Nói về sự kiện 56 triệu USD bị đánh cắp từ Binance

Tác giả: Seven Research

Hôm nay tôi dậy khá sớm, khoảng bốn năm giờ đã tỉnh. Mở Twitter ra xem, toàn là tin tức về việc Binance bị hack.

Sáng nay tôi đã xem qua một vài tweet từ các cơ quan an ninh, số tiền bị đánh cắp lần này thực sự rất đáng sợ. Số tiền ban đầu được công bố từ một vài ví nóng bất thường rò rỉ tổng cộng khoảng hơn 5 tỷ USD (số liệu cao nhất ghi nhận từ 5.5 tỷ đến 5.8 tỷ); chỉ riêng trên chuỗi Ethereum, một vài ví nóng cốt lõi bị khai thác đã rơi vào khoảng từ 3.3 tỷ đến 3.5 tỷ USD. Điều này đã phá vỡ kỷ lục 1.5 tỷ USD mà Bybit bị hack vào đầu năm ngoái, đánh dấu một trong những cuộc tấn công hacker lớn nhất trong lịch sử tiền mã hóa.

Sau đó, thông qua sự hợp tác của nhiều bên, khoảng gần 3 tỷ USD đã bị đóng băng. Phản ứng của các nhà phát hành stablecoin khá nhanh chóng, chỉ khoảng 40 phút sau khi sự việc xảy ra, Tether đã đóng băng 1.57 tỷ USD USDT, Circle đóng băng 823 triệu USD USDC, Ripple cũng chặn lại 200 triệu USD. Nhưng ngay cả như vậy, hacker vẫn kịp chuyển đi hơn 250,000 ETH (trị giá khoảng 570 triệu USD) và một đống token không thể đóng băng trong vòng mười mấy phút.

Về nguyên nhân bị hack, hiện tại có khả năng cao là một khóa riêng chủ quyền lớn đã bị rò rỉ.

Quá trình mà đội ngũ an ninh Blockaid phát hiện ra khá ấn tượng. Vào lúc 4 giờ 21 phút sáng theo giờ Bắc Kinh, hacker đã rút một ít ETH từ Tornado Cash làm Gas, sau đó trực tiếp nhắm vào ví nóng cốt lõi của Binance "Binance 14" để thực hiện giao dịch ủy quyền EIP-7702. Bởi vì lúc đó ví nóng vẫn đang xử lý các giao dịch rút tiền hàng ngày của người dùng, hacker không biết Nonce (số thứ tự giao dịch) theo thời gian thực, nên đã dùng khóa riêng mà mình có để ký mù 50 giao dịch liên tiếp, kết quả đã trúng, khiến toàn bộ quyền thực thi của ví nóng này bị gán vào hợp đồng độc hại mà hắn đã viết sẵn.

Chỉ sau 3 phút có được quyền (4 giờ 24 phút), hacker đã thực hiện một giao dịch rút 167,000 ETH, hơn 1.6 tỷ USDT và hơn 60 loại token từ Binance 14. Càng tệ hơn, Binance 14 trên chuỗi lại là chủ sở hữu của một ví thông minh khác (Hot Wallet 34), đến 4 giờ 41 phút, hacker lại dễ dàng rút sạch 780 triệu USDC trong ví đó. Cách thức này không phải là lỗi hợp đồng, mà là khóa riêng chủ quyền đã hoàn toàn nằm trong tay hacker.

Sau sự việc, CZ cũng đã tweet thừa nhận rằng có vẻ như đã bị hack. Hiện tại Binance đã tạm ngừng rút tiền, cả Binance Alpha cũng dừng lại. Sáng nay tôi đã thử rút một khoản, nhưng nó cứ kẹt ở đó không nhúc nhích, ảnh hưởng thực sự rất lớn.

Tôi thấy trên Twitter nhiều KOL có vẻ khá lạc quan, cho rằng Binance lớn mạnh có thể chịu đựng được, nhưng tôi cảm thấy đây là một sự cố rất nghiêm trọng. Thị trường thực sự đã phản ánh rõ ràng, BTC ngay lập tức giảm xuống dưới 79,000 USD, BNB giảm gần 7%, chỉ trong một giờ sau sự việc, toàn mạng đã bùng nổ 628 triệu USD (trong đó hơn 600 triệu là lệnh mua). Những chi tiết kỹ thuật khác, tôi sẽ tổng hợp lại bằng AI và gửi cho mọi người xem sau.

Mọi người có thể xem bài viết trước đây tôi đã viết về việc các sàn giao dịch hàng đầu trong tiền mã hóa lại bị hack 350 triệu USD, tại sao tiền mã hóa lại trở thành "máy rút tiền" của hacker Bắc Triều Tiên? Lazarus của Bắc Triều Tiên là ai?

Hơn nữa, tôi nghĩ điều mọi người cần cảnh giác nhất bây giờ không phải là Binance có thể chịu đựng được hay không, mà là chuỗi phản ứng của các tổ chức mà sự việc này gây ra.

Hiện tại Binance vẫn đang nắm giữ 144 tỷ USD tài sản, rất nhiều tiền và hoạt động của các tổ chức đều gắn liền với nó. Thực ra, phản ứng dây chuyền đã bắt đầu từ sáng nay: hacker sau khi lấy được tiền, ngay lập tức đã ủy quyền cho Aave trên chuỗi, rõ ràng là muốn gửi hàng trăm nghìn ETH bị đánh cắp vào để vay stablecoin sạch, đẩy trách nhiệm cho các giao thức DeFi. Điều này đã khiến Aave phải khẩn cấp đóng băng thị trường V3 trên mạng Ethereum, đầu mối cho vay Kamino trên Solana cũng đã tạm dừng các bể cho vay. Hơn nữa, lần này bị hack còn có tài sản sinh lãi của Binance là wBETH, nếu hacker trên chuỗi đột ngột gây ra sự cố, những người lớn và tổ chức đang sử dụng wBETH để vay nợ có đòn bẩy sẽ bị thanh lý liên tiếp.

Ngoài ra, hiện tại trong giới có phần lớn các nhà tạo lập thị trường và tổ chức định lượng, phần lớn vốn và tài khoản ký quỹ chính đều nằm ở Binance. Nhiều tổ chức đang thực hiện giao dịch chênh lệch giữa các sàn hoặc phòng ngừa rủi ro, giờ Binance đột ngột ngừng rút tiền, chuỗi tài chính của họ ngay lập tức bị kẹt—nếu thị trường tiếp tục biến động mạnh, họ không thể rút tiền từ Binance để bổ sung ký quỹ ở nơi khác, để tránh bị thanh lý, họ chỉ có thể buộc phải thanh lý ở các sàn khác và trên chuỗi, ép buộc rút tiền mặt về. Đây cũng là lý do tại sao tài sản bị hack lại là tài sản thuộc hệ Ethereum, nhưng hôm nay Solana và nhiều đồng altcoin lại bị sụp đổ theo.

Chưa kể còn rất nhiều sàn giao dịch nhỏ và nền tảng tài chính, thậm chí nhiều kho bạc của các dự án, họ không có độ sâu, về bản chất chỉ là tập hợp tiền lại để gửi vào tài khoản tổ chức của Binance để nhận lãi hoặc phòng ngừa rủi ro. Nếu thời gian Binance ngừng rút tiền kéo dài một chút, những tổ chức và nền tảng nhỏ đang dồn tiền vào Binance sẽ ngay lập tức đối mặt với tình trạng rút tiền ồ ạt.

Lý do tôi muốn nói về điều này là vì tôi đã từng làm việc cho một dự án, cũng đã trải qua vài lần bị hack quy mô nhỏ.

Lúc đó chủ yếu cũng nhắm vào việc cộng đồng phát tán liên kết lừa đảo. Ấn tượng sâu sắc nhất là một lần vào khoảng bốn năm giờ sáng, khi đội ngũ châu Á ngủ say nhất, hacker đã nhắm vào tài khoản Mod của Discord để lừa đảo, đánh cắp tài khoản có quyền hạn lớn hơn, sau đó phát liên kết lừa đảo trong cộng đồng, cuối cùng có một người dùng đã nhấp vào và bị thiệt hại.

Hôm nay tỉnh dậy vào khoảng bốn giờ thấy Binance bị hack, thời điểm này cũng thật trùng hợp, và tôi còn có một ít tiền trong đó.

Tôi luôn cảm thấy gần đây hacker đã lợi dụng khả năng của AI để trở nên mạnh mẽ hơn. Tất nhiên không phải nói rằng AI đã trực tiếp phá vỡ mật mã, mà là như chúng ta, những người bình thường có thể dựa vào AI để mở rộng khả năng của mình, hacker có AI giống như hổ thêm cánh, phương thức tấn công sẽ mạnh mẽ hơn. Tính đến tháng trước (24 tháng 9), Bitget vừa bị hack 380 triệu USD vào sáng sớm do lỗ hổng 0-day của phần mềm an ninh bên thứ ba, và hôm nay Polymarket cũng bị hack do nhà cung cấp dịch vụ bên thứ ba và tạm dừng giao dịch, chỉ trong một tháng, các nền tảng hàng đầu liên tiếp bị tấn công.

Một nghi ngờ cá nhân của tôi là, Binance hoặc các đội ngũ liên quan bên trong cũng đang sử dụng AI, trong quá trình sử dụng không may đã rò rỉ một số thông tin quan trọng. Nhiều nhân viên vận hành hoặc phát triển thường thiếu nhận thức an ninh đủ (điều này cũng là để tôi tự suy ngẫm), chẳng hạn như vì tiện lợi mà đưa những thứ có cấu hình môi trường hoặc logic quyền hạn cho AI, vô tình khiến công cụ tự động của hacker phát hiện ra lỗ hổng, từ đó xâm nhập.

Cảm giác đây là một sự kiện thiên nga đen chồng chất: vừa đúng hôm qua báo cáo tài chính của Google bị vỡ, chi tiêu vốn trong một quý đã tiêu tốn 51.4 tỷ USD, dòng tiền tự do trực tiếp âm 9.1 tỷ, giá cổ phiếu giảm 10% trong một ngày, mất 500 tỷ USD giá trị thị trường, lo ngại về bong bóng AI đã được đẩy lên cao; ngay sau đó hôm nay Binance lại xảy ra sự kiện an ninh cấp độ này, tất cả các thiên nga đen như thể đều tụ hội lại một chỗ.

Mọi người gần đây vẫn nên cẩn thận hơn, trước khi chuỗi phản ứng chưa hoàn toàn bùng nổ, đặc biệt là những người để tài sản ở một số sàn giao dịch nhỏ hoặc tài chính tập trung, cố gắng bảo vệ an toàn tài sản của mình:

1. Cố gắng không để tài sản trên sàn giao dịch nếu không cần thiết, trong tương lai sự kiện kiểu này có lẽ sẽ ngày càng nhiều. Đặc biệt là những sàn nhỏ có nền tảng yếu, không ai biết liệu vốn của họ có đang bị kẹt ở Binance không, đừng mạo hiểm với khả năng thanh toán của người khác.
2. Cố gắng sử dụng ví phần cứng nếu có thể. Lưu trữ cụm từ khôi phục ngoại tuyến, bình thường trên chuỗi cũng đừng ký những ủy quyền không rõ ràng (hiện giờ đã có EIP-7702, ký một ủy quyền lộn xộn có thể khiến toàn bộ quyền ví bị giao cho người khác).
3. Cố gắng sử dụng đa chữ ký. Dù là tiền lớn cá nhân hay tiền của tổ chức, một khóa riêng trong môi trường tấn công và phòng thủ hiện tại quá yếu, phân tách quyền hạn và đặt trên các thiết bị khác nhau mới an toàn.