Theo phân tích của TRM Labs, ngày 29/10/2026 (giờ UTC) một kẻ tấn công đã chuyển khoảng 6,36 tỷ USD tài sản ra khỏi các ví của Binance trên mười blockchain, phần lớn chỉ trong khoảng 20 phút.[1] Các nhà phân tích gọi đây là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận.[2] Ngày 31/10, FBI cho biết Triều Tiên đứng sau vụ việc.[3] Đến ngày 01/11, Binance thông báo đã mở lại việc rút tiền theo từng giai đoạn và đã bù lại khoảng 95% số tài sản bị ảnh hưởng.[4]
Bài viết tổng hợp từ các nguồn uy tín (công ty phân tích blockchain, báo chí tài chính và công nghệ, thông báo của Binance được các hãng tin trích lại) và gồm ba phần: diễn biến, hậu quả cùng mức độ khắc phục, giải thích về cuộc tấn công kèm các hiểu lầm thường gặp. Bài mang tính thông tin và giải thích, không phải khuyến nghị đầu tư hay khuyến nghị bảo mật. Nhiều chi tiết, nhất là nguyên nhân gốc, vẫn chưa được Binance công bố.
- Chuyện gì xảy ra: khoảng 6,3 tỷ USD bị rút khỏi hot wallet (ví nóng) của Binance trên 10 blockchain trong khoảng 20 phút. TRM tính 6,36 tỷ USD theo giá lúc chuyển và khoảng 6,23 tỷ USD theo giá về sau.[1]
- Ai đứng sau: TRM Labs và Chainalysis cho rằng đó là TraderTraitor, đơn vị hacker do nhà nước Triều Tiên hậu thuẫn. FBI đã xác nhận Triều Tiên chịu trách nhiệm.[1][2][3]
- Binance nói gì: hot wallet của công ty bị ảnh hưởng, tiền nạp không bị ảnh hưởng, chưa có bằng chứng lộ private key, và tổn thất do Binance chịu chứ không phải người dùng.[5][6][7]
- Khắc phục đến đâu: Binance cho biết đã bù khoảng 95% tài sản bị ảnh hưởng và mở lại rút tiền giai đoạn đầu từ 01/11. Khoảng 3 tỷ USD đã bị đóng băng, nhưng đóng băng chưa phải là thu hồi.[4][5]
- Chưa rõ: cách kẻ tấn công vào được hệ thống. Binance chưa công bố nguyên nhân gốc và hứa sẽ có báo cáo sau khi điều tra xong.[1][7]
Diễn biến vụ tấn công
Dưới đây là các mốc chính, ghép từ phân tích on-chain của TRM Labs và các thông báo của Binance được báo chí trích lại. Giờ Việt Nam sớm hơn UTC 7 tiếng, nên vụ rút tiền diễn ra vào khoảng 3 giờ sáng ngày 30/10 theo giờ Việt Nam.
28/10 (UTC)
29/10 (UTC)
29/10, 20:05 đến 20:23 UTC
29/10, từ 21:01 UTC
29/10, khoảng 22:15 UTC
30/10
31/10
Một số con số khác nhau giữa các nguồn và theo thời điểm (ví dụ ước tính ban đầu của Chainalysis là khoảng 5,91 tỷ USD theo giá lúc bị trộm).[12] Bài này dùng số liệu của TRM cho phần phân tích on-chain và số liệu do Binance công bố cho phần bồi hoàn.
Hậu quả và mức độ khắc phục
Quy mô thiệt hại
TRM liệt kê tài sản bị rút trên mười blockchain. Ethereum và Bitcoin chiếm phần lớn thiệt hại.[1]
| Blockchain | Lượng tài sản bị rút (xấp xỉ) | Giá trị (xấp xỉ, theo giá lúc chuyển) |
|---|---|---|
| Ethereum | 200.630 ETH cùng 185 token khác (gồm khoảng 1,875 tỷ USDT và 823 triệu USDC) | ~3,79 tỷ USD |
| Bitcoin | 18.270 BTC | ~1,47 tỷ USD |
| Tron | 612,7 triệu USDT và 46,4 triệu TRX | ~628 triệu USD |
| XRP Ledger | 233,46 triệu XRP | ~296 triệu USD |
| Solana | 970.500 SOL | ~96 triệu USD |
| Arbitrum, Optimism, Base | Gồm 74,6 triệu ARB trên Arbitrum | ~39 triệu USD |
| Avalanche | Đợt thứ hai khoảng 23:05 UTC | ~28 triệu USD |
| Polygon | Đợt thứ hai khoảng 23:05 UTC | ~10 triệu USD |
Nguồn: TRM Labs, dữ liệu on-chain đến 00:30 UTC ngày 30/10. Tổng tính theo giá tại thời điểm chuyển là khoảng 6,36 tỷ USD; theo giá về sau là khoảng 6,23 tỷ USD.[1]
Tiền đang ở đâu?
- Đã bị đóng băng: TRM ước tính các nhà phát hành stablecoin (Tether, Circle, Ripple, World Liberty Financial) đóng băng khoảng 2,67 tỷ USD, cộng thêm khoảng 30 triệu USD ETH và ARB do Arbitrum xử lý, tổng cộng khoảng 2,7 tỷ USD. Binance nêu con số khoảng 3 tỷ USD.[1][5]
- Đã được chuyển đổi hoặc di chuyển: khoảng 325 triệu USDT được bán cho các market maker qua UniswapX để lấy khoảng 122.300 ETH, với mức chiết khấu trên 10% so với giá thị trường. Một ví khác gửi 60 triệu USDT vào Aave và vay khoảng 19.760 ETH, sau đó Aave đóng băng các thị trường bị ảnh hưởng. 18.270 BTC đang đi qua một chuỗi peel chain nhằm gây khó truy vết.[1]
- Nằm ngoài tầm với của nhà phát hành stablecoin: TRM ước tính kẻ tấn công vẫn nắm khoảng 2,4 tỷ USD tài sản, gồm hơn 420.000 ETH và 18.270 BTC. Theo WSJ, khoảng 3,3 tỷ USD còn lại vẫn nằm trong tay kẻ tấn công.[1][7]
Tác động tới hoạt động của Binance
- Binance tạm dừng nạp và rút vào khoảng 22:15 UTC ngày 29/10. Nạp tiền được mở lại ngày 30/10; rút tiền tạm dừng đến ngày 01/11.[9]
- Giai đoạn 1 mở lại rút tiền từ 06:00 đến 09:00 UTC ngày 01/11, bắt đầu bằng Bitcoin cùng tài sản trên 15 blockchain khác. Các giai đoạn sau phụ thuộc việc từng blockchain vượt qua kiểm tra an ninh và ổn định, và Binance chưa đưa ra lịch cụ thể.[4][11]
- BinanceUS, pháp nhân hoạt động riêng tại Mỹ, không bị ảnh hưởng theo WSJ.[7]
Bồi hoàn và khả năng thanh toán
- Binance cam kết tự chịu tổn thất, không để người dùng gánh. Công ty cho biết đã dành riêng hơn 6,34 tỷ USD quỹ của công ty để bù các tài sản bị đánh cắp.[5][4]
- Tỷ lệ bù được cập nhật từ 80% lên 90% (31/10) rồi khoảng 95% (01/11). Nguồn tiền gồm quỹ của công ty, trong đó có SAFU (Quỹ tài sản an toàn cho người dùng). Khoảng 5% còn lại là các token ngoài top 10, kém thanh khoản nên mất nhiều thời gian hơn để mua đủ.[4][11]
- Theo WSJ, Binance dự kiến ứng tiền trước và thu hồi khi khoản 3 tỷ USD đang bị đóng băng được giải phóng.[7]
- Một chuyên gia của Fundstrat nhận định vụ việc hiện chưa tạo rủi ro đáng kể về khả năng thanh toán của Binance.[8] Binance cũng hứa công bố báo cáo Proof of Reserves đầy đủ.[4]
- NPR lưu ý rằng cam kết bồi hoàn của Binance không nhất thiết là nghĩa vụ bắt buộc theo quy định hiện hành, và nhiều người lo các sàn nhỏ hơn sẽ khó làm điều tương tự.[13]
Thị trường
Vào thời điểm tin tức lan ra, Bitcoin giảm gần 5%, Ethereum gần 6% và BNB (token của hệ sinh thái Binance) gần 10%, trong khi các stablecoin gần như không đổi.[12] The Crypto Times cho rằng việc khoảng 3 tỷ USD stablecoin bị đóng băng làm giảm thanh khoản trên thị trường.[9]
Điều tra và pháp lý
- FBI nói đang phối hợp với các đối tác công và tư để hiểu phạm vi vụ việc, rồi ngày 31/10 công bố kết luận Triều Tiên chịu trách nhiệm. Tổng thống Mỹ Donald Trump nói chính phủ đang xem xét vụ việc.[12][3][5]
- Binance cho biết đang làm việc với cơ quan thực thi pháp luật, các hãng phân tích blockchain, các tổ chức phát hành token và các sàn khác, đồng thời sẽ công bố báo cáo khi điều tra kết thúc.[5][7]
Đã khắc phục chưa?
Hiểu nhanh: hacker đã làm gì?
Phần này dùng hình ảnh so sánh để dễ hình dung. Đời thực phức tạp hơn nhiều, và Binance vẫn chưa công bố đầy đủ cách kẻ tấn công vào được hệ thống.
Hình dung Binance như một ngân hàng. Phần lớn tiền của khách nằm trong két sắt (cold wallet, ví lạnh), được cất kỹ và hiếm khi mở. Một phần nhỏ hơn nằm ở quầy giao dịch (hot wallet, ví nóng), nơi luôn có sẵn tiền để chi trả khi khách muốn rút. Quầy giao dịch tiện lợi nhưng cũng dễ bị nhắm tới hơn két sắt.[5]
Mỗi lệnh chuyển tiền cần một “con dấu”. Trên blockchain, một khoản tiền chỉ được chuyển đi khi lệnh có chữ ký hợp lệ của chủ ví. Với Binance, chữ ký này do một hệ thống ký tự động tạo ra mỗi khi có người rút tiền. Nói cách khác, ai khiến được hệ thống đó “đóng dấu” lên lệnh chuyển tiền thì lệnh sẽ được chấp nhận, kể cả khi người đó không phải nhân viên Binance.[1]
Vụ trộm diễn ra theo các bước sau (theo phân tích của TRM Labs và những gì Binance đã công bố):
BƯỚC 1
BƯỚC 2
BƯỚC 3
BƯỚC 4
BƯỚC 5
Những điều vẫn chưa rõ: kẻ tấn công vào được hệ thống bằng cách nào, có bao nhiêu điểm xâm nhập, và vì sao hệ thống kiểm soát không chặn được các lệnh bất thường. Binance cho biết sẽ công bố báo cáo khi điều tra xong.[5][7]
Giải thích về cuộc tấn công
Phần này giải thích ở mức khái niệm, dựa trên những gì Binance và các hãng phân tích đã công bố. Vì Binance chưa công bố nguyên nhân gốc, một số nhận định dưới đây là đánh giá của bên thứ ba.
Nền tảng: sàn tập trung, hot wallet và cold wallet
- Sàn tập trung (custodial): khi bạn gửi tiền mã hóa lên Binance, tài sản nằm trong các ví do Binance kiểm soát. Người dùng không giữ private key của số tiền đó. Điều này khác với ví cá nhân, nơi chủ ví tự giữ khóa.
- Hot wallet và cold wallet: theo đồng CEO Richard Teng, phần lớn tài sản người dùng nằm trong cold wallet (ví lưu trữ lạnh) và chỉ được chuyển sang hot wallet khi có yêu cầu rút. Hot wallet luôn kết nối mạng để xử lý lượng rút tiền liên tục.[5]
- Ký giao dịch: blockchain chấp nhận một lệnh chuyển tiền khi nó mang chữ ký hợp lệ của chủ ví. Vì vậy, ai khiến được hệ thống ký của hot wallet ký một giao dịch, người đó có thể chuyển tiền đi mà không cần mạo danh bất kỳ người dùng nào.[1]
Những gì Binance đã nói về nguyên nhân
- Điều tra ban đầu cho thấy có thể liên quan đến laptop của một kỹ sư DevOps bị xâm nhập, cho phép bên trái phép thực hiện các giao dịch rút tiền. Sau đó Binance cho biết đã phát hiện thêm các “điểm xâm nhập” khác và gọi đây là một cuộc tấn công phức tạp.[12][5]
- Đồng CEO Teng cho biết cuộc tấn công không do một người thực hiện và dùng nhiều thủ thuật, trong đó có cơ chế “tự hủy” khiến điều tra khó hơn.[5]
- Binance cho biết chưa có bằng chứng lộ private key của ví.[6][2]
Phân tích on-chain của TRM Labs
TRM chỉ ra hai cách kẻ tấn công rút tiền, tùy từng blockchain.[1]
- Trên Ethereum: kẻ tấn công dùng EIP-7702, một tính năng của nâng cấp Pectra (05/2025) cho phép một ví ủy quyền hành vi của mình cho một smart contract thông qua chữ ký ủy quyền. Hot wallet của Binance đã ký 50 ủy quyền trỏ tới một smart contract chỉ nhận lệnh từ kẻ tấn công. Mỗi ủy quyền chỉ hợp lệ ở đúng giá trị bộ đếm giao dịch (nonce) của ví tại lúc thực thi. Vì nonce của hot wallet liên tục tăng theo các lệnh rút bình thường, kẻ tấn công ký sẵn 50 giá trị liên tiếp và chỉ cần một giá trị trùng khớp.
- Trên chín blockchain còn lại: ví của Binance chuyển tiền bằng các giao dịch ký thông thường, không dùng ủy quyền. TRM đánh giá điều này cho thấy kẻ tấn công đã chiếm được khả năng khiến hệ thống ký của hot wallet ký các giao dịch do chúng chọn trên nhiều chain.
BƯỚC 1
BƯỚC 2
BƯỚC 3
BƯỚC 4
BƯỚC 5
Sơ đồ đơn giản hóa từ phân tích của TRM Labs; các mốc giờ theo UTC.[1]
Vì sao nhiều bên quy cho TraderTraitor?
- TRM quy vụ việc cho TraderTraitor với độ tin cậy cao, dựa trên dữ liệu on-chain và off-chain. Chainalysis cũng cho rằng đây “nhiều khả năng” là TraderTraitor, và FBI xác nhận Triều Tiên chịu trách nhiệm.[1][2][3]
- TRM nêu ba điểm giống các vụ trước (vụ Bybit 1,5 tỷ USD tháng 02/2025 mà FBI quy cho TraderTraitor, và vụ KelpDAO tháng 04/2026): rút nhỏ từ Tornado Cash để nạp ví vận hành, khâu chuẩn bị bắt đầu từ lâu trước vụ trộm, và chữ ký được thu thập sẵn rồi thực thi trong một đợt.[1][2]
- Điểm khác: việc rửa tiền lần này dựa nhiều vào các giao dịch hoán đổi lớn qua market maker và giao thức cho vay, trong khi vụ Bybit dùng nhiều cầu nối hơn.[1]
- Bộ Tài chính Mỹ gắn các thành viên TraderTraitor với nhóm Lazarus Group của Triều Tiên.[2]
Những điều chưa rõ
- Nguyên nhân gốc: kẻ tấn công đã vào hệ thống bằng cách nào, laptop của kỹ sư DevOps đóng vai trò gì, và có bao nhiêu điểm xâm nhập.[5][1]
- Khoảng cách thời gian: một số nhà quan sát cho rằng kẻ tấn công đã ở trong nền tảng nhiều giờ trước khi Binance xác nhận vụ việc.[12]
- Tính đầy đủ của thông tin từ phía Binance: báo cáo điều tra và Proof of Reserves đầy đủ vẫn đang chờ công bố.[4][7]
Làm rõ các hiểu lầm có thể có
Sau những vụ việc lớn, thông tin sai lệch hoặc lẫn lộn giữa các sự kiện lan truyền rất nhanh. Dưới đây là các hiểu lầm thường gặp, đối chiếu với thông tin hiện có.
Kết luận
Vụ Binance bị đánh cắp khoảng 6,3 tỷ USD ngày 29/10/2026 là sự cố tiền mã hóa lớn nhất được ghi nhận, vượt xa vụ Bybit 1,5 tỷ USD hồi năm 2025.[2][12] Theo các nguồn hiện có, kẻ tấn công nhắm vào hot wallet của chính sàn chứ không phải tài khoản người dùng, và nhiều bên cho rằng đó là đơn vị hacker Triều Tiên TraderTraitor, với FBI xác nhận trách nhiệm của Triều Tiên.[1][3]
Binance đã bù khoảng 95% tài sản bị ảnh hưởng và mở lại rút tiền từng phần, nhưng nguyên nhân gốc, báo cáo điều tra và Proof of Reserves đầy đủ vẫn chưa được công bố, còn phần lớn số tiền bị đánh cắp vẫn đang nằm ngoài tầm thu hồi.[4][1]
Thông tin trong bài được tổng hợp từ các nguồn công khai tính đến ngày 01/11/2026 và có thể thay đổi. Bài viết mang tính thông tin, không phải khuyến nghị đầu tư hay tài chính.
Danh sách nguồn thông tin
Các nguồn được đánh số theo thứ tự xuất hiện trong bài. Ưu tiên phân tích on-chain của TRM Labs và các hãng tin lớn; một số trang (như NPR, NBC) chỉ truy cập được phần trích khi tổng hợp.
- TRM Labs: North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History (phân tích on-chain, mốc thời gian và quy kết)
- CBS News: $6.3 billion Binance hack was likely work of North Korea, blockchain intel firms say (quy kết của TRM, Chainalysis và FBI)
- CBS News: Binance resumes withdrawals for some major cryptocurrencies after $6 billion heist (tuyên bố của FBI và việc mở lại rút tiền)
- CoinDesk: Binance opens crypto withdrawals in phases starting with bitcoin following $6.3 billion hack (giai đoạn 1 mở lại rút tiền và mức bù 95%)
- PBS NewsHour (AP): What to know about the $6.3B hack on Binance, likely the biggest-ever crypto theft (phát biểu của Binance và đồng CEO Richard Teng)
- Investing.com (Reuters): Binance to resume crypto withdrawals in phases after record $6 billion hack (chưa có bằng chứng lộ private key)
- DigitalToday (theo WSJ): Binance resumes withdrawals after hack, says it replenished 95 percent of stolen assets (bồi hoàn, BinanceUS và báo cáo sẽ công bố)
- CNBC: Binance’s $6.3 billion hack: What we know and what comes next (thời gian chuẩn bị, Tornado Cash và nhận định về khả năng thanh toán)
- The Crypto Times: Binance Resumes Withdrawals After $6.3B Hack, Says 95% of Stolen Assets Now Covered (mốc tạm dừng và mở lại nạp, rút)
- NBC News: Binance says user funds are safe after thieves make off with billions in largest-ever crypto hack (thông báo của Binance và bối cảnh)
- crypto.news: Binance reopens Bitcoin withdrawals after $6.3B hack, says 95% restored (các mốc bù 80%, 90%, 95%)
- Yahoo Finance (AFP): Crypto platform Binance confirms “complex” $6.3 bn hack (laptop kỹ sư DevOps và phản ứng của thị trường)
- NPR: A simple explainer of the massive $6.3 billion crypto heist at Binance (giải thích tổng quan và vấn đề quy định)
- CNBC: Binance sees $3.64 billion in net outflows as withdrawals resume after massive hack (rút ròng ngày 01/11 và tổng tài sản theo Proof of Reserves)
- CryptoTicker: How Much Would It Take to Bankrupt Binance? The $6 Billion Hack Explained (so sánh thiệt hại với quy mô nền tảng)
Chú thích thuật ngữ
Các thuật ngữ xuất hiện trong bài, gom theo nhóm để tra nhanh. Các định nghĩa mang tính giải thích chung.
