Phân tích kỹ thuật: Nhóm hacker Triều Tiên tấn công Binance qua AI và phỏng vấn giả mạo

• Chiến dịch đa giai đoạn: Hacker sử dụng phỏng vấn giả mạo và công cụ AI bị nhiễm mã độc để xâm nhập hạ tầng DevOps của Binance.
• Kỹ thuật khai thác: Sử dụng mã độc zero-day trên macOS, chiếm quyền điều khiển container deployment token và lạm dụng tính năng EIP-7702 của Ethereum.
• Tác động tài chính: Tổng thiệt hại ước tính 6,34 tỷ USD, với khoảng 2,85 tỷ USD đã được phong tỏa hoặc thu hồi kịp thời.

Theo báo cáo từ các chuyên gia an ninh mạng, một chiến dịch tấn công mạng quy mô lớn nhắm vào sàn giao dịch Binance đã dẫn đến vụ trộm tài sản kỹ thuật số trị giá 6,34 tỷ USD vào ngày 29 tháng 10 năm 2026. Nhóm hacker được FBI định danh là TraderTraitor đã sử dụng các phương thức tấn công tinh vi, kết hợp giữa kỹ thuật xã hội (social engineering) và khai thác lỗ hổng phần mềm để vượt qua các lớp bảo mật nghiêm ngặt.

Phân tích chuỗi tấn công (Kill Chain)

Cuộc tấn công không phải là một vụ lừa đảo phishing đơn thuần mà là một chiến dịch đa giai đoạn được chuẩn bị kỹ lưỡng. Mọi thứ bắt đầu từ tháng 6 năm 2026, khi một kỹ sư DevOps của Binance vô tình cài đặt một gói Homebrew đã bị can thiệp khi tìm kiếm công cụ hỗ trợ lập trình AI. Mặc dù Binance đã thực hiện các biện pháp khắc phục như thay thế thiết bị và xoay vòng thông tin xác thực, kẻ tấn công đã kịp thời thu thập thông tin về hạ tầng ví của công ty.

Đến tháng 9, một kỹ sư khác đã bị tiếp cận trên nền tảng tuyển dụng bởi một đối tượng giả danh "Giám đốc dự án". Quy trình phỏng vấn giả mạo bao gồm các buổi trao đổi với nhân sự và CEO giả, sử dụng thông tin cá nhân từ mạng xã hội để tạo dựng lòng tin. Cuối cùng, nạn nhân được yêu cầu tải xuống một "bài kiểm tra kỹ thuật" chứa mã độc lên máy tính làm việc.

Chi tiết kỹ thuật về mã độc và khai thác

Mã độc được thực thi trong quá trình thiết lập môi trường, thay thế tệp pyenv hợp lệ bằng một bản sao độc hại, tạo symlink mới và khởi chạy một shell zsh. Theo các nhà nghiên cứu, loại mã độc zero-day này có khả năng né tránh các công cụ EDR (Endpoint Detection and Response) và tự xóa dấu vết sau khi thực thi.

# Mô phỏng hành vi thay thế tệp thực thi của mã độc 0-day trên macOS: 1. Sao chép tệp độc hại 2. Tạo symlink 3. Khởi chạy shell ngầm 4. Xóa dấu vết 5. Kết nối C2.

Vào ngày 20 tháng 10, kẻ tấn công sử dụng máy tính bị nhiễm để chiếm quyền điều khiển thêm hai kỹ sư khác, trong đó có một người nắm giữ container deployment token. Điều này cho phép chúng triển khai các container độc hại và thực thi script để rút tiền từ các ví nóng (hot wallets).

Lạm dụng tính năng EIP-7702 và cơ chế phòng thủ

Kẻ tấn công đã lợi dụng tính năng EIP-7702 của Ethereum, cho phép một tài khoản ủy quyền thực thi cho một smart contract mà không cần tiết lộ khóa riêng (private key). Chúng đã gửi 50 giao dịch ký để khớp với nonce của ví, từ đó chiếm quyền điều khiển luồng giao dịch. Do ví của Binance sử dụng cơ chế Multi-Party Computation (MPC), việc thu hồi quyền ủy quyền trở nên phức tạp hơn bình thường.

Để khắc phục, đội ngũ kỹ thuật của Binance đã phải xây dựng một quy trình đặc biệt vào ngày 30 tháng 10, ủy quyền cho "địa chỉ không" (zero address) để xóa bỏ mã độc của kẻ tấn công trên chuỗi (on-chain). Mặc dù 98% tài sản đã được khôi phục, sự cố này là lời cảnh báo đanh thép về rủi ro từ các công cụ AI không được kiểm soát và quy trình tuyển dụng trực tuyến.

⚠️ Cảnh báo quan trọng: Các tổ chức cần coi mọi yêu cầu chạy mã trên máy tính làm việc từ các nguồn không xác định là một mối đe dọa nghiêm trọng. Cần tách biệt thiết bị phỏng vấn với mạng nội bộ và áp dụng cơ chế giám sát hành vi dựa trên AI để phát hiện các bất thường trong quyền truy cập.

Các khuyến nghị bảo mật từ các chuyên gia bao gồm: hạn chế phạm vi truy cập của các công cụ AI nội bộ, lưu trữ các deployment token tách biệt khỏi máy tính cá nhân, và thiết lập quy trình xoay vòng khóa (key rotation) ngay lập tức khi phát hiện dấu hiệu xâm nhập. Việc theo dõi thay đổi quyền tài khoản (account permissions) thay vì chỉ giám sát các giao dịch chuyển tiền là yếu tố then chốt để ngăn chặn các cuộc tấn công tương tự trong tương lai.