Dấu vết bị xé nhỏ trên hàng nghìn ví
Vụ tấn công Binance là sự cố an ninh khiến tài sản tiền điện tử bị rút trái phép rồi phân tán qua nhiều địa chỉ và blockchain, làm cho việc lần theo dòng tiền, ngăn chuyển tiếp và thu hồi tài sản số trở nên khó khăn hơn. Elliptic báo cáo ngày 2 tháng 11 rằng tiền bị đánh cắp đã đi qua khoảng 12.000 ví trên 11 chuỗi khối trong chưa đầy bốn ngày. Đây không phải dấu hiệu của những giao dịch ngẫu nhiên: hoạt động diễn ra với tốc độ trung bình khoảng một ví mới mỗi 25 giây và được đánh giá là tự động hóa có chủ đích. Quy mô ấy cho thấy kẻ tấn công không cần làm cho từng giao dịch biến mất; chúng chỉ cần khiến bức tranh tổng thể đủ phân mảnh để việc phối hợp chặn tiền trở nên chậm và khó.
Các nhà phân tích ghi nhận hơn 40.000 giao dịch sau vụ trộm ngày 29 tháng 10. Một số địa chỉ nhận chính xác một TRX làm phí trước khi nhận rồi chuyển tiếp lượng tài sản lớn hơn, một mô thức gợi ý phần mềm đang phân phối tiền. Elliptic cho biết không có bằng chứng cho thấy trí tuệ nhân tạo ra quyết định chuyển tiền; tự động hóa thông thường đã đủ tạo ra quy mô và nhịp độ này. Với người truy vết, 12.000 ví không chỉ là một con số lớn: đó là hàng nghìn điểm cần đối chiếu trên các mạng khác nhau.
Đổi mạng, qua giao thức để làm mờ hành trình
Điểm khiến việc thu hồi tài sản số thêm phức tạp là dòng tiền không chỉ đổi địa chỉ mà còn đi qua 11 blockchain. Kẻ tấn công sử dụng các kho cho vay và hợp đồng giao thức nhận tiền gửi rồi xử lý rút tiền, gửi tài sản từ một địa chỉ và rút sang địa chỉ khác mà không có giao dịch chuyển trực tiếp giữa chúng. Cách đi vòng này làm đứt những liên kết dễ nhìn thấy nhất trong một cuộc điều tra trên chuỗi.
Đến ngày 1 tháng 11, một phần Bitcoin bắt đầu đi qua các giao dịch CoinJoin, phương thức gộp đầu vào và đầu ra của nhiều người dùng để che khuất mối liên hệ giữa các khoản tiền. Việc Thorchain tạm dừng hoán đổi khẩn cấp sau khi phát hiện chênh lệch sổ sách cũng vô tình làm chậm một phần hoạt động chuyển đổi, nhưng không xóa bỏ rủi ro. FBI quy trách nhiệm vụ trộm cho nhóm Tradertraitor được nhà nước Triều Tiên tài trợ và kêu gọi các sàn, đơn vị hạ tầng cùng dịch vụ tài chính phi tập trung chặn những địa chỉ liên quan. Các điểm can thiệp có thật, nhưng hiệu quả phụ thuộc vào tài sản và dịch vụ mà dòng tiền đi qua.
Binance bù đắp, nhưng cuộc điều tra vẫn chưa khép lại
Trong cập nhật ngày 31 tháng 10, Binance cho biết đã bù đắp 90% tài sản bị đánh cắp và bảo đảm đầy đủ 10 loại tiền điện tử: BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD và ZEC. Phần còn thiếu thuộc về các token thanh khoản thấp hơn; sàn nói đang tìm nguồn cung cùng các đối tác trong ngành và sẽ tiếp tục mua qua thị trường lẫn giao dịch ngoài sàn cho đến khi hoàn tất. Đây là cam kết đáng kể, nhưng bù đắp không đồng nghĩa với việc đã thu hồi được tài sản từ kẻ tấn công.
Binance cho biết công ty sẽ chịu toàn bộ tác động tài chính thay vì chuyển thiệt hại sang người dùng. Sàn dựa vào quỹ công ty, quỹ bảo hiểm hợp đồng tương lai và quỹ SAFU để bổ sung tài sản; đồng thời cho biết sẽ khôi phục SAFU về mức dự kiến khoảng một tỷ USD. Với người dùng, thông điệp trước mắt là các token được nêu đã được bảo đảm theo tỷ lệ 1:1, và chủ sở hữu dự kiến có thể xác minh mức bảo đảm vào ngày 3 tháng 11 theo giờ UTC. Sàn cũng nói vẫn dự kiến nối lại giao dịch rút tiền vào Chủ nhật, ngày 1 tháng 11.
Bồi hoàn không thay thế được trách nhiệm an ninh
Điều tra ban đầu của Binance cho rằng máy tính xách tay của một nhân viên có thể đã bị xâm nhập, dẫn đến các lệnh rút tiền trái phép. Sau đó, đồng giám đốc điều hành Richard Teng cho biết vụ việc có thêm điểm xâm nhập và đã vượt qua các biện pháp phê duyệt. Một cơ chế tự hủy được cho là đã phá hủy công cụ tấn công và dấu vết, khiến việc xác định đầy đủ diễn biến càng khó khăn. Những chi tiết này nhắc rằng kiểm soát ở một khâu có thể không đủ nếu các điểm yếu khác vẫn cho phép giao dịch bất thường lọt qua.
Binance dự kiến các nỗ lực rút tiền mặt có thể tiếp diễn qua các nhà môi giới ngoài sàn trong những tháng tới. Vì vậy, việc bù đủ tài sản cho người dùng là bước quan trọng nhưng chưa phải hồi kết: các giao dịch qua nhiều ví và mạng vẫn đòi hỏi giám sát liên tục, phối hợp giữa các nền tảng và minh bạch về kết quả điều tra. Kết luận cần giữ rõ hai vế: cam kết gánh thiệt hại giúp bảo vệ khách hàng trước mắt, còn khả năng thu hồi tài sản số và ngăn tái diễn mới là phép thử dài hạn đối với an ninh của sàn.
