6,3 tỷ USD bị lấy đi nhưng private key không bị lộ
Vụ hack Binance ngày 29/10 khiến khoảng 6,3 tỷ USD tài sản số bị chuyển trái phép, nhưng điều tra ban đầu lại phát hiện một chi tiết đáng chú ý: chưa có bằng chứng private key của các ví Binance bị đánh cắp.
Ban đầu, Binance nghi ngờ máy tính của một kỹ sư DevOps bị xâm nhập. Điều tra sau đó phát hiện thêm nhiều điểm truy cập khác, cho thấy cuộc tấn công phức tạp hơn việc kiểm soát một thiết bị.
Dữ liệu on-chain cũng cho thấy các giao dịch trái phép vẫn mang chữ ký hợp lệ từ ví do Binance kiểm soát.
Điều này đặt ra khả năng hacker đã kiểm soát hệ thống có quyền yêu cầu hoặc phê duyệt việc ký giao dịch.
Hacker không nhất thiết cần lấy private key
Các sàn giao dịch không vận hành ví giống người dùng cá nhân. Họ sử dụng hệ thống tự động để kiểm tra yêu cầu rút tiền, phê duyệt giao dịch và gửi lệnh tới hạ tầng bảo mật để tạo chữ ký.
Nếu hacker xâm nhập được lớp kiểm soát này, họ có thể khiến hệ thống ký hợp lệ cho một giao dịch gian lận, trong khi private key vẫn nằm nguyên trong môi trường bảo mật.
Trên Ethereum, các nhà điều tra còn phát hiện việc sử dụng EIP-7702, cơ chế cho phép tài khoản thông thường tạm thời thực thi chức năng smart contract.
Khoảng 50 ủy quyền được ký trước được cho là đã hỗ trợ quá trình rút tài sản. Tuy nhiên, điều này không có nghĩa EIP-7702 bị phá vỡ.
My thoughts on the Binance hack:
This is what I’d call a sophisticated unsophisticated attack. This has been attributed to Lazarus, a nation-state adversary. That doesn’t make them unstoppable. Nothing about what appears to have happened here is new. It’s the same playbook we’ve…
— David Schwed (@dschwed) November 2, 2026
Vụ việc cho thấy bảo vệ private key là chưa đủ
Sự cố Binance cho thấy bảo mật crypto không chỉ phụ thuộc vào việc cất giữ private key.
Doanh nghiệp còn phải bảo vệ thiết bị nhân viên, hệ thống phê duyệt, hạ tầng ký giao dịch, quyền truy cập nội bộ và quy trình vận hành.
Vụ hack cũng cho thấy sự khác biệt giữa các loại tài sản. Ripple có thể đóng băng 40,5 triệu RLUSD bị đánh cắp nhờ quyền kiểm soát của nhà phát hành, trong khi XRP không có cơ chế đóng băng tương tự.
Binance sau đó cho biết đã bù đắp khoảng 90% tài sản bị ảnh hưởng.
Tuy nhiên, việc hoàn lại tài sản không giải quyết câu hỏi cốt lõi mà vụ việc đặt ra: một private key vẫn có thể an toàn, nhưng tài sản vẫn bị đánh cắp nếu hệ thống quyết định cách sử dụng key đó bị kiểm soát.
