ví ban đầu.

Để hỗ trợ công tác điều tra, các đơn vị có thông tin liên quan được khuyến khích liên hệ với văn phòng FBI tại địa phương hoặc gửi báo cáo thông qua Trung tâm Khiếu nại Tội phạm Internet (IC3). Cơ quan này cũng nhấn mạnh rằng họ không hợp tác với bất kỳ dịch vụ thu hồi tiền điện tử tư nhân nào, nhằm cảnh báo nạn nhân tránh xa các lời hứa hẹn lừa đảo về việc khôi phục tài sản.

Về phía Binance, sàn giao dịch này cho biết đã chi trả 95% số token bị mất và có kế hoạch khôi phục các chức năng rút tiền theo từng giai đoạn kể từ ngày 1 tháng 11. Tuy nhiên, việc thay thế tài sản cho khách hàng không đồng nghĩa với việc các quỹ bị đánh cắp đã được thu hồi từ tay tin tặc. Các nhà phân tích an ninh mạng khuyến cáo các tổ chức cần tăng cường giám sát các hành vi bất thường trên ví nóng và áp dụng kiến trúc Zero Trust để bảo vệ các máy trạm của kỹ sư DevOps.