Xâm nhập hạ tầng ký kết và tẩu tán thần tốc
Dữ liệu blockchain cho thấy phần lớn dòng tiền đã bị rút ra ngoài chỉ trong vòng khoảng 20 phút, bắt đầu từ khoảng 20 giờ tối ngày 29/10 theo giờ UTC (rạng sáng 30/10 giờ Hà Nội). Kẻ tấn công đồng loạt rút các đồng tiền phổ biến gồm Ethereum, Bitcoin, Tron và Solana, sau đó chuyển về hàng loạt địa chỉ ví được kiểm soát tập trung. Theo phân tích từ công ty tình báo dữ liệu chuỗi khối TRM Labs, tin tặc đã xâm nhập trực tiếp vào hệ thống hạ tầng ký duyệt giao dịch của sàn, qua đó phát lệnh rút tài sản hợp lệ từ các ví bị ảnh hưởng.
“Quá trình chuẩn bị bắt đầu ít nhất 36 tiếng trước khi vụ hack xảy ra”, phía TRM Labs cho biết. Về phía mình, Binance cho biết bước đầu ghi nhận thiết bị máy tính của một kỹ sư bị xâm nhập và tiếp tục phát hiện thêm vài điểm bị khai thác khác, song chưa phát hiện bằng chứng rò rỉ khóa riêng (private key) của các ví lưu trữ.
Riêng với Bitcoin, kẻ tấn công đã rút 18.270 BTC từ ví nóng của sàn, loại tài khoản kết nối mạng internet chuyên dùng để tự động xử lý các lệnh rút tiền thường nhật cho khách hàng. Lượng Bitcoin này lập tức được phân bổ sang 19 địa chỉ ví mới và chưa hề được chi tiêu thêm tính đến sáng ngày hôm sau.
Quy mô của khối lượng Bitcoin bị đánh cắp tương đương khoảng 1,4 tỷ USD theo thị giá thời điểm đó. Con số này lớn hơn số lượng Bitcoin mà tập đoàn Tesla đang sở hữu (11.509 BTC), gấp hơn hai lần quỹ dự trữ quốc gia của El Salvador (khoảng 7.820 BTC) và chỉ kém một phần nhỏ so với số lượng nắm giữ công khai của tập đoàn SpaceX.
Chạy đua phong tỏa trước các đồng tiền khó can thiệp
Ngay sau khi phát hiện sự cố, các tổ chức phát hành stablecoin tập trung đã kích hoạt cơ chế can thiệp kỹ thuật khẩn cấp. Do bản chất của stablecoin gắn với USD như USDT hay USDC được điều hành bởi các công ty phát hành tập trung, các đơn vị này sở hữu quyền can thiệp vào mã nguồn hợp đồng thông minh để đưa địa chỉ ví của tin tặc vào danh sách đen, khiến số dư bị đóng băng hoàn toàn.
Theo đó, Tether đã nhanh chóng phong tỏa khoảng 1,567 tỷ USD giá trị USDT chỉ sau 37 phút kể từ khi dòng tiền về ví chính của kẻ tấn công, trong khi Circle cũng đóng băng khoảng 823 triệu USD giá trị USDC ít phút sau đó.
Nhận thức được cơ chế này, kẻ tấn công lập tức chuyển đổi phương án nhằm hoán đổi tài sản từ stablecoin sang Bitcoin và Ethereum, hai loại tài sản phi tập trung không có cơ quan quản lý đơn lẻ để khóa ví.
Báo cáo từ đơn vị kiểm toán an ninh CertiK chỉ ra tin tặc đã nhanh chóng bán hơn 325 triệu USDT sang Ethereum thông qua các nhà tạo lập thị trường trước khi lệnh phong tỏa kịp ban hành. Ngoài ra, hội đồng quản trị của mạng lưới mở rộng Arbitrum cũng kịp thời chuyển 30,5 triệu USD tài sản sang ví trung gian để bảo vệ trước khi hệ thống bỏ phiếu cộng đồng đưa ra phán quyết cuối cùng.
Độ phức tạp còn gia tăng khi tin tặc đưa 60 triệu USD USDT làm tài sản thế chấp vào giao thức cho vay phi tập trung Aave để vay ra hơn 44 triệu USD giá trị Ether bọc (WETH) trước thời điểm lệnh phong tỏa phát tác. Vì giao thức vận hành thuần túy bằng các dòng mã nguồn tự động không qua trung gian kiểm duyệt, khoản tiền này vẫn được hệ thống ghi nhận là hợp lệ do tỷ lệ thế chấp vượt mức giá trị nợ vay.
Có thể hiểu, Aave giống một tiệm cầm đồ tự động. Giao thức này chỉ kiểm tra xem tài sản thế chấp có đủ lớn so với khoản vay hay không, chứ không kiểm tra tiền đến từ đâu. Với vị thế này, thế chấp vẫn lớn hơn khoản vay, nên Aave xem đây là khoản vay an toàn và cho biết người gửi tiền khác trong giao thức không bị đe dọa.
Chiêu này gây khó khăn vì Tether chỉ đóng băng được USDT nằm trong các ví bị chặn. Khi USDT đã vào Aave, việc chặn ví của tin tặc không lấy lại được số tiền đó. Ngoài ra, WETH mà tin tặc vay ra không có bên phát hành nào có thể đóng băng.
Aave sau đó tạm đóng băng thị trường để ngăn gửi và vay thêm. Người dùng bình thường vẫn rút tiền và trả nợ được. Khi xác định hợp đồng không bị ảnh hưởng, Aave mở lại thị trường.
Giải bài toán thanh khoản và cam kết bảo vệ người dùng
Công ty phân tích chuỗi khối Elliptic ước tính rằng dù nỗ lực của các bên đã ngăn chặn được khoảng một nửa tổng số tiền, nhóm tấn công vẫn đang nắm giữ trực tiếp khoảng 3,33 tỷ USD nằm ở các dạng tài sản không thể phong tỏa tùy ý. Điểm mấu chốt nằm ở chỗ tiền bị phong tỏa chỉ là trạng thái tài sản nằm yên tại chỗ trên chuỗi khối, chứ chưa tự động chuyển ngược lại về ví sàn để phục hồi thanh khoản ngay lập tức.
Trước áp lực bảo đảm an toàn hệ thống, Binance đã tạm ngừng tính năng rút tiền nhằm tiến hành rà soát an ninh toàn diện. Đại diện sàn khẳng định đã trích lập khoản quỹ dự phòng công ty lên tới hơn 6,34 tỷ USD, bao gồm 5 tỷ USD sẵn có bằng các đồng tiền mã hóa bị thất thoát, đồng thời thu xếp mua bổ sung lượng tài sản còn lại thông qua thị trường giao dịch mở và các thỏa thuận thỏa thuận riêng lẻ nhằm lấp đầy lượng hao hụt.
Sàn thông báo sẽ công bố báo cáo kiểm toán bằng chứng dự trữ (Proof of Reserves) cập nhật nhằm minh bạch hóa tỷ lệ bảo chứng đầy đủ 1:1 cho số dư tiền gửi của khách hàng. Ông Richard Teng, Tổng Giám đốc điều hành Binance, khẳng định sàn sẽ trích Quỹ Tài sản An toàn cho Người dùng (SAFU) và nguồn lực nội bộ để bù đắp mọi thiệt hại, đồng thời đã bắt tay vào quy trình phối hợp thu hồi tài sản.
Vụ việc tiếp tục là lời cảnh tỉnh về rủi ro tập trung hạ tầng trong ngành tài sản mã hóa. Dù các cam kết bảo hộ đã hạn chế nguy cơ hoảng loạn rút vốn dây chuyền, khả năng khôi phục nguyên trạng hoạt động nạp rút vẫn phụ thuộc trực tiếp vào kết quả kiểm tra hệ thống và các bước xử lý pháp lý tiếp theo giữa sàn giao dịch và cơ quan chức năng quốc tế.
