Phòng chiến tranh mở ra cuộc truy đuổi
Truy vết tiền số là quá trình lần theo giao dịch trên blockchain để nhận diện ví nhận, đường đi và khả năng kiểm soát tài sản bị đánh cắp, nhưng không đồng nghĩa với quyền thu hồi hay đóng băng chúng. Sau khi phát hiện dòng tiền bất thường, lãnh đạo Binance lập tức dựng phòng điều hành khẩn cấp trên hệ thống nhắn tin nội bộ. Khoảng 100 người, gồm chuyên gia truy vết tiền mã hóa và nhân viên an ninh, tham gia phối hợp trong khủng hoảng.
Quy mô huy động cho thấy Binance hiểu rằng từng phút đều có giá trị. Giao dịch trên blockchain có thể được quan sát công khai, nhờ đó các nhà phân tích và đối tác có thể lần theo dấu vết. Nhưng nhìn thấy tiền đi đâu không có nghĩa sàn có thể tự chặn nó. Cuộc đối đầu nhanh chóng trở thành cuộc đua giữa tốc độ truy vết và khả năng hacker chia nhỏ, chuyển tài sản trước khi các bên có quyền can thiệp kịp hành động.
Cách vượt qua lớp bảo vệ vẫn chưa được làm rõ: Binance ban đầu phát hiện một máy tính xách tay bị xâm nhập, rồi thông báo có thêm các điểm xâm nhập khác. Khoảng trống này khiến việc công bố số tiền được bù đắp chưa thể thay thế câu trả lời về nguyên nhân. Bối cảnh an ninh cũng đáng lo hơn khi giới công nghệ cảnh báo AI có thể đẩy tốc độ tìm và khai thác lỗ hổng vượt khả năng vá của con người.
Hacker chạy trước lệnh phong tỏa
Thế giằng co hiện rõ ở từng giao dịch: khi Binance và các đối tác truy tìm dòng tiền, hacker chia nhỏ tài sản rồi chuyển qua nhiều mạng blockchain để né phong tỏa. Theo Bitquery, lệnh phong tỏa đầu tiên của Tether được thực hiện chỉ 37 phút sau giao dịch rút tiền quy mô lớn; trước khi lệnh có hiệu lực, khoảng 700 triệu USDT đã chuyển sang các ví khác.
Có ví chuyển đi 130 triệu USDT chưa đầy một phút trước khi bị chặn. Tether sau đó phong tỏa các ví liên quan trên Ethereum và TRON, nhưng một số ví đã bị rút sạch trước khi biện pháp có hiệu lực. Ngược lại, Circle kịp đóng băng một lượng USDC tại ví Ethereum trước khi số tiền bị chuyển đi. Những diễn biến trái chiều này cho thấy phong tỏa tài sản phụ thuộc cả vào tốc độ phản ứng lẫn loại token và nơi tài sản đang nằm.
Giới hạn nằm ở quyền kiểm soát: nhà phát hành USDT và USDC có thể khóa token tại địa chỉ cụ thể, còn Bitcoin và Ether không có cơ chế đóng băng trực tiếp do một tổ chức phát hành kiểm soát. Vì vậy, truy vết có thể chỉ ra đường đi, nhưng không tự biến dữ liệu thành quyền thu hồi. Khi tài sản rời khỏi các token có thể bị khóa, việc chặn dòng tiền trở nên khó khăn hơn.
Bù đắp không đồng nghĩa thu hồi
Điểm cần phân biệt rõ nhất trong vụ hack Binance là khoản sàn bổ sung cho tài sản bị ảnh hưởng không phải tiền đã lấy lại từ hacker. Binance cho biết đã bổ sung khoảng 98% lượng tài sản bị ảnh hưởng, nhưng đây là phần được bù bằng nguồn lực tài chính của sàn, không phải tỷ lệ tiền đánh cắp được thu hồi. Binance nói sẽ tự chịu tổn thất thay vì chuyển thiệt hại sang khách hàng.
Ở phía truy tìm, Binance công bố khoảng 2,85 tỷ USD đã được phong tỏa hoặc chặn lại; Bitquery đưa ra ước tính khác, khoảng 2,7 tỷ USD được các tổ chức phát hành và bên quản lý mạng khóa hoặc cứu giữ. Đây là các số liệu về tài sản bị ngăn chặn, không phải bằng chứng rằng số tiền đã trở lại tay sàn hay người dùng. Mức chênh giữa các cách thống kê cũng nhắc rằng kết quả còn cần đối soát và có thể biến động.
Elliptic nhận định đến ngày 4/11, phần tiền từ vụ việc thực sự được đổi thành tiền pháp định có thể chỉ chiếm tỷ lệ không đáng kể. Điều đó không xóa bỏ rủi ro: tài sản còn nằm trong ví do bên tấn công kiểm soát vẫn có thể tiếp tục được luân chuyển, dù chưa chuyển thành tiền pháp định. Nói cách khác, chặn được một phần là tiến triển đáng kể, nhưng chưa phải kết thúc cuộc truy đuổi.
Người dùng chờ minh bạch và khôi phục dịch vụ
Với khách hàng bình thường, ảnh hưởng trực tiếp là việc Binance phải tạm dừng nạp và rút tiền trong lúc xử lý sự cố. Cam kết tự bù đắp giúp hạn chế nguy cơ tổn thất bị đẩy sang người dùng, nhưng không loại bỏ bất tiện hay câu hỏi về mức độ an toàn của hệ thống. Sàn đã mở rộng công bố bằng chứng dự trữ và nói lượng tài sản thuộc phạm vi báo cáo được bảo đảm tối thiểu theo tỷ lệ một-một khi quá trình xác minh hoàn tất.
Phần tài sản chưa được bổ sung chủ yếu là token thanh khoản thấp, khiến việc mua lại trên thị trường hoặc qua giao dịch thỏa thuận cần thêm thời gian. Binance cũng cho biết đang mời các công ty an ninh mạng độc lập đánh giá sự cố và từng bước khôi phục dịch vụ rút tiền cho khách hàng. Đây là những bước cần thiết, nhưng niềm tin sẽ phụ thuộc vào việc sàn giải thích được các điểm xâm nhập và chứng minh biện pháp khắc phục có hiệu quả.
Phần kết của cuộc truy đuổi còn bỏ ngỏ. Elliptic dự báo hacker có thể tiếp tục chuyển ETH sang BTC bằng các giao dịch nhỏ rồi tìm cách bán qua nhà môi giới OTC trong nhiều tháng tới. Vì thế, thu hồi tiền mã hóa không thể được đánh giá chỉ bằng một thông báo bù đắp hay một con số phong tỏa. Thước đo thuyết phục hơn là tài sản nào thực sự bị kiểm soát, dịch vụ được khôi phục ra sao và người dùng nhận được thông tin minh bạch đến đâu.
