Phân tích vụ tấn công 6,36 tỷ USD vào Binance: Kỹ thuật khai thác EIP-7702

• Quy mô tấn công: Khoảng 6,36 tỷ USD tài sản số đã bị đánh cắp từ các ví nóng của Binance trên mười blockchain khác nhau.
• Kỹ thuật chủ đạo: Kẻ tấn công sử dụng cơ chế ủy quyền EIP-7702 để chiếm quyền điều khiển ví thông qua các hợp đồng thông minh độc hại.
• Tác nhân đe dọa: Nhóm hacker TraderTraitor (liên kết với Triều Tiên) được xác định là thủ phạm đứng sau chiến dịch có sự chuẩn bị kỹ lưỡng này.
• Phản ứng phòng thủ: Các tổ chức phát hành stablecoin và hội đồng bảo mật đã đóng băng khoảng 2,7 tỷ USD tài sản bị đánh cắp.

Vào ngày 29 tháng 10 năm 2026, sàn giao dịch Binance đã ghi nhận một vụ tấn công an ninh mạng nghiêm trọng, dẫn đến việc mất mát khoảng 6,36 tỷ USD tiền điện tử. Theo báo cáo từ các nhà nghiên cứu tại TRM Labs, đây được coi là vụ trộm tiền điện tử lớn nhất từng được ghi nhận trong lịch sử, vượt xa các sự cố trước đây như vụ tấn công Bybit trị giá 1,5 tỷ USD.

Chiến dịch tấn công có chủ đích và sự chuẩn bị kỹ lưỡng

Các phân tích kỹ thuật cho thấy kẻ tấn công đã không thực hiện hành vi một cách ngẫu nhiên. Quá trình chuẩn bị bắt đầu ít nhất 36 giờ trước khi vụ trộm diễn ra. Kẻ tấn công đã sử dụng Tornado Cash để thực hiện các giao dịch nhỏ nhằm kiểm tra mã khai thác trước khi triển khai chính thức vào ví nóng của Binance.

Nhóm hacker TraderTraitor đã thể hiện sự tinh vi khi thực hiện các đợt tấn công đồng loạt trên nhiều nền tảng blockchain. Sự phối hợp giữa các chuỗi như XRP Ledger, Solana, Optimism và Bitcoin cho thấy một hạ tầng tấn công được tổ chức chặt chẽ, có khả năng vượt qua các lớp kiểm soát thông thường.

Kỹ thuật khai thác EIP-7702

Điểm nhấn kỹ thuật của vụ tấn công nằm ở việc lạm dụng cơ chế EIP-7702. Đây là một tiêu chuẩn cho phép ví ủy quyền cho mã hợp đồng thông minh thực hiện các hành vi thay mặt cho chủ sở hữu ví. Kẻ tấn công đã gửi 50 yêu cầu ủy quyền được ký bởi ví của Binance, hướng chúng tới một hợp đồng quét (sweeper contract) do chúng kiểm soát.

# Mô phỏng quy trình kiểm tra nonce trong giao dịch ủy quyền EIP-7702 0x... 

Việc chuẩn bị nhiều chữ ký với các giá trị nonce liên tiếp đã làm tăng xác suất thành công khi một trong số đó khớp với bộ đếm hiện tại của ví. Sau khi chiếm quyền, kẻ tấn công đã thực hiện các lệnh quét (sweep) để rút cạn 167.464 ETH và hơn 1,6 tỷ USDT chỉ trong vài phút.

Phân tích các chỉ số IOC và dấu hiệu nhận biết

Dựa trên các quan sát từ blockchain, các chuyên gia đã tổng hợp bảng chỉ số IOCs để hỗ trợ các đội ngũ SOC trong việc săn tìm mối đe dọa (Threat Hunting) và củng cố hệ thống phòng thủ.

⚠️ Cảnh báo quan trọng: Các tổ chức tài chính cần ngay lập tức rà soát các cấu hình ủy quyền ví (wallet delegation) và thiết lập cảnh báo cho bất kỳ hoạt động EIP-7702 bất thường nào trên các ví kho bạc (treasury wallets).

Khuyến nghị phòng thủ và Hardening hệ thống

Để ngăn chặn các kịch bản tương tự, các chuyên gia an ninh mạng khuyến nghị các tổ chức cần thực hiện nghiêm ngặt các biện pháp sau:

• Phân tách hệ thống ký (Signing Infrastructure): Tách biệt hoàn toàn các hệ thống ký và đường dẫn phê duyệt giữa các blockchain và các tầng ví khác nhau.
• Quy trình thu hồi (Revocation Procedures): Xây dựng và kiểm thử định kỳ quy trình thu hồi quyền ủy quyền, vì các ủy quyền độc hại có thể tiếp tục chuyển hướng tiền gửi mới ngay cả sau khi sự cố ban đầu xảy ra.
• Giám sát giao dịch: Thiết lập các bộ lọc giám sát deposit và đối tác giao dịch, đặc biệt là các giao dịch có dấu hiệu rửa tiền qua các nền tảng DeFi như Aave.

Việc bảo mật hạ tầng ví không chỉ dừng lại ở việc bảo vệ khóa riêng tư (private key) mà còn phải kiểm soát chặt chẽ các cơ chế ủy quyền thông minh. Các tổ chức cần chủ động cập nhật các quy tắc phát hiện trên hệ thống SIEM để nhận diện sớm các dấu hiệu bất thường trong chuỗi giao dịch.