Hàng tỷ USD bị chuyển đi như thế nào?
Ngày 31/10, trao đổi với Người Đưa Tin, ông Phan Đức Trung, Chủ tịch Hiệp hội Blockchain và Tài sản số Việt Nam, cho biết dữ liệu truy vết của ChainTracer, chương trình truy vết và phòng chống lừa đảo tài sản số thuộc hiệp hội, ghi nhận hàng loạt giao dịch bất thường liên quan đến các ví nóng của Binance.
Rạng sáng 30/10 (giờ Việt Nam), lượng lớn tài sản số đã được chuyển khỏi ba ví nóng của sàn giao dịch này. Binance sau đó tạm dừng hoạt động rút tiền trên nhiều mạng blockchain để điều tra sự cố.
Ông Phan Đức Trung, Chủ tịch Hiệp hội Blockchain và Tài sản số Việt Nam nhấn cho rằng các sàn giao dịch tài sản số cần tăng cường bảo mật để bảo vệ tài sản của nhà đầu tư.
Theo ông Trung, Binance xác nhận đang điều tra vấn đề an ninh tiềm ẩn và khẳng định tài sản người dùng vẫn an toàn. Tuy nhiên, sàn chưa công bố nguyên nhân và con số thiệt hại chính thức.
Theo dữ liệu ChainTracer, dấu hiệu chuẩn bị cho vụ tấn công xuất hiện từ chiều 28/10, khi một ví điện tử nhận ba khoản tiền nhỏ thông qua Tornado Cash, dịch vụ có chức năng che giấu dấu vết giao dịch.
Đến tối 29/10, ví này triển khai một hợp đồng thông minh có khả năng tự động chuyển nhiều loại tài sản số đến địa chỉ được chỉ định.
Khoảng 3h20 ngày 30/10, một giao dịch chứa 50 chữ ký ủy quyền liên quan đến ví nóng Binance 14 được đưa lên mạng Ethereum. Chỉ ba phút sau, khoảng 167.464 ETH cùng 63 loại tài sản số, trong đó có 1,6 tỷ USDT, được chuyển khỏi ví.
Ngay sau đó, ví Binance 16 tiếp tục chuyển khoảng 28.006 ETH và 55,7 triệu USDT đến cùng địa chỉ nhận. Một ví nóng khác cũng bị điều khiển để chuyển thêm 823 triệu USDC.
Chỉ trong khoảng 40 phút, ChainTracer ghi nhận khoảng 197.540 ETH, 1,88 tỷ USDT, 823 triệu USDC, 88,5 triệu RLUSD cùng hơn 60 loại tài sản số khác được chuyển đi, với tổng giá trị ước tính hơn 3 tỷ USD.
Tuy nhiên, đây là giá trị tài sản được ghi nhận qua truy vết, chưa phải con số thiệt hại cuối cùng bởi một phần tài sản sau đó đã bị phong tỏa.
Ông Trung phân tích, điểm đáng lo ngại không chỉ nằm ở số tiền mà còn ở cách thức kẻ tấn công có thể điều khiển các ví chứa tài sản.
Ví nóng là loại ví kết nối Internet, được sàn giao dịch sử dụng để xử lý các yêu cầu nạp, rút tiền hằng ngày. Do thường xuyên hoạt động trực tuyến, loại ví này đối mặt với nguy cơ bị tấn công cao hơn ví lạnh, vốn được tách khỏi Internet.
Theo ChainTracer, kẻ tấn công đã lợi dụng cơ chế ủy quyền giao dịch trên Ethereum để điều khiển một ví nóng. Đáng chú ý, một ví khác thực hiện chuyển tiền bằng chữ ký hợp lệ của chính ví đó.
Diễn biến này làm xuất hiện nghi vấn hệ thống quản lý và phê duyệt giao dịch của sàn bị xâm nhập. Tuy nhiên, dữ liệu công khai chưa đủ để xác định nguyên nhân cụ thể.
Một chi tiết khác được ghi nhận là sau khi ví Binance 14 có dấu hiệu bị chiếm quyền, hệ thống vẫn tiếp tục nạp thêm khoảng 200,4 triệu USDT vào ví này. Số tiền nhanh chóng bị chuyển đi.
Theo ông Trung, việc tiếp tục nạp tài sản vào một ví đã có dấu hiệu bất thường đặt ra vấn đề về khả năng giám sát và phản ứng của hệ thống bảo mật.
Bài học cho thị trường tài sản mã hóa Việt Nam
Sau khi chuyển tài sản khỏi các ví nóng, kẻ tấn công nhanh chóng tìm cách đổi stablecoin sang ETH để tránh nguy cơ bị phong tỏa.
Stablecoin là tài sản số thường được thiết kế để duy trì giá trị ổn định theo một đồng tiền, phổ biến nhất là USD. Tổ chức phát hành một số loại stablecoin có khả năng đóng băng tài sản tại những địa chỉ liên quan đến hoạt động bất hợp pháp.
Theo ChainTracer, khoảng 495 triệu USDT đã được chuyển đổi sang ETH trước khi Tether bắt đầu phong tỏa. Đến 7h35 ngày 30/10, 13 ví liên quan đến kẻ tấn công đang nắm giữ khoảng 474.866 ETH, trị giá ước tính 1,09 tỷ USD, chưa bị phong tỏa.
Trong khi đó, Tether được cho là đã phong tỏa hơn 1,5 tỷ USDT, Circle phong tỏa 823 triệu USDC. Một số tổ chức phát hành tài sản số khác cũng triển khai biện pháp ngăn chặn hoặc thu hồi tài sản liên quan.
Ông Trung nhận định khả năng phong tỏa stablecoin giúp hạn chế thiệt hại, nhưng hiệu quả phụ thuộc lớn vào tốc độ phát hiện và xử lý. Chỉ trong khoảng thời gian ngắn, hàng trăm triệu USD đã kịp chuyển thành ETH, loại tài sản không thể bị tổ chức phát hành đóng băng theo cơ chế tương tự stablecoin.
Nhìn lại các vụ tấn công lớn, ông Trung cho rằng thủ đoạn của tội phạm mạng ngày càng phức tạp. Năm 2019, Binance từng bị đánh cắp 7.000 BTC, trị giá khoảng 41 triệu USD. Năm 2025, sàn Bybit chịu thiệt hại khoảng 1,5 tỷ USD trong vụ tấn công liên quan đến quá trình phê duyệt giao dịch.
Sự cố an ninh tại Binance đặt ra vấn đề về bảo vệ tài sản của nhà đầu tư.
Theo ông Trung, kẻ tấn công không nhất thiết phải phá vỡ công nghệ blockchain mà có thể tìm cách chiếm quyền kiểm soát hệ thống được phép ký chuyển tài sản.
Từ vụ việc này, ông đề xuất các sàn giao dịch kiểm soát chặt lượng tài sản lưu giữ trong ví nóng, áp dụng cơ chế nhiều bên cùng phê duyệt giao dịch và giám sát hoạt động bất thường theo thời gian thực.
Đặc biệt, hệ thống phải có khả năng tự động dừng nạp tiền vào những ví có dấu hiệu bị xâm nhập.
Với Việt Nam, vấn đề này càng đáng chú ý khi thị trường tài sản mã hóa đang triển khai thí điểm theo Nghị quyết 05/2025/NQ-CP.
Quy định yêu cầu tổ chức cung cấp dịch vụ tài sản mã hóa đáp ứng tiêu chuẩn an toàn hệ thống thông tin cấp độ 4, cùng quy trình lưu ký và quản lý tài sản khách hàng.
Tuy nhiên, ông Trung cho rằng tiêu chuẩn an toàn hệ thống thông tin mới là điều kiện cần. Các đơn vị vận hành còn phải kiểm soát quyền ký giao dịch, hạn mức tài sản trong ví nóng và khả năng ứng phó khi phát hiện dấu hiệu bất thường.
