Binance bị đánh cắp $6,3 tỷ qua uỷ quyền EIP-7702 – 30/10/2026

Lời dẫn: 6,3 tỷ đô la Mỹ — Vụ đánh cắp lớn nhất trong lịch sử sàn giao dịch tiền mã hóa, với một vector tấn công chưa từng thấy

Từ 20:20 đến 23:36 UTC ngày 29 tháng 10 năm 2026, ví nóng toàn cầu của Binance bị rút sạch một cách có hệ thống: tài sản trên tổng cộng 8 chuỗi, trị giá khoảng 6,28–6,3 tỷ đô la Mỹ, đã bị chuyển đi — đây là vụ mất mát đơn lẻ lớn nhất trong lịch sử các sàn giao dịch tiền mã hóa (kỷ lục trước đó là 7.000 BTC của chính Binance năm 2019, tương đương khoảng 41 triệu đô la Mỹ — tăng gấp 153 lần). Điều gây sốc hơn cả là phương thức tấn công: kẻ tấn công không bẻ khóa bất kỳ khóa riêng nào về mặt toán học, mà thay vào đó đã chiếm quyền truy cập vào dịch vụ ký tên bằng cách xâm nhập chiếc laptop của một kỹ sư DevOps; sau đó, chúng lợi dụng cơ chế uỷ quyền theo EIP-7702 để buộc ví nóng Ethereum lớn nhất của Binance — “Binance 14” — ký 50 giao dịch loại 4, từ đó uỷ quyền vĩnh viễn quyền thực thi mã của ví này cho hợp đồng “sweep” do kẻ tấn công triển khai. Toàn bộ quá trình — từ lúc uỷ quyền ký tên cho đến khi 250 triệu đô la Mỹ ETH và USDT bị chuyển đi trong một giao dịch sweep duy nhất — chỉ kéo dài 3 phút 24 giây. Hệ thống phát hiện AI Blockaid đã đưa ra cảnh báo trong vòng 2 phút sau khi giao dịch sweep xảy ra, xác nhận việc quyền ký tên bị chiếm đoạt và cơ chế uỷ quyền EIP-7702 trong vòng 11 phút, và đánh dấu tất cả địa chỉ của kẻ tấn công trong vòng 1 giờ. Theo tuyên bố chính thức của Binance, tổng thiệt hại khoảng 6,3 tỷ đô la Mỹ; sàn đã phối hợp với các đối tác trên chuỗi để đóng băng khoảng 3 tỷ đô la Mỹ (Tether: 1,567 tỷ đô la Mỹ + Circle: 822 triệu đô la Mỹ + Ripple RLUSD + Paxos + World Liberty…), nhưng vẫn còn khoảng 3,27 tỷ đô la Mỹ tài sản gồm BTC/ETH/XRP/SOL và các đồng tiền khác không phải stablecoin vẫn có thể được chuyển tự do. Binance tạm ngừng toàn bộ chức năng nạp tiền và rút tiền, đồng thời khẳng định sẽ chịu toàn bộ tổn thất từ quỹ SAFU và nguồn vốn nội bộ của công ty, đồng thời nhấn mạnh rằng “tiền của người dùng là an toàn”.

Thời gian tấn công: 3 phút 24 giây — từ uỷ quyền EIP-7702 đến việc chuyển đi 250 triệu đô la Mỹ trong một giao dịch sweep

Hành trình kỹ thuật của kẻ tấn công (được xác minh chéo từ nhiều nguồn: phân tích kỹ thuật của Blockaid lúc 02:30 UTC ngày 30/10/2026; ChainCatcher Dickson Wu lúc 08:00 UTC ngày 30/10/2026; thông báo tiến độ của Binance lúc 10:00 UTC ngày 30/10/2026):

1. Đêm 28/10 UTC — Giai đoạn chuẩn bị: Ví chính của kẻ tấn công rút 0,1 ETH từ Tornado Cash ba lần (chỉ đủ phí gas);
2. 13:51–16:47 UTC ngày 29/10 — Tập dượt: Kẻ tấn công thực hiện đầy đủ chuỗi thao tác “uỷ quyền & quét sạch” (delegate-and-sweep) trên 3 ví kiểm thử do chúng kiểm soát, mỗi lần di chuyển từ 2–6 đô la Mỹ nhằm kiểm tra cơ chế uỷ quyền EIP-7702 và hàm sweep;
3. 15:59 UTC ngày 29/10 — Triển khai hợp đồng sweeper: Địa chỉ hợp đồng 0x63e8…6fAe, mã nguồn chưa được xác minh, địa chỉ operator là địa chỉ của kẻ tấn công, chứa hàm sweep() (liệt kê tất cả token + ETH để chuyển ra hết trong một lần + hàm forwarding cho phép ví được uỷ quyền gọi các hợp đồng khác);
4. 20:20:59 UTC ngày 29/10 — Giao dịch then chốt: Kẻ tấn công gửi giao dịch loại 4 tới Binance 14; Binance 14 ký 50 uỷ quyền EIP-7702 (nonce từ 18914775 đến 18914824 — liên tiếp 50 nonce), toàn bộ đều uỷ quyền cho hợp đồng sweeper. Trong số này, 49 giao dịchhết hiệu lực do nonce đã hết hạn, chỉ 1 giao dịch khớp đúng nonce hiện tại, nên uỷ quyền có hiệu lực — lúc này Binance 14 vẫn đang xử lý bình thường các yêu cầu rút tiền, và hệ thống ký tên hoàn toàn không biết rằng mình vừa trao quyền thực thi mã cho kẻ tấn công;
5. 20:24:23 UTC ngày 29/10 — Chuyển đi 250 triệu đô la Mỹ trong một giao dịch: Operator gọi hàm sweep(), Binance 14 chuyển đi 167.464 ETH + 161,5 triệu USDT + 61 loại token = 250 triệu đô la Mỹ trong một giao dịch duy nhất. Lúc này, Binance 14 chỉ còn lại 1 ETH;
6. 20:24:47 – 21:00 UTC ngày 29/10 — Rút sạch đồng thời trên nhiều chuỗi: Sau 24 giây, Binance 16 ký và chuyển đi 9 giao dịch tổng cộng 174 triệu đô la Mỹ (28.006 ETH + 55,7 triệu USDT + RLUSD…); 4 ví nóng trên Arbitrum chuyển đi 74,6 triệu ARB + 8.426 ETH; Avalanche chuyển đi 1,81 triệu AVAX + 841.000 USDT; Optimism Binance 55 chuyển đi 44,2 triệu OP; trên chuỗi BTC, 11 giao dịch cùng nằm trong một khối đã chia 18.270 BTC thành 19 địa chỉ mới (mỗi địa chỉ nhận 1.000 BTC); TRON chuyển đi 612,7 triệu USDT + 46,4 triệu TRX; XRP Ledger chuyển đi 233,5 triệu XRP; Solana chuyển đi 970.522 SOL;
7. 21:01:35 – 23:36 UTC ngày 29/10 — Cuộc chiến đóng băng stablecoin + lần sweep cuối cùng thất bại: Tether lần đầu blacklisted địa chỉ 0x5227 lúc 21:01 (chứa 971 triệu USDT); Circle đóng băng 822,6 triệu đô la Mỹ USDC lúc 21:04; Tether trên TRON đóng băng 378,7 triệu USDT lúc 21:09; kẻ tấn công đã chia nhỏ và bán 435 triệu USDT lấy ETH trong vòng 3 phút trước khi Tether thực hiện đóng băng; Ripple đóng băng 40,5 triệu đô la Mỹ RLUSD lúc 22:00; lần gọi sweep() cuối cùng lúc 23:36 thất bại — vì Binance đã thu hồi uỷ quyền EIP-7702.

Thời gian phát hiện của Blockaid: Cảnh báo được đưa ra trong vòng 2 phút sau khi giao dịch sweep xảy ra (trước bất kỳ báo cáo công khai nào), xác nhận “quyền ký tên bị chiếm đoạt + cơ chế uỷ quyền EIP-7702” trong vòng 11 phút, và đánh dấu tất cả địa chỉ của kẻ tấn công là độc hại, đồng thời đẩy thông tin tới Feed Sự cố Hệ sinh thái của toàn bộ khách hàng trong vòng 1 giờ.

Chi tiết tài sản bị đánh cắp (Kiểm tra đầy đủ trên 8 chuỗi bởi Dickson Wu, 08:00 UTC ngày 30/10)

Kiểm tra trên chuỗi của kỹ sư CertiK Dickson Wu được ChainCatcher đăng tải toàn văn — đây là nguồn dữ liệu chính xác nhất hiện có về con số tài sản bị đánh cắp:

Chiến dịch đóng băng tài sản: Đã đóng băng 2,8 tỷ đô la Mỹ, vẫn còn 3,27 tỷ đô la Mỹ có thể chuyển tự do

Các nhà phát hành stablecoin và Binance đã khẩn cấp đóng băng mọi thứ có thể, nhưng hoàn toàn bất lực với các tài sản không phải stablecoin:

Chiến dịch phản đóng băng của Tether: Trước khi Tether áp dụng danh sách đen lần đầu tiên (lúc 21:01 nhằm vào địa chỉ 0x5227 chứa 971 triệu USDT), tin tặc đã chia nhỏ 200 triệu USDT thành nhiều phần vào lúc 20:33 và gửi tới địa chỉ 0x0ddf…697e; trong đó khoảng 10 triệu USDT được bán trên DEX, còn 190 triệu USDT được chuyển tiếp tới địa chỉ 0x8d53…639a rồi gửi vào Aave để vay ETH. Circle đóng băng 822,6 triệu đô la Mỹ USDC vào lúc 21:04:59, nhưng trước khi Ripple đóng băng RLUSD (lúc 22:00), tin tặc đã chuyển 40,5 triệu RLUSD tới địa chỉ 0xe702…958d và bán 48 triệu RLUSD để đổi lấy ETH; giao dịch bán cuối cùng diễn ra cùng khối với thời điểm Ripple thực hiện lệnh đóng băng.

Phản ứng thị trường: BNB giảm 10% trong một ngày, sàn Binance riêng lẻ chiếm $345 triệu giá trị thanh lý

Tài sản người dùng có an toàn không? Binance khẳng định SAFU + vốn công ty đủ bù đắp toàn bộ, tổn thất ròng chiếm khoảng 0,69% tài sản lưu ký

Lần này bị đánh cắp là các ví nóng (hot wallets) của Binance — tức những ví kết nối internet, dùng để xử lý nhanh các yêu cầu rút tiền của người dùng, chứ không phải ví lạnh hay tài khoản cá nhân của người dùng. Các cam kết then chốt:

• Tuyên bố chính thức từ Binance: "We have not found any evidence of wallet private key leakage" (khóa riêng của ví về mặt toán học chưa bị xâm phạm; cuộc tấn công xảy ra ở cấp độ quyền truy cập vào dịch vụ ký tên);
• Tuyên bố từ CZ (UTC 21:15, sớm hơn tuyên bố chính thức): "as a shareholder, I expect all user funds will be fully covered" (với tư cách cổ đông, tôi kỳ vọng toàn bộ tài sản người dùng sẽ được bù đắp đầy đủ);
• Tuyên bố từ He Yi (đồng sáng lập): xác nhận Ripple đã đóng băng 40,5 triệu RLUSD, Binance đang nỗ lực tối đa để điều tra;
• Tình trạng quỹ SAFU: thành lập tháng 7/2018, hoàn tất lần mua cuối cùng vào tháng 2/2026, toàn bộ đã chuyển thành 15.000 BTC (khoảng $1,2 tỷ theo giá ngày 30/10/2026);
• Ước tính tổn thất ròng (do 0xngmi – người sáng lập DefiLlama đưa ra): tổng tổn thất $6,28 tỷ – $2,8 tỷ đã bị đóng băng = ≈ $3,48 tỷ chưa bị đóng băng; tuy nhiên, nếu tính khả năng thu hồi tài sản của tin tặc trong tương lai, tổn thất ròng thực tế của Binance khoảng $1 tỷ (chiếm 0,69% tài sản lưu ký của Binance, từ $144–165 tỷ), “bảng cân đối kế toán của Binance hoàn toàn đủ khả năng chi trả”;
• Tạm dừng rút tiền: Binance tạm dừng toàn bộ nạp và rút tiền (bắt đầu từ UTC 30/10 lúc 00:30), với thông báo “will resume as soon as the security issue is fully resolved”, không nêu thời điểm cụ thể.

Cảnh báo rủi ro: Việc tạm dừng rút tiền bản thân nó có thể làm gia tăng hoảng loạn (ví dụ: Bybit năm 2025 bị đánh cắp $1,5 tỷ nhưng vẫn duy trì chức năng rút tiền — hai lựa chọn này vẫn đang gây tranh luận về ưu – nhược điểm). Hiện chưa ghi nhận báo cáo nào từ người dùng về việc tài khoản bị khóa hàng loạt hoặc mất tiền cá nhân, nhưng cuộc điều tra toàn diện của Binance vẫn đang tiếp tục.

So sánh lịch sử: Ba lần Binance bị đánh cắp tăng 153 lần về giá trị, phương thức tấn công tiến hóa từ lừa đảo sang chuỗi cung ứng

Xu hướng tăng trưởng: Ba lần Binance bị đánh cắp: năm 2019 ($41 triệu) → năm 2023 trên BNB Chain ($566 triệu) → năm 2026 ($6,3 tỷ), tăng 153 lần. Phương thức tấn công tiến hóa: đánh cắp thông tin đăng nhập người dùng qua lừa đảo → sửa đổi giao diện đa chữ ký → tấn công chuỗi cung ứng/thông tin nội bộ → đánh cắp quyền thực thi mã từ khóa ký tên thông qua ủy quyền EIP-7702. Báo cáo từ Blockaid chỉ rõ đây là cuộc tấn công ở cấp độ “người/hệ thống ra lệnh cho khóa ký tên làm gì”, chứ không phải tấn công vào bản thân khóa ký tên về mặt toán học — yếu tố này đến nay vẫn an toàn.

Phản ứng từ cơ quan quản lý: Im lặng toàn cầu, chỉ CEO Circle ám chỉ cơ quan thực thi pháp luật đã can thiệp

Sau khi Binance bị đánh cắp toàn bộ, phản ứng từ các cơ quan quản lý chủ chốt trên toàn cầu bất thường đến mức im lặng:

Nguồn dữ liệu then chốt và các thông tin đã ghi nhãn UNCONFIRMED

Nguồn dữ liệu:

• Phân tích kỹ thuật của Blockaid (cơ chế uỷ quyền EIP-7702, dòng thời gian, thời điểm phát hiện);
• Đánh giá toàn diện 8 chuỗi của Dickson Wu (ChainCatcher) (con số chi tiết nhất về số tiền bị đánh cắp);
• Tin tức trực tiếp từ France24/AFP (Binance tạm dừng toàn bộ rút tiền; tuyên bố đóng băng từ CEO Tether/Circle);
• Tài khoản X chính thức của Binance (bản nháp đầu tiên lúc 21:16 → xóa nội dung lúc 21:24 → bản cuối cùng lúc 21:29 với dòng “User funds are completely safe” → các bản cập nhật lúc 22:15, 23:06 và ~00:30 UTC);
• Tài khoản X của CZ (tuyên bố đầu tiên lúc 21:15 UTC, sớm hơn thông báo chính thức);
• Tài khoản X của CEO Tether (tuyên bố đóng băng 1,567 tỷ USD);
• Tài khoản X của CEO Circle (tuyên bố đóng băng 823 triệu USDC + “in coordination with law enforcement”);
• Phân tích kỹ thuật EIP-7702 của 808bits.

Các thông tin đã ghi nhãn UNCONFIRMED (không suy đoán dưới bất kỳ hình thức nào):

1. Danh tính kẻ tấn công: ZachXBT phỏng đoán có thể là nhóm Lazarus (có dấu hiệu tương đồng với vụ Bybit năm 2025), nhưng FBI/Interpol và các cơ quan thực thi pháp luật khác chưa chính thức xác định thủ phạm — không đưa ra bất kỳ kết luận nào về quốc gia hay tổ chức liên quan;
2. Cách thức cụ thể máy tính xách tay của kỹ sư DevOps bị xâm nhập: Binance chỉ nêu chung “máy tính xách tay của kỹ sư DevOps bị xâm nhập”, không nói rõ là do email lừa đảo, phần mềm độc hại, cắm USB chứa mã độc hay phương thức khác;
3. Số tiền cuối cùng bị đánh cắp: Ước tính ban đầu của Binance là 6,3 tỷ USD; các nhà phân tích trên chuỗi ước tính từ 5,78–6,28 tỷ USD; con số vẫn đang thay đổi;
4. Phạm vi ảnh hưởng tới người dùng: Hiện chưa ghi nhận trường hợp nào người dùng bị khóa tài khoản quy mô lớn hoặc mất tiền trực tiếp, nhưng việc tạm dừng rút tiền vẫn đang tiếp diễn;
5. Hành động tiếp theo từ cơ quan quản lý: SEC/CFTC/DOJ và các cơ quan khác chưa đưa ra tuyên bố công khai; chưa rõ liệu họ có tiến hành điều tra hay không;
6. Tính xác thực của thông tin “AI tham gia tấn công”: Cùng thời điểm sự việc, truyền thông (NBC) đưa tin “AI có thể đã tham gia”, nhưng không có bằng chứng kỹ thuật nào được công bố; Forkast khẳng định rõ góc nhìn liên quan đến AI là “không có nguồn nào xác nhận”;
7. Liệu các vụ tấn công vào Polymarket / Bitget / Binance 2026 có cùng một thủ phạm hay không: Thủ đoạn tương tự nhưng chưa có bằng chứng thực tế;
8. Thời điểm khôi phục chức năng rút tiền của Binance: Chỉ nêu chung “khi sự cố bảo mật được giải quyết hoàn toàn”, không đưa ra mốc thời gian cụ thể.

Thời điểm cập nhật dữ liệu: Khoảng 10:30 UTC ngày 30 tháng 10 năm 2026 (18:30 giờ Bắc Kinh). Cuộc điều tra toàn diện của Binance vẫn đang được tiến hành; dự kiến sẽ xuất bản báo cáo phân tích hậu sự cố (post-mortem) trong thời gian tới.

Cảnh báo rủi ro và tiết lộ quảng bá: Binance hiện đang tạm dừng toàn bộ chức năng nạp tiền và rút tiền, chưa có thông báo về thời điểm khôi phục. Trong thời gian tạm dừng rút tiền, có thể phát sinh rủi ro thanh khoản và ảnh hưởng tiêu cực đến niềm tin người dùng. Thông tin trong bài viết này được cập nhật đến ngày 30 tháng 10 năm 2026; một số dữ liệu (số tiền bị đóng băng, chi tiết tiền bị đánh cắp, tổn thất ròng) vẫn đang được cập nhật. Các mục đã ghi nhãn UNCONFIRMED đều không được suy đoán hay phỏng đoán dưới bất kỳ hình thức nào. Bài viết chứa liên kết quảng bá; nếu bạn đăng ký qua liên kết này, chúng tôi có thể nhận hoa hồng, nhưng điều đó không làm tăng chi phí bạn phải trả và cũng không ảnh hưởng đến đánh giá trong bài viết.