Sàn giao dịch Binance đã phát hành báo cáo điều tra sơ bộ vào ngày 03/11/2026, làm rõ cách thức tin tặc thực hiện vụ tấn công rút ruột khoảng 6,34 tỷ USD tài sản số xảy ra ngày 29/10/2026. Thay vì một lỗ hổng đơn lẻ trên hợp đồng thông minh, đây là chiến dịch gián điệp mạng kéo dài nhiều tháng với kỹ thuật tinh vi kết hợp giữa tấn công chuỗi cung ứng, lừa đảo tuyển dụng trực tiếp và chiếm đoạt công cụ trí tuệ nhân tạo nội bộ.
Chiến dịch chuẩn bị kéo dài từ tháng 06/2026
Theo thông tin từ sàn, cuộc tấn công bắt đầu manh nha từ tháng 06/2026 khi một kỹ sư thuộc nhóm vận hành hạ tầng ví tải về bộ cài đặt Homebrew bị chèn mã độc thông qua quảng cáo giả mạo trên công cụ tìm kiếm. Đội ngũ an ninh của sàn đã phát hiện bất thường, thay thế thiết bị và thu hồi thông tin xác thực, nhưng vị trí công việc cùng mối liên hệ của kỹ sư này với hạ tầng ví đã bị lộ cho đối phương.
Đến tháng 09/2026, tin tặc tiếp cận một kỹ sư phần mềm khác qua nền tảng tuyển dụng bằng danh tính giả mạo giám đốc dự án. Kẻ tấn công xây dựng lòng tin bằng các cuộc gọi video trực tiếp và chia sẻ tài khoản mạng xã hội có hình ảnh đời thường, trước khi gửi một bài tập kỹ thuật chứa mã độc ẩn vào máy làm việc của kỹ sư. Mã độc này đã thay thế tệp thực thi của công cụ quản lý phiên bản pyenv để duy trì quyền truy cập từ xa mà hệ thống giám sát tại chỗ không phát hiện được.
Bàn đạp từ công cụ AI nội bộ và ủy quyền EIP-7702
Bước ngoặt của cuộc tấn công diễn ra vào ngày 20/10/2026 khi tin tặc lợi dụng thiết bị bị xâm nhập của kỹ sư thứ hai để thao túng một công cụ AI nội bộ của Binance. Thông qua công cụ này, kẻ tấn công chiếm quyền điều khiển tài khoản của kỹ sư hạ tầng ví ban đầu cùng một kỹ sư thứ ba, qua đó thu thập mã thông báo triển khai container hệ thống.
Vào chiều tối ngày 29/10/2026, tin tặc đăng nhập vào máy tính của kỹ sư thứ ba, triển khai container độc hại và kích hoạt mã khai thác dịch vụ ký ví. Điểm đặc biệt nguy hiểm nằm ở chỗ kẻ tấn công đã phát 50 giao dịch ký để thiết lập ủy quyền theo cơ chế EIP-7702 trên mạng Ethereum. Cơ chế này trao quyền thực thi một phần trên ví nóng cho hợp đồng thông minh của tin tặc. Vì các ủy quyền này tồn tại độc lập trên chuỗi khối, quyết định tạm dừng cổng rút tiền của sàn không thể ngăn chặn ngay các dòng tiền đang chảy ra ngoài, tương tự diễn biến phức tạp trong báo cáo ban đầu về EIP-7702 mà giới phân tích từng ghi nhận.
Nỗ lực cô lập và bài toán kiểm soát hạ tầng
Binance cho biết đã phong tỏa hoặc phối hợp chặn đứng khoảng 2,85 tỷ USD tài sản. Tính đến ngày 31/10/2026, sàn đã bổ sung 98% lượng token bị ảnh hưởng vào quỹ bảo chứng và cam kết tự gánh chịu toàn bộ thiệt hại tài chính. Vì ví nóng vận hành dựa trên kiến trúc tính toán đa bên MPC nên đội ngũ kỹ thuật không thể dùng một khóa riêng lẻ để hủy ngay lập tức các ủy quyền độc hại, kéo dài thời gian cô lập sự cố đến tận rạng sáng ngày 30/10/2026.
Sự việc diễn ra trong bối cảnh Triều Tiên bác bỏ cáo buộc từ FBI về việc nhóm TraderTraitor đứng sau vụ việc. Trước đó, sàn cũng vừa trải qua đợt rút ròng gần 6 tỷ USD khi mở lại giao dịch. Bản báo cáo sơ bộ cho thấy bài toán bảo mật đối với các định chế tài sản số quy mô lớn không còn gói gọn ở việc rà soát mã nguồn hợp đồng, mà phụ thuộc mật thiết vào việc phân quyền cho công cụ AI nội bộ và các cơ chế tương tác tài khoản mới trên chuỗi khối.