Ngày 29/10/2026 (giờ Mỹ), sàn Binance bị nghi tấn công và mất khoảng 204.500 ETH từ các ví nóng. Theo rà soát, ví trung tâm vụ việc là “Binance 14”, ví nằm trong báo cáo bằng chứng dự trữ ngày 1/10 của chính Binance. Như vậy số tiền bị lấy là một phần tài sản đối ứng với số dư của khách hàng, và mức bảo chứng ETH ước tính chỉ còn khoảng 94% cho đến khi sàn bù lại.
Ví nóng là ví luôn kết nối internet để sàn xử lý rút và nạp tiền nhanh. Vì tiện lợi nên loại ví này thường là điểm yếu hơn so với ví lưu trữ ngoại tuyến.
Ví Binance 14 bị rút nằm trong báo cáo dự trữ ngày 1/10
Mỗi tháng, Binance công bố danh sách ví do sàn kiểm soát cùng số dư từng ví. Sàn so sánh tổng số này với số tài sản khách đang giữ trên nền tảng, gọi là bằng chứng dự trữ (proof of reserves). Báo cáo gần nhất, ngày 1/10, ghi Binance 14 giữ 1,26 tỷ USDT và 89.475 ETH, nằm trong 37 loại tài sản.
Cũng theo báo cáo đó, Binance giữ đúng 100% lượng ETH tương ứng với số dư khách và 108,26% lượng USDC. Khoảng 204.500 ETH bị lấy tương đương khoảng 5,6% dự trữ ETH của sàn, nên tỷ lệ bảo chứng ETH rơi xuống gần 94%. Các khoản nhỏ hơn như ENA, UNI, PEPE và AAVE chiếm từ 7% đến 15% lượng sàn công bố cho từng token.
Đây là ước tính dựa trên dữ liệu ngày 1/10, không phải số liệu mới do Binance công bố. Đại diện Binance chưa phản hồi thông tin gì tại thời điểm bài viết được đăng.
Kẻ tấn công dùng EIP-7702 biến ví Binance 14 thành “máy quét” tiền
EIP-7702 là một tính năng của Ethereum cho phép ví giao quyền điều khiển cho một đoạn phần mềm. Kẻ tấn công có được khóa của Binance 14 để ký quyền này, rồi biến ví thành công cụ tự động chuyển mọi khoản tiền đến sang địa chỉ của hắn.
Dữ liệu Etherscan cho thấy lúc 20:24 UTC (khoảng 3:24 sáng 30/10 giờ Việt Nam), 167.464 ETH rời Binance 14, tiếp đó là 28.005,6 ETH từ ví Binance 16. Cả hai khoản về ví của kẻ tấn công. Gần 15 phút sau, 195.460 ETH (khoảng 442 triệu USD) được chuyển sang một địa chỉ thứ hai.
Cách gọi “bị hack” có thể chưa phản ánh hết sự việc. CEO công ty bảo mật Blockaid cho rằng vụ việc có thể là lạm dụng khóa riêng tư chứ không phải đánh cắp khóa. Chúng tôi chưa đọc được lập luận chi tiết và Binance chưa xác nhận nguyên nhân, nên đây vẫn là nhận định chưa kiểm chứng.
Tether, Circle, Ripple đóng băng hơn 1,5 tỷ USDT; Binance nói tiền người dùng an toàn
Binance và đồng CEO Yi He tuyên bố tiền người dùng an toàn. Trên thực tế, số dư của khách sẽ được thanh toán đủ dù tài sản đối ứng đã bị lấy. Nhà sáng lập Changpeng Zhao cũng nói ông kỳ vọng người dùng được bù đắp đầy đủ.
Các tổ chức phát hành stablecoin (đồng tiền số neo giá đô la) đã phong tỏa phần lớn số stablecoin bị lấy:
- Tether: CEO Paolo Ardoino cho biết hơn 1,567 tỷ USDT bị đóng băng.
- Circle: theo Zhao, khoảng 823 triệu USD USDC bị đóng băng.
- Ripple: khoảng 200 triệu USD tài sản.
- World Liberty Financial: 27 triệu USD stablecoin USD1.
Binance còn có quỹ khẩn cấp SAFU, hiện giữ khoảng 1 tỷ USD bằng bitcoin và có thể dùng để bù thiệt hại. Mốc cần theo dõi là bản chụp dự trữ ngày 1/11, vì nó sẽ cho thấy sàn đã thay thế số tài sản mất hay chưa.
Theo ước tính, tổng thiệt hại sự cố lần này hơn 6 tỷ USD và là vụ hack lớn nhất lịch sử tiền mã hóa.
Người dùng Việt giữ tiền trên Binance nên kiểm tra những gì
Vụ việc cho thấy tiền gửi trên sàn là một khoản phải đòi lại từ sàn, không phải tài sản nằm trong ví của riêng bạn. Số dư hiển thị trên ứng dụng chỉ đáng tin khi sàn có đủ tài sản đối ứng. Với người dùng Việt, việc nên làm lúc này khá cụ thể:
- Theo dõi thông báo chính thức của Binance và bản dự trữ ngày 1/11, thay vì tin tin đồn trên mạng xã hội.
- Cảnh giác với email, tin nhắn, nhóm chat tự xưng “hỗ trợ đền bù”. Binance không cần bạn gửi cụm từ khôi phục (seed phrase) hay mã xác thực để bồi hoàn.
- Rà lại số tiền đang để trên sàn. Phần nào bạn không cần giao dịch thường xuyên thì có thể cân nhắc lưu ở ví tự quản lý. Đây là quyết định về quản lý rủi ro cá nhân, không phải khuyến nghị mua bán.
- Nếu chuyển sang tự lưu ký, hãy chuyển thử một khoản nhỏ trước. Kiểm tra kỹ địa chỉ nhận và mạng lưới (network) trước khi gửi số lớn.
- Ghi cụm từ khôi phục ra giấy hoặc tấm kim loại và cất ở nơi an toàn. Không chụp ảnh, không lưu trong ghi chú điện thoại hay đám mây.
Ví lạnh như Ledger giữ khóa riêng trong thiết bị và yêu cầu bạn xác nhận từng giao dịch trên màn hình thiết bị. Nhưng tự lưu ký cũng chuyển trách nhiệm sang bạn. Mất cụm từ khôi phục hoặc ký nhầm một yêu cầu lạ thì không có ai đứng ra bồi hoàn như trường hợp sàn có quỹ dự phòng.
