Để xem phân tích kỹ thuật đầy đủ, vui lòng đọc bài viết: “6,3 tỷ đô la Mỹ bị đánh cắp: Ví nóng của Binance bị tấn công thông qua cơ chế ủy quyền EIP-7702, Blockaid phát hiện trong vòng 2 phút”. Bài viết này chỉ tập trung vào những diễn biến mới nhất tính đến ngày 1 tháng 11.

90% tài sản bị đánh cắp của Binance đã được bù đắp, rút tiền khôi phục từ hôm nay, FBI xác định thủ phạm là tin tặc Triều Tiên — Cập nhật mới nhất sự việc ngày 1 tháng 11

Vào ngày 29 tháng 10, ví nóng của Binance bị đánh cắp 6,3 tỷ đô la Mỹ, đây là sự cố an ninh lớn thứ hai trong lịch sử tiền mã hóa xét theo giá trị thiệt hại trong một lần duy nhất. Đã trôi qua trọn ba ngày — đến ngày 31 tháng 10, Reuters, FBI và Binance cùng đồng loạt công bố một loạt thông tin quan trọng, khiến tâm lý thị trường rõ ràng chuyển sang chiều hướng tích cực. Dưới đây là tổng hợp các thông tin mới nhất chỉ trong khoảng thời gian từ ngày 31 tháng 10 đến ngày 1 tháng 11.

Một, Binance: 90% thiệt hại đã được bù đắp, rút tiền khôi phục từ ngày 1 tháng 11

Theo báo cáo độc quyền của Reuters ngày 31 tháng 10, Binance đã sử dụng vốn tự có của công ty cộng với Quỹ SAFU để bù đắp 90% số tiền bị đánh cắp. CEO Richard Teng tiết lộ thêm trong cuộc họp nội bộ toàn công ty rằng phần còn lại chiếm 10% chủ yếu gồm các token ít thanh khoản trên chuỗi, cần mua lại từng phần thông qua giao dịch OTC (trường ngoại), sau đó mới bổ sung vào sổ sách; hiện Binance đang đàm phán với nhiều nhà tạo lập để thực hiện việc này.

Cũng theo Reuters dẫn lời hai nguồn tin thân cận, bên trong Binance đã đặt mục tiêu thời gian cụ thể là “khôi phục hoàn toàn chức năng rút tiền vào Chủ nhật, ngày 1 tháng 11”. Hiện đội kỹ thuật đang tiến hành kiểm toán bảo mật và kiểm tra thử nghiệm từng bước (gray testing) đối với tất cả các nút ví nóng — đây là quy trình chuẩn sau mọi sự cố an ninh nghiêm trọng, nhằm đảm bảo không còn lỗ hổng hay cửa hậu nào tồn tại.

Về chứng minh dự trữ (Proof of Reserves – PoR), Binance đã ghi lại ảnh chụp nhanh (snapshot) cây Merkle mới vào lúc 00:00 UTC ngày 31 tháng 10. Báo cáo PoR đầy đủ sẽ được công bố chính thức vào ngày 2 tháng 11. Đây là lần đầu tiên Binance chủ động đẩy nhanh tiến độ công bố PoR sau một sự cố an ninh, rõ ràng nhằm đáp ứng mạnh mẽ yêu cầu từ thị trường về tính minh bạch.

CZ (Triệu Trường Bằng), đồng sáng lập kiêm cựu CEO của Binance, và Richard Teng, CEO đương nhiệm, đã cùng ra tuyên bố chung vào tối ngày 31 tháng 10: “We fully cover all losses. Every user, every asset.” (Chúng tôi bù đắp toàn bộ thiệt hại. Mỗi người dùng, mỗi tài sản.) — Đây là lần đầu tiên CZ lên tiếng công khai về một sự cố an ninh đơn lẻ kể từ khi rời vị trí CEO.

Hai, FBI chính thức xác định thủ phạm: Tổ chức “Trader Traitor” của Triều Tiên, cũng là nhóm gây ra vụ Bybit bị mất 1,5 tỷ đô la Mỹ năm 2025

Đây là thông tin quan trọng nhất ngày 31 tháng 10. Bộ phận An ninh mạng của FBI đã chính thức ra thông báo, xác định tổ chức tin tặc Triều Tiên mang tên “Trader Traitor” là thủ phạm đứng sau vụ Binance bị đánh cắp lần này. Thông báo cũng khẳng định rõ: tổ chức này chính là nhóm đã gây ra vụ Bybit bị mất 1,5 tỷ đô la Mỹ vào tháng 2 năm 2025.

FBI tiết lộ một số bằng chứng kỹ thuật then chốt trong thông báo:

• Script ủy quyền EIP-7702 được sử dụng trong chuỗi tấn công có mức độ tương đồng mã nguồn rất cao với công cụ từng được phát hiện trong vụ Bybit;
• Nhiều địa chỉ trên chuỗi do tin tặc kiểm soát cũng từng xuất hiện trong hoạt động tập kết tiền trong vụ Bybit năm 2025;
• Các mẫu email lừa đảo và cách thức giả danh trong giai đoạn xã hội học (social engineering) đều phù hợp với mô hình hoạt động lâu đời của nhóm tin tặc Triều Tiên Lazarus Group.

Đội an ninh trên chuỗi Blockaid đã phát hiện hoạt động ủy quyền bất thường chỉ sau 2 phút kể từ khi sự việc xảy ra và ngay lập tức công bố báo cáo theo dõi thời gian thực.

Nhiều cơ quan tình báo trên chuỗi như ChainCatcher cũng đồng thời theo dõi luồng di chuyển của số tài sản bị đánh cắp. Tính đến ngày 31 tháng 10, khoảng 30% tài sản bị đánh cắp đã bị Binance đóng băng hoặc gắn nhãn trên toàn bộ các chuỗi; khoảng 20% khác đã bị rửa sạch qua các trình trộn tiền như Tornado Cash; phần còn lại vẫn đang trong quá trình chuyển giữa các chuỗi.

Đáng chú ý, cái tên “Trader Traitor” vốn đã xuất hiện trong giới tình báo mở từ lâu — kể từ năm 2024, nhóm này ít nhất đã tiến hành các cuộc tấn công xã hội học có chủ đích vào nhiều sàn giao dịch hàng đầu như OKX, Gate.io và Coinbase, tuy nhiên trước đây chưa lần nào thành công xâm nhập vào ví nóng. Vụ Binance lần này là lần đầu tiên họ thành công — và quy mô vượt xa mọi lần trước.

Ba, Phản ứng thị trường: BTC tăng từ 75.000 lên 77.500 đô la Mỹ, chỉ số hoảng loạn giảm mạnh

Khi sự việc mới bùng phát (rạng sáng ngày 29 tháng 10), giá BTC từng lao dốc từ 77.800 đô la Mỹ xuống còn 75.100 đô la Mỹ, mức giảm mạnh nhất trong 24 giờ đạt khoảng 3,5%. Nhưng ngay sau khi loạt tin tích cực ngày 31 tháng 10 được công bố (bù đắp 90% tài sản, lộ trình khôi phục rút tiền, tuyên bố chung của CZ và Teng), tâm lý thị trường nhanh chóng hồi phục.

Tính đến sáng ngày 1 tháng 11 theo giờ Bắc Kinh, giá BTC đã quay lại mức 77.500 đô la Mỹ, gần như trở về mức trước khi xảy ra sự việc. Chỉ số Sợ hãi & Tham lam (Fear & Greed Index) cũng tăng từ mức “Sợ hãi 24” ngày 30 tháng 10 lên mức “Trung lập 42” ngày 1 tháng 11.

BNB phục hồi còn mạnh hơn: trong ngày xảy ra sự việc, giá từng giảm hơn 18%, xuống dưới 520 đô la Mỹ; đến ngày 1 tháng 11, giá đã quay lại vùng 595 đô la Mỹ, mức tăng trong 24 giờ vượt quá 12%.

Bốn, Tổng quan các mốc thời gian quan trọng ngày 1 tháng 11

V. Gợi ý hành động thực tế dành cho người dùng bình thường

Sau 72 giờ kể từ khi sự việc xảy ra, tốc độ phản ứng của Binance đã rất rõ ràng. Đối với người dùng thông thường:

• Chờ kênh rút tiền hoạt động trở lại: Mục tiêu chính thức là Chủ nhật, ngày 01/11; trên thực tế, việc mở lại có thể diễn ra theo từng đợt — đầu tiên là giao ngay, sau đó mới đến hợp đồng tương lai và các sản phẩm tài chính. Đừng liên tục làm mới trang; hãy theo dõi thông báo chính thức trong hệ thống;
• Thử trước một khoản nhỏ: Khi kênh đã hoạt động trở lại, hãy thử chuyển trước một khoản nhỏ $50–$100 để kiểm tra xem giao dịch trên chuỗi có ổn định không và phí Gas có bình thường không;
• Đặt lại ba yếu tố bảo mật cốt lõi: Đặt lại mật khẩu, kiểm tra xem 2FA đã được bật chưa, và đặt lại toàn bộ khóa API (ngay cả khi bạn chưa từng sử dụng cũng nên tạo lại toàn bộ);
• Theo dõi PoR: Sau khi báo cáo PoR đầy đủ được công bố vào ngày 02/11, bạn có thể tự kiểm tra nút Merkle của tài khoản mình — lần này Binance dự kiến sẽ mở cổng xác minh tự chủ.

VI. Tác động đối với ngành

Sau sự việc này, ít nhất hai xu hướng đã trở nên rõ ràng:

Thứ nhất, chứng minh dự trữ (PoR) tại các sàn giao dịch sẽ chuyển từ “tùy chọn” thành “bắt buộc”. Sau sự cố FTX năm 2022, PoR từng được phổ biến rộng rãi, nhưng phần lớn các sàn vẫn áp dụng theo hình thức tự nguyện. Sau sự việc lần này của Binance, nhiều sàn hàng đầu như OKX, Gate.io và Coinbase đã tuyên bố sẽ tăng tần suất PoR từ quý lên tháng, một số thậm chí đang cân nhắc chụp ảnh nhanh mỗi tuần.

Thứ hai, cơ chế kiểm toán bảo mật dành riêng cho các giao thức mới như EIP-7702 sẽ bắt buộc được tích hợp vào kiến trúc ví nóng của các sàn giao dịch. EIP-7702 chỉ mới được kích hoạt chính thức vào tháng 3/2025, và đa số sàn lúc đó chưa kịp cập nhật mô-đun kiểm soát rủi ro cho chức năng ủy quyền — đây là một khoản “nợ kỹ thuật” mang tính toàn ngành, và sự cố lần này chính là bài học đắt giá mà cả ngành phải trả.

BlokWiki sẽ tiếp tục cập nhật các diễn biến mới nhất, bao gồm việc công bố báo cáo PoR, thông báo mới từ FBI và tiến trình truy thu tiền bị đánh cắp. Tin tức mới sẽ được cập nhật ngay lập tức.