Binance thất thoát 6,36 tỷ USD, ví cá nhân cũng đối mặt rủi ro bảo mật

Ngày 29 tháng 10, tài sản số trị giá 6,36 tỷ USD (khoảng 848.420 tỷ won) đã bị chuyển khỏi Binance. Ngay cả ví tự lưu ký, không gửi tài sản trên sàn, cũng có thể gặp rủi ro nếu cụm từ khôi phục bị lộ, người dùng ký giao dịch độc hại hoặc bị đe dọa bằng bạo lực.

Công ty phân tích blockchain TRM Labs cho biết tài sản đã di chuyển trên 10 blockchain và phần lớn được chuyển đi trong khoảng 20 phút. Báo cáo điều tra sự cố của Binance nêu rằng kẻ tấn công dùng một cuộc phỏng vấn tuyển dụng giả để cài tệp độc hại lên máy tính của nhân viên, sau đó truy cập dịch vụ ký ví nội bộ.

Ngày 4 tháng 11, Binance thông báo đã dùng nguồn vốn của mình để bù đắp lượng token tương đương khoảng 98% giá trị thiệt hại. Tỷ lệ này thể hiện phần tổn thất được sàn bù đắp, không phải tỷ lệ tài sản bị đánh cắp đã được thu hồi từ hacker.

Tự lưu ký là hình thức người dùng trực tiếp quản lý khóa riêng của ví. Đổi lại việc không giao quyền lưu trữ cho đơn vị vận hành sàn, người dùng cũng phải tự chịu trách nhiệm quản lý quyền truy cập ví và phương thức khôi phục.

Nếu cụm từ khôi phục rơi vào tay người khác, người dùng có thể mất quyền kiểm soát ví. Trezor, nhà sản xuất ví phần cứng, khuyến cáo không tiết lộ cụm từ này cho bất kỳ ai, kể cả nhân viên hỗ trợ khách hàng.

Quy trình ký giao dịch của ví cũng có thể trở thành đường tấn công. Nếu người dùng vô tình cấp quyền sử dụng token khi ký giao dịch hoặc thông điệp, kẻ tấn công có thể dùng quyền đó để chuyển tài sản.

Tấn công làm nhiễm bẩn địa chỉ lợi dụng lịch sử giao dịch để chèn một địa chỉ gần giống địa chỉ nhận thực tế, nhằm khiến người dùng chuyển nhầm tiền. Điều này cũng cho thấy vì sao cần kiểm tra toàn bộ địa chỉ trước khi chuyển tiền.

Ngoài tấn công trực tuyến, việc bị ép buộc truy cập ví cũng là một rủi ro. CertiK thống kê rằng trong nửa đầu năm 2026, có 52 vụ đe dọa thân thể được công khai xác nhận trên toàn cầu, với mức phơi nhiễm tài chính liên quan là 124,18 triệu USD (khoảng 165,7 tỷ won).

Con số này bao gồm tài sản bị đánh cắp, khoản tiền chuộc bị yêu cầu và tài sản bị đóng băng, nên không thể xem là tổng thiệt hại. Số vụ việc và mức phơi nhiễm tài chính là hai chỉ số khác nhau.

Đơn vị chịu trách nhiệm ứng phó sau sự cố khác nhau giữa sàn giao dịch và ví cá nhân. Khi gửi tài sản trên sàn, người dùng có thể yêu cầu một bên cụ thể bồi hoàn tổn thất hoặc mở lại chức năng rút tiền, nhưng việc thực hiện còn tùy thuộc vào nguồn lực và cách ứng phó của sàn.

Giao dịch chuyển tiền từ ví cá nhân nhìn chung không thể đảo ngược. Ngay cả khi truy vết được đường đi của tài sản, việc thu hồi cũng không được bảo đảm.

Changpeng Zhao, đồng sáng lập Binance, từng nêu quan điểm rằng lưu ký tài sản trên sàn có thể an toàn hơn về mặt thống kê so với tự lưu ký. Ông viện dẫn việc không phải mọi sự cố liên quan đến ví cá nhân đều được công khai hoặc được phản ánh trong số liệu thống kê.

Tuy nhiên, cũng khó khẳng định lưu ký trên sàn an toàn hơn trong mọi sự cố. Rủi ro của sàn tập trung vào hệ thống bảo mật và khả năng thanh toán của đơn vị vận hành, còn với hình thức tự lưu ký, rủi ro chủ yếu nằm ở việc quản lý khóa riêng, thiết bị và quyền ký giao dịch.

Ngày 12 tháng 11, Bộ Tư pháp Mỹ cho biết hơn 2,7 tỷ USD (khoảng 360,18 tỷ won) trong số tài sản bị rút khỏi Binance đã bị đóng băng. Cơ quan này cũng cho biết đã được tòa án cho phép tịch thu hoặc hạn chế định đoạt hơn 1,2 tỷ USD (khoảng 160,08 tỷ won) trong số đó. Không thể cộng số tiền bị đóng băng với khoản được tòa án cho phép xử lý.

Biện pháp đóng băng có nghĩa là tài sản không thể di chuyển, chứ không đồng nghĩa với việc tài sản đã được trả lại cho nạn nhân. Khi cân nhắc cách lưu trữ, người dùng cần xem xét cả ai quản lý khóa và ai có thể ứng phó khi xảy ra sự cố.